Персональные медицинские данные и цифровое здравоохранение

Коротко

Персональными медицинскими данными называются персональные данные о здоровье человека и оказанных ему медицинских услугах (Кодекс о здоровье, ст. 58 пп. 2). Они составляют тайну медицинского работника (ст. 273 п. 1). Данные собираются в рамках оказания медицинской помощи, а третьим лицам передаются с согласия пациента, кроме случаев закона (ст. 60). Детали содержат Правила Минздрава № ҚР ДСМ-30: обработка только для оказания медицинской помощи, уведомление пациента о каждом использовании его данных, хранение на серверах в Казахстане.

Тайна медицинского работника

Тайну составляют персональные медицинские данные, факт обращения за медицинской помощью, состояние здоровья, диагноз и иные сведения, полученные при обследовании и лечении (ст. 273 п. 1).

• С согласия пациента сведения можно передать для научных исследований и учебного процесса (ст. 273 п. 3).
• Без согласия сведения передаются в закрытом перечне случаев (ст. 273 п. 4), в частности: лечение человека, не способного выразить волю; угроза распространения опасных заболеваний; запросы органов расследования, прокурора, адвоката, суда; информирование законного представителя несовершеннолетнего; подозрение, что вред здоровью причинён противоправно; контроль качества медицинских услуг; запросы специальных государственных органов; установление страхового случая.
• Не является разглашением передача резервной копии на единую платформу резервного хранения и обмен информацией в цифровой форме для оказания медицинской помощи (ст. 273 п. 5).
• Подключение к другим базам. Цифровые ресурсы с персональными медицинскими данными нельзя подключать к сетям, связывающим их с другими базами данных, без согласия людей, кроме случаев, перечисленных в законе (ст. 273 п. 6).

Цифровое здравоохранение

• Сбор. Данные для электронных медицинских записей собираются в рамках оказания медицинской помощи с учётом информированного согласия пациента на её получение (ст. 60 п. 1).
• Национальный электронный паспорт здоровья. Медицинские организации обязаны передавать в него данные (ст. 60 п. 2); такая передача идёт без согласия пациента (ст. 60 п. 4).
• Третьи лица получают данные с согласия пациента, кроме случаев закона (ст. 60 п. 3).
• Копии удостоверений личности собирать запрещено, кроме документов иммигрантов (ст. 60 п. 1-1).

Кто получает доступ

С согласия пациента доступ получают медицинские и фармацевтические организации, фонд, возмещающий затраты на медицинскую помощь, органы здравоохранения и другие лица из закрытого перечня, только в части, необходимой для их услуг (ст. 61 п. 1). При экстренной и неотложной помощи доступ предоставляется по умолчанию (ст. 61 п. 2). Порядок определяется правилами разграничения прав доступа, которые Минздрав согласует с уполномоченным органом по персональным данным (ст. 61 п. 4).

Пациент вправе видеть сведения о своём здоровье в электронном паспорте здоровья и журнал доступа к своим данным (ст. 61 п. 5). Для аналитики, статистики и исследований данные используются в обезличенном виде (ст. 61 п. 9). Информация из медицинских цифровых ресурсов используется только в рамках должностных обязанностей (ст. 62 п. 3).

Правила Минздрава

Правила № ҚР ДСМ-30 уточняют:

• согласие: письменно, электронным документом или через кабинет на портале «электронного правительства» (п. 6);
• цель: обработка исключительно для оказания медицинской помощи (п. 12);
• уведомление: пациент автоматически получает в кабинете «электронного правительства» сообщения обо всех случаях использования, изменения и дополнения его данных (п. 14);
• исследования: обезличивание (п. 15), а передача сведений для исследований и обучения идёт с информированного согласия (п. 16);
• локализация: хранение на серверах, физически размещённых в Казахстане (п. 19);
• запрос пациента: ответ или мотивированный отказ за 3 рабочих дня (пп. 28–29).

Интерпретация. По п. 13 Правил исправления в данные пациента вносятся в течение трёх рабочих дней, а Закон о персональных данных требует изменить данные в течение одного рабочего дня (ст. 25 п. 2 пп. 8). Закон выше по силе, поэтому безопаснее ориентироваться на один рабочий день.

Медицинские данные как данные ограниченного доступа

Медицинская тайна служит основным примером данных ограниченного доступа (см. заметку «Виды персональных данных»). Отсюда:

• усиленные меры защиты, включая шифрование и журналы доступа (Правила защиты, п. 15);
• обработка через цифровые объекты, размещённые в Казахстане (п. 16);
• повышение категории оператора на один уровень (п. 17). Клиника от 10 тыс. пациентов становится крупным оператором и должна уведомлять уполномоченный орган (см. заметку «Уведомление уполномоченного органа и реестр операторов»).

Ответственность

За несоблюдение мер защиты медицинских данных, повлёкшее их утерю или незаконную обработку, лица отвечают по законам (Кодекс о здоровье, ст. 61 п. 8), то есть по ст. 79 КоАП и ст. 147 УК (см. заметку «Ответственность за нарушения законодательства о персональных данных»).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Статус данных о здоровье	Тайна медицинского работника, данные ограниченного доступа	Особая категория (Art. 9(1))
Основание для лечения	Информированное согласие на медицинскую помощь, закон	Медицинская помощь при профессиональной тайне (Art. 9(2)(h), Art. 9(3))
Исследования	Информированное согласие или обезличивание	Гарантии Art. 89, особые основания по праву ЕС или государств
Национальная база	Национальный электронный паспорт здоровья, передача без согласия	Европейское пространство данных здравоохранения (Регламент 2025/327)
Журнал доступа для пациента	Да (ст. 61 п. 5)	Право доступа (Art. 15)

Открытые вопросы

Открытый вопрос: приложения и носимые устройства. Подпадают ли под режим Кодекса фитнес-приложения и сервисы, не являющиеся медицинскими организациями, но собирающие показатели здоровья?

Открытый вопрос: подключение к другим базам. Насколько широко понимать запрет ст. 273 п. 6: относится ли он к интеграции медицинской системы клиники с CRM, страховой компанией, лабораторией?

Открытый вопрос: иностранная телемедицина. Как совместить консультации с иностранными клиниками с требованием хранить данные на серверах в Казахстане и с правилами трансграничной передачи?

Что ещё изучить

• Правила разграничения прав доступа субъектов цифрового здравоохранения (ст. 61 п. 4 Кодекса).
• Правила об агрегаторах персональных медицинских данных (ст. 58 пп. 3 Кодекса).
• Практику привлечения клиник к ответственности за утечки медицинских данных.