Категории персональных данных и особенности их обработки в медицинских организациях

Категории персональных данных и особенности их обработки в медицинских организациях

Обращаясь за медицинской помощью, пациенты вынуждены предоставлять медицинской организации значительный объем личных данных. Данные эти многообразны, и очень часто руководители медицинских организаций и сами пациенты даже не догадываются о том, что те или иные сведения относятся к числу персональных данных. Между тем, каждая медорганизация, являясь оператором персональных данных, обязана сообщать о начале их обработки в Роскомнадзор. Поэтому любой руководитель должен четко понимать, какие данные пациентов являются персональными данными, а какие — нет, в противном случае не избежать привлечения к ответственности за непредставление таких сведений.

Наша статья посвящена понятию и категориям персональных данных, которые неизбежно оказываются в распоряжении любой медицинской организации.

Понятие и категории персональных данных

Правовую основу оборота персональных данных в России составляет закон «О персональных данных» от 27.07.2006 № 152-ФЗ (далее – закон № 152-ФЗ). Его действие распространяется на всех субъектов права, в том числе и любые медицинские организации, включая государственные и муниципальные.

Кроме того, при осуществлении обработки персональных данных медорганизациям следует также руководствоваться Методическими рекомендациями по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения, утвержденными приказом Роскомнадзора от 30.05.2017 № 94 (далее – Методические рекомендации). Не лишним будет также отслеживать и изучать разъяснения Роскомнадзора по обработке персональных данных, которые хотя и не являются нормативным актом, но могут помочь найти ответы на некоторые практические вопросы.

Закон № 152-ФЗ дает следующее определение персональных данных (п. 1 ст. 3):

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Как видим, это определение довольно расплывчатое и не содержит перечня возможных видов персональных данных. Это не только не снимает вероятные вопросы, которые могут возникнуть у оператора, но и порождает новые. Если с фамилией, именем, отчеством, паспортными данными все более или менее ясно, то в отношении таких сведений, как пол пациента, адрес электронной почты, данные анализов и исследований, возникают сомнения. Здесь на помощь приходит судебная практика, в которой успели сформироваться некоторые позиции на этот счет.

Если мы подробно проанализируем судебную практику, то увидим, что суды уточняют понятие персональных данных, которое предлагается законодателем, указывая, что персональными данными являются только такие данные, которые сами по себе или в совокупности с другими данными, дают возможность идентифицировать конкретное лицо (см., например, определение Санкт-Петербургского городского суда от 26.03.2013 № 33-3815/13; Апелляционное определение Московского городского суда от 28.01.2014 № 33-541/14).

Закон № 152-ФЗ делит персональные данные на 3 категории:

  • простые;
  • специальные;
  • биометрические.

Смысл этой классификации состоит в том, что для каждой из этих категорий законом устанавливаются свои правила обработки и ограничения по использованию.

Классификация персональных данных

Далее подробно рассмотрим те персональные данные, с которыми чаще всего приходится иметь дело медицинским организациям, с учетом их законодательного деления на категории.

Простые персональные данные

К числу простых персональных данных относятся в первую очередь следующие сведения (п. 2.5 Методических рекомендаций):

  1. Фамилия, имя, отчество пациента.
  2. Дата и место рождения пациента.
  3. Паспортные данные (см., например, апелляционное определение Московского городского суда от 22.05.2014 № 33-14709).
  4. ИНН (см., например, Постановление Девятнадцатого арбитражного апелляционного суда от 10.03.2017 № 19АП-126/2017).
  5. СНИЛС.
  6. Адрес проживания и телефон (см., например, Определение Судебной коллегии по гражданским делам Верховного Суда РФ от 01.08.2017 № 78-КГ17-45).
  7. Семейное положение.
  8. Социальное положение.
  9. Имущественное положение.
  10. Образование.
  11. Должность и стаж работы.
  12. Доходы.

В своей деятельности медицинская организация сталкивается не со всеми из перечисленных данных. Как правило, это только первые 6 пунктов.

Несколько дискуссионным остается вопрос об адресе электронной почты, который пациенты очень часто сообщают медицинской организации для отправки результатов анализов и других целей. Можно найти судебные решения, где суд признает его персональными данными (см., например, решение Калининского районного суда г. Санкт-Петербурга по делу № 12-253/2015 от 26.05.2015). При этом практика и мнение Роскомнадзора по этому вопросу неоднозначны. В ряде разъяснений Роскомнадзор указывает, что адрес электронной почты, содержащий ФИО, будет отнесен к категории персональных данных, а в случае, если адрес представляет собой лишь набор символов (слов), его нельзя считать персональными данными.

