Специфика хранения персональных данных в медицинских учреждениях. Современные требования к защите персональных данных в медицинских организациях

Проблема

В стоматологической поликлинике руководство учреждения отказало мне в предоставлении бесплатных медицинских услуг, поскольку я отказался подписать согласие на "обработку персональных данных". Считаю, что подобное согласие - это мое право, но не обязанность. См. ФЗ 152. Каким образом можно воздействовать на медиков? Уверен, что принуждая меня к подобной "обработке данных" они ограничивают мои гражданские свободы. Может обратитьтся в прокуратуру? Но вот есть ли перспектива. Сегодня они нас ставят перед фактом "обработки данных", завтра микрочип будут вшивать под кожу, приговаривая, что все делается для нашего же блага.Так и не понял, можно ли призвать клинику к ответу, потребовать предоставления бесплатных услуг.

Публиковал этот вопрос на вопросы@mail.ru и вот какие ответы получил:

"анонимно" обслуживайтесь в частных клиниках, если вы не предоставити свои данные в медучреждение, они не получат за ваше лечение деньги из страховой компании, поэтому в "бесплатном" обслуживании вам отказали

я тоже так считаю...и зачем им нам наши данные - я тоже не пойму..не милиция ведь...я недавно с этим столкнулась, заполняя анкету в садике....зачем вот там писать номера паспортов моих и мужа..зачем там писать национальность....я русская - но не могу понять...пипец...да и ещё согласие давать на обработку своих данных...и кому это надо???

чем для Вас грозит "обработка персональных данных" ? для начала надо понять- что же включает в себя столь хитро замаскированное "мошенниками" понятие. =)))))
подписываясь на это- Вы даете право специалистам изучать Ваши данные, как было сказано Выше без этого врач не получит зарплату, тк не сможет объяснить кого же он все таки лечил. На Вас всего то заведут карточку, запишут номер полиса. Третьим лицам Ваши данные никто не предоставит, если Вас это смущает по прежнему, напишите заявление на уничтожение Ваших персональных данных по окончанию обработки. те по окончанию обследования, Ваши данные уничтожат (уничтожат вместе с мед.карточкой). (могу сильно заблуждаться)

-----

Сам закон "О персональных данных" очень сложен для понимания, в нем до сих пор юристы разобраться не могут. Но хочу заметить: обработка данных на основании согласия - это лишь один из случаев обработки данных. Законом (статья 6) установлены и другие случаи, когда обрабатываются персональные данные. В Вашем случае у Вас вообще не должны были спрашивать согласие на обработку, потому что согласно указанной статье среди случаев, когда допускается обработка персональных данных, есть и:
"... обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем" (подпункт 5 пункта 1 статьи 6). Вы обращаетесь в медицинское учреждение для получения услуги, являетесь выгодополучателем, поэтому в Вашем случае речь идет именно о такой обработке данных.

Таким образом, учреждение должно было обойтись без Вашего согласия. Они же Вам предложили подписать документ, отчего получили с Вашей стороны противодействие (не основанное, впрочем, на реальной угрозе нарушения Ваших гражданских свобод). Вот любим мы защищать свои права по мелочам и пустякам, нет, чтобы бороться например, за то, чтобы в Думе не было балбесов, принимающих законы, которые простой человек прочитать не сможет без пол-литры...

Впрочем, Вы можете усугубить защиту своих гражданских прав, запретив например своему работодателю обрабатывать Ваши персональные данные отделом кадров (и тогда в будущем как Вы будете подтверждать свой рабочий стаж?), можете дать отказ на обработку своих данных в паспортные службы, запретить обработку Ваших персональных данных Водоканалу, Горсвету, Горгазу и так далее. Эксперимент, без сомнения, революционный, но как он скажется на Вашей жизни?

