Инспекция данных: медучреждение должно обосновывать, зачем хранит данные пациентов
Государственная инспекция данных Латвии разъясняет, что медучреждение обязано обосновать цель, срок и защиту обработки данных пациентов. Фотографирование пациентов и отправка данных допустимы, но должны быть безопасными.
Медицинские учреждения Латвии должны уметь объяснить, зачем они обрабатывают данные пациентов, как долго их хранят и как защищают. Об этом заявила Государственная инспекция данных (DVI) — орган надзора за защитой персональных данных. Требование относится к любому использованию данных: фотографированию, пересылке и другим действиям.
В DVI отмечают, что при визите к врачу персональные данные неизбежно обрабатываются. Это сведения о состоянии здоровья, диагнозе, обследованиях и лечении. Без них во многих случаях оказать медицинскую помощь было бы невозможно. Пациент вправе получать информацию о своём здоровье и знакомиться с медицинскими документами, а данные должны быть защищены согласно правилам о персональных данных.
Фотографирование при лечении
Инспекция приводит пример: дерматолог хочет сфотографировать повреждение кожи, чтобы на следующем визите оценить результат лечения. Если снимок раскрывает сведения о здоровье, он может считаться данными о здоровье. Если он нужен для лечения, съёмка может быть частью лечебного процесса, и отдельное согласие пациента не требуется.
Однако нужно учитывать, каким устройством сделан снимок и где он хранится. Личный телефон создаёт риски, например автоматическое сохранение в личном облачном хранилище или доступ вне контроля учреждения. Поэтому снимок следует хранить в системе, которой управляет учреждение, или в другом безопасном месте, а не на личном устройстве врача. Как контролёр данных, учреждение отвечает за безопасность и само, а не каждый врач отдельно, определяет, какими устройствами можно фотографировать. Если фото планируют использовать для другой цели, например в учебных материалах или на конференции, нужно отдельное правовое основание.
Передача и удаление
Общий регламент по защите данных не запрещает отправлять данные о здоровье в электронном виде и не устанавливает конкретный канал связи, поэтому электронная почта или WhatsApp не запрещены автоматически. Учреждение должно оценить, верны ли контакты, можно ли убедиться в личности получателя, каков объём информации и есть ли более безопасный способ. Напоминание о визите и подробные результаты анализов нельзя оценивать одинаково.
В определённых случаях человек вправе требовать удаления своих данных, но это право не абсолютно. Медицинская документация должна храниться в сроки, установленные нормативными актами, поэтому просьба пациента не означает, что всю историю болезни нужно стереть. Если пациент считает информацию неточной, он может потребовать её дополнить или исправить. По Закону о правах пациентов ошибочная информация при исправлении сохраняется, а её уточняют или дополняют.
