Закон о защите персональных данных и ваша клиника
· 6 мин чтения
Большинство владельцев клиник знает, что существует закон о защите персональных данных. Гораздо меньше тех, кто знает, что их клиника с точки зрения этого закона — не обычный бизнес, а одна из немногих сфер, к которым требования строже.
Причина проста. Клиника каждый день обрабатывает данные о здоровье, а армянский закон относит их к персональным данным особой категории.
Эта статья — не юридическая консультация. Мы команда разработчиков программного обеспечения, а не юристы. Но, работая с клиниками, мы видим, что простого объяснения основных требований без юридического языка очень не хватает. Вот оно.
Что говорит закон: главное
В Армении обработка персональных данных регулируется Законом «О защите персональных данных», принятым в 2015 году. Контролирующий орган — Агентство по защите персональных данных Министерства юстиции, сайт которого — pdpa.am.
Для клиники три самых важных пункта таковы.
1. Данные о здоровье — особая категория
Закон относит к особой категории сведения, касающиеся расы, национальной принадлежности, политических взглядов, религиозных убеждений, членства в профсоюзе, здоровья и половой жизни человека. Диагноз, план лечения, цель визита, даже сам факт обращения человека к конкретному специалисту — это данные о здоровье.
2. До обработки — уведомление агентства
Это тот пункт, который клиники чаще всего упускают. По закону до начала обработки биометрических данных или данных особой категории обработчик обязан уведомить агентство. То есть не «если спросят», а заранее.
3. Согласие, за исключением предусмотренных законом случаев
Обработка данных особой категории без согласия лица запрещена, за исключением случаев, когда обработка прямо предусмотрена законом. На практике это означает, что клиника должна чётко знать, на каком основании хранит каждый вид данных пациента и где нужно письменное согласие.
Кто несёт ответственность: клиника или программа?
Это важное различие, и многие его путают.
Клиника — обработчик данных. Именно клиника решает, какие данные собирать, с какой целью и как долго хранить. Уведомление агентства, согласие пациента, ответ на запрос пациента о том, какие данные о нём хранятся, — обязанности клиники.
Поставщик программы действует от имени клиники. CRM хранит и обрабатывает данные по поручению клиники. Задача поставщика — технические и организационные меры: чтобы данные не потерялись, не были увидены посторонними и не использовались в других целях.
Иначе говоря: хорошая программа не освобождает клинику от закона. Она просто позволяет выполнять закон без Excel-файлов и бумажных шкафов.
С чем помогает Plano
Закон требует технических и организационных мер для защиты персональных данных. Вот что Plano берёт на себя.
Минимальный доступ. Каждый сотрудник видит только то, что нужно для его работы. Врач видит только своих пациентов. Финансы видит владелец и те, кому он разрешил. Это прямо соответствует принципу, согласно которому доступ к данным должны иметь только те, кому он действительно необходим.
Разделение клиник. Данные вашей клиники отделены от других клиник на уровне базы данных.
Личные входы. Общих паролей нет. Сотрудник уходит — его доступ убирается.
На публичном сайте только то, что вы одобрили. Отзывы пациентов появляются на сайте клиники только после одобрения клиникой. Профиль врача публикуется только тогда, когда он отмечен как публичный.
Воля пациента в вопросе сообщений. В каждом электронном письме есть ссылка для отписки, и отписавшиеся адреса больше не получают писем.
Местонахождение данных. Закон ограничивает передачу данных в другую страну, если эта страна не обеспечивает достаточного уровня защиты. Поэтому любого поставщика программы, в том числе нас, стоит спросить, в какой стране физически хранятся данные вашей клиники.
Что должна сделать сама клиника
Вот короткий список, который можно распечатать и пройти с командой. По каждому пункту, если не уверены, проконсультируйтесь с юристом.
1. Проверьте, уведомили ли вы агентство. Если нет, на сайте pdpa.am есть руководства и шаблоны.
2. Посмотрите на свои формы согласия. Даёт ли пациент согласие на обработку своих данных и указывает ли форма, с какой целью.
3. Определите, какие данные вам действительно нужны. Закон запрещает сбор избыточных данных. Если адрес проживания пациента вам не нужен, не требуйте его.
4. Знайте, как вы ответите пациенту. Пациент имеет право знать, какие данные вы храните о нём. Кто в клинике отвечает за такой запрос.
5. Устраните «теневые» копии. Excel-файлы на компьютере ресепшена, списки пациентов в мессенджере, распечатанные списки на столе. Каждая из них с точки зрения закона — та же ответственность, но без какой-либо защиты.
Заключение
Для клиники защита персональных данных — не абстрактный «вопрос IT», а установленная законом обязанность, поскольку данные о здоровье относятся к особой категории. Программа может взять на себя техническую часть. Организационная часть — уведомление, согласие, привычки команды — остаётся в руках клиники.
Если хотите понять, какие инструменты Plano помогают в технической части этих требований, свяжитесь с нами, и мы пройдём всё вместе с вашей клиникой шаг за шагом.
Часто задаваемые вопросы
Являются ли данные о здоровье пациентов персональными данными особой категории в Армении?
Да. Закон «О защите персональных данных» относит сведения, касающиеся здоровья, к персональным данным особой категории, к которым применяются более строгие правила.
Должна ли клиника уведомлять Агентство по защите персональных данных?
По закону обработчик данных особой категории обязан заранее уведомить агентство. Поскольку клиника обрабатывает данные о здоровье, это требование обычно относится к ней. По конкретному случаю проконсультируйтесь с юристом.
Если мы используем CRM, кто отвечает за данные?
Клиника остаётся обработчиком данных и отвечает за уведомление, согласие и запросы пациентов. Поставщик CRM отвечает за техническую защиту: хранение данных, контроль доступа и разделение.
Может ли пациент потребовать показать, какие данные о нём есть у клиники?
Да, закон даёт пациенту право ознакомиться со своими персональными данными. Клиника должна быть готова ответить на такой запрос.
Где найти официальные руководства?
На сайте Агентства по защите персональных данных — pdpa.am, где есть законодательные акты, руководства и шаблоны.