К вопросу о паспортных данных в детских садах. Та же самая статья 6 Закона. еще один случай. когда разрешена обработка персональных данных - это оказание муниципальной сулги. Детские сады являются расходными обязательствами муниципалитетов и являются муниципальной услугой.
Хотим мы того или нет - мы живем в обществе, где наши права подтверждаются доказательством того, что мы - это мы. Закон о персональных данных все почему-то читают только до строк "Согласие субъекта на обработку его персональных данных". Но это лишь один из случаев. Закон же шире и глубже. Он устанавливает ряд гарантий по защите наших данных, собранных при наличии одного из оснований для обработки персональных данных. И не везде требуется согласие)))

-----

Ответит МЕДИЦИНА!
Ничем Вас никто не ограничивает. Без паники. Это реализация 152 Закона - никому не нужного!
Просто паспортные данные - тоже Перс данные. Сейчас все компьютеризированно. Любое движение в больницы вносится в Компьтер (Будь то дневной или вечерний стационар.) Даже рецепты через прогу выписываются. Раньше брали все те же данные, но без согласия и рот никто не открывал.
А теперь этот закон - Юром и Админам только дополнительные хлопоты за ту же ЗП!
(отвечаю как юрист и программист Мед Учереждения)

Просто можно дописать, что "даю согласие на обработку персональных данных только в целях получения бесплатных медицинских услуг, обработку персональных данных в иных целях запрещаю".

Решение

Добрый день!

Закон о Персональных данных сложный он или нет, но вступил в свою силу, и ответственность, за нарушение этого закона предполагает не только увольнение, не только административное наказание, но и наказание по статье 137 Уголовного Кодекса Российской Федерации.

3) обработка персональных данных - любое действие (операция) или совокупность действий (операций ) , совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Если вы не даете согласие на обработку ваших персональных данных, а это требуется, чтобы предоставить вам соответствующие услуги, компенсации, льготы, то работать с вами не смогут. Это все равно, что вы пришли в банк оформить кредит, но заявили денег мне дайте столько, только свою ФИО, паспортные данные и свои адреса не скажу. Т.е. дайте денег не зная кому, и при этом отдавать вам деньги тоже буду или не буду, т.к. деньги выдали не известно кому.

Согласие можно давать, но при этом указывать, что передачу и обработку своих данных вы ограничиваете, например, персоналом этой клиники, что передачу за пределы клиники, т.е. любому третьему лицу вы запрещаете. "Запрещаю обработку моих персональных данных, несовместимыми с целями сбора моих персональных данных"

Кроме того, предоставление своих данных оправдано даже тем, чтобы получить услуги и т.п. в полном объеме и качественные, т.к. во многих случаях подписываются договоры на оказание услуг.

А еще в конечном счете, после окончания лечения, т.е. получения услуг, вы можете отозвать свое разрешение на обработку и хранение своих персональных данных, если конечно, Законом предусмотренно другое.

5. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными

Отвечает старший помощник прокурора Железнодорожного округа Курска Артем КОФАНОВ: «В последнее время пациенты медицинских организаций все чаще задают вопросы относительно того, что такое персональные данные и почему в больницах просят согласие на их обработку.

Федеральным законом №152-ФЗ от 27 июля 2006 года «О персональных данных» установлено, что персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Также определены случаи, когда требуется согласие граждан на их обработку, которая представляет собой любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Статьей 6 вышеуказанного закона установлено, что обработка персональных данных осуществляется с согласия субъекта персональных данных. Согласно статье 10 данного закона обработка специальных категорий персональных данных, касающихся, в том числе, состояния здоровья, не допускается, за исключением, если субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных.

Таким образом, закон №152-ФЗ ставит возможность обработки персональных данных пациентов больниц в зависимость от наличия их согласия. При этом, без согласия могут обрабатываться данные, относящиеся к состоянию здоровья субъекта персональных данных, если их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно.

То есть при поступлении в медучреждение пациента в бессознательном состоянии в силу заболевания либо травмы ему будет оказана квалифицированная медицинская помощь без наличия выраженного согласия на обработку его персональных данных.

