Чек-лист: защита данных в медицинских клиниках

☐ Обрабатываете ли вы данные о состоянии здоровья пациентов только в одном из случаев, допускаемых законом, например для оказания медицинской помощи специалистом, обязанным хранить профессиональную тайну, или под его ответственность? ст. 9

☐ Есть ли у вас правовое основание для каждой цели, в которой вы обрабатываете данные пациентов, в том числе для записи на прием, выставления счетов и напоминаний? ст. 6

☐ Получают ли пациенты в момент сбора данных информацию, которую требует закон: кто обрабатывает их данные, с какими целями и на каком правовом основании, кому вы их передаете, как долго храните и какие у них есть права? ст. 12ст. 13

☐ Ведете ли вы письменный учет деятельности по обработке? Исключение для организаций, в которых работают менее 250 работников, не применяется, если обработка включает данные о состоянии здоровья. ст. 30

☐ Есть ли у каждого сотрудника доступ только к тем данным пациентов, которые нужны ему для работы, и обеспечено ли, что по умолчанию карты не доступны всему персоналу? ст. 5ст. 25

☐ Обрабатывает ли персонал данные пациентов только по указаниям клиники? ст. 29ст. 32

☐ Передаете ли вы результаты обследований и другие данные о состоянии здоровья только по каналам, меры безопасности которых соответствуют риску для пациентов? ст. 9ст. 32

☐ Храните ли вы данные пациентов не дольше, чем это необходимо для цели, с которой они были собраны, или чем требуют нормативные акты в области здравоохранения? ст. 5

☐ Заключен ли у вас письменный договор с каждым поставщиком, который обрабатывает данные по поручению клиники, например с поставщиком программы для учета пациентов? ст. 28

☐ Документируете ли вы каждое нарушение безопасности персональных данных и знаете ли, когда нужно уведомить Национальный центр по защите персональных данных, а когда — проинформировать пациентов? ст. 33ст. 34

☐ Проверили ли вы, нужно ли проводить оценку воздействия на защиту персональных данных, когда этого требует закон, например перед широкомасштабной обработкой данных о состоянии здоровья? ст. 35

☐ Проверили ли вы, нужно ли назначать лицо, ответственное за защиту данных? Назначение обязательно, если клиника — публичное учреждение или если ее основная деятельность заключается в широкомасштабной обработке данных о состоянии здоровья. ст. 37