Согласие пациента на обработку персональных данных в медицинском учреждении: положение о защите личной информации, нарушение обязательства о неразглашении

Обработка информации о листках нетрудоспособности в ИСПДн

Следуя букве закона, можно считать, что информация о листках нетрудоспособности, вносимая в кадровую ИСПДн, содержит данные о состоянии здоровья и соответствует категории 1. При этом очевидно, что эта информация является существенно менее критичной, чем, например, диагноз и применяемое лечение.

Согласие работника не должно претерпеть изменений, если мы считаем эти данные данными о состоянии здоровья, т.к. их обработка законодательно регулируется. Разработанные нами документы уже учитывают этот аспект, за исключением модели угроз, актов классификации ИСПДн и ТЗ. Поскольку процессы обработки ПДн сотрудника, связанные с листками нетрудоспособности (как и обработкой медицинских заключений и данных об инвалидности), законодательно регулируются. В вопросе защиты ИСПДн при классификации «К1» необходимо перерабатывать технический проект, и это приведет к существенному удорожанию и усложнению системы защиты. Возможен вариант классификации «Специальная, К3» или «Специальная, К2», при котором можно будет оставить прежний набор средств защиты. Также информацию об обработке специальной категории необходимо указать в Уведомлении в Роскомнадзор.

Итак, нам видятся следующие основные пути решения этого вопроса:

I. Не признавать официально данные из больничного листка данными о состоянии здоровья. С учётом позиции Роскомнадзора, риски характеризуются, например, выигранными Роскомнадзором судебными делами.

II. Признать данные из больничного листка данными о состоянии здоровья и классифицировать систему «1С» как класс «К1». На наш взгляд, абсурдное и излишне дорогое, но полностью соответствующее букве закона решение.

III. Признать данные из больничного листка данными о состоянии здоровья и классифицировать систему «1С» как класс «Специальная, К2» или «Специальная, К3» по нашей методике определения класса на основании модели угроз. Риски существенно ниже, чем при варианте I, а стоимость защиты – примерно такая же.

Вариант III представляется наиболее сбалансированным и мы рекомендуем остановиться именно на нём.

Как осуществляется защита личной информации в медицинском учреждении?

Одним из актуальных вопросов в области защиты информации является защита информации о пациентах клиник. Личные сведения, место проживания, история болезни и лечения не должны быть использованы против личности. В соответствии с Федеральным законом от 27.07.2006 №152 «О персональных данных» в каждом медицинском учреждении должно быть разработано и утверждено «Положение о защите персональных данных».

Документа должно быть два:

один регламентирует информацию о пациентах;
другой – о сотрудниках медицинского учреждения.

Внимание. Руководство больницы обязано ознакомить каждого сотрудника с Положением, наладить четкую и слаженную работу коллектива в области защиты информации

Соблюдение пунктов Положения должно контролироваться руководством.

За нарушения сотрудниками правил предусматривается дисциплинарное наказание.

Положение о защите включает в себя следующую информацию:

Юридические официальные данные организации.
ФИО руководителя организации.
Список ответственных за защиту информации лиц.
Основные принципы защиты данных.
Меры наказания за нарушения.

Чтобы не допустить утечки информации и добиться грамотной систематизации в соответствии с Постановлением правительства РФ от 01.11.2012 №1119 руководство учреждения должно разработать собственную систему защиты информации.

Это обязывает сделать Постановление Правительства РФ №1119. Техническими вопросами занимаются специалисты в области защиты информации. Например, они блокируют доступ к сведениям о клиентах больницы для некоторых сотрудников. Эти и другие хитрости позволяют создать функциональную, удобную и безопасную базу данных пациентов.

Скачать образец положения об обработке и защите персональных данных пациентов в медицинском учреждении
Скачать образец положения об обработке и защите персональных данных сотрудников

Уязвимость информационных систем в медучреждениях

Существует вероятность возникновения следующих нарушений информационной безопасности:

получение неправомерного доступа к информации, другими словами, нарушение конфиденциальности;
утрата сведений, вызванная разрушением носителя информации или стиранием данных;
внесение изменений при прямом доступе к базе данных или через интерфейс системы;
отказ функционала, связанный с получением доступа к информации;
получение доступа к базе данных – полное или частичное;
некорректное функционирование информационной системы вследствие несанкционированного изменения модулей.

Какие медицинские утечки были в 2022 году

Напомним, в мае 2022 г. в сети оказались две базы данных клиентов «Гемотекст». 554 млн заказов и 31 млн строк с информацией: ФИО, даты рождения, адреса, номера телефонов, адреса электронных почт, серии и номера паспортов и результаты анализов.