Согласно статье 13 Федерального закона от 21 ноября 2011 года №323-ФЗ «Об основах охраны здоровья граждан в РФ» сведения о факте обращения гражданина за оказанием медпомощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медобследовании и лечении, составляют врачебную тайну. Поэтому передача таких сведений другим гражданам, в том числе должностным лицам, возможна только с согласия субъекта персональных данных и в интересах обследования и лечения пациента. Предоставление указанных сведений без согласия гражданина или его законного представителя допускается лишь в исключительных случаях, установленных данным законом (в целях проведения медобследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю; при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений и т. д.).

При этом статьей 8 Федерального закона №152-ФЗ установлено, что в целях информационного обеспечения могут создаваться общедоступные источники персональных данных. Закон позволяет включать в общедоступные источники персональных данных следующие сведения о гражданах: фамилия, имя, отчество гражданина; год и место рождения гражданина; адрес гражданина; абонентский номер.

Однако все вышеуказанные сведения могут включаться в общедоступные источники персональных данных только с согласия субъекта персональных данных. При этом обязанность доказывания того, что такое согласие получено, возложена на оператора персональных данных.

Обработка персональных данных возможна также в целях обязательного социального страхования в соответствии с федеральными законами о конкретных видах обязательного социального страхования. Так, согласно положениям Федерального закона от 29 ноября 2010 года №326-ФЗ «Об обязательном медицинском страховании в РФ» Федеральный фонд обязательного медицинского страхования вправе обрабатывать данные персонифицированного учета сведений о застрахованных лицах и персонифицированного учета сведений о медпомощи, оказанной застрахованным лицам. При этом ведение персонифицированного учета сведений о медпомощи, оказанной застрахованным лицам, предполагает сбор, обработку, передачу и хранение целого ряда данных о гражданах.

Таким образом, при обращении за медпомощью лица, которое в силу состояния здоровья может выразить свое волеизъявление, отказать в оказании медуслуг, если пациент не предоставляет свои персональные данные (то есть не показывает паспорт, полис и другие документы) медучреждение не может. Однако медицинская помощь в данном случае может быть оказана только на возмездной основе на основании договора возмездного оказания медицинских услуг, поскольку пациент не подтвердил статус застрахованного лица по обязательному медицинскому страхованию. При оформлении договора, акта или счета в графе «заказчик» указывается «аноним», и делается пометка о том, что пациент отказался от предоставления персональных данных».

Читайте свежие новости «Друг для друга» в социальных сетях:
ВКонтакте , Одноклассники , Facebook , Twitter , Instagram .

Вверх ▲ — Отзывы читателей (1) — Написать отзыв ▼ — Версия для печати

Спасибо за информацию, врачам меньше времени остаеться времени лечить, ппиходить большое количество времени писать обязательные бланки.

Персональные данные, хранящиеся в медицинских организациях условно можно разделить на две группы.

Персональные данные работника , предоставляемые на момент заключения трудового договора с работодателем в соответствии с требованиями Трудового кодекса РФ.

Персональные данные пациента , которые предоставляются при заключении договора на оказание платных медицинских услуг.

Персональная информация должна быть надежно защищена

Предоставляя о себе информацию конфиденциального характера, носителям персональной информации необходимо знать и помнить, что переданная ими информация должна быть надежно защищена. Об этом прописано в законе Российской Федерации «О персональных данных» № 152-ФЗ. При этом, выполнение требований закона «О персональных данных» № 152-ФЗ обязательно для всех организаций.

Одно из требований указанного закона - разработка «Положения о защите персональных данных». Из сложившейся практики в медицинских организациях желательно разработать два таких «Положения». Одно - «Положение о защите персональных данных работников медицинской организации, другое - «Положение о защите персональных данных пациентов».

Работодатель обязан ознакомить персонал медицинской организации с разработанными положениями защиты персональных данных под роспись, установить контроль за неукоснительным исполнением их требований, назначить ответственных лиц за обработку полученной информации, принять меры необходимые для хранения и защиты персональных данных.

При обработке персональных данных пациентов необходимо брать с каждого пациента или его законного представителя (родителей, дедушки, бабушки и т. д.) согласие на обработку персональных данных. Обязательно разъяснять пациенту, что его персональные данные не могут быть переданы куда-либо без его согласия, за исключением случаев перечисленных в законе «О персональных данных».

