Нужно ли медицинским учреждениям собирать согласия с пациентов на обработку их персональных данных?

18 Августа, 2016

Этой заметкой хотелось завершить цикл статей, связанных с защитой персональных данных, Роскомнадзором и прочим с этим связанным. Думаю, что в цикле статей по подготовке к проверкам. и в руководстве по заполнению уведомления тему более менее раскрыл. Дальше буду писать на эту тему при появлении какой-нибудь новой информации или если возникнет интересная идея для статьи. По вопросу, выведенному в заголовок решил сделать отдельную заметку, потому что уж очень часто ответственные за обработку ПДн в медицинских учреждениях задают мне этот вопрос.

Начну, пожалуй, с рассмотрения случая, который уже давно стал в определенных кругах своего рода мемом. 22 ноября 2013 года Управление Роскомнадзора по Астраханской области вынесло предписание местной областной клинической больнице об устранении нарушений. Суть претензий регулятора заключалась в том, что в организации собирают согласия с пациентов, а согласно закону «О персональных данных» якобы могут в их случае не собирать.

Маразматичность этого предписания с одной стороны состоит в том, что организацию наказали за перевыполнение требований. Вот представьте себе гипотетическую ситуацию: условно есть требование, что необходимо на входе в «Помещение №1» установить стальную дверь. Вы решили выпендриться и поставить титановую. Приходит регулятор и наказывает вас за то, что ваша дверь более крепкая чем нужно. Сказано же в требованиях: «Дверь должна быть стальная!». Тупо? Тупо. Вот так и здесь.

Но с другой стороны, на самом деле, Роскомнадзор и с точки зрения законодательства не прав. Давайте разбираться.

Пункт 4 части 2 статьи 10 закона говорит следующее:

Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если:

обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

Вроде бы все правильно. Но давайте подумаем. Тут ключевым является союз «и». То есть эта норма распространяется на тех, кто и занимается медицинской деятельностью и обязан хранить врачебную тайну одновременно — на профессиональных врачей. Скажите честно, много ли вы знаете медицинских организаций, где доступ к персональным данным пациентов имеют только профессиональные врачи? Вряд ли. В любом подобном учреждении с медицинскими картами работают как минимум сотрудники регистратуры, а как максимум еще и сотрудники отдела медстатистики, медсестры и даже работники столовой могут сверять диету того или иного пациента с электронной картой пациента (если внедрена полноценная информационная система). И при всем к ним уважении, профессиональными врачами эти люди точно не являются. Даже в маленьких частных заведениях, вся деятельность которых сводится к консультациям и оказания услуг, например, массажа, сидит секретарь-регистратор, выдающий посетителям медицинские карты.

Пункт 3 этой же части этой же статьи закона мы рассматривать не будем, так как там речь идет о ситуации когда согласие с пациента нельзя получить. Но даже в психиатрии не все пациенты настолько невменяемые, поэтому пункт также отпадает. И остается 1 пункт, когда специальные категории можно обрабатывать только с письменного согласия субъекта. Поэтому ответ на вопрос из заголовка — да, нужно.

Персональные данные

да, работодателю требуется согласие на обработку персональных данных всех сотрудников, вне зависимости от времени их работы в организации. Даже если организация располагала данными о сотрудниках до вступления в силу Закона «О персональных данных», после его принятия на указанную информацию распространяются ограничения по распространению, и на это требуется согласие сотрудника.

С Положением о персональных данных должны также быть ознакомлены все сотрудники организации, без ограничений по сроку работы.

Обоснование данной позиции приведено ниже в материалах «Системы Главбух».

1. Рекомендация:Как оформить Положение о работе с персональными данными сотрудников

Получение персональных данных

Все персональные данные сотрудника вы можете получить только от него самого. Если персональные сведения возможно получить только от третьих лиц (например, от его прежнего работодателя), то сначала уведомите об этом сотрудника и получите от него письменное согласие. При этом сообщите сотруднику о целях, предполагаемых источниках и способах получения персональных данных. Кроме того, известите его о характере подлежащих получению персональных данных и последствиях отказа сотрудника дать согласие на их получение. Такой порядок предусмотрен в пункте 3 части 1 статьи 86 Трудового кодекса РФ и подтверждается разъяснениями Роскомнадзора от 14 декабря 2012 г. *

Пример получения персональных данных сотрудника от прежнего работодателя

Сотрудница организации Е.В. Иванова устроилась в организацию «Альфа» в феврале 2012 года. В этом же году она ушла в декретный отпуск. В 2013 году сотрудница уходит в отпуск по уходу за ребенком. В связи с тем, что в 2012 году сотрудница была в декретном отпуске, для расчета пособия по уходу за ребенком до 1,5 лет Иванова попросила заменить 2012 год расчетного периода на 2009 год. который она полностью отработала у другого работодателя. Поскольку от предыдущего работодателя Иванова уволилась в январе 2012 года, при увольнении ей выдали справку о сумме заработка за 2011 и 2010 годы (п. 3 ч. 2 ст. 4.1 Закона от 29 декабря 2006 г. № 255-ФЗ ).

