Документы по 152-ФЗ для медицинского центра: спецкатегории и ISO 27001

Почему данные о здоровье — особая категория

По ст. 10 152-ФЗ данные о состоянии здоровья отнесены к специальным категориям персональных данных — наряду с расовой и национальной принадлежностью, политическими взглядами, религиозными убеждениями. Обработка таких данных по умолчанию запрещена и допускается только при наличии прямо предусмотренных законом оснований — одно из главных это согласие субъекта в письменной форме (п. 1 ч. 2 ст. 10 152-ФЗ). Для самого лечения есть отдельное основание: обработка в медицинских целях лицом, которое обязано хранить врачебную тайну (п. 4 ч. 2 ст. 10), — согласие на это не требуется. Биометрические данные (если клиника, например, использует пропуск по отпечатку пальца) — отдельная категория по ст. 11 152-ФЗ, для них тоже нужно письменное согласие.

Но на сайте клиника собирает данные еще до приема: запись, жалобы в форме, отзывы, рассылки. Для записи согласие не нужно: человек сам просит записать его на прием (п. 5 ч. 1 ст. 6), а жалобы из формы клиника получает для оказания медицинской помощи (п. 4 ч. 2 ст. 10). Под формой достаточно строки со ссылкой на политику, где перечислены и сведения о здоровье. Отдельное согласие нужно на рекламные рассылки, а на публикацию отзывов и фото пациентов — письменное, потому что они раскрывают врачебную тайну (ч. 3 ст. 13 закона № 323-ФЗ). Подробный разбор для стоматологий — в статье «152-ФЗ для стоматологии».

Повышенный уровень защищенности

Наличие специальных категорий данных повышает требуемый уровень защищенности информационной системы персональных данных (УЗ). Уровень определяют по постановлению Правительства № 1119, а набор мер для него — по приказу ФСТЭК № 21. У клиники с угрозами 3-го типа (обычное лицензионное ПО) это УЗ-3 при базе до 100 тыс. пациентов и УЗ-2 — свыше. УЗ-1 возможен только при угрозах 1-го типа или при угрозах 2-го типа и базе свыше 100 тыс. Подробнее — в статье об акте уровня защищенности.

• Что это значит практически Более строгие технические и организационные меры Шифрование данных, журналирование доступа, изолированное хранение медицинских карт, ограничение круга сотрудников с доступом к данным о здоровье.
• Что это значит для документов Документы должны отражать реальные меры защиты Положение о защите персональных данных, описывающее конкретно применяемые меры, а не общие формулировки — иначе документ не соответствует фактическому уровню риска.

Какой пакет документов нужен медицинскому центру

Из-за специальной категории данных и обычно значительного числа пациентов медицинскому центру, как правило, недостаточно базового пакета. Рекомендован расширенный пакет:

1. Политика конфиденциальности — с явным указанием обработки данных о здоровье и повышенных мер защиты
2. Отдельное согласие на специальные категории персональных данных — для целей за рамками лечения, например публикации отзывов; само лечение идет без согласия (п. 4 ч. 2 ст. 10)
3. Положение о защите персональных данных — описывает конкретные организационные и технические меры
4. Приказ о назначении ответственного за обработку ПДн — для организации обязателен всегда (ст. 22.1 152-ФЗ)
5. Уведомление в Роскомнадзор — с указанием обработки специальных категорий данных

Зачем медицинскому центру ISO 27001

ISO 27001 не заменяет требования 152-ФЗ, но дает системную основу управления информационной безопасностью — политику управления доступом, резервного копирования, классификации информации, управления инцидентами. Для клиники это не формальность: те же меры, которые требуются для соответствия повышенному уровню защищенности по 152-ФЗ, входят в стандартный набор политик ISO 27001. Подробнее — в статье «Что такое ISO 27001».

Часто задаваемые вопросы