Защита персональных медицинских данных: правила и безопасность

В современном мире самую большую ценность имеет информация. Защита персональных медицинских данных стала одной из ключевых задач для любой клиники: конфиденциальные сведения о здоровье пациентов уязвимы как перед действиями сотрудников, так и перед внешними злоумышленниками. Именно поэтому каждому учреждению, которое имеет дело с персональными данными пациентов, важно выстроить комплексную систему защиты персональных данных в медицине. Как это сделать?

Типы персональных данных о здоровье

Защита медицинских данных начинается с понимания того, какие сведения охраняет закон. Персональные данные о здоровье определяются как: "персональные данные, относящиеся к физическому или психическому здоровью человека, включая предоставление медицинских услуг, которые раскрывают информацию о состоянии его здоровья".

Персональные данные, составляющие базы данных о здоровье, бывают двух типов:

1. Лично идентифицируемые данные: имя, номер телефона, адрес, идентификационный номер. Это простые данные, такие как дата и место рождения, антропологические показатели (рост и вес), фотографии, место жительства и контактные данные.
2. Биометрические и медицинские данные (специальная категория): прием лекарств, проведенные диагностические тесты, имеющаяся семейная история, состояние здоровья пациента, сведения о причинах обращения за медицинской помощью, диагноз и подробности лечения. Именно эта специальная информация объединяется под широко известным термином "врачебная тайна".

Медицинская карта — это совокупность персональных и медицинских данных. Это набор данных и документов, в которых содержится информация о медицинском состоянии пациента и его развитии в течение лечения и жизни.

Лицом, ответственным за обработку данных, содержащихся в медицинской карте, является врач или медицинский центр, который должен подготовить ее, хранить и применять соответствующие меры безопасности для предотвращения ее потери или доступа к ней третьих лиц.

Право на информацию при обработке медицинских данных

Правила обработки и защиты персональных данных в медицине устанавливают 152-ФЗ и 323-ФЗ. Именно 152-ФЗ «О персональных данных» позволяет медицинским учреждениям обрабатывать информацию без отдельного письменного согласия, если пациент обратился за медицинской помощью, так как знание этих данных необходимо для оказания ухода. Законодательство классифицирует сведения о здоровье как специальную категорию, что требует особых условий хранения и ограничения доступа.

Контроль за соблюдением правил обработки осуществляет Роскомнадзор. Этот орган проводит плановые и внеплановые проверки клиник. Дополнительно безопасность информационных систем контролируют ФСТЭК (Федеральная служба по техническому и экспортному контролю) и ФСБ (Федеральная служба безопасности), которые устанавливают требования к криптографической защите и техническим средствам.

Согласно закону, пациенты имеют право запросить копию своей медицинской карты, потребовать исправления или удаления данных. Клиника обязана рассмотреть такой запрос и предоставить ответ в течение 30 дней. Больницы, клиники и медицинские центры должны назначить ответственного за защиту данных. Пациенты могут обращаться к этому лицу с жалобами по поводу обработки данных и осуществления своих прав.

Пациент отказывается подписывать согласие на обработку персональных данных

Хотя базовое согласие на обработку данных для оказания медицинской помощи подразумевается самим фактом обращения в клинику, для других целей (например, маркетинговых рассылок или использования фотографий) требуется отдельное письменное разрешение. Если пациент отказывается подписывать согласие на обработку персональных данных в расширенном формате, клиника обязана уважать этот выбор.

В такой ситуации медицинскому учреждению следует предложить пациенту подписать форму отказа. На законных основаниях клиника сможет использовать только тот минимум информации, который необходим для непосредственного оказания медицинских услуг и ведения статистики. Отказ пациента не является основанием для отказа в лечении или оказания срочной помощи.

Когда можно разглашать врачебную тайну без согласия пациента

Защита персональных данных пациента подразумевает строгий запрет на разглашение врачебной тайны. Однако закон предусматривает ряд исключений, когда информация может быть передана без согласия:

• Оказание срочной медицинской помощи пациенту, который физически не может выразить свое согласие (отсутствие сознания, критическое состояние).
• По официальному запросу органов следствия, прокуратуры или суда в ходе расследования.
• Если пациенту нет 15 лет. В этом случае информация передается законным представителям (родителям или опекунам).
• При поступлении больного с травмами насильственного характера. Врачи обязаны сообщить в полицию о факте возможного преступления.
• В ходе расследования причин производственных травм и профессиональных заболеваний.

