22 августа 2018

Немного о персональных данных пациента

Автор: Юридический отдел «Факультета медицинского права»

9892
0

Подписывайтесь на наш канал:

На практике каждая медицинская организация сталкивается с обработкой персональных данных пациентов, а, следовательно, и с целым букетом юридических и технических вопросов. И даже если она, то есть медицинская организация, не задумывается о существовании данных вопросов, то это не значит, что их нет. И безусловно гораздо целесообразнее задуматься о них раньше нежели о них задумаются пациенты или органы надзора.

В данном ролике я затрону только самые базовые, но и самые прикладные моменты. Какие же вопросы обсудим:

Обязательна ли все-таки письменная форма согласия пациента на обработку персональных данных? Особенно этот вопрос актуален в свете того, что многие люди, включая даже юристов говорят о том, что такое согласие оформлять не обязательно, если с пациентом подписан договор на оказание медицинских услуг. А еще говорят о том, что согласие тем более не обязательно если обработка персональных данных осуществляется в медико-профилактических целях.
Какая информация относится к персональным данным? Можно ли и нужно ли считать персональными данными сведения, направленные пациентом по интернету, то есть тогда, когда нет точной идентификации пациента.
Можно ли направлять пациенту результаты анализов и другие медицинские документы по электронной почте или SMS?

Дополнительно конечно же затронем форму согласия на обработку персональных данных, ее содержание, возможность подписания документа в электронной форме и некоторые другие вопросы.

Форма согласия на обработку персональных данных и категории персональных данных

Форма согласия – устная, письменная, какая?

Для правильного ответа на данный вопрос необходимо понимать, что Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ № 152) выделяет 3 категории персональных данных и для обработки каждой существуют свои «правила игры». Итак, существуют простые, специальные и биометрические персональные данные.

К простой категории персональных данных относятся в частности:

Фамилия, имя, отчество пациента;
Дата и место его рождения;
Фотографии (но не спешим делать итоговые выводы, так как фото может относится и к биометрическим персональным данным);
Возраст;
Рост;
Особые приметы (родимые пятна, татуировки, шрамы и т.д.). Однако сведения о родимых пятнах, шрамах или иная информация, полученная при медицинском обследовании и лечении пациента в некоторых случаях может расцениваться как врачебная тайна или специальные персональные данные. Об этом далее.

К специальной категории персональных данных относятся сведения о здоровье пациента (например, диагноз пациента, информация о наличии шрама после «удаления аппендицита», отсутствие конечностей и др.). Сведения о здоровье гражданина могут являться и врачебной тайной в случае, если были получены при его медицинском обследовании и лечении. Специальные персональные данные отчасти пересекаются с врачебной тайной, но в этой медицинской части ýже понятия врачебной тайны.

К биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.

Обычно это изображение лица, полученное с помощью фото- и видеоустройств; голос, полученный с помощью звукозаписывающих устройств, которые требуются для подтверждения идентификации гражданина. Однако к биометрическим персональным данным могут относиться и другие сведения о пациенте, например, возраст, рост, цвет глаз, волос, особые приметы (родимые пятна, татуировки, шрамы и т.д.) и другое. Почему могут относиться, а не относятся?

Крайне важно понимать, что не любые обозначенные персональные данные относятся к биометрическим персональным данным, например, не каждое фото/видео изображение пациента представляет собой биометрическими персональными данными. Персональные данные считаются биометрическими только, если их обработка производится с целью установления личности. В ином случае они относятся к простым или специальным персональным данным. Таким образом, на первый план в квалификации биометрических персональных данных выходит именно цель их обработки.

Теперь, когда мы пришли к выводу, что существуют не просто персональные данные, а целых три категории персональных данных и разобрались с тем что куда относится, можно перейти к вопросу формы согласия на обработку персональных данных.

Обработка персональных данных

Итак, первоначально отмечу, что в соответствии со ст. 9 ФЗ № 152 согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Это иное установлено для специальных и биометрических персональных данных, для законной обработки которых субъект персональных данных должен дать согласие в письменной форме.

Но не все так просто, потому как существуют основания для обработки персональных данных и вовсе без согласия субъекта персональных данных. Далее привожу только те базовые исключительные случаи, которые могут касаться нашей медицинской тематики.

