Вопросы защиты персональных данных (ПД) в здравоохранении всегда занимали особое место в правовом поле, поскольку медицинская информация относится к категории особых (чувствительных) персональных данных․ В контексте Луганской Народной Республики (ЛНР) данная сфера приобретает дополнительную актуальность в связи с интеграцией в правовое поле Российской Федерации, переходом на российское законодательство и спецификой работы медицинских организаций в условиях, близких к военному времени․

Нормативно-правовая база: фундамент защиты

Деятельность медицинских организаций Луганской области по обработке персональных данных регулируется иерархией нормативных правовых актов:

• Конституция РФ (ст․ 23, 24) — гарантия тайны врачебной тайны и права на неприкосновенность частной жизни․
• Федеральный закон от № 152-ФЗ «О персональных данных» — основной закон, устанавливающий принципы, условия и требования к обработке ПДн․
• Федеральный закон от № 323-ФЗ «Об основах охраны здоровья граждан в РФ» (ст․ 13, 78) — специальный закон, регламентирующий врачебную тайну и порядок использования медицинской информации․
• Закон ЛНР «О персональных данных» (принят в соответствии с Конституцией ЛНР) — региональный акт, гармонизированный с федеральным законодательством․
• Постановления Правительства РФ (в частности, № 1119 «Об утверждении требований к защите персональных данных․․․» и № 1069 «Об особенностях обработки ПДн без использования средств автоматизации»)․
• Приказы Минздрава РФ, ФСТЭК, ФСБ, Роскомнадзора — методические документы, стандарты шифрования, требования к ИСПДн (информационным системам персональных данных)․

Ключевое определение: Врачебная тайна vs Персональные данные

Важно различать эти понятия, хотя они тесно переплетены:

1. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (ФИО, СНИЛС, адрес, полис ОМС, история болезни)․
2. Врачебная тайна, информация о факте обращения за медицинской помощью, состоянии здоровья, диагнозе, полученной при обследовании и лечении․ Вся врачебная тайна является персональными данными, но не все персональные данные пациента составляют врачебную тайну (например, ФИО и адрес проживания — это ПДн, но не врачебная тайна)․

Специфика обработки ПДн в медицинских организациях ЛНР

Категории обрабатываемых данных

Медицинские организации области (больницы, поликлиники, станции скорой помощи, роддома, диспансеры) обрабатывают массивы данных:

• Идентификационные: ФИО, дата/место рождения, паспортные данные, СНИЛС, полис ОМС․
• Медицинские (Особые ПДн): диагнозы, результаты анализов/исследований, назначения, анамнез, генетические данные, биометрические данные․
• Административно-хозяйственные: данные о записях на прием, перемещениях по отделениям, оплате услуг (платные услуги), учет рабочего времени врачей․
• Данные несовершеннолетних и нетрудоспособных граждан: требуют особого режима согласия законных представителей․

Основания для обработки (ст․ 6, 10, 11 Закона № 152-ФЗ)

В здравоохранении преобладают основания, не требующие согласия субъекта:

• Осуществление прав и обязанностей, предусмотренных законодательством (ст․ 6 ч․ 1 п․ 2) — обязательное медосвидетельство, вакцинапрфилактика, учет заразных больных․
• Оказание медицинской помощи (ст․ 11 ч․ 1 п․ 1), при условии, что обработка осуществляется врачом или лицом, подлежащим врачебной тайне․
• Проведение эпидемиологического надзора, санитарно-эпидемиологических расследований․

Согласие субъекта ПДн требуется при: передаче данных страховым компаниям (СМО), предоставлении данных третьим лицам (родственникам, по запросу судов/следствия — по основаниям закона), использовании данных для научных исследований (без обезличивания), оказании платных медицинских услуг (для маркетинга, рассылок)․

Организационно-технические меры защиты (ОТМЗ)

Согласно ст․ 19 Закона № 152-ФЗ и Постановлению Правительства РФ № 1119, каждая медицинская организация Луганской области обязана создать систему защиты ПДн, соответствующую уровню угроз и классу ИСПДн (обычно 1-й, 2-й или 3-й класс для медорганов)․

Организационные меры (обязательный минимум)