Специфика защиты персональных данных в медицине

Работа с медицинскими персональными данными отличается по нескольким параметрам. Клиники обязаны хранить медицинские данные каждого пациента в виде медицинской карты, и разглашать эти данные запрещено при любых обстоятельствах. В связи с этим для субъектов персональных данных возникает проблема возможной утечки.

Здравоохранение находится в очень уязвимом положении с точки зрения утечек данных. Случаи компрометации медицинских сведений широко распространены и нередко не становятся публичными. На диаграмме ниже показано распределение инцидентов по типам утечек в медицинских организациях.

Важно обеспечить надежную защиту персональных данных в медицине на всех этапах. Государственные и муниципальные учреждения обязаны использовать программное обеспечение исключительно из Единого реестра российских программ, что обеспечивает независимость и безопасность инфраструктуры.

Обработка персональных данных в медицинских учреждениях

Обработка персональных данных в медицинских учреждениях охватывает весь жизненный цикл информации: от сбора до окончательного уничтожения. Защита должна быть предусмотрена на каждом из этих этапов.

• Сбор и запись: получение первичной информации от пациента, запись в бумажные журналы или электронные базы.
• Систематизация: распределение данных по категориям, формирование базы данных.
• Хранение: обеспечение надежного доступа к информации исключительно для авторизованного персонала.
• Уточнение: внесение актуальных медицинских показателей на протяжении всего курса лечения.
• Уничтожение: безопасное удаление сведений по истечении установленного законом срока хранения.

Причины утечки данных

Клиники и больницы ежедневно обрабатывают огромный объем данных пациентов, доступ к которым должны иметь только определенные сотрудники медицинской организации. Согласно законодательству, контролер данных должен заботиться о защите персональных данных.

Человеческий фактор

Некоторые клиники еще не завершили переход на электронный документооборот и автоматизированный учет. В результате на плечи врачей, медсестер и администраторов ложится большая нагрузка: им приходится вручную заполнять направления, искать бумаги с результатами лабораторных исследований. Данные, представленные на бумаге, легче потерять. Кроме того, большая рабочая нагрузка повышает риск ошибок из-за невнимательности или спешки.

Но даже с ростом уровня цифровизации риски утечки данных не исчезли. Например, в больницах, где уже установлено медицинское программное обеспечение, данные могут быть потеряны из-за технических сбоев.

Иногда сотрудники, отвечающие за безопасность данных в информационных системах, не обладают необходимой компетенцией или безответственно относятся к этому вопросу. Однако чаще проблемы возникают по вине "обычных" специалистов: согласно исследованию Infowatch, сотрудники несут ответственность за более чем половину всех потерь данных, и около 80% из них вызваны непреднамеренными ошибками и халатностью.

Отсутствие договоренности

Отсутствие сотрудничества между разработчиками и клиниками ведёт к проблемам абсолютно разного характера. Медицинская организация ожидает, что поставляемое программное обеспечение уже предполагает защиту от взлома и утечки данных. В то же время разработчики ПО предполагают, что эта ответственность лежит на клинике. Эта ситуация ведёт к тому, что данные фактически хранятся в открытом доступе и злоумышленникам не приходится ничего взламывать для того, чтобы украсть информацию.

Последствия утечки данных

Для клиники и персонала, которые отвечали за утечку данных, последствия могут быть очень серьезными. Сотрудникам может быть объявлен выговор или они могут быть уволены. В самых серьезных случаях виновных лишают права на ведение дальнейшей деятельности.

Согласно действующему законодательству, предусмотрены разные уровни ответственности:

• Дисциплинарная: замечание, выговор или увольнение виновного сотрудника.
• Административная: штрафы по статье 13.11 КоАП РФ. Размеры санкций были существенно увеличены в 2024 году. Актуальные суммы штрафов для должностных и юридических лиц указаны в действующей редакции КоАП РФ.
• Гражданская: клиника обязана выплатить пациенту компенсацию за моральный ущерб и возместить расходы, связанные с разглашением информации.
• Уголовная: за незаконный сбор и распространение личной и семейной тайны (ст. 137 УК РФ) предусмотрен штраф до 350 000 рублей, принудительные работы или лишение свободы на срок до 4 лет.

