Персональні дані пацієнтів в охороні здоров'я: що потрібно знати про їх захист

Захист персональних даних пацієнтів — один із ключових принципів функціонування електронної системи охорони здоров'я (ЕСОЗ). Щодня медичні працівники працюють з інформацією про стан здоров'я людини, яка належить до категорії персональних даних і потребує особливого захисту.

У цьому роз'ясненні розповідаємо, що належить до персональних і медичних даних, якими нормативно-правовими актами регулюється їх обробка та як забезпечується захист інформації про пацієнтів в ЕСОЗ.

Персональні та медичні дані: чи є між ними різниця?

Медична інформація належить до персональних даних особи, водночас законодавством передбачено особливі вимоги щодо її обробки та захисту. Відповідно до Порядку функціонування електронної системи охорони здоров'я, медична інформація про пацієнта — це інформація про стан здоров'я пацієнта, його діагноз, відомості, одержані під час медичного обстеження, а також відповідні медичні документи, що стосуються здоров'я пацієнта.

До медичних даних належать, зокрема, відомості про факт звернення пацієнта за медичною допомогою, діагноз, проведені обстеження, огляди та їх результати. У ЕСОЗ така інформація формується у вигляді електронних медичних записів та зберігається в електронній медичній карті пацієнта в ЕСОЗ або в локально в медичній інформаційній системі (МІС), яку використовує лікар.

Чому медичні дані потребують особливого захисту?

Дані про здоров'я людини належать до категорії персональних даних, обробка яких потребує особливого рівня захисту. Відповідно до Закону України «Про захист персональних даних» їх обробка допускається лише за наявності визначеної законом підстави та мети такої обробки, зокрема для встановлення медичного діагнозу, забезпечення лікування або надання медичних послуг.

Для окремих категорій медичної інформації законодавством встановлено додаткові гарантії конфіденційності. Наприклад, стаття 6 Закону України «Про психіатричну допомогу» визначає особливі правила щодо інформації про психічне здоров'я пацієнтів.

Саме тому робота з медичними даними потребує значно вищого рівня відповідальності.

Якими нормативними актами регулюється робота з персональними даними?

Право людини на захист персональних даних гарантується як міжнародним, так і українським законодавством. У сфері охорони здоров'я обробка персональних даних здійснюється відповідно до:

• Закону України «Про захист персональних даних»;
• Закону України «Основи законодавства України про охорону здоров'я»;
• Закону України «Про державні фінансові гарантії медичного обслуговування населення»;
• Порядку функціонування електронної системи охорони здоров'я, затвердженого постановою Кабінету Міністрів України № 411;
• профільних нормативно-правових актів Міністерства охорони здоров'я України;
• Закону України «Про захист інформації в інформаційно-комунікаційних системах»;
• Закону України «Про інформацію».

Саме ці нормативні акти визначають правові підстави обробки персональних даних пацієнтів, порядок доступу до них, права суб'єктів персональних даних та обов'язки користувачів електронної системи охорони здоров'я.

Де зберігаються медичні дані пацієнтів?

Сьогодні більшість інформації про здоровʼя пацієнта зберігається в його електронній медичній карті центральної бази даних ЕСО3. Ці дані медичні працівники вносять через медичні інформаційні системи (МІС) та відправляють їх до ЦБД ЕСОЗ. 

Окрім цього, медичний заклад також може збирати й іншу інформацію про пацієнтів та зберігати її. На збереження таких даних пацієнт надає згоду на обробку даних. Оператори МІС обробляють персональні дані за наявності правових підстав відповідно до вимог Закону України “Про захист персональних даних”. 

Як захищаються персональні дані пацієнта в ЕСОЗ?

Безпека даних є одним із ключових принципів впровадження ЕСОЗ. Сьогодні ЕСОЗ відповідає всім державним вимогам захисту інформації, що зокрема і підтверджується атестатом відповідності комплексної системи захисту інформації, а також враховує міжнародні рекомендації з кібербезпеки.

Захист персональних даних у ЕСОЗ забезпечується на двох рівнях: у центральній базі даних ЕСОЗ та в медичних інформаційних системах (МІС), якими користуються медичні працівники для внесення та обробки інформації.

В ЕСОЗ персональні дані пацієнта та його медичні записи зберігаються розмежовано у різних компонентах системи із застосуванням засобів захисту інформації. Такий підхід є однією з ключових особливостей архітектури ЕСОЗ і допомагає мінімізувати ризик одночасного отримання персональної та медичної інформації навіть у разі кібератак.