Коммерческая медицина – это та область, в которой к защите
персональных данных субъектов необходимо уделить особое внимание,
ведь сведения о здоровье граждан относятся к специальной категории
ПДн. В какой степени организации коммерческой медицины являются
операторами персональных данных? Какие действия им необходимо
принять в организации обработки ПДн? Как проходят проверки
регуляторов, и какая ответственность предусмотрена за нарушение
законодательства?
Семинар открыла ведущий юрист компании "ИнфоТехноПроект"
Анастасия Шилина. В своем докладе она рассказала об особенностях
обработки персональных данных в коммерческих медицинских
организациях. Говоря о неоднозначности понятия "персональные
данные" в законодательных актах, она сделала важный акцент на том,
что "…оператору (любому юридическому лицу, в том числе медицинской
организации) до начала обработки персональных данных необходимо
сформулировать понятие "персональные данные" применительно к своей
сфере деятельности, описав, какие именно данные являются для него
персональными и закрепив это документально, для последующего
обеспечения этих данных соответствующими мерами защиты".
Для коммерческих медицинских компаний такой шаг является очень
важным в организации обработки персональных данных клиентов. При
этом нельзя умолчать и о следующем. Компаниям необходимо не только
определить для себя, что считать персональными данными, но и
разграничивать такие понятия как "персональные данные" и
"медицинская тайна". Эти понятия совпадают далеко не всегда. Кроме
того, обращения с информацией, подпадающей под эти два определения,
регулируются разными нормативными актами, требует разной степени
защиты информации. Эту проблему в своем докладе подробно осветил
юрист компании "ИнфоТехноПроект" Алексей Мунтян.
Все эти доклады аудитория слушала с большим интересом. В прочем,
как и доклад Натальи Самойловой о деятельности регуляторов и об
ответственности за нарушения законодательства о персональных
данных. Внимание публики к ее сообщению четко давало понять, что
далеко не всем операторам ПДн в области коммерческой медицины
удалось разобраться не только в тонкостях, но и в основах обработки
персональных данных.
По этой причине небезынтересным был и доклад руководителя
кадрового агентства "КОРДЭК" Татьяны Сабельниковой. Она рассказала
о первых шагах в организации обработки персональных данных
оператором. "Для начала необходимо четко определить позиции, от
которых в основном будет зависеть соблюдение требований
Федерального закона "О персональных данных" и величина затрат на
защиту персональных данных. Это, во-первых, категории
обрабатываемых персональных данных, во-вторых, их объем и,
в-третьих, цели обработки. Проще говоря, что обрабатываем, как и
зачем. В результате этих действий в компании должен появиться блок
административно-распорядительных документов, регламентирующих
деятельность организации в сфере персональных данных".
Вообще же, судя по вопросам из зала, многие новоявленные
операторы персональных данных до сих пор не могут похвастаться
базовыми познаниями в вопросах защиты ПДн. "Нужно ли брать согласие
клиента на передачу данных третьим лицам?", "Кто вообще такие эти
третьи лица?", "Зачем регистрироваться в реестре?", "Если
медицинское учреждение регистрируется в реестре операторов ПДн,
значит ли это, что регулятор незамедлительно после регистрации
явится с проверкой?". Изрядно удивляли докладчиков доводы из зала о
том, что "закон ведь еще не действует".
В общем и целом, семинар показал, что далеко не все операторы
персональных данных осведомлены о своих правах и обязанностях и о
порядке организации обработки ПДн в своих информационных
системах.