Надо ли уведомлять Роскомнадзор?

Рассмотрим вопрос, надо ли медицинской организации уведомлять Роскомнадзор (специальная фед. служба) о себе как об Операторе? Бытует мнение, что если уведомлять, то тем самым можно навлечь на себя плановые проверки Роскомнадзора. Это мнение ошибочно.

Также не вводите себя в заблуждение рассуждениями о том, что можно не уведомлять Роскомнадзор о себе, если персональные данные полученные от работника в качестве стороны трудового договора, обрабатываются медицинской организацией для выполнения своих обязанностей, вносятся в трудовой договор, личную карточку работника, другую кадровую документацию и никуда не предоставляются.

Как правило, все медицинские организации на своем сайте в Интернете выкладывают информацию о своем работнике с фотографией, а это уже распространение персональных данных, на которое надо получить согласие работника. К тому же в соответствии со ст. 79 Закона об охране здоровья все медицинские организации обязаны давать информацию о медицинских работниках с целью информирования населения.
Эти сведения позволяют идентифицировать того или иного медицинского работника. Следовательно, информация о работнике на сайте медицинской организации , относится к персональным данным, которая в соответствии с требованиями закона «О персональных данных» должна быть обработана и защищена и т.д., а медицинская организация, как оператор персональных данных до начала их обработки должна уведомить об этом Роскомнадзор.

Помните, что за нарушение требований закона «О персональных данных» № 152-ФЗ предусмотрены;

Дисциплинарная ответственность (ТК РФ);

Административная ответственность (Кодекс РФ об административных правонарушениях»;-уголовная ответственность (п.1 ст. 137 УК РФ).

Первый отдел детского медицинского центра «Маркушка».

Есть целая отрасль, которая активно работает с наиболее важными персональными данными, - это медицина. В соответствии с классификацией ФСТЭК России сведения о здоровье человека относятся к специальным. Это означает, что для обеспечения информационной системы, обрабатывающей подобные сведения, требуются наиболее сложные меры по защите данных - вплоть до развертывания средств для предотвращения утечек побочного электромагнитного излучения и для строгого шифрования накопленных данных.

Ситуация усугубляется тем, что медицинские учреждения, как правило, обрабатывают значительные объемы персональных данных, а регулирующие документы требуют в таком случае использования дополнительных средств защиты. «Особенности у информационных систем персональных данных (ИСПДн) лечебных учреждений, безусловно, имеются и касаются они следующих вещей: высокий класс ИСПДн - в медицинских учреждениях обрабатываются сведения о состоянии здоровья большого числа субъектов; территориальная распределенность -

почти каждое лечебно-профилактическое учреждение (ЛПУ) состоит из нескольких корпусов, некоторые из которых могут быть значительно удалены от других», - поясняет Игорь Егоренко, директор департамента региональных продаж компании «РАМЭК-ВС». В результате бюджет на защиту персональных данных может оказаться просто неподъемным для ЛПУ.

«Мне рассказывали, что департамент здравоохранения Москвы поручил ряду фирм провести обследование и определить мероприятия по защите персональных данных. В результате медицинские учреждения получили по 300-страничному тому, из которого следовало, что защита одного компьютера будет стоить в два-три раза больше, чем сам компьютер и вся его программная начинка. Как сказал мне один знакомый, предложенные мероприятия по защите обойдутся в сумму, равную шестилетнему ИТ-бюджету его организации. Ясно, что таких денег нет», - говорит Борис Зингерман, заведующий отделом компьютеризации Гематологического научного центра. При этом совершенно непонятно, кто и как будет подобные расходы компенсировать. Вряд ли пациенты готовы взять эти расходы на себя.

Сейчас в лечебных учреждениях только начали внедрять медицинские информационные системы (МИС), разрабатываются стандарты на электронную историю болезни. Однако, как замечает Евгений Модин, руководитель направления консалтинга компании Aladdin: «Принятие стандарта ГОСТ Р 52636-2006 “Электронная история болезни”, к сожалению, не позволило решить вопросы взаимодействия между различными медицинскими учреждениями, полностью отказаться от бумажных историй болезни. Очевидно, что дальнейшее развитие данного направления тесно связано с развитием электронного документооборота, а для этого необходимы изменения в законодательных актах».