В конце января 2022 г. также стало известно о появлении в продаже базы данных из 48 млн сертификатов вакцинации от коронавируса COVID-19. Продавец файла в даркнете просил за него $100 тыс. Как сообщил Telegram-канал «Утечки информации», информация о вакцинированных получена из приложения «Госуслуги СТОП коронавирус». В Минцифры позже заявили, что угроз для безопасности личных данных вакцинированных или переболевших граждан нет. В «Ростелеком» сообщили, что данные недействительны.

Нужно или нет брать согласие у пациента на обработку его данных?

Статья 9 ч.1 и 2 ФЗ № 152-ФЗ определяет, что субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Оно может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку без согласия субъекта только при наличии оснований, указанных в пунктах 2 — 11 части 1 ст. 6, части 2 ст. 10 и части 2 ст. 11 ФЗ № 152-ФЗ.

Часть 4 Статьи 9 ФЗ 152-ФЗ регламентирует состав согласия субъекта персональных данных на обработку его персональных данных, которое в частности должно включать в себя:

фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
цель обработки персональных данных;
перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
подпись субъекта персональных данных.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора (ч.3 ст.9 ФЗ № 152-ФЗ).

В силу ст.5 ФЗ № 152-ФЗ обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. С учетом п.1 части 1 ст.6 в общем случае обработка персональных данных должна осуществляться только с согласия субъекта на такую обработку. Напомним, что обезличивание данных – это тоже обработка данных.

Таким образом, для того чтобы получить обезличенные данные – нужно обязательно взять на это согласие у пациента.

Способы усиления защиты сведений в информационных системах медицинских организаций

Построение системы защиты может выполняться в несколько этапов:

собираются сведения о существующих информационных системах персональных сведений;
моделируются угрозы безопасности;
разрабатываются технические задания;
проектируется система защиты информации;
разрабатывается организационно-распорядительная документация, которая регламентирует процессы обработки и защиты сведений;
поставляются, устанавливаются и настраиваются средства защиты информации;
проводится аттестация информационных систем сведений, согласно требованиям безопасности.

К объектам защиты медицинской информационной системы относят:

сведения в базе данных;
резервные и архивные копии сервера;
целевые данные администратора и начальника;
средства обеспечения функционирования медицинской информационной системы;
обработка информации в медучреждении – сбор, хранение, передача;
производительность файлового сервера.

С целью защиты данных пациента применяются несколько программных компонентов и механизмов. Для предотвращения несанкционированного доступа развертываются средства авторизации, внедряются системы обнаружения и предотвращения вторжений, а также утечек информации. Может устанавливаться антивирусное программное обеспечение. Существует успешная практика использования файерволов.

К криптографическим средствам защиты относят алгоритмы шифрования данных и внедрение электронной цифровой подписи. Системы аутентификации предполагают внедрение защиты с паролем, подпись сертификатами и открытие доступа по биометрическим данным.

Инструментальные средства анализа предполагают внедрение программного обеспечения для проведения мониторинга. К техническим относят комплексное внедрение технических средств защиты. Система бесперебойного питания предполагает установку, обслуживание источников бесперебойного питания, установку генераторов напряжения и резервирование нагрузки.

С целью предотвращения взлома и краж используются специальные средства, включая электронные ключи и смарт-карты. Эти технологии позволяют повысить уровень защиты информационной системы на этапе аутентификации.

Специфика информационной защиты в медицинских учреждениях

Многие данные в медицинских организациях попадают в категорию врачебной тайны. В их числе личные сведения о сотрудниках и клиентах. Разглашение информации о состоянии здоровья может вызвать последствия. Хакеры используют украденные данные в мошеннических целях, продают на черном рынке или шантажируют организации, которые допустили утечку.

Специфика работы с медицинской информацией определяет объем работ в части обеспечения информационной безопасности:

все сведения находятся в полном распоряжении пациента;
обработка документов должна выполняться оперативно;
разные части медицинской информации обрабатываются разными специалистами, включая лаборантов, медицинских сестер, врачей, регистраторов;
деление информации на персональные и статистические данные, сведения о ходе лечения;
регламент взаимодействия медицинских сотрудников, пациентов и доверенных лиц не установлен.

Количество инструментов, позволяющих отслеживать данные о состоянии пациентов, резко увеличилось за последние несколько лет. Это стало возможным благодаря развитию облачных технологий, мобильных устройств и возможности хранения массивов данных онлайн.