Итак, какие существуют основания для обработки персональных данных без согласия пациента?

Категория персональных данных	Случаи, когда обработка персональных данных может осуществляться без согласия субъекта персональных данных
Простые персональные данные	Когда существует необходимость защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных при условии, что получение согласия субъекта персональных данных невозможно (п. 6 ч. 1 ст. 6 ФЗ № 152-ФЗ). Редкий случай – то есть пациент должен быть неспособен выразить волю. Явно это не касается каждого второго пациента Когда обработка персональных данных осуществляется в целях предоставления и соответственно получения государственных и муниципальных услуг, включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг (п. 4 ч. 1 ст. 6 ФЗ № 152-ФЗ). Опять не наш случай. Дополнительно уточню, что вопреки распространённому заблуждению ни телемедицина в рамках ЕГИСЗ, ни правоотношения в рамках ЕМИАС не являются государственными и муниципальными услугами, хотя отчасти оказываются с использованием той же самой платформы, например, с использованием ЕСИА. Когда обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных (п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ). Да, да, да – это как раз то самое основание, которое позволяет избежать оформления отдельного согласия на обработку персональных данных. Однако надо понимать, что оно касается только простых персональных данных и не распространяется на специальные или биометрические персональные данные. Когда обработка персональных данных необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 ФЗ № 152-ФЗ). Тоже, казалось бы, подходящее основание. Ведь на медицинскую организацию возложена обязанность оформления информированного добровольного согласия (ИДС) с пациентами. Да, все так, но только в ИДС пациента указывается достаточно ограниченный набор персональных данных, а, во-вторых и в главных это то, что данное основание опять-таки касается только простых персональных данных и не распространяется на специальные или биометрические персональные данные.
Специальные персональные данные	Когда существует необходимость защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, при условии, что получение согласия субъекта персональных данных невозможно (п. 3 ч. 2 ст. 10 ФЗ № 152-ФЗ). Данное основание сильно сужает круг возможных ситуаций до неспособности пациента выразить волю. Если обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством РФ сохранять врачебную тайну (п. 4 ч. 2 ст. 10 ФЗ № 152-ФЗ) Это основание дает наибольшее, скажем так количество «осложнений и побочных эффектов», так как при невнимательном прочтении представляется, что оно идеально вписывается в нашу медицинскую тему и прямо-таки создано под нее. Так, да не совсем. Речь идет о «лицах, профессионально занимающихся медицинской деятельностью и обязанных в соответствии с законодательством РФ сохранять врачебную тайну». То есть исключение касается только медработников и не затрагивает администратора, директора, бухгалтера и иных должностных и не только лиц медицинской организации. Обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством. (п. 8 ч. 2 ст. 10 ФЗ № 152-ФЗ) Да, отчасти помогает, например, в сфере ОМС (внимание – не ДМС), да и то, можно привести ряд причин почему даже в этой сфере все-таки целесообразно оформлять с пациентом согласие на обработку его персональных данных. Подводим итоги по специальной категории персональных данных - универсальных оснований для обработки специальной категории персональных данных без письменного согласия пациента не существует, а норма о необходимости оформления согласия именно в письменной форме в отличие от простых персональных данных носит императивный характер.
Биометрические персональные данные	Обработка медицинскими организациями и частнопрактикующими врачами биометрических персональных данных пациентов без их согласия не разрешается. Все имеющиеся в законе основания не применимы к рассматриваемой теме. С учетом всего ранее сказанного, вывод напрашивается сам собой - письменный формат согласия на обработку персональных данных пациента должен быть взят медицинской организацией за основу.

Содержание письменной формы согласия

Здесь главный акцент стоит сделать на том, что письменная форма согласия пациента на обработку персональных данных должна иметь определенное и достаточно насыщенное содержание. Так в соответствии со статьей 9 ФЗ № 152 согласие должно включать в себя, в частности:

ФИО, адрес субъекта персональных данных, реквизиты документа, удостоверяющего его личность;
Наименование и адрес медицинской организации, то есть оператора персональных данных;
Цель обработки персональных данных;
Перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
Способы обработки персональных данных (например, сбор, накопление, хранение, использование, передача, обезличивание, блокирование, удаление, уничтожение и т.д.);
Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
Подпись субъекта персональных данных.

