Защита персональных данных в стоматологии
Стоматология работает со сведениями о здоровье пациентов — это специальная категория персональных данных. Добавьте к ним снимки, карты и обмен с зуботехнической лабораторией, и получится профиль, к которому требования строже, чем к обычной клиентской базе.
Знакомые ситуации
- •Ведём карты и снимки пациентов в программе — какие требования к ней.
- •Передаём слепки и заказы в зуботехническую лабораторию.
- •Не знаем, когда нужно письменное согласие пациента, а когда нет.
Что нужно по 152-ФЗ
Специальная категория данных
Сведения о здоровье пациента относятся к специальным категориям (статья 10 Федерального закона от 27.07.2006 № 152-ФЗ). Обработка возможна без согласия, если она ведётся в медико-профилактических целях, для диагностики и лечения лицом, обязанным сохранять врачебную тайну (пункт 4 части 2 статьи 10); за пределами этой цели — например для рассылки предложений — нужно согласие.
Врачебная тайна
Помимо требований о персональных данных действует режим врачебной тайны (Федеральный закон от 21.11.2011 № 323-ФЗ): факт обращения, диагноз и результаты осмотра не разглашают без согласия пациента, кроме случаев, прямо указанных в законе. Родственнику сведения о лечении сообщают только на условиях, установленных этим законом.
Карты, снимки и учётная система
Программа с картами пациентов и снимками — это информационная система персональных данных: для неё определяют уровень защищённости по постановлению Правительства Российской Федерации от 01.11.2012 № 1119 и выполняют меры приказа ФСТЭК России от 18.02.2013 № 21. Из-за специальных категорий уровень, как правило, выше, чем у обычной клиентской базы.
Зуботехническая лаборатория и подрядчики
Если лаборатория, облачная медицинская система или сервис записи обрабатывают данные пациентов по заданию клиники, это поручение на обработку: условия включают в договор (часть 3 статьи 6). Перед пациентом за такую обработку отвечает клиника.
Уведомление Роскомнадзора
Уведомить надзорный орган об обработке нужно до её начала (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ); если обработка уже идёт, уведомление подают, не откладывая. Исключение осталось за обработкой исключительно без средств автоматизации — то есть за полностью бумажным учётом. В уведомлении отражают обработку специальных категорий данных.
Политика обработки
Политику обработки публикуют и дают к ней доступ там, где собираются данные — на сайте и в форме записи на приём (часть 2 статьи 18.1 того же закона). Политика отвечает на вопрос, что и зачем вы обрабатываете, поэтому её текст пишется под ваши процессы, а не берётся с чужого сайта.
Сроки хранения
Медицинскую документацию хранят по срокам, установленным для медицинских документов. Данные, собранные для других целей — например для рассылок, — уничтожают по достижении цели (часть 4 статьи 21 того же закона).
С чего начать
Уровень защищённости ИСПДн →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Что должно быть в положении об обработке и защите персональных данных: цели и порядок обработки, основания, доступ работников, обработка в информационных системах и на бумаге, сроки хранения и уничтожение, права субъектов. Чем положение отличается от политики и как его утвердить.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Какие условия должны быть в поручении на обработку персональных данных (договоре с обработчиком) по части 3 статьи 6 152-ФЗ: перечень данных, цели, конфиденциальность, меры защиты, уведомление об инцидентах.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Частые вопросы
Нужно ли письменное согласие пациента стоматологии на обработку данных?
Для диагностики и лечения обработка возможна без согласия: она ведётся в медико-профилактических целях лицом, обязанным сохранять врачебную тайну (пункт 4 части 2 статьи 10 Федерального закона от 27.07.2006 № 152-ФЗ). Согласие нужно там, где цель другая — рассылка предложений, публикация отзыва или фотографии.
Как оформить передачу заказов в зуботехническую лабораторию?
Как поручение на обработку персональных данных: условия обработки, перечень данных и действий, требования к безопасности включают в договор с лабораторией (часть 3 статьи 6). Отвечает перед пациентом клиника, а лаборатория — перед клиникой.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.