Права граждан при оказании психиатрической помощи

Положения данного пункта были проверены Конституционным Судом РФ на предмет их соответствия Конституции РФ.[72 - Определение Конституционного Суда РФ от 16 июля 2013 г. № 1176-О.] Как следовало из жалобы Круглова А.Г., поданной в Конституционный Суд РФ, Круглов обратился в суд с требованием обязать ГБУЗ «Самарский психоневрологический диспансер» удалить его незаконно обрабатываемые персональные данные. Ленинский районный суд г. Самары, руководствуясь п. 4 ч. 2 ст. 10 Закона о персональных данных, решением от 25 января 2013 г., оставленным без изменения судом апелляционной инстанции, отказал заявителю в удовлетворении его требований.

По мнению заявителя, оспариваемое законоположение допускает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия и не предусматривает условия прекращения обработки его персональных данных. В связи с этим заявитель просил признать оспариваемую норму не соответствующей ст. 2, 18, 19 (ч. 1 и 2), 21 (ч. 1), 23 (ч. 1), 24 (ч. 1), 45 (ч. 1), 46 (ч. 1), 55 (ч. 2) и 56 (ч. 3) Конституции РФ.

Конституционный Суд РФ не нашел оснований для принятия жалобы к рассмотрению, указав следующее. Закон о персональных данных, принятый в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в т. ч. защиты прав на неприкосновенность частной жизни, личную и семейную тайну, устанавливает принципы и условия обработки персональных данных (глава 2). В силу ст. 5 Закона о персональных данных такая обработка должна ограничиваться достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора. Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объём обрабатываемых данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (ч. 2, 4 и 5). По общему правилу, предусмотренному ч. 1 ст. 10 Закона о персональных данных, обработка специальных категорий персональных данных, касающихся, в частности состояния здоровья, интимной жизни, не допускается. Исключения из этого правила носят ограниченный характер. К их числу относится оспариваемая заявителем возможность обработки персональных данных в медико-профилактических целях, в целях установления диагноза, оказания медицинских и медико-социальных услуг при условии, что их обработка осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством сохранять врачебную тайну (п. 4

ч. 2 ст. 10). Таким образом, с позиций Конституционного Суда РФ, оспариваемое законоположение позволяет хранить информацию о состоянии здоровья граждан исключительно в целях реализации их права на охрану здоровья и медицинскую помощь, при этом конфиденциальность персональных данных обеспечивается врачебной тайной, а потому оно не может рассматриваться как нарушающее конституционные права заявителя в указанном им аспекте.

– обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия (п. 6);

– обработка персональных данных осуществляется в соответствии с законодательством об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством (п. 7);

– обработка полученных в установленных законодательством случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора (п. 7.1);

– обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством (п. 8);

– обработка персональных данных осуществляется в предусмотренных законодательством случаях государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан (п. 9).

Обработка специальных категорий персональных данных должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка, если иное не установлено федеральным законом.

Субъект персональных данных даёт согласие на их обработку свободно, своей волей и в своём интересе. Согласие должно быть конкретным, информированным и сознательным (ч. 1 ст. 9 Закона о персональных данных). Согласие в письменной форме должно включать:

1) ФИО, адрес субъекта персональных данных, номер и дату выдачи основного документа, удостоверяющего его личность, сведения о выдавшем его органе;

2) ФИО, адрес представителя субъекта персональных данных, номер и дату выдачи основного документа, удостоверяющего его личность, сведения о выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или ФИО и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

5) перечень персональных данных, на обработку которых даётся согласие;

6) наименование или ФИО и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7) перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных.

Указанные выше требования закона на практике не всегда исполняются. Многие медицинские организации, предлагающие гражданам подписать согласие на обработку своих персональных данных, не осведомляют пациента ни о тех службах, в которые могут быть направлены эти сведения, ни о том, какие именно персональные данные будут переданы.

Согласно закону согласие на обработку персональных данных может быть отозвано. В этом случае оператор вправе продолжить их обработку без согласия субъекта персональных данных при наличии оснований, указанных в п. 2—11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона о персональных данных.

Может ли база данных о лицах, находящихся под наблюдением психиатра, стать предметом купли-продажи?

В такой неожиданной плоскости данный вопрос был разрешён в порядке арбитражного судопроизводства. Суд признал, что такие сведения в силу того, что они составляют охраняемую законом тайну и не подлежат разглашению, не могут выступать в качестве товара.