Скорее всего, выполнение впрямую требований Федерального закона «О персональных данных» № 152-ФЗ может только еще больше отсрочить отказ российской медицины от бумажных медицинских карт. «Сегодня вся страна “болеет” законом “О персональных данных”. Некоторые болеют особенно остро, некоторые с умеренными симптомами. Никто толком не знает, чем и как лечиться: стоит ли покупать супердорогие антибиотики или этот “насморк” пройдет сам по себе? - отмечает Зингерман. - Медицинские данные требуют по закону самой высокой степени защиты среди всех видов персональных данных. И если ввязываться в эту историю, как говорится, по “полной программе”, то здравоохранение можно просто закрывать. С другой стороны, в головах руководителей ЛПУ живет трезвая мысль: “Ну не закроют же медицинское учреждение из-за каких-то персональных данных. Иначе кто тогда будет лечить субъектов этих персональных данных?” Поскольку денег на адекватную защиту нет, то их не выделяют вообще ни на какую защиту».

Методология

Именно поэтому Министерство здравоохранения и социального развития инициировало процесс согласования требований закона № 152-ФЗ с одним из регуляторов - ФСТЭК, чтобы выполнить требования закона, но в то же время не израсходовать слишком много бюджетных денег и не остановить развитие медицинской отрасли из-за неоправданно завышенных законодательных требований по защите. В декабре 2009 года были опубликованы «Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости», которые призваны сократить затраты на защиту медицинских персональных данных.

В частности, вот как объясняется в этом документе, почему медицинским учреждениям не нужно выполнять требования по первому классу защищенности для типовых информационных систем: «В медицинских учреждениях все ИСПДн будут отнесены к специальным, поскольку обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных, а также потому, что, как правило, помимо конфиденциальности требуется обеспечить свойство целостности ПДн. Класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных по результатам анализа исходных данных». Именно поэтому в списке необходимых документов, которые должны подготовить медицинские учреждения (см. врезку «Перечень документов»), фигурирует «модель угроз». Это означает, что медицинским учреждениям необязательно ставить системы шифрования или системы противодействия утечкам по техническим каналам, если эти угрозы не указаны в модели. Другими словами, от того, насколько правильно составлена модель угроз, зависит, какие именно средства защиты потребуется установить в медицинском учреждении.

При составлении частной модели угроз рекомендуется «исключение из модели маловероятных угроз, что существенно снизит затраты на реализацию механизмов защиты на дальнейших этапах работ». В частности, атака с использованием перехвата побочного излучения для медицинских учреждений, очевидно, является маловероятной, поэтому она может быть исключена - это сильно снизит затраты на реализацию системы защиты в дальнейшем. Таким образом, исключение маловероятных угроз позволяет не внедрять самые сложные системы защиты и сэкономить значительные средства.

Кроме того, как поясняет Игорь Фохт, аналитик центра медицинских разработок Института программных систем им. А. К. Айламазяна, «в МИС не предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных - юридически значимым документом является “бумажная” история болезни, по которой принимаются решения». Таким образом, хотя в общей классификации сведения о здоровье и являются «опасными», в медицинских системах они таковыми не являются - решения все равно принимаются на основании бумажной истории болезни. Зингерман добавляет: «Наш коллега Н. Е. Шкловский, который много занимался психологическими аспектами тяжелых заболеваний, утверждает, что по-настоящему больной человек, наоборот, старается показать свои медицинские данные любому, кто готов его выслушать, в надежде на дополнительную помощь в борьбе с болезнью». Так что, вполне возможно, пациенты будут считать опасным не разглашение медицинских сведений, а, наоборот, ограничение доступа к ним.

Впрочем, даже всего вышеназванного может не хватить в медицинских учреждениях для снижения необходимого уровня защиты до приемлемого минимума. Поэтому в методологии предлагается еще несколько методов, которые предназначены для минимизации расходов.

