Регистрация стоматологии в Роскомнадзоре

Что относится к персональным данным в стоматологии

Стоматологическая клиника в своей деятельности может обрабатывать следующие персональные данные:

• Общие данные: фамилия, имя, отчество, паспортные данные, адрес регистрации, контактные телефоны, адрес электронной почты, номер полиса ОМС/ДМС, сведения о банковской карте при оплате.
• Специальные категории (сведения о здоровье): диагноз, анамнез, результаты обследований и рентгеновских снимков, аллергологический статус, принимаемые лекарственные препараты, план лечения. Обработка специальных категорий подлежит повышенным требованиям к защите (в соответствии со статьёй 10 152-ФЗ).
• Биометрические данные: сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных (статья 11 152-ФЗ). В деятельности стоматологической клиники к таким данным могут относиться, например, фото- и видеоизображения пациента (в том числе с камер видеонаблюдения), данные голоса (при общении по телефону), а также отпечатки пальцев (при использовании биометрических систем доступа или идентификации). Обработка биометрических данных допускается только при наличии письменного согласия субъекта, за исключением случаев, прямо предусмотренных федеральным законом (например, в связи с реализацией международных договоров о реадмиссии). При этом оператор не вправе отказывать в обслуживании в случае отказа субъекта предоставить биометрические данные или дать согласие на их обработку, если иное не установлено федеральным законом.

Уведомление в Роскомнадзор

По общему правилу оператор (стоматологическая клиника) обязан направить уведомление в Роскомнадзор до начала обработки персональных данных. После этого клиника вносится в Реестр операторов.

Однако законодательство предусматривает исключения (часть 2 статьи 22 152-ФЗ). Уведомление не требуется, если:

• персональные данные получены в связи с заключением договора с пациентом, используются исключительно для его исполнения и не передаются третьим лицам без согласия субъекта;
• обрабатываются только фамилии, имена и отчества.

Порядок подачи уведомления: через портал Госуслуги (электронно с использованием УКЭП или через ЕСИА) либо в бумажном виде. В случае изменения сведений, указанных в уведомлении, оператор обязан сообщить об этом в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений. При прекращении обработки уведомление направляется в течение 10 рабочих дней.

Согласие на обработку медицинских данных

В стоматологической практике необходимо различать два документа:

• Информированное добровольное согласие (ИДС) на медицинское вмешательство — требуется в соответствии с Федеральным законом № 323-ФЗ «Об основах охраны здоровья граждан». Оформляется перед любым вмешательством (осмотр, лечение, рентгенография) и касается медицинских аспектов: врач информирует о целях, методах, рисках и альтернативах.
• Согласие на обработку персональных данных (по 152-ФЗ) — отдельный документ. Даже при наличии ИДС, для обработки сведений о здоровье (специальные категории) необходимо письменное согласие пациента. В нём должны быть указаны: перечень обрабатываемых данных, конкретные цели обработки, срок действия, порядок отзыва.

Важное уточнение: если клиника обрабатывает только общие персональные данные (ФИО, контакты) строго в рамках исполнения договора оказания услуг, отдельное согласие может не требоваться (часть 1 статьи 6 152-ФЗ). Однако, как только в обработку вовлекаются сведения о здоровье, письменное согласие становится обязательным.

Дополнительные обязательства оператора

• Политика обработки персональных данных. Разрабатывается и размещается в открытом доступе (например, на сайте клиники).
• Внутренние документы. Назначается приказом сотрудник, ответственный за обработку ПДн. Проводится оценка уровня защищённости информационных систем (включая МИС и облачные сервисы), составляется модель угроз. При использовании облачной МИС с провайдером заключается договор поручения на обработку ПДн (статья 6 152-ФЗ), в котором фиксируются перечень данных, цели и обязательство по локализации баз данных в РФ. Подключение к ЕГИСЗ или региональным МИС также подлежит отражению в согласии и политике.
• Обязательство о неразглашении. Все сотрудники, имеющие доступ к персональным данным (врачи, медсёстры, администраторы, IT-специалисты), должны подписать обязательство о неразглашении.
• Порядок действий при инцидентах. В случае утечки клиника обязана уведомить Роскомнадзор в течение 24 часов.

При возникновении вопросов, связанных с разработкой документации по 152-ФЗ для стоматологической клиники, подачей уведомления в Роскомнадзор, консультациями по применению 152-ФЗ, а также с актуализацией документов в соответствии с последними изменениями законодательства, рекомендуем обратиться за консультацией к нашим специалистам. Мы глубоко разбираемся в требованиях Федерального закона № 152-ФЗ и поможем грамотно разработать необходимые документы, а также сформулировать цели обработки.