Курс "Персональные данные пациентов в медицинских учреждениях: требования к обработке, защите и ответственность за нарушение законодательства"

Медицинские организации в силу законодательства являются операторами персональных данных своих пациентов. Они принимают непосредственное участие в сборе, систематизации, накоплении, хранении, уточнении, обновлении, изменении, распространении и уничтожении такой информации. Информация о состоянии здоровья пациента относится к специальным категориям персональных данных, обработка которых не допускается, за исключением случаев, обозначенных в ст. 10 Закона № 152-ФЗ.

Федеральным законом от 12 декабря 2023 года № 589-ФЗ установлена ответственность за нарушение требований размещения биометрических персональных данных. Предусматриваются штрафы для должностных и юридических лиц до 1 млн. руб. Правительством РФ установлен новый порядок организации и проведения проверок юридических лиц и ИП, которые являются операторами персональных данных.

Цель семинара разъяснить новые требования, предъявляемые законодательством к медицинским организациям как операторам персональных данных, дать практические рекомендации по минимизации рисков нарушений требований защиты персональных данных пациентов.

Семинар ориентирован на руководителей и специалистов юридических подразделений, служб информационной безопасности, лиц, ответственных за организацию обработки персональных данных.

Для выступлений приглашены: доцент кафедры судебной медицины и медицинского права МГМСУ им. А. Евдокимова, ведущий юрист юридической группы «Ремез, Печерей и партнеры», к.м.н.; Старший Консультант, Группа по оказанию услуг в области кибербезопасности и цифровой криминалистики» Керt; основатель и управляющий партнер сервиса Legium.io; Заместитель начальника дирекции по развитию и информатизации РЖД Медицина.

И другие эксперты/практики.

• Нормативно-правовое регулирование вопросов использования персональных данных в медицинских организациях. Закон о персональных данных от 27.07.2006 №152-ФЗ. Права пациента, связанные с информацией и конфиденциальностью (ст. 31 и 61 Основ законодательства РФ об охране здоровья граждан. Комментарий к последним изменениям законодательства: поправки в КоАП от 02.12.2019 № 405-ФЗ; международные конвенции по защите персональных данных физических лиц; новые (с 25.05.2018) правила GDPR. Требования смежных законов (ТК РФ, НК РФ, об исполнительном производстве, о налоговых органах и др.) в части использования персональных данных. ПП РФ от 15.09.2008 №687, от 01.11.2012 №1119: практические вопросы применения ПП РФ от 13.02.2019 №146 «Об утверждении Правил организации и осуществления государственного контроля и надзора за обработкой персональных данных».
• Особенности обработки персональных данных пациентов. Информация, являющаяся врачебной тайной, как отдельным подвидом персональных данных. (п. 1 и 2 ст. 13 Закона № 323-ФЗ). Вид и объем запрашиваемой информации.
• Новые требования Федерального закона от 12 декабря 2023 года № 589-ФЗ об ответственности за нарушение требований размещения биометрических персональных данных.
• Рекомендации к организации работы с персональными данными. Понятие персональных данных (в том числе с учетом материалов проверок). Оператор персональных данных, его права и обязанности, порядок регистрации; реестр операторов. Формирование правового режима ограничения доступа и защиты персональных данных; разработка и утверждение локального нормативного акта (положения) о работе с персональными данными. Порядок получения, формирования и обработки персональных данных. Уведомление об обработке (о намерении осуществлять обработку).
• Особенности оформления согласия в виде электронного документа, подписанного усиленной квалифицированной или простой электронной подписью пациента электронной подписью медицинского работника. Разъяснение позиций Роскомнадзора (в том числе в части необходимости получать доказываемое согласие на обработку ПД неавторизованных пользователей сайтов, сведения о которых вносятся в файлы cookies и передаются для анализа специализированным службам в интернет и др.)
• Клинические исследования в ЕС в разрезе псевдонимизации/анонимизации и обезличивания (GDPR и 152-ФЗ)».
• Практика судебных споров, связанных с обработкой персональных данных. Судебное оспаривание предписаний Роскомнадзора об устранении выявленных нарушений. Рассмотрение исков об ограничении доступа к сайтам в сети интернет, нарушающим законодательство РФ о персональных данных. Ответственность за нарушения законодательства, регламентирующего вопросы использования персональных данных. Ответственные должностные лица. Порядок допуска и возложения ответственности на работников за сохранность персональных данных; разграничение должностных лиц по полному и ограниченному допуску. Соглашение о неразглашении ПД. Виды ответственности за разглашение конфиденциальной информации (включая персональные данные), а также за ее незаконное получение, необходимые и достаточные условия для ее наступления (статья 13.11 КоАП РФ в редакции от 02.12.2019). Уголовная ответственность за сбор и разглашение ПД (статья 137 УК РФ). Штраф за невыполнение обязанности по обезличиванию ПД.
• Особенности привлечения медицинской организации к гражданско-правовой ответственности за причинение пациенту морального вреда (нравственных страданий) вследствие нарушения правил обработки персональных данных (ст. 24 Закона № 152-ФЗ; ст. 151 ГК РФ).
• Особенности получения согласия на обработку биометрических данных. Требования к реквизитам документов. Что необходимо предусмотреть при заключении договора на сложные и дорогостоящие услуги. Согласие на медицинское вмешательство. Случаи, когда медицинское вмешательство без информированного добровольного согласия невозможно.
• Подсистема обезличивания персональных данных ЕГИСЗ. Требования к соблюдению 152-ФЗ «О защите персональных данных» при информационном обеспечении медицинской деятельности. Порядок обезличивания (14.06.18 № 341н). Обеспечение конфиденциальности врачебной тайны при использовании информационно-электронных технологий.
• Предоставление персональных пациента данных третьим лицам. Особенности предоставления данных и разглашения сведений, составляющих врачебную тайну при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений; при обмене информацией между медицинскими организациями, в том числе размещенной в медицинских информационных системах; в целях осуществления учета и контроля в системе обязательного социального страхования и в др. случаях. Случаи, когда медицинская организация обязана предоставить персональные данные пациенту или его законному представителю.
• Практика проверок Роскомнадзора, основные выявляемые нарушения. Мероприятия Роскомнадзора по систематическому наблюдению. Взаимодействие проверяющих лиц с операторами ПД. Планирование, организация, формат, новые способы и методы проведения проверки; доведение результатов. Типичные ошибки, связанные с получением согласия субъекта на обработку его персональных данных; поручением обработки; использованием сайта оператора в интернет; несоответствием типовых форм документов.
• Рекомендации по минимизации рисков нарушения требований законодательства о персональных данных при распространении рекламы. Требования по соблюдению General Data Protection Regulation (GDPR).
• Обсуждение проблемных вопросов участников.