Обезличивание

Обезличивание персональных данных является хорошим приемом снижения расходов на защиту. Дело в том, что для выполнения лечебных процедур врачу совсем не обязательно знать, как зовут пациента - ему нужен диагноз и другие медицинские данные. Значит, появляется возможность ввести специальный идентификатор, который, с одной стороны, не позволяет идентифицировать пациента, а с другой - позволяет привязать к нему все необходимые врачам данные о конкретном человеке. Сюда же относится и кодирование диагнозов. Кодификатор болезней стоит также вынести в отдельную информационную систему или иметь в виде бумажного справочника. В результате сведения о состоянии здоровья пациента (а они являются специальной категорией персональных данных) будут вынесены за пределы медицинской информационной системы.

Вот как подобный прием определен в методологии: «Обезличивание можно провести путем нормализации баз данных. После выполнения обезличивания защите будет подлежать (по требованиям регулирующих документов) лишь справочник, позволяющий выполнить обратное преобразование». То есть в медицинском учреждении при первичном приеме на пациента заводится специальный идентификатор, а соответствие между именем пациента и его идентификационным номером обеспечивается справочником, который, как правило, располагается в регистратуре. Причем этот справочник может храниться только на одном компьютере и не содержать сведений о здоровье пациента, что позволяет снизить необходимый класс защиты. Значит, требования к общей системе могут быть снижены.

Абстрагирование

Еще одним приемом по снижению уровня персональных данных является «размывание» точных данных о пациентах, то есть вместо прямого указания диагноза можно просто внести пациента в группу риска или группу для прохождения определенной процедуры. Такой прием позволяет хранить в базе не точные сведения о здоровье, а лишь некоторые атрибуты, понятные только специалистам. Другой пример абстрагирования - это разделение пациентов по участкам: вместо точного адреса пациента поликлиника может сохранять в базе лишь номер участка, а точный адрес хранить либо в регистрационной карточке пациента на бумаге, либо в отдельной, хорошо защищенной информационной системе.

В методологии Минздравсоцразвития этот прием комментируется так: «Зачастую на некоторых участках обработки или сегментах сети персональные данные можно сделать менее точными, например путем группирования общих. При грамотном использовании такой прием позволит без ущерба для основной деятельности снизить класс ИСПДн». Однако подобный прием, с одной стороны, снижает стоимость защитной системы, а с другой - может потребовать перестройки медицинской информационной системы учреждения. Что будет дешевле, то и стоит предпринимать в каждом конкретном случае.

Сегментация

Собственно, два приведенных выше приема по снижению расходов при построении защиты персональных данных можно свести к одному - разделению общей базы, где хранится вся информация обо всех пациентах, на несколько специализированных, в каждой из которых класс хранимых персональных данных будет ниже, чем в исходной. При обезличивании таким образом скрывается идентификационная информация пациентов, а при абстрагировании - сведения об их здоровье. В обоих случаях из общей медицинской информационной системы вырываются наиболее важные для защиты персональных данных сведения и переносятся в среду, где выполнить требования закона проще. Однако и сама МИС может быть разделена на части таким образом, чтобы в каждой из них обрабатывался свой класс персональных данных. Ту часть, где приходится обрабатывать наиболее важные данные, лучше минимизировать, что существенно снижает затраты на защиту.

Сегментация также входит в рекомендации Минздравсоцразвития, где она поясняется следующими словами: «Физическая или логическая сегментация ИСПДн по классам обрабатываемой информации, выделение сегментов сети, в которых происходит автоматизированная обработка персональных данных. Данные работы можно провести с помощью соответствующей настройки существующих в учреждении сертифицированных межсетевых экранов (МСЭ)». Таким образом, в рекомендации определен даже защитный механизм, позволяющий разделить одну информационную систему на сегменты с различными уровнями персональных данных. Правда, для соблюдения всех требований необходимо, чтобы межсетевой экран был сертифицирован.