В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных. Здесь стоит не забывать, что в этом случае обрабатываться будут не только персональные данные представляемого пациента, но и самого представителя, а соответственно это следует учесть в форме согласия.

Может ли медицинская организация продолжать обрабатывать персональные данные, если пациент отозвал данное раннее согласие?

По закону действительно согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в п. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 ФЗ № 152. Это те же самые случаи, при которых та или иная категория персональных данных может обрабатываться без согласия пациента. Если кратко, то персональные данные пациента могут обрабатываться вне зависимости от направленного пациентом отзыва в течение регламентного срока хранения медицинской документации.

Может ли пациент дать согласие на обработку персональных данных в электронной форме?

Согласие в форме электронного документа, подписанного электронной подписью в соответствии с федеральным законом признается равнозначным простому согласию в письменной форме на бумажном носителе. Так как Федеральным законом от 06.04.2011 63-ФЗ «Об электронной подписи» (далее ФЗ № 63) не установлена обязанность использования в обсуждаемом случае именно квалифицированной подписи, то это может быть простая электронная цифровая подпись. Согласно данному закону простой электронной подписью является электронная подпись, которая подтверждает факт формирования электронной подписи определенным лицом посредством использования кодов, паролей или иных средств. Иными словами, простая электронная подпись представляет собой стандартную систему «логин-пароль» для авторизации*.

*Но опять же, в этом вопросе есть свои нюансы. Из определения простой электронной подписи следует, что она должна подтверждать факт своего формирования именно определенным лицом. Кроме того, в соответствии с ч. 2 ст. 9 ФЗ № 63, нормативные правовые акты и (или) соглашения между участниками электронного взаимодействия, устанавливающие случаи признания электронных документов, подписанных простой электронной подписью, равнозначными документам на бумажных носителях, подписанным собственноручной подписью, должны предусматривать, в частности 1) правила определения лица, подписывающего электронный документ, по его простой электронной подписи и 2) обязанность лица, создающего и (или) использующего ключ простой электронной подписи, соблюдать его конфиденциальность.

То есть, мы вновь возвращаемся к вопросу предварительной идентификации пациента. Выходит, для того, чтобы дать согласие на обработку персональных данных в электронной форме, оператором персональных данных должны быть разработаны правила, предусматривающие в том числе возможность предоставления и сверки паспорта владельца личного кабинета, посредством которого даётся согласие на обработку персональных данных, для подтверждения его личности. Однако, на практике такая схема взаимодействия трудноосуществима, а единственная известная нам система, которая предусматривает подобные возможности - это ЕСИА.

Так, совсем недавно Распоряжением Правительства РФ от 30.06.2018 № 1322-р была утверждена форма согласия на обработку персональных данных, необходимых для регистрации гражданина РФ в ЕСИА (единой системе идентификации и аутентификации), а также его биометрических персональных данных гражданина в единой информационной системе персональных данных.

Напомню, что Единая система идентификации и аутентификации используется в целях идентификации и аутентификации участников дистанционного взаимодействия при оказании медицинской помощи с применением телемедицинских технологий.

Передача результатов анализов и исследований по электронной почте и SMS

Передача пациенту результатов анализов и исследований по электронной почте, SMS, WhatsApp или иным подобным способом не скажу, что строго запрещена на законодательном уровне, но мягко говоря не рекомендована и вот почему. Потому что осуществляется по незащищенному каналу связи.

А ведь оператор персональных данных, которым является медицинская организация, обязан обеспечить безопасность персональных данных, в том числе при их передаче, пересылке. Помимо ФЗ № 152 имеется куча подзаконным актов, определяющих правила обеспечения технических мер защиты персональных данных. Это и Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказы ФСТЭКа, ФСБ. Нельзя сказать, что они прозрачны и понятны непродвинутым пользователям, они непрозрачны и непонятны даже технически продвинутым пользователям. Они у всех вызывают массу вопросов. Однако ясно одно – для передачи персональных данных по интернету (особенно это касается специальной категории персональных данных) должен быть организован защищенный канал для передачи данных в пределах контролируемой зоны. Классическим примером такого защищенного канала служит информационный ресурс АИС ОМС. Сейчас на повестке дня создание ресурса в рамках ЕГИСЗ.

Поэтому при пересылке медицинских документов пациенту по электронной почте или иным незащищенным каналам связи мы имеем две проблемы.

