При работе с «Табличкой» пользователи так или иначе будут использовать персональные данные пациентов (клиентов). В свете наличия Федерального закона от 27 июля 2006 года №152-ФЗ «О персональных данных», который регулирует отношения, связанные с обработкой персональных данных физических лиц в России с целью обеспечения защиты прав и свобод человека, включая право на неприкосновенность частной жизни, личную и семейную тайну, мы сообщаем, что система «Табличка» хранит и передаёт данные в зашифрованном виде и не имеет прямого доступа к персональным данным пациентов. Это техническое решение снижает риски несанкционированного доступа к хранимой и передаваемой персональной информации, но не заменяет необходимость получения согласия на обработку данных, если они изначально идентифицируемы. Наличие шифрования и отсутствие прямого доступа к данным в рамках нашей системы не отменяет требования закона о получении согласия, если данные подлежат обработке оператором в требуемом объёме.

Внесение или изменение персональных данных пациентов/клиентов в процессе работы с системой «Табличка» требует обязательно указывать факт получения согласия пациентов/клиентов и/или их представителей путем выбора нужного элементы из списка:

«Да, согласие дано»

• Пациент/клиент или его законный представитель (например, родитель несовершеннолетнего, опекун недееспособного лица) дал письменное (или электронное с электронной подписью) согласие на обработку персональных данных;
• В согласии чётко указаны все перечисленные действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, удаление, уничтожение данных;
• В согласии прямо указано, что данные не передаются третьим лицам;
• Документ оформлен в соответствии с требованиями закона: содержит ФИО и паспортные данные субъекта (и/или представителя), сведения об операторе, цель обработки, перечень обрабатываемых данных, срок действия согласия и способ его отзыва;
• Согласие получено до начала обработки данных.

«Нет, согласие не дано»

• Пациент/клиент и/или его представитель не подписывал согласие на обработку данных в указанном объёме;
• В имеющемся согласии отсутствуют ключевые элементы (например, не перечислены все действия с данными, не указана цель обработки, нет подписи субъекта или представителя);
• Согласие было отозвано субъектом данных, а обработка продолжается.

В этом случае использование идентифицируемых данных нарушает ст. 9 ФЗ «О персональных данных» (№152-ФЗ), и ответственность за это ложится на лицо, осуществляющее обработку (оператор).

«Данные обезличены»

• Данные в «Таблице госпитализаций» не позволяют прямо или косвенно идентифицировать пациента/клиента;
• Проведена процедура обезличивания, в результате которой персональные данные утратили связь с конкретным субъектом.

Рекомендации

1. Проверьте документы: убедитесь, что у вас есть актуальное согласие, соответствующее всем требованиям закона;
2. Если согласие отсутствует или неполно, необходимо его получить или прекратить обработку данных в идентифицируемом виде;
3. При обезличении данных убедитесь, что процедура проведена корректно и данные действительно не могут быть сопоставлены с конкретным пациентом/клиентом.

Основные положения закона о персональных данных

• фамилия, имя, отчество;
• дата и место рождения;
• адрес;
• семейное, социальное, имущественное положение;
• образование, профессия, доходы;
• номер телефона, паспортные данные, ИНН, СНИЛС;
• группа крови, история болезни, результаты анализов;
• биометрические данные (отпечатки пальцев, голос, изображение лица и сетчатки глаза);
• номер банковской карты;
• геолокация, IP-адрес, файлы cookie и другие данные.

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними.

Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение данных.

Принципы обработки персональных данных

• на законной и справедливой основе;
• ограничиваться достижением конкретных, заранее определённых и законных целей;
• без объединения баз данных, обработка которых осуществляется в целях, несовместимых между собой;
• только в объёме, необходимом для достижения целей обработки;
• с обеспечением точности, достаточности и, при необходимости, актуальности данных.

Условия обработки

Общий запрет на обработку персональных данных без согласия субъекта установлен законом. Однако есть случаи, когда такое согласие не требуется (например, если обработка необходима для обеспечения жизни и здоровья лица, в рамках осуществления правосудия и др.).

Специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) обрабатываются только с предварительного согласия субъекта, за исключением случаев, когда данные являются общедоступными или обработка необходима в особых предусмотренных законом ситуациях.

Гарантии прав субъекта персональных данных

Важнейшей гарантией является обязанность операторов и третьих лиц, получивших доступ к персональным данным, обеспечивать их конфиденциальность (кроме случаев обезличивания и общедоступных данных). Субъект персональных данных имеет право на защиту своих прав и законных интересов, включая возмещение убытков и компенсацию морального вреда в судебном порядке.

Обязанности операторов

• направить уведомление об обработке персональных данных в уполномоченный орган (если это не связано с трудовыми или иными договорными отношениями с субъектом данных);
• получать согласие субъекта на обработку его данных;
• уведомлять субъекта о прекращении обработки и об уничтожении персональных данных.

Изменения в законе

Закон неоднократно редактировался. Последние изменения внесены Федеральным законом от 7 июля 2025 года №200-ФЗ, они вступят в силу с 1 марта 2027 года.
Для более детального изучения закона можно обратиться к его тексту на официальных правовых ресурсах, например, на сайте ГАРАНТ или КонсультантПлюс.