Обработка простых персональных данных по общему правилу разрешена, но только при наличии специального информированного добровольного согласия пациента (ст. 7 закона № 152-ФЗ).

Специальные персональные данные

Со специальными категориями персональных данных дело обстоит чуть проще. Все они поименованы в законе (п. 1 ст. 10 закона № 52-ФЗ):

  • Расовая и национальная принадлежность;
  • Политические взгляды;
  • Религиозные или философские убеждения;
  • Состояние здоровья;
  • Состояние интимной жизни.

Представляется, что медицинские организации в основном имеют дело только с одной категорией специальных персональных данных, это состояние здоровья. Полагаем, что сюда можно включить любые жалобы пациента, записанные с его слов, выставленные диагнозы, назначенное лечение. Вся эта информация одновременно составляет врачебную тайну, которая по сути является специальной категорией персональных данных. На соотношении понятий врачебной тайны и персональных данных мы остановимся подробно ниже.

Специальные персональные данные по общему правилу не подлежат обработке за некоторыми исключениями (п. 2 ст. 10 закона № 52-ФЗ), среди которых в том числе обработка персональных данных в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг.

Таким образом, медицинские организации имеют право обрабатывать специальные категории персональных данных при условии, что обработка соответствует вышеуказанным целям и оператор выполняет обязанность по сохранению врачебной тайны.

Биометрические персональные данные

И, наконец, наиболее интересная на наш взгляд категория персональных данных – биометрические. П. 1 ст. 11 закона № 52-ФЗ дает следующее определение биометрическим персональным данным:

Это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных.

Исходя из данного определения и в соответствии с разъяснениями Роскомнадзора (см. разъяснения Роскомнадзора «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»), к биометрическим персональным данным относятся:

  • дактилоскопические данные;
  • радужная оболочка глаз;
  • анализы ДНК;
  • рост;
  • вес;
  • иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта.

По общему правилу, обработка биометрических данных может осуществляться только при наличии письменного добровольного информированного согласия пациента (п. 1 ст. 11 закона № 152-ФЗ). Из этого правила есть ряд исключений, которые не касаются медицинских организаций.

Наибольшую сложность в процессе квалификации данных как биометрических представляют фото- и видеоизображения пациентов, а также рентгенограммы и флюорографические снимки. Подробности ниже.

Фото- и видеоизображения пациентов

Медицинские организации всегда просят пациента предъявить паспорт, особенно при первичном обращении, когда заключается договор. Нередко просят показать паспорт и для установления личности при входе на территорию или в здание медицинской организации. Относятся ли к персональным данным фотографии пациента в паспорте?

По мнению Роскомнадзора, в отношении фотоизображений пациента необходимо в первую очередь установить цель, которую преследует оператор при осуществлении действий, связанных с обработкой персональных данных (в том числе фотографии), содержащихся в паспорте. Фотография и иные сведения, используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина, относятся к биометрическим персональным данным.

В иных случаях, когда сканирование паспорта осуществляется оператором для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.) без проведения процедур идентификации (установления личности), данные действия не могут считаться обработкой биометрических персональных данных и ст. 11 закона № 52-ФЗ не регулируются. Соответственно, обработка сведений, в таких случаях, осуществляется в соответствии с общими требованиями, установленными законом № 52-ФЗ.

Аналогичный подход следует применять при осуществлении ксерокопирования документа, удостоверяющего личность.

Не являются биометрическими персональными данными:

  • фотографическое изображение, содержащееся в личном деле работника;
  • подпись лица, наличие которой в различных договорных отношениях является обязательным требованием;
  • почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы.

Все они не могут рассматриваться как биометрические персональные данные, поскольку действия с использованием указанных данных направлены на подтверждение их принадлежности конкретному физическому лицу, чья личность уже определена и чьи персональные данные уже имеются в распоряжении оператора.

Рентгеновские или флюорографические снимки

Рентгеновские или флюорографические снимки, безусловно характеризующие физиологические и биологические особенности человека, не являются персональными данными, если просто находятся в истории болезни (медицинской карте) пациента (не имеет значения, бумажной или электронной), поскольку они не используются оператором (медицинским учреждением) для установления личности пациента.

Но в случае их передачи по запросу субъектов оперативно-розыскной деятельности, органов следствия и дознания в рамках проводимых ими мероприятий указанные сведения становятся биометрическими персональными данными, поскольку используются операторами — органами следствия и дознания в целях установления личности конкретного лица.