Существенно повысили качество обслуживания пациентов и мобильные медицинские технологии. Пользователи получили возможность узнавать больше информации о своем организме, и, соответственно, лучше заботиться о здоровье. При этом затраты со стороны медицинских организаций сокращаются. Но в медучреждениях должны понимать, как и где хранится информация, генерируемая гаджетами.

Развитие перечисленных технологий стимулирует также обмен медицинскими данными для проведения клинических исследований. Пациенты могут дать согласие на отправку информации для последующих анализов, врачи – обмениваться данными, например, генетическими исследованиями. Но отрасли здравоохранении еще предстоит заслужить доверие пациентов.

Врачи констатируют необходимость интеграции медицинского оборудования в единую компьютеризированную сеть. Существует несколько запатентованных систем от разных поставщиков, но они не могут взаимодействовать друг с другом, а это создает сложности в уходе за пациентами. Если медицинские приборы не обмениваются измерениями, персонал медучреждения не может оценить состояние пациента комплексно, что создает значительные неудобства. Интеграция и поддержка локальной сети дадут возможность скоординировать работу медицинских приборов и информационных систем, в особенности, при взаимодействии с электронной медицинской карточкой.

Необходимо обеспечить безопасность хранения персональных данных пациентов? Внедрим систему защиты и поможем выполнить требования ФЗ-152. Оставьте заявку, чтобы узнать сроки и стоимость.

Оставить заявку

Правовые основания обработки работодателями сведений о результатах медицинских осмотров, диспансеризации

п.п. 2.3, 4 ч. 2 ст. 10 ФЗ «О персональных данных» — обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях; …2.3) обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях; …обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
ст. 69 Трудового кодекса РФ — Обязательному предварительному медицинскому осмотру (обследованию) при заключении трудового договора подлежат лица, не достигшие возраста восемнадцати лет, а также иные лица в случаях, предусмотренных настоящим Кодексом и иными федеральными законами;
ст. 76 Трудового кодекса РФ — Работодатель обязан отстранить от работы (не допускать к работе) работника: …не прошедшего в установленном порядке обязательный медицинский осмотр (обследование), а также обязательное психиатрическое освидетельствование в случаях, предусмотренных федеральными законами и иными нормативными правовыми актами Российской Федерации;
ст. 121 Трудового кодекса РФ — В стаж работы, дающий право на ежегодный основной оплачиваемый отпуск, включаются: …период отстранения от работы работника, не прошедшего обязательный медицинский осмотр (обследование) не по своей вине;
ст. 212 Трудового кодекса РФ — Работодатель обязан обеспечить: …в случаях, предусмотренных трудовым законодательством и иными нормативными правовыми актами, содержащими нормы трудового права, организовывать проведение за счет собственных средств обязательных предварительных (при поступлении на работу) и периодических (в течение трудовой деятельности) медицинских осмотров (обследований), обязательных психиатрических освидетельствований работников, внеочередных медицинских осмотров (обследований), обязательных психиатрических освидетельствований работников по их просьбам в соответствии с медицинскими рекомендациями с сохранением за ними места работы (должности) и среднего заработка на время прохождения указанных медицинских осмотров (обследований), обязательных психиатрических освидетельствований; …недопущение работников к исполнению ими трудовых обязанностей без прохождения обязательных медицинских осмотров (обследований), обязательных психиатрических освидетельствований, а также в случае медицинских противопоказаний; …расследование и учет в установленном настоящим Кодексом, другими федеральными законами и иными нормативными правовыми актами Российской Федерации порядке несчастных случаев на производстве и профессиональных заболеваний; …санитарно-бытовое и лечебно-профилактическое обслуживание работников в соответствии с требованиями охраны труда, а также доставку работников, заболевших на рабочем месте, в медицинскую организацию в случае необходимости оказания им неотложной медицинской помощи;
ст. 213 Трудового кодекса РФ — Медицинские осмотры некоторых категорий работников;
ст. 214 Трудового кодекса РФ — Работник обязан: …проходить обязательные предварительные (при поступлении на работу) и периодические (в течение трудовой деятельности) медицинские осмотры (обследования), а также проходить внеочередные медицинские осмотры (обследования) по направлению работодателя в случаях, предусмотренных настоящим Кодексом и иными федеральными законами;
ст. 219 Трудового кодекса РФ — Каждый работник имеет право на: …внеочередной медицинский осмотр (обследование) в соответствии с медицинскими рекомендациями с сохранением за ним места работы (должности) и среднего заработка во время прохождения указанного медицинского осмотра (обследования).