Разделение данных

Еще одной проблемой медицинских учреждений является размер базы данных. Дело в том, что выбор средств защиты, которые необходимо установить для предотвращения утечек персональных данных, зависит от количества записей в базе - чем их больше, тем более сложными продуктами приходится защищаться. Количество пациентов в лечебном учреждении может быть достаточно большим, поэтому сведения обо всех пациентах стоит разделить на несколько баз данных, например по участкам или по отделениям. Тогда удастся снизить уровень необходимых средств защиты, а также уменьшить требования к масштабированию всей информационной системы учреждения. Скорее всего, возникнут проблемы в координации деятельности отделений, поэтому рекомендуется делить базы так, чтобы они не потребовали согласования.

Вот как прием разделения баз данных описан в методологии: «В некоторых случаях возможно уменьшение количества субъектов ПДн, обрабатываемых в системе, с помощью разделения баз персональных данных. Это может быть достигнуто, например, за счет использования таблиц перекрестных ссылок в базах данных». То есть чиновники министерства рекомендуют использовать возможности СУБД для разделения базы данных на несколько независимых частей без потери целостности всей базы. Однако стоит помнить, что если базы приходится разделять, то и располагаться их данные должны в разных хранилищах, а СУБД - на разных серверах. Таким образом, этот прием может потребовать увеличения количества серверов, что в целом способно увеличить общую стоимость системы, поэтому прежде чем использовать данный метод, стоит просчитать его экономические последствия.

Аналогичное решение предлагает и Игорь Игнатущенко, директор по клиентским сервисам компании «Пост Модерн Текнолоджи». По его словам, «в терминологии закона “О персональных данных” медицинская информационная система фактически является лишь частью информационной системы персональных данных. Сами же ИСПДн, как правило, являются целиком аппаратно-программными комплексами, в которых обрабатываются персональные данные». Такие сертифицированные продукты могут быть хорошо защищены в полном соответствии с требованиями регламентирующих документов, однако они могут находиться за пределами МИС и содержать в себе все персональные данные. Поскольку в этом случае в самой МИС не хранятся и не обрабатываются персональные данные, то и защищать их не обязательно.

Как бы то ни было, даже при разделении персональных данных по различным информационным системам и снижении класса ИСПДн другими методами нужно соблюдать все требования для данного класса. В частности, даже для низшего третьего класса систем рекомендуется использовать продукты, сертифицированные ФСТЭК России как минимум на наличие недекларированных возможностей. Кроме того, требуется создавать специальное подразделение, ответственное за обработку персональных данных, и назначать ответственных сотрудников в каждом подразделении, где обрабатываются персональные данные. В методической рекомендации Минздравсоцразвития есть перечень документов (см. врезку «Перечень документов»), которые необходимо подготовить в учреждении, чтобы доказать проверяющему органу, что на предприятии проводится работа по защите персональных данных. Кроме того, там же есть рекомендации по использованию средств защиты, которые необходимо применять для защиты ИСПДн (см. врезку «Средства защиты»).

Перспективы

Закон № 152-ФЗ полностью вступает в силу с января 2011 года, с этого момента начинаются плановые проверки операторов персональных данных. Обычно проверяющие вначале запрашивают набор документов и, только ознакомившись с ними, могут провести проверку соответствия. Если же документы подготовлены правильно, то, скорее всего, проверяющие не будут проводить дальнейшие сверки соответствия документов реальному положению дел. Впрочем, если проверка не плановая, а по жалобе граждан, то ситуация может быть другой.

Медицинские учреждения вполне могут подготовить указанные в списке документы за достаточно короткое время. Причем в методике явно указано, что все документы могут быть подготовлены сотрудниками самих медицинских учреждений без привлечения дополнительных консультантов - даже приведены шаблоны документов, которые просто достаточно правильно заполнить. Организационные меры практически не требуют расходов, кроме средств на зарплату соответствующих сотрудников.

Таким образом, даже если медицинское заведение ничего не знало до сегодняшнего дня про закон «О персональных данных», у него еще есть шанс быстро выполнить минимум необходимых действий, чтобы не быть наказанным регуляторами.