Врачебная тайна – с письменного согласия пациента данные сведения можно направлять пациенту.
Персональные данные - согласие не играет роли, так как канал связи все равно незащищенный.

Письменное согласие пациента на передачу ему медицинских документов таким способом при условии его надлежащего информирования (о том, что такие каналы связи не являются защищенными, и сведения, переданные по ним, могут стать доступными третьим лицам) не делает её законной. Однако очевидно минимизирует риск возможной претензии пациента. Таким образом, исходя из потребностей сегодняшнего времени мы рекомендуем нашим заказчикам или делать на сайте полностью защищенный личный кабинет для пациентов, откуда последние имели бы доступ к необходимой им информации и медицинской документации. Или альтернативный, но более слабый во всех отношениях вариант – это оформление согласия, а точнее даже просьбы пациента на передачу ему информации по электронной почте и иным подобным каналам связи, включая собственноручное указание пациента на то, что:

Он проинформирован о том, что такая передача информации, в том числе медицинской информации и документации будет производиться по незащищенным каналам связи, в связи с чем возможна ее утечка и (или) иное непреднамеренное нарушение конфиденциальности.
Несмотря на риск утечки персональных данных и сведений, составляющих врачебную тайну пациента, он выражает желание и просит работников медицинской организации направлять ему вышеуказанную информацию посредством электронной почты и(или) SMS-сообщений, так как риск ее утечки менее значим для него по сравнению с удобством и комфортом ее получения по современным каналам связи.
Ну и то, что пациент здраво оценивает все риски и готов принять на себя возможную ответственность в случае нарушения конфиденциальности его медицинской информации в результате ее пересылки по незащищенным каналам связи.

Очевидно, что такое согласие-просьба пациента способно серьезно минимизировать риски возможной претензии со стороны пациента и его шансы в суде, однако навряд ли способно уберечь от органов надзора, так как повторяю согласие пациента не делает законной такую передачу персональных данных.

Что касается органов надзора, то здесь главную «скрипку» играет Роскомнадзор.

Административная ответственность предусмотрена ст. 13.11 КоАП «Нарушение законодательства Российской Федерации в области персональных данных».

Однако при некоторых обстоятельствах возможна и уголовная ответственность по статье 137 УК РФ «Нарушение неприкосновенности частной жизни».

Стоит не забывать и о возможной гражданско-правовой ответственности, то есть ответственности переда пациентом за причиненный ему вред, связанный с нарушением законодательства Российской Федерации в области персональных данных.

А ты кто?

Ну и наконец на закуску расскажу весьма интересную штуку, связанную с квалификацией информации в качестве персональных данных, а точнее влияния факта идентификации пациента на статус информации о нем. Возможно ли квалифицировать сведения о гражданине, как персональные данные, если личность такого гражданина точно не известна, то есть не идентифицирована?

Начну с того, что согласно ФЗ № 152 персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

Понятие «косвенно определенное или косвенно определяемое лицо, к которому относятся сведения, представляющие собой персональные данные» - законом не раскрыто.

Интересна, например, такая практическая ситуация - пациент направляет в адрес медицинской организации по интернету отсканированную копию своего паспорта или медицинских документов, или иную информацию, или же представляется по телефону или по видеосвязи. Насколько правомерно полагать, что его личность возможно идентифицировать и, как следствие, признать такое лицо косвенно определенным или определяемым. Ведь встает вопрос о том, действительно ли именно это конкретное физическое лицо направило названные документы, представилось своим именем и т.д. или злоумышленник?

На это существуют две конечно же прямо противоположенные точки зрения:

Информация, сообщаемая лицом в рамках «онлайн» общения, не представляет возможным идентифицировать личность и, следовательно, даже косвенно определить лицо, к которому она относится, в связи с этим, такая информация не будет являться персональными данными, соответственно её обработка не будет подпадать под регламентацию ФЗ № 152.
Основание для позиции:

Постановление Тринадцатого арбитражного апелляционного суда от 01.06.2015 № 13АП-10709/2015 по делу № А56-75017/2014 (в связи с тем, что владелец интернет-сервиса не проверяет правильность и точность указанных пользователем данных об имени, дате рождения и т.д. то, соответственно, указанная информация не будет являться персональными данными, подлежащими защите в соответствии с ФЗ № 152).
Сведения, передаваемые лицом онлайн, будут являться персональными данными, поскольку информация, изложенная лицом в форме электронного документа и направленная посредством сети Интернет, позволяет идентифицировать данное лицо и, соответственно, косвенно определить субъекта персональных данных (в связи с чем информация, содержащаяся в таком письме может являться персональными данными).
Основание для позиции:

Постановление заместителя председателя Свердловского областного суда от 15.07.2014 № 4а-635/2014 (направление обращения посредством сети Интернет с указанием своих персональных данных позволяет идентифицировать потребителя услуги).