Соответственно, информацией о заработке сотрудницы в 2009 году новый работодатель («Альфа») не располагает.

«Альфа» запросила необходимую информацию у предыдущего работодателя, предварительно уведомив Иванову и получив на это ее письменное согласие.

Организация не вправе собирать персональные данные, которые не относятся напрямую к трудовой деятельности сотрудника (например, сведения о вероисповедании, политических пристрастиях, жилищных условиях и т. п.). Эти сведения составляют личную или семейную тайну гражданина, которую он вправе никому не разглашать. Об этом сказано в пункте 4 части 1 статьи 86 Трудового кодекса РФ.

Получив персональные данные, работодатель не вправе распространять и раскрывать их третьим лицам без согласия на то сотрудника (ст. 7 Закона от 27 июля 2006 г. № 152-ФЗ ).

Согласие сотрудника на обработку персональных данных

После получения персональных данных сотрудника у работодателя возникает необходимость их обработки .

По общему правилу обработку таких данных можно проводить только с письменного согласия сотрудников. В согласии должна быть указана информация об объеме обрабатываемых данных, целях, способах обработки, сведения о том, кто обрабатывает данные, срок, в течение которого действует согласие сотрудника, и его подпись (ч. 4 ст. 9 Закона от 27 июля 2006 г. № 152-ФЗ ).*

Случаи обработки данных без согласия сотрудника

В отдельных случаях обрабатывать персональные данные сотрудника можно без его согласия. Например, в случаях, прямо предусмотренных коллективным договором, а также локальными актами организации (разъяснения Роскомнадзора от 14 декабря 2012 г. ).

Также не нужно получать согласие человека на обработку персональных данных в случаях, когда такая обработка предусмотрена законодательством. К таким случаям относится передача сведений в следующие органы:

Также не требуется получать согласие уволенного сотрудника на обработку его персональных данных для целей налогового и бухгалтерского учета, а также данных, переданные в архивную организацию.

Это следует из положений абзацев 6–10 пункта 5 разъяснений Роскомнадзора от 14 декабря 2012 г.

Кроме того, не требуйте согласия сотрудника для передачи персональных данных банку при открытии и обслуживании платежной карты для начисления зарплаты:

• если договор на выпуск банковской карты заключен напрямую с сотрудником, а в договоре предусмотрена передача персональных данных работника банку;
• если организация оформила доверенность на представление интересов сотрудника при заключении договора с кредитной организацией на выпуск банковской карты и ее последующем обслуживании;
• если соответствующая форма и система оплаты труда прописана в коллективном договоре организации.

Об этом сказано в абзаце 10 пункта 4 разъяснений Роскомнадзора от 14 декабря 2012 г.

Все возможные случаи, когда согласие на обработку персональных данных не требуется, приведены в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона от 27 июля 2006 г. № 152-ФЗ.

Защита персональных данных

Чтобы не допустить разглашения персональных данных, создайте надежную систему их защиты. Порядок получения, обработки, передачи и хранения таких сведений установите в Положении о работе с персональными данными сотрудников (ст. 87 ТК РФ ). Положение утверждает руководитель организации. С ним под подпись ознакомьте сотрудников организации (п. 8 ч. 1 ст. 86 ТК РФ ).

Ответственность за разглашение

Внимание: за нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность (ст. 90 ТК РФ ).

К дисциплинарной ответственности могут быть привлечены только те сотрудники, которые приняли на себя обязательства соблюдать правила работы с персональными данными и нарушили их (ст. 192 ТК РФ ). Материальная ответственность может наступить, если в связи с нарушением правил работы с персональными данными организации причинен прямой действительный ущерб (ст. 238 ТК РФ ).

За нарушение порядка сбора, хранения, использования или распространения персональных данных организацию и ее должностных лиц могут оштрафовать. Размер штрафа составляет:

• для руководителя и главного бухгалтера – от 500 до 1000 руб.;
• для организации – от 5000 до 10 000 руб.