К тому же Минздравсоцразвития фактически часть ответственности берет на себя. «Суть этих весьма объемных рекомендаций состоит в том, чтобы понизить класс защиты персональных данных в медицинском учреждении с “невменяемого” уровня защищенности класса 1 до класса 3, весьма нетребовательного в плане защиты, - поясняет Зингерман. - Некоторые эксперты считают, что методы, которыми этого добиваются, не совсем однозначны. Но главное, что Минздравсоцразвития взяло ответственность на себя. Спасибо ему за это!» Другими словами, ссылка на рекомендации Минздравсоцразвития должна быть существенным аргументом для проверяющих.

Игнатущенко считает, что «разобраться в требованиях закона на самом деле не так сложно, а “побочных” дивидендов это может принести достаточно: от оптимизации собственных бизнес-процессов и ИТ-инфраструктуры до имиджевых преимуществ. Если подойти к этому ответственно, то вполне возможно привести инфраструктуру в соответствие требованиям закона № 152-ФЗ за два-три месяца». Его мнение разделяет и Модин: «Выполнения рекомендаций Минздравсоцразвития будет достаточно для того, чтобы на 1 января 2011 года соответствовать основным требованиям закона “О персональных данных”. Возможно, останутся некоторые специфические задачи, которые необходимо будет решить в дальнейшем, но основные требования будут выполнены».

Впрочем, по-прежнему существует мнение, что медицинские учреждения не успеют выполнить все требования закона. В частности, Егоренко считает, что «на данный момент можно с уверенностью заявить: лишь незначительное число медицинских лечебных учреждений успеют выполнить у себя весь комплекс организационно-технических мероприятий, требуемых нормативными и руководящими документами по защите персональных данных. К таким учреждениям могут быть отнесены те, в которых уже началась реализация системы защиты персональных данных, а также относительно небольшие медицинские конторы, сроки создания систем защиты для которых могут составлять всего один-два месяца». Таким образом, вполне возможно, что часть медицинских учреждений, особенно крупных, может быть наказана за несоблюдение закона «О персональных данных».

Валерий Коржов - обозреватель еженедельника «Computerworld Россия»; [email protected]

1. Разработать и утвердить приказ о защите персональных данных.
2. Разработать и утвердить приказ о подразделении по защите персональных данных.
3. Разработать и утвердить приказ о назначении ответственных лиц за обработку персональных данных.
4. Разработать и утвердить «Концепцию информационной безопасности» и «Политику информационной безопасности».
5. Разработать и утвердить приказ о проведении внутренней проверки. Результат оформить в виде отчета.
6. Определить состав и категории обрабатываемых персональных данных. Результат оформить в виде перечня ПДн.
7. Осуществить классификацию действующих информационных систем, обрабатывающих персональные данные. Результат оформить в виде акта классификации.
8. Разработать и утвердить положение о разграничении прав доступа к обрабатываемым персональным данным.
9. Адаптировать модель угроз для конкретной ИСПДн учреждения. Результат оформить в виде модели угроз.
10. Разработать и утвердить план мероприятий по защите ПДн. Необходимо учесть, что план мероприятий может быть пересмотрен через шесть месяцев ввиду опубликования новых пояснений к закону № 152-ФЗ.
11. Зарегистрироваться в качестве оператора персональных данных: подготовить и направить уведомление в территориальный орган Россвязькомнадзора - уполномоченный орган по защите прав субъектов персональных данных.
12. Назначить ответственных за обеспечение безопасности персональных данных и подготовить должностные инструкции сотрудников, обрабатывающих ПДн.
13. Разработать и утвердить порядок резервирования и восстановления работоспособности технических средств и ПО, баз данных и средств защиты информации.
14. Разработать и утвердить план внутренних проверок состояния защиты ПДн.
15. Разработать и утвердить журнал учета обращений субъектов ПДн о выполнении их законных прав.
16. Разработать и утвердить перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним.
17. Разработать и утвердить электронный журнал обращений пользователей информационной системы к ПДн.
18. Провести необходимые технические мероприятия для обеспечения защиты ПДн при их обработке в ИСПДн.
19. Декларировать соответствие или провести аттестационные (сертификационные) испытания ИСПДн.