ГЛПУ «Кировская областная клиническая психиатрическая больница им. В.М. Бехтерева» и ООО «Лечебно-диагностический центр «Верис» заключили договор о сотрудничестве от 21 августа 2007 г., в соответствии с которым сотрудник больницы (врач-психиатр) участвует в работе медкомиссии, организованной на территории ООО «Верис» вне помещения больницы. Данный врач освидетельствует граждан и, используя компьютер с защищённым каналом связи, может удостовериться в том, что конкретный гражданин не состоит «на учёте» как лицо, страдающее психическим заболеванием. За каждого освидетельствованного гражданина ООО «Верис» обязывалось выплачивать больнице денежные средства в фиксированной сумме.

ООО «ТерраМед», посчитав, что больница необоснованно отказывает ему в заключении аналогичного договора, обратилось с жалобой в Управление Федеральной антимонопольной службы по Кировской области, которое по результатам рассмотрения жалобы возбудило дело по факту нарушения антимонопольного законодательства.

По мнению антимонопольного органа, больница является единственным областным специализированным учреждением, осуществляющим учёт граждан, страдающих психическими заболеваниями, в силу чего только она обладает соответствующей информационной базой данных. В силу данного обстоятельства Управление ФАС, руководствуясь п. 3.2, 3.8 и 3.8.1 Административного регламента, утверждённого приказом ФАС от 17 января 2007 г. № 5, а также п. 4 и 5 приказа ФАС от 25 апреля 2006 г. № 108, пришло к выводу, что больница занимает доминирующее положение на товарном рынке. Соответственно, по мнению Управления, больница необоснованно работает по договору исключительно с ООО «Верис» и отвергает предложение ООО «ТерраМед» по заключению аналогичного договора.

В соответствии с п. 1 решения Управления ФАС от 23 апреля 2008 г. действия больницы, выразившиеся в создании дискриминационных условий хозяйствующему субъекту, работающему на рынке оказания медицинских услуг, признаны нарушающими п. 8 ч. 1 ст. 10 Федерального закона от 26 июля 2006 г. № 135-ФЗ «О защите конкуренции». Пункт 2 решения предусматривал выдачу больнице предписания об устранении нарушения антимонопольного законодательства.

Посчитав свои права нарушенными, больница обратилась в арбитражный суд с заявлением о признании недействительными п. 1 и 2 решения Управления ФАС. С точки зрения больницы, информация, содержащаяся в базе данных по гражданам, страдающим психическими заболеваниями, не является объектом гражданских прав и не может быть товаром, вследствие чего больница не может занимать доминирующее положение на товарном рынке.

Арбитражный суд Кировской области, руководствуясь ст. 4 и 23 Федерального закона «О защите конкуренции», своим решением 4 июля 2008 г. по делу № А28-4103/2008-162/16 удовлетворил требование больницы. Суд исходил из того, что в деле отсутствуют доказательства того, что больница занимает доминирующее положение на рынке медицинских услуг и ставит хозяйствующих субъектов в неравное положение. Кроме того, суд посчитал, что ООО «ТерраМед» не обращалось к больнице с конкретным предложением о заключении договора.

Федеральный Арбитражный Суд Волго-Вятского округа своим постановлением от 10 ноября 2008 г. оставил решение Арбитражного суда Кировской области без изменения, а кассационную жалобу Управления ФАС – без удовлетворения, приведя ниже следующую аргументацию.

В соответствии со ст. 4 Федерального закона «О защите конкуренции»:

– товар – объект гражданских прав (в т. ч. работа, услуга, включая финансовую услугу), предназначенный для продажи, обмена или иного введения в оборот;

– товарный рынок – сфера обращения товара, который не может быть заменён другим товаром, или взаимозаменяемых товаров (далее – определённый товар), в границах которой (в т. ч. географических) исходя из экономической, технической или иной возможности либо целесообразности приобретатель может приобрести товар, и такая возможность либо целесообразность отсутствует за её пределами;

– дискриминационные условия – условия доступа на товарный рынок, условия производства, обмена, потребления, приобретения, продажи, иной передачи товара, при которых хозяйствующий субъект поставлен в неравное положение по сравнению с другим хозяйствующим субъектом.

На основании ч. 1 ст. 5 Федерального закона «О защите конкуренции» доминирующим положением признаётся положение хозяйствующего субъекта на рынке определённого товара, дающее такому субъекту возможность оказывать решающее влияние на общие условия обращения товара на соответствующем товарном рынке, и (или) устранять с этого товарного рынка других хозяйствующих субъектов, и (или) затруднять им доступ на этот товарный рынок.

Как следует из п. 8 ч. 1 ст. 10 названного закона, запрещаются действия занимающего доминирующее положение хозяйствующего субъекта, результатом которых являются или могут являться недопущение, ограничение, устранение конкуренции и (или) ущемление интересов других лиц, в т. ч. создание дискриминационных условий.