• Назначение ответственного за обработку ПДн (часто — зам․ главврача по ИТ или старший медсестра/зав․ регистратурой для бумажных носителей)․
• Разработка и утверждение локальных нормативных актов (ЛНА):
  • Политика в отношении обработки ПДн (публикуется на сайте)․
  • Порядок обработки и защиты ПДн․
  • Инструкции для сотрудников по работе с ПДн (бумажные и электронные)․
  • Положение о коммерческой тайне/врачебной тайне․
  • План мероприятий по обеспечению безопасности ПДн․
• Оформление доступа: приказы о допуске сотрудников к ПДн, подписка на допуск к врачебной тайне, учет раздачи/сдачи носителей․
• Обучение персонала: ежегодные инструктажи по защите ПДн и врачебной тайне с фиксацией в журналах․
• Инвентаризация ИСПДн: реестр информационных систем (ЕМИАС, АИС «Здравоохранение», локальные базы лабораторий, РИС/ПАКС, Excel-таблицы, бумажные журналы)․
• Учет инцидентов: журнал регистрации инцидентов безопасности (утечки, потери, несанкционированный доступ)․

Технические меры (средства защиты информации — СЗИ)

Для соответствия требованиям ФСТЭК (Приказ № 21) и ФСБ применяются:

Особенности текущего этапа (2024–2026 гг․): Интеграция и Цифровизация

Переход на российские информационные системы

Ключевым вектором является внедрение и эксплуатация ЕМИАС (Единая медицинская информационно-аналитическая система) и региональных сегментов (РМИАС)․ Это накладывает ответственность на медорганизации за:

• Корректность первичного ввода данных (качество данных)․
• Обеспечение защищенного канала связи (ВПН ГОСТ) до регионального ЦОД / федерального контура․
• Использование квалифицированных электронных подписей (КЭП) врачами для подписания ЭМК (электронных медицинских карт), рецептов, больничных листов․

Критически важные объекты информационной инфраструктуры (КРИИ)

Крупные многопрофильные больницы (Луганск, Алупка, Красный Луч, Свердловск, Ровеньки) и Управление Минздрава ЛНР, как правило, включены в реестр КРИИ (категории значимости 1, 2, 3)․ Это влечет:

• Обязательную категорию защищенности ИСПДн — 1-й класс (К1) или 2-й класс (К2)․
• Необходимость проведения аттестации объектов КРИИ (раз в 3 года или после изменений)․
• Внедрение систем обнаружения атак (СОА/IDS) и взаимодействия с ГосСОПКА (Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак)․
• Назначение ответственного за безопасность КРИИ (ЦБ КРИИ)․

Кибербезопасность в условиях угроз

Медицинский сектор ЛНР является приоритетной мишенью для кибератак (DDOS, шифровальщики, АПТ-группировки, фишинг)․ Рекомендации:

• Сегментация сети (DMZ, сеть серверов, сеть АРМ, сеть мед․ приборов/IoMT)․
• Запрет подключения посторонних устройств (USB) к АРМ с доступом к ПДн (порт-контроль)․
• Регулярное сканирование уязвимостей (сканеры сертифицированные ФСТЭК)․
• Обучение персонала распознаванию фишинга и социальной инженерии․
• Наличие актуального Плана реагирования на инциденты ИБ (включая взаимодействие с ФСБ, МВД, Роскомнадзором)․

Работа с бумажными носителями (Офлайн-обработка)

Несмотря на цифровизацию, история болезни стационара (ф․ 003/у), амбулаторная карта (ф․ 025/у), журналы учета остаются основными носителями ПДн и врачебной тайны;

• Журналы учета: выдачи/возврата историй болезни, перемещения карт между отделениями, выдачи выписок/справок третьим лицам (с проверкой доверенности/удостоверения)․
• Хранение: архивы с контролем доступа (ключи у ответственных), защита от пожара/влаги, инвентаризация раз в год․
• Уничтожение: только после истечения сроков хранения (25 лет для историй болезни, 50 лет для онкологии/ВИЧ и т․д․) по акту комиссии с измельчением (шредер П-4/П-5) или сжиганием․