Обеспечение безопасности и защита от кибер-атак

Медицинские организации должны создать надежную систему защиты персональных медицинских данных. Киберпреступников привлекает уязвимость устаревшего клинического программного обеспечения и отсутствие компетентного IT-персонала в клиниках. Получив доступ к системам, злоумышленники могут шифровать данные для выкупа, изменять медицинские записи или шантажировать пациентов, угрожая раскрытием их диагнозов.

Для предотвращения угроз необходимо выстроить комплексную систему защиты, начиная с моделирования угроз. Безопасность должна затрагивать все уровни информационной системы: МИС, рабочие станции, каналы передачи данных, системы управления базами данных (СУБД) и виртуальную инфраструктуру. Для защиты каналов связи применяются криптографические шлюзы, а для СУБД используются специализированные системы безопасности.

Проект по созданию надежной защиты состоит из следующих этапов:

• Сбор данных о существующих информационных системах персональных данных.
• Моделирование угроз и определение актуальных уровней безопасности.
• Проектирование системы защиты и составление спецификаций.
• Подготовка организационно-распорядительной документации.
• Поставка, установка и настройка сертифицированного оборудования.
• Внедрение систем контроля и аудита доступа.

Ошибки на любом из этих этапов могут привести к уязвимостям. Например, избыточные требования к безопасности многократно увеличат стоимость внедрения, а недостаточные меры приведут к риску утечки.

Технические и организационные меры защиты

Защита персональных данных в медицинской организации требует грамотного сочетания организационных и технических мер. Без надлежащего документооборота и внутренней дисциплины даже самое дорогое оборудование не предотвратит утечку.

Организационные меры включают:

• Назначение ответственного за безопасность. Руководитель должен издать официальный приказ.
• Разработку «Политики конфиденциальности» (Политика обработки и защиты персональных данных).
• Подписание соглашений о неразглашении (NDA) со всем персоналом, имеющим доступ к базам.
• Регулярное обучение сотрудников правилам цифровой гигиены.

Технические меры защиты включают:

• Использование сертифицированных средств антивирусной защиты (например, решений отечественного производителя Kaspersky). Это обязательное требование импортозамещения.
• Внедрение DLP-систем (Data Loss Prevention). Эти программы блокируют несанкционированную передачу файлов с пациентами на флешки или через электронную почту.
• Шифрование сетевого трафика (VPN/TLS). Это особенно актуально при удаленной работе врачей или объединении филиалов клиники.
• Применение только лицензионного и сертифицированного ПО из Единого реестра российских программ.

Интеграция с ЕГИСЗ и требования к безопасности

Важным аспектом работы современных клиник является интеграция с ЕГИСЗ (Единая государственная информационная система в сфере здравоохранения).

Интеграция с ЕГИСЗ требует от клиники использования защищенных каналов связи. Для работы в системе медицинское учреждение должно получить сертификат УЗИ (Удостоверяющий центр Министерства здравоохранения РФ). Этот электронный сертификат обеспечивает криптографическую защиту информации при передаче медицинских документов, исключая их перехват третьими лицами.

Проверки Роскомнадзора, ФСТЭК и ФСБ: как подготовиться

Соблюдение правил обработки проверяют контролирующие органы. Роскомнадзор и ФСТЭК могут инициировать плановые или внеплановые проверки клиник на основе жалоб пациентов. Подготовка к проверке должна быть системной. До начала проверки важно убедиться, что внутренняя документация актуализирована, а технический паспорт системы соответствует реальности.

Аудиторы проверяют наличие назначенных приказами ответственных лиц, правильность сбора согласий и наличие моделей угроз. Для проверки технических мер безопасности специалисты ФСТЭК изучают журналы доступа к медицинским базам. Заблаговременная подготовка и регулярный внутренний аудит помогают избежать штрафов и предписаний об устранении нарушений.

