Ранее в журнале уже рассматривались общие положения Закона о защите персональных данных. Теперь обратим внимание на отдельные вопросы защиты персональных данных, связанные со спецификой деятельности организаций здравоохранения.
В силу принятия в Республике Беларусь полноценного законодательства в сфере защиты персональных данных, а также появления соответствующего контролирующего органа — Национального центра защиты персональных данных — каждая организация, осуществляющая обработку персональных данных граждан Республики Беларусь, должна привести свою деятельность в целом и любые внутренние процессы в частности в соответствие с новым законодательством. Не исключение и организации здравоохранения.
Организации здравоохранения — это именно те организации, которые обрабатывают наиболее чувствительные типы персональных данных: информацию о здоровье и иные специальные персональные данные пациентов.
Соответственно, все организации здравоохранения обязаны:
Любой случай обработки персональных данных должен соответствовать правовым принципам, установленным ст. 4 Закона.
Так, обработка персональных данных должна быть:
Помимо указанных принципов необходимо соблюдать и принципы, представленные на схеме.
Схема
Правовые принципы работы с персональными данными
Перечисленные принципы являютсяобязательными для любых организаций независимо от сферы деятельности.
Тем не менее, вид деятельности все же влияет на имплементацию принципов защиты персональных данных.
Если взять принцип законности, то его реализация организациями здравоохранения имеет определенную специфику.
Мнение автора
При обработке медицинской информации организации, не ведущие деятельность в сфере здравоохранения, вероятнее всего, будут вынуждены полагаться на согласие субъектов персональных данных со всеми вытекающими юридическими сложностями (например, правом на отзыв согласия и необходимостью последующего удаления или блокирования персональных данных).
Организации здравоохранения могут воспользоваться более органичными правовыми основаниями обработки медицинской информации, установленными п. 2 ст. 8 Закона: для организации оказания медицинской помощи или же для защиты жизни, здоровья и иных жизненно важных интересов субъектов персональных данных.
Важно
Стоит обратить внимание и на вопросы секторального регулирования, которое предусматривает получение согласия на обработку персональных данных пациента даже в случаях, когда такая обработка осуществляется организацией здравоохранения.
Особый порядок обеспечения принципа законности возникает при применении:
В частности, Положение № 65 требует вносить информацию о формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных пациента в порядок и условия оказания медицинской помощи с применением телемедицинских технологий.
Отдельно белорусский законодатель касается вопросов трансграничной передачи персональных данных.
Справочно: если организация направляет персональные данные за пределы Республики Беларусь, она обязана обеспечить надлежащий уровень их защиты в рамках этой процедуры.
В деятельности организаций здравоохранения ситуация трансграничной передачи возникает в случае использования информационных систем, серверы которых находятся вне Республики Беларусь, для хранения персональных данных пациентов (например, облачные CRM-системы).
На данный момент определен перечень стран (это страны — подписанты Конвенции Совета Европы № 108), передача персональных данных в которые не обременяет оператора персональных данных дополнительными юридическими обязательствами.
Важно
Если персональные данные белорусских пациентов будут храниться не в вышеуказанных юрисдикциях, оператор персональных данных обязан обеспечить надлежащий уровень защиты персональных данных самостоятельно.
Обеспечить уровень защиты самостоятельно — это значит, что оператору нужно:
Одной из главных точек соприкосновения операторов и субъектов персональных данных является реализация нового и достаточно объемного списка прав субъектов.
В соответствии с Законом субъекты персональных данных могут обратиться за:
Важно
Реализация прав субъектов персональных данных имеет четкие временны́е границы: запросы должны исполняться в течение 15 календарных дней.
Единственным исключением из данного правила является право субъекта на предоставление информации, которое должно быть реализовано оператором в 5‑дневный срок с момента получения соответствующего запроса.
Права субъектов персональных данных не являются абсолютными, при реализации каждого из них предусмотрен определенный перечень исключений, которые позволяют защитить в т. ч. и законные интересы операторов персональных данных.
Организациям здравоохранения необходимо уделить внимание мерам защиты персональных данных, общим для всех организаций независимо от сферы деятельности.
К таким мерам относятся:
Подробнее о мерах защиты персональных данных читайте в статье Т. Соколовской «Организуем комплекс мер по защите персональных данных в организации здравоохранения».
Защита персональных данных и обеспечение приватности субъектов персональных данных является комплексной задачей, для решения которой необходимо привлечение значительного количества как внутренних, так и внешних ресурсов. Важно помнить, что комплексный характер задачи обеспечивается в первую очередь разнообразием внедряемых мер: некоторые аспекты требуют технической и даже бизнес-компетенции, а некоторые — юридического анализа.