Каково же мнение Факультета Медицинского Права

Мы склонны согласиться с позицией № 1 и полагаем, что пока личность пациента не опознана, то есть точно не идентифицирована, сведения о нем не являются персональными данными. В пользу данной позиции также косвенно свидетельствует упомянутая ранее ЕСИА - то есть система идентификации и аутентификации, используемая при оказании государственных услуг и которая будет являться обязательной при оказании медицинской помощи с применением телемедицинских технологий. Это дает дополнительное основание полагать, что идентификация является обязательным условием для квалификации информации, сведений о пациенте в качестве персональных данных.

Возвращаясь к нашим «баранам» – пациент приходит в клинику и сообщает ФИО и иные свои данные. Будут ли они являться персональные данными, если личность пациента не была идентифицирована, то есть администратор/регистратор не сверил их с паспортными данными. Мы полагаем, что такие сведения не являются персональными данными с правовой точки зрения. Возникает встречный вопрос - обязан ли, а точнее даже уполномочен ли администратор вообще просить у пациента предъявить паспорт?

Вопреки распространённому заблуждению медицинская организация имеет право запрашивать у пациента его паспортные данные, в противном случае оказанные пациенту медицинские услуги могут быть квалифицированы как анонимные, даже если он и сообщил свои ФИО. Одно из оснований – обязательное указание паспортных данных в согласии на обработку персональных данных, однако есть и другие основания. Но это тема отдельная и вероятно станет предметом отдельного ролика.

Поэтому, например, лабораторные анализы пациента Иванова Сидора Петровича не должны квалифицироваться как персональные данные, если администратор внес его данные со слуха и не запросил у пациента Сидора документ, удостоверяющий личность. Забыл, заблуждался, нарочно, не знаю, но не запросил и точка. Кстати, а не выход ли это? Думаю, что тоже не совсем выход, так как с учетом размытого понятия персональных данных и неоднородной судебной практики, полагаю, а точнее почти предрекаю, что спокойно может быть и иная квалификация ситуация, то есть суд решит, что такие данные являлись персональными, так как они хоть и не прямо, но косвенно определяли субъекта персональных данных.

Поэтому полноценных выходов из данной ситуации немного – или отдавать медицинские документы на руки пациенту, или организовывать защищенный личный кабинет на сайте, или присваивать идентификационный номер пациенту вместо ФИО. Однако последнее весьма неудобно при дальнейшем использовании результатов анализов.

К сожалению, тема персональных данных достаточно обширна, сегодня мы с Вами пробежались галопом по Европам, но надеюсь, что осветить основную информацию я все-таки успела.

Предполагаю, что в скором будущем расскажу и про такие смежные темы как:

Видео и фотосъемка пациента и пациентом;
Анонимные медицинские услуги.

Спасибо за внимание, с Вами была Полина Габай.

Полный текст материала доступен только
по подписке

Доступ к платным сервисам kormed.ru

Уже оформили?ПодробнееСпособы оплаты

На год без обзора НПА^*

4 990 Р

Оформить

На год с обзором НПА^*

9 990 Р

Оформить

На месяц без обзора НПА^*

1 990 Р

Пробная подписка

Попробовать

Приобретая подписку к информационным сервисам нашего сайта, вы получаете неограниченный доступ к уникальной базе статей, аналитических заключений и записок, рубрике «вопрос-ответ» и иным сервисам сайта. А также возможность сохранять все необходимые материалы в личном кабинете и использовать иные его функциональные возможности.

* Обзор НПА - это регулярная подборка наиболее важных нормативных документов и судебной практики в сфере здравоохранения

Есть вопросы? Задайте их юристу!

Вам также будет интересно

9543