Данные о здоровье — особая категория по новому закону о защите персональных данных. Мы приводим частные клиники и медицинские центры в соответствие закону: от выезда на место до постоянного сопровождения.
Восемь ситуаций, которые мы чаще всего видим в частной медицине.
Результаты анализов и снимки администратор отправляет пациентам со своего личного Viber или WhatsApp.
Медкарты в МИС или облаке, а где физически стоит сервер и у кого из подрядчиков есть доступ, никто не проверял.
Онлайн-запись на сайте собирает имя, телефон и жалобы без согласия и без актуальной политики конфиденциальности.
С лабораторией, страховой, IT-подрядчиком договоры есть, но в них ни слова об обработке персональных данных.
Экран регистратуры с расписанием и назначениями виден из очереди, а звонки записываются без предупреждения.
Фото «до/после» публикуются в соцсетях на основании устного «да» пациента.
Один логин на всех: кто и когда открывал карту конкретного пациента, восстановить невозможно.
Нужен ли клинике DPO? Письменного ответа нет, хотя медицинские данные обрабатываются каждый день.
Ни в одной из этих ситуаций нет злого умысла, только процессы, которые годами строились «как удобнее». Закон теперь требует, чтобы они работали правильно.
Объём работ подбираем под размер клиники и бюджет.
Выезд в клинику и честная картина: что горит, а что подождёт.
Диагностика плюс полный комплект документов и обучение.
Приведение сайта и IT-систем в соответствие закону плюс документация.
Функции ответственного за защиту данных по договору: консультации персонала, оценка рисков новых процессов, ответы на запросы пациентов, канал связи с Национальным центром по защите персональных данных.
Бесплатно смотрим сайт и онлайн-запись, называем три главных риска.
Разговариваем с регистратурой, врачами и IT, смотрим реальные процессы.
Готовим пакет под вашу клинику, а не шаблон из интернета, и обучаем персонал.
Внешний DPO отвечает на вопросы, запросы пациентов и помогает при проверке.
Да. Закон №195/2024 применяется к любой организации, которая обрабатывает персональные данные, независимо от размера. Медицинские данные относятся к особой категории, поэтому требования к их защите строже.
DPO обязателен, когда организация в больших объёмах обрабатывает особые категории данных, к которым относятся данные о здоровье. Для небольших клиник это решается индивидуально, но решение в любом случае нужно оформить письменно. Функции DPO можно передать внешнему специалисту по договору.
Нет. Политика должна описывать реальные процессы клиники: какие данные собираются, кому передаются, где хранятся и сколько. Шаблон, который не совпадает с практикой, сам по себе становится нарушением.
Диагностика занимает 3–5 рабочих дней, полный пакет документов с обучением 2–3 недели. Точный срок зависит от количества филиалов и IT-систем.
Звонок на 15 минут: посмотрим сайт и онлайн-запись и назовём три главных риска. Без обязательств.