Предоставление персональных пациента данных третьим лицам

Законодательство запрещает предоставлять третьим лицам и распространять персональные данные без согласия пациента (ст. 7 Закона № 152-ФЗ).

Под предоставлением в данном случае понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц, а под распространением — действия, направленные на раскрытие персональных данных неопределенному кругу лиц (ст. 2 Закона № 152-ФЗ).

Вместе с тем, Закон № 323-ФЗ допускает разглашение сведений, составляющих врачебную тайну, с письменного согласия пациента или его законного представителя другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях, использования в учебном процессе и в иных целях (п. 2 ст. 13 Закона № 323-ФЗ).

Кроме того, предоставление сведений, составляющих врачебную тайну, без согласия пациента или его законного представителя возможно (п. 3 ст. 13 Закона № 323-ФЗ):– в целях проведения медицинского обследования и лечения пациента, который в результате своего состояния не способен выразить свою волю;– при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;– по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органов прокуратуры в связи с осуществлением прокурорского надзора, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля;– в целях осуществления уполномоченными федеральными органами исполнительной власти контроля за исполнением лицами, признанными больными наркоманией либо потребляющими наркотические средства или психотропные вещества без назначения врача либо новые потенциально опасные психоактивные вещества, возложенной на них при назначении административного наказания судом обязанности пройти лечение от наркомании, диагностику, профилактические мероприятия и (или) медицинскую реабилитацию;– в случае оказания медицинской помощи несовершеннолетнему для информирования одного из его родителей или иного законного представителя;– в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинен в результате противоправных действий;– в целях проведения военно-врачебной экспертизы по запросам военных комиссариатов, кадровых служб и военно-врачебных (врачебно-летных) комиссий;– при обмене информацией между медицинскими организациями, в том числе размещенной в медицинских информационных системах, в целях оказания медицинской помощи с учетом требований законодательства РФ о персональных данных;– в целях осуществления учета и контроля в системе обязательного социального страхования.

Медицинская карта

Со временем мы накапливаем довольно большой объем данных о здоровье конкретного человека и формируем медицинскую карту. Это помогает выявлять группы риска, например мужчин с гипертонией. Мы контролируем состояние здоровья пользователя за него, автоматически даем индивидуальные рекомендации в зависимости от медицинских показателей, советуем обратиться к определенному врачу. Это похоже на обычную медицинскую карту в системе ЕМИАС, которая есть у каждого пациента государственной поликлиники. Единственное отличие — мы не можем выписать настоящее направление к узкому специалисту, а только даем рекомендацию посетить его.

С точки зрения бизнеса такие данные в обезличенном виде помогают определить состояние работников компании в целом. Например, есть EBITDA — показатель доходности, на который влияет время работы человека на предприятии. Собирая данные превентивно, мы можем определить, имеют ли водители склонность к какому-либо заболеванию. Условно говоря, мы можем выявить группу риска по сердечно-сосудистым заболеваниям и рекомендовать провести беседу с входящими в нее людьми. Это позволяет работодателю заботиться о своих сотрудниках, вовремя направлять их на обследования и в итоге получать здоровых и трудоспособных специалистов.

Как мы пришли к текущему варианту защиты?

Чтобы сформировать подход к защите данных, мы использовали всю имеющуюся нормативную базу, законодательные акты, подключили к поиску решения службу информационной безопасности и стандартную службу безопасности, а также юристов по нашему направлению.

Вместе собрали дорожную карту необходимых действий, но это удалось не с первого раза. Многие механизмы пришлось менять и дорабатывать — например, инфраструктуру и базовые подходы к данным. На разработку подхода к защите данных у нас ушло около года. Для этого мы проводили исследования, изучали и оценивали другие реализации похожих продуктов. Кроме того, мы разработали систему метрик, с помощью которой анализировали логи, производительность и временные бизнес-показатели. С ее помощью искали решение, которое удовлетворяет всем требованиям к продукту.

В итоге мы обеспечили программное шифрование данных при передаче, поскольку аппаратные средства можно обойти при физическом доступе. Наше оборудование стоит во всех регионах Российской Федерации, и мы не можем поставить к каждому комплексу человека для контроля утечки данных. Вместо этого мы защищаем информацию несколькими контурами безопасности на программном уровне. В конечной модели шесть уровней работы с данными и запасами данных.

