Современное здравоохранение невозможно представить без обработки и хранения больших объёмов персональных данных пациентов. В условиях Луганска, где действуют как нормы российского законодательства, так и локальные правовые акты, особое значение приобретает соблюдение требований по защите конфиденциальности медицинской информации. Ниже представлен подробный обзор основных правовых положений, регулирующих сбор, обработку, хранение и предоставление персональных данных пациентов в медицинских учреждениях Луганска.

Нормативная база

• Федеральный закон РФ от № 152‑ФЗ «О персональных данных» – основной закон, устанавливающий принципы обработания персональных данных, права субъектов данных и обязанности операторов.
• Постановление Правительства РФ № 687 от – определяет порядок обеспечения безопасности персональных данных при их обработке в информационных системах.
• Приказ Минздрава РФ № 536 от 2018 г. – утверждает структуру интегрированной электронной медицинской карты (ИЭМК), в которой один из разделов предназначен для хранения персональных данных пациента (Ф.И.О., идентификационный номер ИЭМК и др.).
• Локальные нормативные акты медицинских организаций (например, внутренняя политика ООО «МЕДИЦИНА»): назначение ответственного лица за обработку ПД, внутренний контроль соответствия требованиям 152‑ФЗ, утверждение локальных инструкций по защите данных.
• Рекомендации и памятки Роскомнадзора – разъясняют порядок уведомления, получения согласия, ведения реестра операторов персональных данных и взаимодействия с пациентами.

В Луганске медицинские учреждения, действующие в рамках Луганской Народной Республики (ЛНР), обычно ориентируются на указанные федеральные нормативные акты, поскольку они признаны обязательными на территории ЛНР. При этом могут применяться и локальные постановления органов здравоохранения ЛНР, которые не противоречат федеральному законодательству.

Основные принципы обработки персональных данных пациентов

1. Законность, справедливость и прозрачность – обработка возможна только на основании согласия пациента, исполнения договора, выполнения юридического обязательства или иных законных оснований, предусмотренных ст. 6 152‑ФЗ.
2. Ограничение целей – персональные данные собираются для конкретных, явных и законных целей (например, оказание медицинской помощи, ведение учёта, проведение исследований) и не могут быть использованы иначе без дополнительного согласия.
3. Минимизация данных – собираются только те данные, которые необходимы для достижения заявленной цели.
4. Точность и актуальность – оператор обязан обеспечивать корректность данных и своевременно обновлять их.
5. Ограничение хранения – данные хранятся не дольше, чем необходимо для достижения целей обработки, после чего подлежат уничтожению или обезличиванию.
6. Целостность и конфиденциальность – необходимо применять организационные и технические меры защиты, обеспечивающие защиту от несанкционированного доступа, уничтожения, изменения, блокирования, копирования и распространения данных.

Согласие пациента и его оформление

Согласно ст. 9 152‑ФЗ, обработка персональных данных, включая медицинские, допустима только при наличии письменного согласия субъекта данных, за исключением случаев, прямо предусмотренных законом (например, оказание неотложной медицинской помощи).

• Согласие должно быть информированным: пациент получает полную информацию о целях обработки, категориях данных, сроках хранения, возможных получателях данных и своих правах.
• Оформляется в виде отдельного документа или как часть медицинской карты, подписывается пациентом (или его законным представителем) и хранится в течение всего срока хранения персональных данных.
• Пациент имеет право отозвать согласие в любой момент, после чего оператор обязан прекратить обработку данных, если иное не предусмотрено законом.

Требования к хранению персональных данных

Организационные меры

• Назначение ответственного лица (например, руководителя отдела ИТ или специалиста по защите данных) – его полномочия и обязанности фиксируются в локальных актах организации.
• Проведение внутреннего аудита соответствия обработки требованиям 152‑ФЗ и принятых локальных нормативов.
• Обучение персонала основам защиты персональных данных и правилам работы с электронными медицинскими картами.
• Ведение реестра операторов персональных данных и уведомление Роскомнадзора о начале обработки (если требуется).