В решении Управления ФАС указано, что больница является единственным лечебным учреждением, которое обладает базой данных о гражданах, состоящих на «учёте» в ПНД, т. е., по мнению антимонопольного органа, занимает доминирующее положение на рынке соответствующих медицинских услуг.

При этом характеристика больницы как единственного обладателя данной базы, сведения из которой не подлежат разглашению в силу ст. 9 Закона о психиатрической помощи, вообще исключает возможность существования рынка услуг, оказываемых больницей. Соответственно, в отсутствие рынка больница не может занимать доминирующего положения и поэтому не могла нарушить п. 8 ч. 1 ст. 10 Федерального закона «О защите конкуренции».

Какой орган уполномочен осуществлять защиту прав субъектов персональных данных?

На основании Закона о персональных данных в России создан уполномоченный орган по защите прав субъектов персональных данных. Он призван обеспечивать контроль и надзор за соответствием обработки персональных данных требованиям названного Закона, рассматривать обращения граждан (субъектов персональных данных) о соответствии содержания персональных данных и способов их обработки целям их обработки. Указанный орган вправе, в частности, обращаться в суд с исковым заявлением в защиту прав граждан и представлять их интересы в суде.

Этим уполномоченным органом является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Это орган исполнительной власти Российской Федерации, находящийся в ведении Минкомсвязи России. На территории Москвы и Московской области таким органом соответственно выступает Управление Роскомнадзора по Москве и Московской области.

Как должна обеспечиваться информационная безопасность в медицинской организации?

Пациенты как субъекты персональных данных, в т. ч. составляющих врачебную тайну, передавая сведения о себе, вправе рассчитывать на соблюдение конфиденциальности при использовании данной информации в медорганизациях. Это подразумевает не только применение технических средств защиты (специальные сертифицированные программные и технические средства защиты информации[73 - См.: Положение о методах и способах защиты информации в информационных системах персональных данных, утвержденное приказом ФСТЭК России от 5 февраля 2010 г. № 58.]), но и проведение комплекса организационных мероприятий, направленных на предотвращение потери, искажения и несанкционированного доступа к персональным данным.

Указанный комплекс мероприятий должен подразумевать наличие в медорганизации должностных инструкций, положения об обработке персональных данных, журналов (журнала регистрации используемого программного обеспечения, журнала по учёту носителей информации, содержащей персональные данные, журнала учёта обращений граждан – субъектов персональных данных, журнала регистрации выявленных нарушений). Должны функционировать регламенты взаимодействия между подразделениями медорганизации, регламенты использования программного обеспечения, ресурсов сети Интернет, требования к профессиональной подготовке персонала. Медработники должны подписывать обязательства о неразглашении данных.

Приказом руководителя (главного врача) медорганизации из числа работников назначается ответственный за организацию обработки персональных данных. В его обязанности входит контроль за соблюдением оператором и сотрудниками медорганизации законодательства о персональных данных и требований к их защите;

доведение до сведения сотрудников положений законодательства и локальных актов организации, регламентирующих процесс обработки персональных данных; организация приёма и обработки обращений и запросов субъектов персональных данных.

Активно разрабатываемые медорганизациями электронные истории болезни[74 - См.: Национальный стандарт Российской Федерации «Электронная история болезни. Общие положения ГОСТ Р 52636-2006». Утвержден приказом Федерального агентства по техническому регулированию и метрологии от 27 декабря 2006 г. № 407-ст. Введён в действие 1 января 2008 г.] во многих отношениях могут быть удобнее и надежнее бумажных, в частности, появляется возможность легко и эффективно контролировать доступ к ним лишь конкретных лиц. В то же время потенциальная возможность передачи огромного количества конфиденциальной информации с колоссальной скоростью практически неограниченному числу адресатов порождает серьёзные проблемы, относящиеся не к конфиденциальности, а именно к сфере информационной безопасности. Впрочем, по данным исследований, в России в 90 % случаев в утечке информации виноват персонал, а не хакеры.[75 - Российская газета, 2013, 11 июня.]

Можно ли обезличить персональные данные пациента, в том числе сведения об установленном ему диагнозе?

Одним из средств защиты информации от несанкционированного использования и, в первую очередь, мерой, направленной на минимизацию рисков причинения вреда конкретным гражданам в случае утечки их персональных данных из информационных систем, является обезличивание персональных данных. Это действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъект. Этот процесс затронет и медицинские организации. Для возможности обработки обезличенные данные должны обладать свойствами, сохраняющими основные свои характеристики.