Медицинские операторы персональных данных - кто это и что делают?

ОПД считаются все те медучреждения, которые запрашивают и используют личные сведения граждан. Фактически, к ним относятся любые частные и государственные учреждения: клиники, больницы, стоматологические центры и т.д. Все они записывают пациентов, обрабатывают их сведения и хранят определенное количество времени. То же самое и с сотрудниками: выдержки из личных дел врачей, медсестер и работников часто представлены на сайте и стендах.

К персональным данным относятся:

• ФИО;
• выдержки из паспорта;
• номер телефона;
• адрес прописки/проживания;
• почтовый адрес;
• и всё то, что может определить личность человека.

Обязанности операторов при работе с информацией

Деятельность и обязанности регулируются законом РФ №152-Ф3. В нем можно выделить следующие моменты:

1. Организации обязаны получить предварительное согласие на обработку полученного материала. Также человек должен иметь четкое понимание, что ему нужно предоставить, и для чего это нужно.
2. Нужно разработать способы и политику сбора ПД, которые в виде официального документа публикуются в открытом доступе. Например, многие размещают текст на сайте или дают шаблон пациентам на руки по первому требованию.
3. Следует защитить полученный материал и предотвратить вероятность хищения третьими лицами. Причем обезопасить как электронные копии путем установки паролей и современных протоколов защиты, так и физические, храня их в недоступном для посторонних, месте.
4. Если третье лицо обратилось с запросом и доказало, что его личные сведения собраны и хранятся незаконным образом, то их надлежит удалить к указанному сроку.
5. При обращении уполномоченного органа с требованием заблокировать доступ к определенным материалам, то целесообразно выполнить это. На время действия запроса нельзя удалять их из архивов и баз.

Все подробности представлены на сайте Роскомнадзора. Там же выложены образцы для сбора и шаблоны обращений.

Регистрация оператора персональных данных в Роскомнадзоре

Чтобы иметь право на сбор и обработку информации, нужно получить на это разрешение. Для этого придется направить запрос в РКН. Однако не всем обязательно становиться ОПД. В соответствии с законом, исключениями являются:

• берущие материалы из общедоступных источников, где люди самостоятельно их опубликовали;
• относящиеся к государственным системам, созданным для защиты общественного порядка и поддержания безопасности;
• кто занимается сбором в целях гарантии безопасной работы транспортных комплексов;
• учреждения, которые для такой деятельности не используют средства автоматизации.

Для подачи заявки отправляется соответствующее заявление в электронном или письменном виде. Оно должно быть заполнено по форме, которую можно загрузить на сайте Роскомнадзора. Содержание заявки также изложено в приказе №346 Минкомсвязи России от 21 ноября 2011 года. Важно отметить, что в будущем форма может измениться.

В электронном виде заявка заполняется на сайте РКН, на странице “Электронные формы заявлений”. Если же заявление в бумажном виде, то в качестве адреса получения следует указать местный орган надзора.

При составлении заявления обязательно указываем:

• полное и краткое название, ИНН, почтовый и юридический адрес;
• список того, что планируется запрашивать и с кого;
• медицинскую лицензию;
• кто из сотрудников этим станет заниматься;
• виды используемой защиты при работе;
• как и где станут храниться собранные результаты.

Рассмотрение заявки на предоставление статуса ОПД занимает до 30 дней. Если какого-либо документа окажется недостаточно, сотрудники РКН отправят соответствующий запрос.

В том случае, когда уже получен статус, но алгоритм сбора информации изменился, то в течение 10 дней надлежит уведомить об этом надзорный орган. Все процедуры являются бесплатными.

Что поменялось с 1 сентября 2022 года?

С 1 сентября 2022 года РКН внес некоторые изменения в правила работы операторов персональных данных:

• время, в течение которого требуется дать ответ на запрос Роскомнадзора сократилось с 30 дней до 10;
• отправить форму на получение статуса оператора обязаны все медицинские организации, использующие при обработке любые средства автоматизации;
• при составлении заявления требуется указать тип данных, методы их обработки;
• в нормативных актах должны быть прописаны способы сбора, хранения и уничтожения, указаны категории и критерии собираемой информации;
• при краже необходимо уведомить об этом надзорный орган в течение суток, также в течение трех дней провести расследование и отправить отчет о результатах;
• человек должен предоставить согласие в письменной или электронной форме, но не в устной.

При наличии несоответствий с новыми правилами необходимо выявить их и быстро устранить.

Что будет в случае отказа регистрировать статус оператора?

Если деятельность подразумевает получение статуса ОПД, то в случае отказа сразу последуют соответствующие санкции. В статье 19.7 КоАП РФ прописан штраф для юридических лиц в размере от 3 до 5 тысяч рублей. Должностные лица будут обязаны уплатить от 300 до 500 рублей.

В Федеральном законе №13-Ф3, в статье 13.11 указано, что при выявлении нарушений в работе организации юридические лица обязаны уплатить штраф от 15 до 75 тысяч рублей, в зависимости от серьезности несоответствий. Индивидуальные предприниматели - от 5 до 20 тысяч.