Видеосъемка в медицинской организации

Позиция по видеосъемке, которая может осуществляться, например, в вестибюле медицинской организации или на ее охраняемой территории, аналогична рентгеновским снимкам: до передачи их для установления личности снятого человека они не являются биометрическим персональными данными, поскольку не используются оператором (владельцем видеокамеры или лицом, организовавшим ее эксплуатацию) для установления личности. Однако указанные материалы, используемые органами, осуществляющими оперативно-розыскную деятельность, дознание и следствие в рамках проводимых мероприятий, являются биометрическими персональными данными, в случае, если целью их обработки является установление личности конкретного физического лица.

Вместе с тем, посетители указанных публичных мест должны заранее предупреждаться их администрацией о возможной фото-, видеосъемке соответствующими текстовыми и/или графическими предупреждениями. При соблюдении указанных условий согласие субъектов на проведение указанных мероприятий не требуется.

Отдельно следует отметить случаи открытого наблюдения за рабочими местами сотрудников (медсестер, врачей), которое может практиковать медицинская организация для осуществления контроля качества предоставляемых услуг. В целях установления дополнительных гарантий соблюдения прав как потребителей (пациентов, клиентов), а также самих работников и сотрудников должны быть приняты внутренние документы, устанавливающие порядок и сроки хранения видеозаписей, а также ответственных лиц, имеющих доступ к системе видеонаблюдения. Также необходимо предусмотреть возможность информирования о системе видеонаблюдения путем размещения информационных табличек в зонах видимости камер.

Наличие согласия на обработку персональных данных либо иных законных оснований (договор) также необходимо в случае использования изображения гражданина в рекламных целях.

Соотношение понятий персональные данные и врачебная тайна

Как мы уже упоминали выше, понятие персональных данных тесным образом пересекается с понятием врачебной, или медицинской, тайны.

Напомним, что врачебную тайну составляют сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении (п. 1 ст. 13 закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ»). При осуществлении своей деятельности медработник не вправе разглашать эти сведения, в том числе после смерти гражданина за некоторыми исключениями, предусмотренными п. 3, 4 ст. 13, ч. 3 ст. 22, ч. 5 ст. 67 закона № 323-ФЗ. Эти сведения по сути относятся к числу специальных персональных данных.

Таким образом, мы видим, что понятие персональных данных шире понятия врачебной тайны и включает в себя более широкий объем сведений. Коротко можно сказать так: часть персональных данных, обрабатываемых медицинскими организациями, составляет врачебную тайну.

Отличие между ними заключается также в том, что институт персональных данных применяется в рамках любых общественных отношений, а врачебная тайна – только в узкой сфере – медицинской деятельности. Обработку и защиту персональных данных в медицинской организации осуществляет широкий спектр лиц (руководитель медицинской организации, администратор и т.д.), а врачебную тайну обязаны хранить только медицинские работники (врачи, медсестры и т.д.)

Обезличенные персональные данные

Теперь хотелось бы остановиться на таком понятии как обезличенные персональные данные. Что это такое?

Обезличиванием персональных данных называются действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту (подп. 9 ст. 3 ФЗ № 152).

Если определить принадлежность персональных данных конкретному субъекту невозможно, такая информация не может и не должна признаваться персональными данными.

Соответственно, такие обезличенные сведения не будут подлежать защите в соответствии с законом № 152-ФЗ. Поэтому их можно свободно распространять по любым каналам связи без выполнения требований закона об обработке персональных данных.

Наиболее популярным способом обезличивания данных пациента является присвоение ему идентификационного кода, о чем пациента заранее предупреждают. Например, если в файле с результатами анализа не указывать фамилию, имя и отчество пациента или иные сведения о нем, благодаря которым можно прямо или косвенно установить, кто проходил данное медицинское исследование, а указать только его идентификационный код, то такая информация не будет являться персональными данными.

В то же время следует иметь в виду, что само по себе обезличивание является одним из видов обработки персональных данных, поэтому перед этой процедурой все равно необходимо получение предварительного согласия у пациента. Кроме того, обезличенные персональные данные можно восстановить до состояния персональных данных, используя дополнительную информацию, например, сопоставив идентификационный номер пациента. Это отличает обезличенные персональные данные от уничтоженных, которые восстановить никак нельзя.

***

Медицинским организациям следует тщательно продумывать свои действия по обработке персональных данных. В первую очередь, необходимо правильно квалифицировать сведения как персональные данные и правильно определить их категорию. В целом можно сказать, что в настоящее время наметилась стойкая тенденция по расширению понятия «персональные данные» и увеличению роли конкретных обстоятельств при квалификации сведений как персональных данных.

ПОДПИСАТЬСЯ НА РАССЫЛКУ