Ссылка на оригинал: Источник
Медорганизация — оператор ПД (ст. 3 ФЗ № 152ФЗ). ПД пациентов — специальная категория и врачебная тайна (ст. 13 ФЗ № 323-ФЗ), требования к защите — повышенные.
Что сделать в первую очередь
1. Уведомить Роскомнадзор до начала обработки (ч. 1 ст. 22 ФЗ № 152ФЗ). Подаётся через портал РКН или Госуслуги с УКЭП. Данные в уведомлении нужно актуализировать (ч. 7 ст. 22).
2. Определить правовое основание. Для оказания медпомощи отдельное согласие на обработку ПД не требуется (п. 4 ч. 2 ст. 10 ФЗ № 152ФЗ). Согласие обязательно для иных целей (маркетинг, фото/видео) и для биометрии (ст. 9, 11 ФЗ № 152ФЗ).
3. Принять локальные акты (ч. 1 ст. 18.1 ФЗ № 152ФЗ): политика ПД (публичная), положение об обработке и защите ПД, приказ о назначении ответственного, перечень должностей с доступом, регламенты по доступу/носителям/инцидентам/уничтожению, журнал учёта носителей и доступа.
4. Соблюдать принцип минимизации. Обрабатывать только то, что нужно для заявленных целей (ст. 5 ФЗ № 152ФЗ). Избыточный сбор данных (копии паспортов «на всякий случай») — нарушение.
Защита и хранение
Уровень защищённости ИСПД определяют по ПП РФ № 1119. В медорганизациях обычно уровень 1 или 2 из-за обработки специальных категорий данных. Меры: разграничение прав доступа, обучение персонала, контроль помещений и носителей, сертифицированные СЗИ (ФСТЭК/ФСБ), шифрование, журналирование, резервное копирование. Если МИС — объект КИИ, применяют требования ФЗ № 187ФЗ и приказов ФСТЭК по КИИ.
Передача и уничтожение
Передача третьим лицам возможна: по закону (например, в ЕГИСЗ), по договору поручения (ст. 6 ФЗ № 152ФЗ) или с согласия субъекта. Уничтожение проводят, когда цель обработки достигнута либо по требованию субъекта (ст. 21 ФЗ № 152ФЗ). Оформляют актом (бумага) или протоколом/выгрузкой (электроника). Документы об уничтожении хранят 3 года. Сроки хранения меддокументов определяют по ФЗ № 125ФЗ и приказам Минздрава.
Чек-лист для контроля
1. Уведомление в РКН подано и актуально (ст. 22 ФЗ № 152ФЗ).
2. Политика ПД размещена на сайте (ст. 18.1 ФЗ № 152ФЗ).
3. Назначен ответственный за ПД приказом (ст. 22.1 ФЗ № 152ФЗ).
4. Локальные акты утверждены и доведены до персонала.
5. Цели обработки зафиксированы, минимизация данных обеспечена (ст. 5 ФЗ № 152ФЗ).
6. Согласие берётся только при необходимости, формы корректны (ст. 9, 11 ФЗ № 152ФЗ).
7. Доступ к ПД разграничен, персонал обучен (ПП РФ № 1119).
8. Передача третьим лицам оформлена по закону или договору (ст. 6, 7 ФЗ № 152ФЗ).
9. Порядок уничтожения регламентирован, документы об уничтожении есть (ст. 21 ФЗ № 152ФЗ).
10. План реагирования на инциденты утверждён (ПП РФ № 1119, документы ФСТЭК).
Ответственность
За нарушения грозит: административная ответственность (ст. 13.11 КоАП РФ), гражданско-правовая (компенсация морального вреда — ст. 151, 1099 ГК РФ), в отдельных случаях — уголовная (ст. 137, 272 УК РФ). При инцидентах медорганизация обязана уведомить РКН (ст. 21 ФЗ № 152ФЗ).