Права субъектов ПДн (пациентов) и порядок их реализации

Медицинская организация обязана обеспечить реализацию прав пациентов (ст․ 14, 18, 21 Закона № 152-ФЗ):

1. Право на доступ: пациент имеет право получить информацию об обработке своих данных, копию ЭМК/истории болезни (в течение 30 дней, в сложных случаях — 60 дней)․
2. Право на уточнение/блокирование/уничтожение: если данные неполные, неверные или получены с нарушением закона․ Важно: медицинские документы (история болезни) как документ строгой отчетности не подлежат исправлению/уничтожению по требованию пациента, возможен только дописывание уточнений врачом․
3. Право на отзыв согласия: если обработка основана на согласии (не на законе)․ Обработка прекращается в течение 30 дней, если нет иных законных оснований․
4. Право на обжалование: в Роскомнадзор, прокуратуру, суд․

Ответственность за нарушения

Нарушение законодательства о ПДн и врачебной тайне влечет:

• Административную: ст․ 13․11, 13․14 КоАП РФ (штрафы на должностных лиц до 50-100 тыс․ руб․, на юрлиц — до 15-75 млн руб․ за повторные/грубые нарушения; ст․ 5․39 КоАП РФ — за нарушение трудового законодательства при обработке ПДн работников)․
• Гражданско-правовую: возмещение морального вреда (ст․ 151, 1100 ГК РФ), убытков․
• Уголовную: ст․ 137 УК РФ (нарушение неприкосновенности частной жизни), ст․ 272 УК РФ (несанкционированный доступ к информации), ст․ 283 УК РФ (раскрытие врачебной тайны)․
• Дисциплинарную: взыскания до увольнения (ТК РФ)․
• Репутационную: внесение в реестр нарушителей законодательства о ПДн (Роскомнадзор), ограничение участия в госзакупках․

Чек-лист для Главврача / Ответственного за ПДн медорганизации ЛНР

1. [ ] Утверждена Политика обработки ПДн и опубликована на сайте/инфостанде․
2. [ ] Проведена инвентаризация ИСПДн, определены классы (К1–К4) для каждой системы;
3. [ ] Разработан и согласован с ФСТЭК/ФСБ (при необходимости) Проект модели угроз и Система защиты․
4. [ ] Внедрены сертифицированные СЗИ (СКЗИ, Антивирус, СКЦИ, Межсетевой экран) соответствующего класса․
5. [ ] Оформлены приказы о допуске сотрудников к ПДн и врачебной тайне, подписаны обязательства․
6. [ ] Проведено обучение персонала за последний год (журналы подписаны)․
7. [ ] Настроено резервное копирование критических БД, проверена восстановляемость․
8. [ ] Обеспечена защита бумажных носителей (учет, хранение, уничтожение)․
9. [ ] Подключена к ГосСОПКА (если объект КРИИ) или настроен мониторинг инцидентов самостоятельно․
10. [ ] Подготовлен План реагирования на инциденты (утечка, шифровальщик, сбой)․
11. [ ] Обеспечена возможность реализации прав пациентов (форма заявления на сайте/в регистратуре, сроки ответа)․
12. [ ] Проведен внутренний аудит соответствия требованиям Закона № 152-ФЗ и Постановления № 1119 за последний год․

Защита персональных данных в сфере здравоохранения Луганской области — это не разовая акция по оформлению бумаг, а непрерывный управляемый процесс․ Успешная интеграция в единое цифровое контур РФ (ЕМИАС, ЕРЗ, ЕСИА) требует от медицинских организаций высокой культуры информационной безопасности․ Ключевыми факторами успеха являются: компетентность ответственного за ПДн, адекватное финансирование закупки сертифицированных СЗИ (соответствующих требованиям ФСТЭК/ФСБ), регулярное обучение медицинского персонала (часто далекого от ИТ) и построение процессов так, чтобы безопасность не мешала, а обеспечивала качество и доступность медицинской помощи населению․

Рекомендация: Используйте методические рекомендации Минздрава России, Роскомнадзора и ФСТЭК, адаптированные под специфику региона, и вовлекайте в процесс профильных интеграторов, имеющих лицензии ФСТЭК/ФСБ на деятельность по технической защите конфиденциальной информации․