Штраф для должностных лиц за разглашение персональных данных в связи с исполнением служебных или профессиональных обязанностей составляет от 4000 до 5000 руб.

Такие меры ответственности предусмотрены статьями 13.11 и 13.14 Кодекса РФ об административных правонарушениях.*

Уголовная ответственность для руководителя или главного бухгалтера организации может наступить за незаконное:

• собирание или распространение сведений о частной жизни сотрудника, составляющих его личную или семейную тайну, без его согласия;
• распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации.

В этом случае может наступить один из следующих видов ответственности:

• штраф в размере до 200 000 руб. (или в размере доходов осужденного за период до 18 месяцев);
• обязательные работы на срок до 360 часов;
• исправительные работы на срок до одного года;
• принудительные работы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового. Данный вид уголовной ответственности будет применяться с 1 января 2014 года (ч. 3 ст. 8 Закона от 7 декабря 2011 г. № 420-ФЗ );
• лишение свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет;
• арест на срок до четырех месяцев.

При этом те же деяния, совершенные лицом с использованием своего служебного положения, наказываются:

• штрафом в размере от 100 000 до 300 000 руб. (или в размере доходов осужденного за период от одного года до двух лет);
• лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;
• принудительными работами на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового. Данный вид уголовной ответственности будет применяться с 1 января 2014 года (ч. 3 ст. 8 Закона от 7 декабря 2011 г. № 420-ФЗ );
• лишением свободы на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет;
• арестом на срок до шести месяцев.

Такая ответственность предусмотрена в статье 137 Уголовного кодекса РФ.

заместитель директора департамента образования и кадровых ресурсов Минздрава России

2. Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»

«Статья 3. Основные понятия, используемые в настоящем Федеральном законе

В целях настоящего Федерального закона используются следующие основные понятия:

1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Статья 9. Согласие субъекта персональных данных на обработку его персональных данных

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором».

Персональные консультации по учету и налогам

Лучшие ответы специалистов по налогообложению, бухгалтерскому учету и праву. Ответы специалистов по налогообложению, бухгалтерскому учету и праву.

Формы заявление о согласии на обработку персональных данных в больнице бланк

152-ФЗ «О персональных формы заявление о согласии на обработку персональных данных в больнице данных» «обработка персональных данных» - есть. Отсутствие письменного согласия пациента поликлиники (больницы) на сбор. Медицинская помощь в экстренной форме оказывается медицинской.

Форма заявления. О согласии пациента. На обработку персональных данных. Согласие. На обработку персональных данных. Я.

Согласие родителей на обработку персональных данных. Государственными образовательными стандартами в форме самообразования, экстерната. Городская больница, Военкомату, ОВД, управлению социальной защиты. Согласие посредством составления письменного заявления, которое может.

Каширина, д.57 на обработку персональных данных _сына Петрова Ивана Ивановича _ медична (сына, дочери, подопечного (вписать нужное) Фамилия Имя Отчество _г.р._ к которым относятся: (дата рождения) данные свидетельства о рождении; данные паспорта; данные о гражданстве; данные медицинской карты учащегося; данные страхового медицинского полиса; данные личной карты учащегося; снилс; адрес проживания и регистрации; сведения об успеваемости и посещаемости занятий; сведения об участии в олимпиадах, конкурсах, соревнованиях, конференциях и т.д.; сведения о родителях (законных представителях фамилия, имя, отчество, гражданство, место работы, контактная информация; сведения о социальном статусе семьи; характеристика учащегося. ТрастМед:Стационар для больницы. «О персональных данных» 152-ФЗ, формы заявление о согласии на обработку персональных данных в больнице подтверждаю свое согласие на обработку. Базу данных, включения в списки (реестры) и отчетные формы. В случае получения моего письменного заявления об отзыве настоящего согласия на обработку персональных. Оператор осуществляет обработку персональных данных Субъекта. Субъект дает согласие формы заявление о согласии на обработку персональных данных в больнице на обработку Оператором своих персональных данных. Отзывается письменным заявлением субъекта персональных данных. 6. Формы и формы заявление о согласии на обработку фонд персональных данных в больнице бланки. гбуз РК Евпаторийская городская детская клиническая больница. Образцы заполнения Форм и бланков. К 90-летию больницы. Музей здравоохранения. Яндекс. Метрика. Формы и бланки заявлений и документов. Заявление о. Согласие на обработку персональных данных Заявление о. Образцы заполнения Форм и бланков.

