Приватность в медицине
- 12 августа, 2022
- Data Privacy
Ни для кого не секрет, что GDPR распространяется на различные организации, будь то банки и облачные сервисы или цветочные магазины и больницы. О последних и поговорим сегодня, ведь сектор здравоохранения постоянно имеет дело с персональными данными. Более того, с их специальными (или чувствительными) категориями: информация о состоянии здоровья, биометрические данные и пр. А они особенно сильно оберегаются Регламентом.
🔹 Данные о здоровье – персональные данные, которые относятся к физическому или психологическому здоровью человека.
🔹 Специальные категории персональных данных – персональные данные, 🔹 раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профессиональном союзе, генетические и биометрические данные.
Содержание
Принципы GDPR, наиболее важные для сектора здравоохранения
Прозрачность – ключевой принцип GDPR, который подразумевает, что любая информация об обработке персональных данных пациента должна быть легкодоступна и понятна. Субъектам данных (т. е. пациентам) необходимо предоставить информацию о сборе и обработке в момент их проведения.
Вся информация, которая связана с обработкой данных, должна быть отражена в политике приватности: цели, правовые основания, сроки хранения и пр.
Data Protection Commission также рекомендует отразить эти сведения на листовках и плакатах в приемных отделениях больниц. Такие уведомления должны информировать пациентов об использовании их персональных данных для таких целей, как обучение, оценка услуг и клинический аудит, а также о том, как они могут получить полный доступ к Политике приватности и к кому обращаться по любым вопросам (т.е. ДПО).
Правовое основание
Согласно GDPR, у вас должно быть основание для обработки персональных данных (тем более специальных категорий!).
Там, где согласие необходимо, оно должно быть дано свободно, информировано и недвусмысленно указывать на желание человека. Отсутствие возражения не является согласием. Кроме того, у субъектов всегда есть возможность отозвать согласие также легко, как и дать его (не забудьте проинформировать их об этом).
В соответствии с Законом о защите данных у вас должно быть правовое основание для обработки персональных данных.
В GDPR предусмотрены особые условия для обработки данных о здоровье:
🔹 профилактическая или профессиональная медицина;
🔹 медицинский диагноз;
🔹 оказание медицинской помощи;
🔹 управление системами и службами здравоохранения;
🔹 договор с медицинским работником;
🔹 обеспечение высоких стандартов качества медицинской помощи;
🔹 защита жизненно важных интересов субъекта данных, т.е. защита чьей-либо жизни, когда они не в состоянии дать согласие и это невозможно сделать, является менее навязчивым способом.
Там, где используются эти правовые основы, должны быть приняты «соответствующие и конкретные меры» для защиты основных прав и свобод пациента.
Если ваша организация обрабатывает медицинские данные, GDPR, скорее всего, обязывает провести DPIA. Разбираем, в каких случаях оценка воздействия обязательна и как её провести шаг за шагом.
Права субъектов данных
В секторе медицины особенно важны следующие права субъектов данных (т.е. пациентов):
🔹 Право на доступ к информации об обработке персональных данных и к их копии. Напоминаем, контролер должен предоставить информацию, запрошенную субъектом данных, в течение одного месяца. Срок можно продлить еще на два месяца, если это необходимо (например, сложность сбора данных).
🔹 Право на исправление любых неточных данных.
🔹 Право на забвение, то есть контролер должен удалить данные по истечению сроков хранения информации, неактуальности цели, желанию пациента, незаконности сбора информации.
Также не забудьте о праве на возражение, ограничение обработки, переносимость данных, которые подробно описаны в 3 Главе GDPR.
Контролер и процессор
Контролер – это физическое или юридическое лицо, государственный орган или любая другая организация, которая определяет, какие данные обрабатываются, с какой целью и т.д. (то есть капитан корабля), а процессор действует по поручению и от имени контролера. Несмотря на это, защитить персональные данные обязаны оба, хоть и каждый по-своему.
Врач является контролером данных, если занимается частной практикой, а процессором – будучи в штате больницы, поликлиники или любого другого медицинского учреждения. В последнем случае контролером становится работодатель.
Как правильно передать персональные данные в другие места?
Для оказания медицинской помощи необходим сбор персональных данных (пол, возраст, имеющиеся заболевания и пр.), так как без этой информации консультация врача или лечение невозможны.
Передача данных пациентов внутренним лабораториям или другим медицинским учреждениям считается обработкой персональных данных, которую необходимо внести в Реестр и Политику приватности. А также указать правовое основание и проинформировать пациентов (и не постфактум, а до начала обработки).
При передаче персональных данных в другие мед. учреждения, контролер (т.е. больница/поликлиника или частный врач) обязан удостовериться, что соблюдены все меры по защите данных, а права субъектов не нарушены.
Когда данные попадают “в руки” другого мед. учреждения, его руководство также становится контролером данных, и обработка осуществляется уже по новым причинам (или основаниям), а не от лица исходной больницы или поликлиники.
Хоть и наличие какого-то письменного договора необязательно, лучше заключить Соглашение об обмене персональными данными (Data Sharing Agreement), которое позволит четко зафиксировать, кто за что несет ответственность и кто будет виноват в случае нарушений.
Медицинским учреждениям особенно важно внимательно относиться к соблюдению требований GDPR, так как они постоянно имеют дело не просто с персональными данными, а с их специальными категориями.
Медицинские организации работают с особо чувствительными данными, и каждый сотрудник должен понимать правила их обработки. Мы создаём кастомные программы корпоративного обучения, адаптированные под специфику вашей отрасли: от разграничения ролей контролера и процессора до работы с согласиями и запросами пациентов.
Помощь и поддержка по вопросам защите персональных данных по GDPR и национальным законам
Помогаем настроить системную работу по защите персональных данных с помощью тренингов и консалтинговых услуг.
Приведем проекты, процессы и продукты компании в соответствие с международными и национальными правилами защиты данных: GDPR, CCPA, UAE PDPL, PIPL, Закон Республики Беларусь № 99-З, Закон Республики Казахстан № 94-V и другими.
Обучающие курсы по защите персональных данных от экспертов с международными сертификациями. Особенность наших программ — их практическая применимость и вовлеченность. Мы даем студентам реальные кейсы и фреймворки, а также превращаем сложные темы в понятные визуальные материалы.
Корпоративные программы обучения по защите персональных данных, которые адаптируются под вашу команду. Учитываем уровень сотрудников в приватности, сферу деятельности бизнеса и применимое законодательство.