Нулевой уровень — очень ограниченный доступ, который открывается нескольким заранее определенным пользователям в случае аварийной ситуации. Система отслеживает различные метрики, которые предиктивно показывают, что, например, нагрузка растет и нужно принять меры. Настройку информирования мы проводили по синтетическим тестам и исходя из реального опыта поведения платформы в условиях эксплуатации. При этом поднимается еще один отдельный зашифрованный канал с полным логированием действий таким образом, чтобы у технических специалистов не было доступа к персональным и медицинским данным.

Есть первый, второй и третий контур. Они входят в базовую услугу. Например, второй контур — справки или комментарии, потоковая обработка видео. Это важные компоненты, но, если они перестанут работать на пять минут, мы всё равно сможем оказывать услугу. Если аналитика пропадет на час для заказчика, он может обратиться в техподдержку. С точки зрения системы контуры безопасности распределяют задачи по приоритетности.

Обеспечение безопасности

Чтобы защитить персональные данные пациентов, а вместе с ними себя и своих сотрудников, медицинские организации должны создать надежную систему безопасности. Хакеры пытаются завладеть конфиденциальными данными пользователей, а затем использовать их в своих целях.

Почему происходят кибер-атаки?

Прежде всего, злоумышленников привлекает простота проведения атак.

Государственные организации часто используют устаревшее программное обеспечение. Кроме того, не хватает компетентных специалистов для его мониторинга.
Больницы используют устаревшие IT-системы, редко обновляют программное обеспечение, и поэтому эти решения содержат сотни опасных уязвимостей, которые дают доступ даже наименее опытным хакерам. Получается, что стоимость реализации атак очень низкая, а при наличии привлекательных данных этот фактор всегда является решающим.
Отсутствие компетентного IT-персонала в секторе здравоохранения приводит к тому, что медицинские учреждения в сфере здравоохранения не могут самостоятельно справиться с кризисными ситуациями (например, когда вирус шифрует все данные и мошенники требуют выкуп за доступ к ним).

Обладание этой частной информацией помогает злоумышленникам завоевать доверие пользователей и обмануть их или членов их семей. Кроме того, хакеры могут изменять медицинские записи, чтобы затруднить диагностику пациентов или шантажировать их, угрожая раскрыть информацию об их заболеваниях. Киберпреступников также интересует информация о медицинских счетах, которую они могут использовать в своих целях. Например, для подсчета денег, которыми располагают клиенты клиник.

С платформой Medesk мы гарантируем безопасность и надежность на 100%. Все ваши данные защищены во время их передачи и хранения. Вы также можете настроить различные уровни прав доступа для ваших коллег.

Узнайте больше >>

Инструменты для осуществления защиты

Безопасность данных пациентов и сотрудников клиники очень важна, но прежде всего необходимо создать внутреннюю систему защиты. В противном случае, ваши данные исчезнут раньше, чем их обнаружит злоумышленник.

Первым шагом в этом направлении является моделирование угроз, которые рассматриваются по отношению к существующей информационной системе обработки персональных данных (ИСОПД), которая обычно представляет собой медицинское программное обеспечение.

На уровне канала передачи данных, в дополнение к уже упомянутым инструментам, могут использоваться криптографические шлюзы. Эти продукты коммерчески доступны в виде аппаратных и программных комплексов. Для СУБД используются специальные системы безопасности. Для виртуальной инфраструктуры безопасность могут обеспечить даже доверенные безопасные гипервизоры.

Пошаговые инструкции по защите персональных данных

В целом, проект по созданию системы защиты персональных данных состоит из нескольких этапов.

Сбор данных о существующих информационных системах персональных данных
Моделирование угроз безопасности
Определение уровней безопасности
Составление спецификаций
Проектирование системы защиты персональных данных
Подготовка организационно-распорядительной документации, регламентирующей процессы обработки и защиты персональных данных
Поставка собранного оборудования для защиты персональных данных, его установка и настройка
Сертификация информационных систем защиты персональных данных по требованиям информационной безопасности (опционально).

Ошибки могут возникнуть на любом из вышеперечисленных этапов. Например, если организация неправильно идентифицирует угрозы, существует риск утечки данных. А если медицинские работники решат, что информационная система требует более высокого уровня безопасности, чем это действительно необходимо, им придется принимать избыточные меры и устанавливать дополнительные средства защиты. Это может многократно увеличить стоимость внедрения и обслуживания системы.

Кто виноват и что делать?