Утвердить типовую форму «Согласие на обработку персональных данных для граждан, обращающихся в МУЗ «Центральная городская больница». Согласие родителя (законного представителя нА обработку персональных данных подопечного, я, _. (фамилия, имя, отчество) Проживающий.
Светлана Юрьевна Фирстова, бухгалтерский учет в медицине, глава 1. Общий порядок как заполнять по отчету.
Как заполнять по отчету формы 1 ап мвд 5.1. Порядок оформления и реализации проездных документов. Документом на право проезда в приграничном пригородном (региональном).
Типового договора аренды на транспорт узбекистан юридическими лицами Однако многие продавцы и не подозревают о существовании такого документа. Поэтому рекомендация: в любом случае.
Купчей купчая на автомобиль счт справка на русском

Зачем больницам персональные данные пациентов?

«В поликлинике с пациентов требуют письменное согласие на обработку персональных данных. При этом никто из персонала не может объяснить, для чего это нужно. Хотелось бы узнать, что все-таки за этим стоит». Валентина Григорьевна (Курск).

Отвечает старший помощник прокурора Железнодорожного округа Курска Артем КОФАНОВ: «В последнее время пациенты медицинских организаций все чаще задают вопросы относительно того, что такое персональные данные и почему в больницах просят согласие на их обработку.

Федеральным законом №152-ФЗ от 27 июля 2006 года «О персональных данных» установлено, что персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Также определены случаи, когда требуется согласие граждан на их обработку, которая представляет собой любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Статьей 6 вышеуказанного закона установлено, что обработка персональных данных осуществляется с согласия субъекта персональных данных. Согласно статье 10 данного закона обработка специальных категорий персональных данных, касающихся, в том числе, состояния здоровья, не допускается, за исключением, если субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных.

Таким образом, закон №152-ФЗ ставит возможность обработки персональных данных пациентов больниц в зависимость от наличия их согласия. При этом, без согласия могут обрабатываться данные, относящиеся к состоянию здоровья субъекта персональных данных, если их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно.

То есть при поступлении в медучреждение пациента в бессознательном состоянии в силу заболевания либо травмы ему будет оказана квалифицированная медицинская помощь без наличия выраженного согласия на обработку его персональных данных.

Согласно статье 13 Федерального закона от 21 ноября 2011 года №323-ФЗ «Об основах охраны здоровья граждан в РФ» сведения о факте обращения гражданина за оказанием медпомощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медобследовании и лечении, составляют врачебную тайну. Поэтому передача таких сведений другим гражданам, в том числе должностным лицам, возможна только с согласия субъекта персональных данных и в интересах обследования и лечения пациента. Предоставление указанных сведений без согласия гражданина или его законного представителя допускается лишь в исключительных случаях, установленных данным законом (в целях проведения медобследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю; при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений и т. д.).

При этом статьей 8 Федерального закона №152-ФЗ установлено, что в целях информационного обеспечения могут создаваться общедоступные источники персональных данных. Закон позволяет включать в общедоступные источники персональных данных следующие сведения о гражданах: фамилия, имя, отчество гражданина; год и место рождения гражданина; адрес гражданина; абонентский номер.

Однако все вышеуказанные сведения могут включаться в общедоступные источники персональных данных только с согласия субъекта персональных данных. При этом обязанность доказывания того, что такое согласие получено, возложена на оператора персональных данных.

Обработка персональных данных возможна также в целях обязательного социального страхования в соответствии с федеральными законами о конкретных видах обязательного социального страхования. Так, согласно положениям Федерального закона от 29 ноября 2010 года №326-ФЗ «Об обязательном медицинском страховании в РФ» Федеральный фонд обязательного медицинского страхования вправе обрабатывать данные персонифицированного учета сведений о застрахованных лицах и персонифицированного учета сведений о медпомощи, оказанной застрахованным лицам. При этом ведение персонифицированного учета сведений о медпомощи, оказанной застрахованным лицам, предполагает сбор, обработку, передачу и хранение целого ряда данных о гражданах.

Таким образом, при обращении за медпомощью лица, которое в силу состояния здоровья может выразить свое волеизъявление, отказать в оказании медуслуг, если пациент не предоставляет свои персональные данные (то есть не показывает паспорт, полис и другие документы) медучреждение не может. Однако медицинская помощь в данном случае может быть оказана только на возмездной основе на основании договора возмездного оказания медицинских услуг, поскольку пациент не подтвердил статус застрахованного лица по обязательному медицинскому страхованию. При оформлении договора, акта или счета в графе «заказчик» указывается «аноним», и делается пометка о том, что пациент отказался от предоставления персональных данных».