Согласие на обработку персональных данных - Форум по вопросам информационной безопасности

Скажите пожалуйста, в пакете документов по защите ПДн медицинского учреждения обязательно ли должно присутствовать Согласие на обработку персональных данных? Ведь в ст. 94 ФЗ №323 "Об основах охраны здоровья граждан в Российской Федерации" определен перечень обрабатываемых персональных данных, необходимых для оказания медицинских услуг.

Сам спросил, сам же и отвечу :)

Письменное согласие пациента не требуется в случаях, если: (а) медицинская помощь оказывается по программе ОМС и персональные данные, в том числе содержащие сведения, составляющие врачебную тайну (о состоянии здоровья), передаются только в территориальный фонд ОМС и страховую медицинскую организацию, что предусмотрено статьями 34, 38, 39, 43, 44 и 48 закона № 326­ФЗ; (б) персональные данные пациента, составляющие врачебную тайну, передаются третьим лицам, когда (часть 4 статьи 13 закона № 323­ФЗ): 1) это необходимо по экстренным показаниям и пациент в результате своего состояния не способен выразить свою волю; 2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений; 3) по запросу органов дознания и следствия, суда, органа уголовно­исполнительной системы; 4) в случае оказания медицинской помощи несовершеннолетнему для информирования одного из его родителей или иного законного представителя; 5) в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются основания полагать, что вред его здоровью причинен в результате противоправных действий (см. также п. 9 части 1 статьи 79 закона № 323­ФЗ, где говорится об обязанности медицинских организаций информировать органы внутренних дел в указанных случаях); 6) в целях проведения военно­врачебной экспертизы по запросам военных комиссариатов и военно­врачебных (врачебно­летных) комиссий; 7) в целях расследования несчастного случая на производстве и профессионального заболевания; 8) при обмене информацией медицинскими организациями, в том числе размещенной в медицинских информационных системах, в целях оказания медицинской помощи (следует заметить, что определение понятия «медицинская информационная система» в законе № 323­ФЗ отсутствует); 9) в целях осуществления учета и контроля в системе обязательного социального страхования; 10) в целях осуществления контроля качества и безопасности медицинской деятельности в соответствии с законом № 323­ФЗ (см. статьи 87–90). Как видно, в новом законе № 323­ФЗ расширен перечень ситуаций, когда сведения, составляющие врачебную тайну могут быть предоставлены без согласия пациента или его законного представителя – к шести «старым» случаям, перечисленным в статье 61 «Основ законодательства об охране здоровья ...» 1993 года, добавлены ещё четыре, указанные в приведенном списке последними.

Письменное согласие пациента на передачу (предоставление) его персональных данных, составляющих врачебную тайну, требуется в случаях, когда: (а) медицинская помощь оказывается за плату, вне программы государственных гарантий и сведения передаются третьим лицам (организациям), не являющимися медицинскими организациями, например, в страховую компанию и(или) страхователю по ДМС (в случае, если им не является сам пациент или его законный представитель); (б) информация о состоянии его здоровья передается лицам, указанным самим пациентом или его законным представителем (статья 19 закона № 323­ФЗ); в согласии должны быть указаны Ф.И.О. и контактные данные этих лиц (при этом можно считать, что пациент является представителем этих лиц, в связи с чем их специальное письменное согласие на обработку (хранение) указанных ПДн в медицинском учреждении не требуется (части 1 и 8 статьи 9 закона № 152­ФЗ); (в) передача персональных данных (документов) пациента осуществляется по открытым каналам связи (сети Интернет, электронной почте), например, при проведении дистанционных (телемедицинских) консультаций; (г) осуществляется трансграничная передача персональных данных пациента, например, при осуществлении телемедицинских консультаций с участием врачей, находящихся в странах, не являющихся сторонами Конвенции Совета Европы по защите физических лиц при автоматизированной обработке персональных данных или не включенных перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждаемый Роскомнадзором (статья 12 закона № 152­ФЗ). Перечень этих стран можно посмотреть на сайте Роскомнадзора www.rsoc.ru.
В случаях, когда в ИС медицинского учреждения хранятся и обрабатываются биометрические данные пациента (данные геометрии контура кисти руки, изображения отпечатка пальца, сосудистого русла, изображение радужной оболочки глаза, изображение (фотография) лица, данные ДНК и др.), также необходимо его специальное письменное согласие (статья 11 закона № 152­ФЗ).