На сегодняшний день наибольшую опасность представляют умышленные или неумышленные действия сотрудников медучреждений, поэтому основное внимание необходимо направить на работу с персоналом. К сожалению, уровень финансирования государственных поликлиник и больниц в большинстве случаев не позволяет приобрести систему обнаружения и предотвращения утечек (DLP) — ее стоимость может превышать годовой бюджет учреждения

Кроме того, автоматизация медучреждений далеко не всегда позволяет сделать применение таких систем эффективным: если медицинские карты пациентов ведутся на бумаге, система DLP не остановит сотрудника, который тайком отправляет фото истории болезни в ритуальное агентство через Viber.

Более действенными могут оказаться организационные мероприятия в сочетании с законодательной поддержкой: если наказание за слив данных будет неотвратимым и более серьезным, чем возможная выгода, а сотрудник будет дорожить рабочим местом, количество утечек станет значительно меньше.

Утечки медицинских данных в России происходят в бумажном виде и с помощью мессенджеров, также встречаются случаи копирования информации в электронном виде на флешку или в облачный сервис.

Именно так выглядит ситуация с утечками в Европе и США, где законодательство предусматривает серьезные штрафы за нарушения, связанные с персональными данными. Например, в июне 2018 г. Онкологический центр им. Андерсона при Техасском университете был оштрафован на $4,3 млн за утечки13, случившиеся в 2012-2013 гг. Их причинами были кража ноутбука с незашифрованными конфиденциальными данными пациентов и утеря двух USB-флешек с открытой медицинской информацией.

В ноябре 2018 г. отделение Аллергической ассоциации в Хартфорде, штат Коннектикут, было оштрафовано на $125 тыс.14 за то, что врач, у которого случился конфликт с пациенткой, объясняя произошедшее журналистам, сообщил подробности состояния ее здоровья.

Именно строгость и неотвратимость наказания за утечки привели к тому, что, несмотря на большее количество инцидентов, доля инсайдерских эпизодов в мировой медицинской практике значительно ниже, чем в России.

___________________________________________1 https://www.immuniweb.com/blog/stolen-credentials-dark-web-fortune-500.html2 http://www.consultant.ru/document/cons_doc_LAW_34661/835dca84f369ce440288da07465dbbf24791784a/3 http://www.consultant.ru/document/cons_doc_LAW_10699/4234a27af714cc608ea71b7bae9400f3613c8f60/4 https://www.garant.ru/news/1262117/5 https://www.interfax.ru/russia/6503586 https://www.interfax.ru/russia/6558887 https://www.interfax.ru/russia/6572028 https://www.interfax.ru/russia/6627809 http://nsknews.info/materials/novosiboblfarm-ne-skryvaet- lichnye-dannye-poluchateley-lekarstv-163917/10 https://medvestnik.ru/content/news/V-Saratove-vozbujde- no-ugolovnoe-delo-v-otnoshenii-feldshera-skoroi.html11 https://www.kommersant.ru/doc/335199312 https://xn–b1aew.xn–p1ai/news/item/16952024 13 https://www.chron.com/news/houston-texas/houston/article/ MD-Anderson-to-pay-4-3-million-penalty-for-data-13007475.php14 https://healthitsecurity.com/news/allergy-associates-settles- with-ocr-for-125k-for-hipaa-violation

Подведение итогов

сведения о пациентах;
данные о персонале;
информация о медучреждении;
сведения о системе здравоохранения, как в государственных, так и в частных организациях.

Привлекательность медицинских центров для киберпреступников объясняется тем, что их информационные системы содержат различную конфиденциальную информацию, включая личные данные пациентов, номера банковских карт (кредитных, дебетовых), медицинские сведения.

Если система безопасности функционирует правильно, можно говорить о выполнении в полной мере всех ее функций. Медицинские учреждения выступают операторами персональных данных, а это означает, что обеспечение безопасности входит в зону их ответственности

Процесс перехода от бумажных носителей к электронным показывает, что далеко не все организации могут уделять должное внимание информационной безопасности, так как требуется увеличение расходов. Денежные средства должны быть направлены на установку и обслуживание систем защиты информации, обучение персонала, наем квалифицированных специалистов.

Организация безопасной обработки и хранения медицинских данных пациентов всегда стоит перед главным врачом и входит в его зону ответственности. Для этого он обязан:

Выбрать единую медицинскую информационную систему
Обеспечить контроль уровня защиты персональных данных
Регулярно знакомить сотрудников клиник с положениями законодательства РФ о сохранении врачебной тайны
Проводить обучающие мероприятия для сотрудников по работе клиентами и их персональными данными.