Как клинике выполнить требования по защите персональных данных

Соблюдение законодательства требует структурированного подхода. Вот пошаговый план того, как клинике выполнить требования по защите персональных данных в медицинских организациях в 2026 году:

1. Назначение ответственного. Руководитель издает приказ о назначении сотрудника, отвечающего за безопасность информационных систем.
2. Разработка пакета документов. Составляется Политика конфиденциальности, положения об обработке, журналы учета доступа.
3. Моделирование угроз. Специалисты определяют вероятные каналы утечки и формируют техническое задание на защиту.
4. Оценка информационных систем. Клиника должна определить, к какому классу защищенности (ИСПДн) относятся ее базы.
5. Внедрение СКЗИ. Установка сертифицированных ФСБ средств криптографической защиты для шифрования каналов передачи данных.
6. Подготовка к аттестации. Проверка соответствия требованиям ФСТЭК и получение заключения о защищенности информационной системы.
7. Обучение персонала. Сотрудники подписывают NDA, изучают правила цифровой гигиены и знакомятся с инструкциями.

Алгоритмы безопасности медицинского программного обеспечения

Каждая информационная система имеет свой алгоритм защиты личной информации. Платформа Medesk обеспечивает информационную безопасность благодаря фрагментарной архитектуре построения, которая разбивает набор информации на ячейки.

При использовании медицинского программного обеспечения риск взлома и кражи личных данных минимален. Однако важно ограничить доступ к базам данных для посторонних лиц. Для этого руководство клиники должно принять ряд мер, таких как система парольного доступа, круглосуточное видеонаблюдение и многоуровневая система паролей. Это позволит предотвратить преднамеренную кражу личной информации пациентов и персонала.

Медицинское программное обеспечение имеет уникальную фрагментированную архитектуру, в которой учетные данные, медицинская информация и персональные данные хранятся в разных местах. Это позволяет создать надежные схемы ограничения доступа к информации. Личные данные пациентов остаются в клинике и не попадают в облако.

Для использования программного обеспечения требуется имя пользователя и пароль. Уполномоченный сотрудник клиники управляет учетными записями пользователей. При регистрации пользователя в системе указываются его роли. Роль пользователя определяет объем прав на работу в программе, а также объем предоставляемой информации.

Памятка для клиник: обработка персональных данных в медицине

Чтобы избежать штрафов и утечек, следуйте этому краткому чек-листу:

• Назначьте ответственного за информационную безопасность приказом по клинике.
• Разработайте и утвердите Политику обработки персональных данных.
• Подписывайте с сотрудниками соглашения о неразглашении врачебной тайны (NDA).
• Установите антивирус и DLP-систему для блокировки несанкционированного копирования файлов.
• Используйте криптографические шлюзы для безопасной передачи данных в ЕГИСЗ.
• Регулярно проверяйте журналы доступа к медицинским картам пациентов.
• Организуйте обучение врачей и администраторов основам цифровой гигиены.

Выводы

Инфраструктура здравоохранения все чаще подвергается атакам хакеров, привлеченных конфиденциальными данными пациентов и медицинскими картами. Потеря доступа к документации может привести к невозможности предоставления медицинских услуг, а кража личных данных нанесет серьезный ущерб здоровью и репутации пациентов. Поэтому каждая клиника должна принимать эффективные меры по защите данных: выстраивать комплексную систему информационной безопасности, обучать персонал навыкам цифровой гигиены и регулярно оценивать риски киберугроз.

Часто задаваемые вопросы

Кто контролирует защиту персональных данных в медицине?

Основным регулятором в сфере персональных данных является Роскомнадзор, который проводит плановые и внеплановые проверки клиник. Безопасность информационных систем дополнительно контролируют ФСТЭК и ФСБ, устанавливающие требования к криптографической защите и техническим средствам.

В какой срок клиника обязана ответить на запрос пациента о его данных?

Клиника обязана рассмотреть запрос пациента о копии, исправлении или удалении его данных и предоставить ответ в течение 30 дней. Для рассмотрения таких обращений в учреждении должен быть назначен ответственный за защиту данных.

Можно ли оказывать помощь, если пациент отказался подписать согласие на обработку персональных данных?

Да, отказ пациента подписать согласие на обработку данных в расширенном формате не является основанием для отказа в лечении или оказании срочной помощи. Клиника в этом случае вправе использовать только тот минимум информации, который необходим для непосредственного оказания медицинских услуг.

Когда врачебную тайну можно разглашать без согласия пациента?

Закон допускает передачу сведений без согласия пациента в ряде случаев: при оказании срочной помощи пациенту без сознания, по официальному запросу следствия или суда, если пациенту нет 15 лет (информация передается законным представителям), при травмах насильственного характера, а также в ходе расследования производственных травм и профессиональных заболеваний.