По следам ДОД Роскомнадзора. Обработка данных в здравоохранении
🗃️ 14 августа прошел день открытых дверей Роскомнадзора. Одна из наиболее ожидаемых рынком позиций, которую ведомство наконец озвучило публично: операторам следует минимизировать количество согласий на обработку персональных данных и в первую очередь опираться на правовые основания обработки, прямо предусмотренные законом. На практике многие операторы и раньше стремились выстраивать процессы именно таким образом, однако теперь этот подход получил прямое подтверждение Роскомнадзора.
Наиболее актуальные позиции для рынка здравоохранения:
1️⃣Для оказания медицинских услуг не требуется получать отдельное согласие на обработку ПДн
Ведомство отметило, что законодательство обязывает медицинскую организацию получать согласие на медицинское вмешательство (ИДС). При этом отдельное согласие на обработку ПДн является излишним, поскольку Закон № 152-ФЗ прямо предусматривает основание для обработки персональных данных в целях оказания медицинских услуг (п. 5 ч. 1 ст. 6). Оно полностью охватывает обработку ПДн клиникой в рамках оказания медицинской помощи.
⚪️Роскомнадзор также отдельно отметил, что передача анализов пациентов в стороннюю лабораторию является частью единого цикла оказания медицинской помощи и не требует получения отдельного согласия.
2️⃣Согласие на обработку ПДн от несовершеннолетнего
Роскомнадзор подтвердил, что согласие на обработку ПДн может быть получено непосредственно от несовершеннолетнего. При этом такое согласие будет правомерным только в тех случаях, когда оно дается в пределах предусмотренной для несовершеннолетнего дееспособности.
⚪️Если согласие дает законный представитель, необходимо получить только одно согласие - на обработку ПДн несовершеннолетнего.
Это уточнение направлено на исключение практики получения двух согласий, когда клиники стремились отдельно получить согласие на обработку ПДн несовершеннолетнего и согласие на обработку ПДн его законного представителя.
3️⃣Обработка ПДн в рамках фармаконадзора
Обработка персональных данных во исполнение требований законодательства и правил надлежащей практики фармаконадзора может осуществляться на основании п. 2 ч. 1 ст. 6 Закона № 152-ФЗ без получения отдельного согласия.
⚪️Если для обработки привлекаются третьи лица, то уже необходимо оформить поручение на обработку ПДн.
⚪️Отвечая на вопрос, ведомство не уделило внимание тому факту, что при исполнении правил надлежащей практики фармаконадзора обрабатываются специальные категории ПДн, обработка которых на основании ч.1 ст.6 Закона № 152-ФЗ невозможна. Таким образом, ответ не решает полностью существующий правовой пробел.
⚪️Роскомнадзор отдельно обратил внимание на сроки хранения и необходимость последующего уничтожения ПДн после достижения цели обработки. Иными словами, наличие законного основания для обработки не означает возможности хранить данные бессрочно - оператору необходимо определить применимые сроки хранения и обеспечить уничтожение данных после их истечения, если дальнейшее хранение не требуется.
При этом, срок хранения данных о фармаконадзоре составляет не менее 10 лет после прекращения действия регистрационного удостоверения (которое может действовать бессрочно).
🗃️ 14 августа прошел день открытых дверей Роскомнадзора. Одна из наиболее ожидаемых рынком позиций, которую ведомство наконец озвучило публично: операторам следует минимизировать количество согласий на обработку персональных данных и в первую очередь опираться на правовые основания обработки, прямо предусмотренные законом. На практике многие операторы и раньше стремились выстраивать процессы именно таким образом, однако теперь этот подход получил прямое подтверждение Роскомнадзора.
Наиболее актуальные позиции для рынка здравоохранения:
1️⃣Для оказания медицинских услуг не требуется получать отдельное согласие на обработку ПДн
Ведомство отметило, что законодательство обязывает медицинскую организацию получать согласие на медицинское вмешательство (ИДС). При этом отдельное согласие на обработку ПДн является излишним, поскольку Закон № 152-ФЗ прямо предусматривает основание для обработки персональных данных в целях оказания медицинских услуг (п. 5 ч. 1 ст. 6). Оно полностью охватывает обработку ПДн клиникой в рамках оказания медицинской помощи.
⚪️Роскомнадзор также отдельно отметил, что передача анализов пациентов в стороннюю лабораторию является частью единого цикла оказания медицинской помощи и не требует получения отдельного согласия.
2️⃣Согласие на обработку ПДн от несовершеннолетнего
Роскомнадзор подтвердил, что согласие на обработку ПДн может быть получено непосредственно от несовершеннолетнего. При этом такое согласие будет правомерным только в тех случаях, когда оно дается в пределах предусмотренной для несовершеннолетнего дееспособности.
⚪️Если согласие дает законный представитель, необходимо получить только одно согласие - на обработку ПДн несовершеннолетнего.
Это уточнение направлено на исключение практики получения двух согласий, когда клиники стремились отдельно получить согласие на обработку ПДн несовершеннолетнего и согласие на обработку ПДн его законного представителя.
3️⃣Обработка ПДн в рамках фармаконадзора
Обработка персональных данных во исполнение требований законодательства и правил надлежащей практики фармаконадзора может осуществляться на основании п. 2 ч. 1 ст. 6 Закона № 152-ФЗ без получения отдельного согласия.
⚪️Если для обработки привлекаются третьи лица, то уже необходимо оформить поручение на обработку ПДн.
⚪️Отвечая на вопрос, ведомство не уделило внимание тому факту, что при исполнении правил надлежащей практики фармаконадзора обрабатываются специальные категории ПДн, обработка которых на основании ч.1 ст.6 Закона № 152-ФЗ невозможна. Таким образом, ответ не решает полностью существующий правовой пробел.
⚪️Роскомнадзор отдельно обратил внимание на сроки хранения и необходимость последующего уничтожения ПДн после достижения цели обработки. Иными словами, наличие законного основания для обработки не означает возможности хранить данные бессрочно - оператору необходимо определить применимые сроки хранения и обеспечить уничтожение данных после их истечения, если дальнейшее хранение не требуется.
При этом, срок хранения данных о фармаконадзоре составляет не менее 10 лет после прекращения действия регистрационного удостоверения (которое может действовать бессрочно).