Технические меры

• Использование систем шифрования данных при хранении и передаче (например, AES‑256).
• Контроль доступа через аутентификацию и авторизацию (ролевые модели, двухфакторная аутентификация).
• Регулярное обновление и патчивание программного обеспечения, включая медицинские информационные системы (МИС).
• Резервное копирование данных с соблюдением принципов неизменяемости и географической избыточности.
• Мониторинг и журналирование всех операций с персональными данными для последующего расследования инцидентов.

Сроки хранения

Сроки хранения персональных данных пациентов определяются:

• Федеральным законом «Об основах охраны здоровья граждан в РФ» (ст. 29) – медицинские документы хранятся не менее 10 лет после последнего посещения.
• Локальными нормативными актами ЛНР/Луганска, которые могут устанавливать более длительные сроки для определённых категорий данных (например, данные о хронических заболеваниях).
• Требованиями к электронной медицинской карте (ИЭМК) – персональные данные в разделе ИЭМК хранятся в течение всего срока действия карты, а после её закрытия подлежат архивированию в соответствии с вышеуказанными сроками.

Ответственность за нарушение требований по защите персональных данных

Нарушение законодательства о персональных данных влечёт различные виды ответственности:

1. Административная ответственность (ст. 13.11 КоАП РФ): штрафы от 30 000 до 150 000 руб для должностных лиц и от 100 000 до 300 000 руб для организаций за неправомерную обработку, отсутствие согласия или нарушение мер защиты.
2. Гражданско‑правовая ответственность: возмещение вреда, причинённого субъекту данных (например, моральный вред за разглашение диагноза).
3. Уголовная ответственность (ст. 272 УК РФ): при крупном ущербе или повторных нарушениях – штраф, обязательные работы или лишение свободы до 5 лет.
4. Дисциплинарная ответственность: внутренние sanctions медицинского учреждения (выговор, увольнение).

Важно отметить, что в случае, когда нарушение связано с недостатками программного обеспечения, ответственность может нести как медицинское учреждение (как оператор данных), так и разработчик ПО, если оно было создано без необходимых свойств защиты доступа и сохранности информации.

Практические рекомендации для медицинских учреждений Луганска

• Разработать и утвердить внутреннюю политику обработки персональных данных, включающую порядок получения согласия, ведения журналов, проведения инструктажей и реагирования на инциденты.
• Обеспечить сертификацию информационных систем в соответствии с требованиями ФСТЭК и ФСБ (например, соответствие классу защиты КЗ‑2).
• Внедрить систему управления согласиями (Consent Management Platform) для хранения и отслеживания статуса согласий пациентов.
• Проводить периодические проверки (как внутренние, так и внешние аудиты) соответствия требованиям 152‑ФЗ и локальных актов.
• Обеспечить резервное копирование данных в отдельном географически удалённом хранилище с регулярным тестированием восстановления.
• Обучать персонал основам кибергигиены: фишинг‑аварии, использование, блокировка рабочих станций при отлучении.
• Взаимодействовать с Роскомнадзором через подачу уведомлений о начале обработки и получение разъяснений по спорным вопросам.

Хранение персональных данных в медицинских учреждениях Луганска регулируется комплексом федеральных норм (ФЗ‑152, Постановление № 687, Приказ Минздрава № 536) и локальными актами, которые необходимо соблюдать в полном объёме. Ключевыми условиями законной обработки являются получение информированного согласия пациента, соблюдение принципов минимизации и целесообразности данных, а также применение надёжных организационных и технических мер защиты. Нарушение этих требований влечёт серьёзную административную, гражданскую и даже уголовную ответственность, поэтому медицинским организациям следует уделять особое внимание построению комплексной системы защиты персональных данных, регулярному обучению персонала и взаимодействию с надзорными органами.

Соблюдение указанных требований не только защищает права пациентов, но и повышает доверие к медицинскому учреждению, способствует улучшению качества оказанной помощи и снижает риски репутационных и финансовых потерь.