Кейс: медицинская клиника
Данные о состоянии здоровья пациентов относятся к особым категориям персональных данных (ст. 9). Клиника должна защищать их от несанкционированного доступа соответствующими риску техническими и организационными мерами (ст. 5 и ст. 32), а поскольку она обрабатывает такие данные, — вести учет деятельности по обработке (ст. 30). В этом иллюстративном примере ни одно из этих требований не выполнялось.
Ситуация
Стоматологическая клиника в Кишиневе, три кабинета. У всех сотрудников, включая регистратуру, был доступ ко всем картам пациентов, результаты обследований отправляли пациентам в Viber, а учет деятельности по обработке клиника не вела. При первом визите пациенты заполняли анкету с контактными данными и историей болезней, но никто не сообщал им, кто и с какой целью обрабатывает эти данные.
Чего не хватало
- 01Регистратура видела диагнозы и планы лечения, хотя для записи на прием и расчетов ей нужны только контактные данные и график визитов. Данные не ограничивались тем, что необходимо для каждой роли, и по умолчанию были доступны всему персоналу. ст. 5 ст. 25
- 02Результаты обследований, то есть данные о состоянии здоровья, уходили через мессенджер на номера, введенные вручную, без проверки получателя и без оценки риска этого канала. ст. 9 ст. 32
- 03Клиника не вела учет деятельности по обработке. Исключение для предприятий с численностью менее 250 работников к ней не применялось, поскольку обработка включает данные о состоянии здоровья и не является случайной. ст. 30
- 04При сборе данных пациенты не получали информацию, которую требует закон: кто такая клиника, цели и правовое основание обработки, получатели, срок хранения, их права и право подать жалобу в Национальный центр по защите персональных данных. ст. 12 ст. 13
- 05Персонал не получил инструкций о доступе к данным, хотя каждый, кто действует под руководством клиники, обрабатывает их только по ее инструкциям, а у клиники не было никаких правил документирования нарушения безопасности данных. ст. 29 ст. 32 ст. 33
Риски
Штраф за нарушение принципов
Неограниченный доступ к картам и отправка результатов по ненадежному каналу нарушают принципы обработки и правила для особых категорий данных. За это закон предусматривает штрафы до 2 000 000 леев или, для предприятия, до 2% общего оборота за год, предшествующий наложению санкции, в зависимости от того, какая сумма больше. За одни и те же операции по обработке общая сумма не может превышать сумму, предусмотренную за самое тяжкое нарушение. ст. 5 ст. 9 ст. 87 ст. 88
Проверка Центра
Центр может в любой момент запросить учет деятельности по обработке, и его отсутствие обнаружится при первом же запросе. За нарушение обязанностей по учету и безопасности предусмотрены штрафы до 1 000 000 леев или 1% общего оборота. Из размера назначенного штрафа применяется 10% в первый год после вступления закона в силу, 40% во второй и 100% с третьего. ст. 30 ст. 60 ст. 88 ст. 90
Жалоба и возмещение ущерба пациенту
Пациент, чьи результаты попали к другому человеку, может подать жалобу в Центр в течение одного года со дня, когда ему стало известно о нарушении, но не позднее трех лет со дня нарушения, и потребовать возмещения материального или морального ущерба. Если нарушение безопасности может повлечь высокий риск, клиника обязана сообщить о нем и самому пациенту. ст. 34 ст. 72 ст. 76
Что сделано
- 01Политика доступа к медицинским картам: каждый сотрудник видит только те данные, которые нужны для его роли, а регистратура больше не видит диагнозы. ст. 5 ст. 25 ст. 32
- 02Защищенный канал передачи результатов, выбранный с учетом риска для пациентов, вместо мессенджера. ст. 9 ст. 32
- 03Учет деятельности по обработке, который клиника может предоставить Центру по запросу. ст. 30
- 04Информационное уведомление для пациентов, которое выдается при первом визите, чтобы каждый пациент знал, кто обрабатывает его данные, с какой целью и какие у него права. ст. 12 ст. 13
- 05Подписанные персоналом обязательства о конфиденциальности и информирование и консультирование команды, чтобы каждый обрабатывал данные только по инструкциям клиники. ст. 29 ст. 32
- 06Журнал нарушений безопасности данных, по которому Центр может проверить, как был обработан каждый инцидент. ст. 33
Результат
Доступ к картам предоставляется в зависимости от роли, результаты передаются по защищенному каналу, пациенты получают информационное уведомление, а у клиники есть учет деятельности по обработке, подписанные сотрудниками обязательства о конфиденциальности, журнал нарушений и команда, проинформированная о своих обязанностях.
Для типичной медицинской клиники
Пакет «Базовый» + дополнительные работы, 18 900 MDL
Это оценка для типичной организации отрасли, в которой с данными работают до 20 человек. Точная цена зависит от того, что вы делаете с данными.
Рассчитать точную цену →Частые вопросы
Вопросы по этому кейсу
Может ли регистратура видеть медицинскую карту пациента?
Только в той мере, в какой это нужно для ее задач. Данные должны ограничиваться тем, что необходимо для цели, а меры клиники должны обеспечивать, чтобы по умолчанию доступ к ним не был открыт неопределенному кругу лиц. Для записи на прием обычно достаточно контактных данных и графика визитов. ст. 5 ст. 25
Нужно ли клинике согласие пациента на обработку данных о здоровье?
Для оказания медицинской помощи — нет. Запрет на обработку данных о состоянии здоровья не применяется, если обработка нужна для постановки диагноза или оказания медицинской помощи на основании нормативных актов или договора с поставщиком медицинских услуг и данные обрабатывает специалист, обязанный хранить профессиональную тайну, или они обрабатываются под его ответственность. Для других целей клинике нужно иное основание. ст. 6 ст. 9
Должна ли небольшая клиника вести учет деятельности по обработке?
Да, если она обрабатывает данные о состоянии здоровья. Исключение для предприятий с численностью менее 250 работников не применяется, если обработка включает особые категории данных, не является случайной или может повлечь риск для субъектов персональных данных. Учет ведется в письменной, в том числе электронной, форме. ст. 30
Что делать клинике, если результаты попали к другому пациенту?
Это нарушение безопасности персональных данных. Клиника уведомляет Центр без необоснованной задержки и, по возможности, не позднее 72 часов с момента, когда ей стало об этом известно, за исключением случая, когда вероятность того, что нарушение повлечет риск для прав и свобод пациентов, крайне мала. Если риск для пациента высокий, клиника сообщает о нарушении и ему. ст. 33 ст. 34
Бесплатная консультация
Не знаете, с чего начать?
Запросите бесплатную 15-минутную консультацию. Мы скажем, какие обязанности по Закону № 195/2024 касаются вас и какие шаги необходимы.