Телемедицина в России: как защитить данные пациента и выстроить правовое регулирование
Автор: Петухов Олег Анатольевич, руководитель юридической компании «ЛЕГАС»
Сайт: legascom.ru | Email: petukhov@legascom.ru
Телемедицина активно развивается, но её правовое регулирование в России остаётся фрагментарным. В статье Олег Анатольевич Петухов предлагает системный подход к институционализации регулирования телемедицинских технологий - с фокусом на защите персонифицированной информации пациента и чётком распределении ответственности между участниками процесса.
Почему регулирование нужно выстраивать системно
У телемедицины есть очевидные плюсы: она повышает доступность медпомощи в удалённых районах и в кризисных ситуациях (например, во время пандемий). Но вместе с тем растут и риски: утечка, искажение или неправомерное использование медицинских данных может навредить пациенту не только в медицинской, но и в страховой, трудовой и иных сферах.
Сейчас регулирование телемедицины в РФ строится преимущественно на общих нормах о врачебной тайне и персональных данных. Базовые акты - ст. 36.2 ФЗ № 323‑ФЗ и Приказ Минздрава № 965н - носят рамочный характер. Это приводит к точечному, а не системному решению проблем.
Зарубежный опыт: три модели регулирования
В мировой практике сложились три подхода:
Специальное регулирование (США, Франция, Германия, Канада): действуют отдельные нормы именно для телемедицинских услуг. Во Франции, например, сначала запустили правовой эксперимент в девяти регионах, а затем распространили нормы на всю страну.
Общие требования (Великобритания, Нидерланды, Испания): телемедицина регулируется через действующие нормы здравоохранения и защиты данных; специальные лицензии не требуются, а ответственность за безопасность консультации лежит на враче.
Ограничительный подход (Южная Корея, Малайзия, ранее - Япония): оказание дистанционной помощи либо запрещено, либо сильно ограничено. В ряде стран запреты смягчались только на период пандемии.
Россия сейчас ближе ко второй модели, но автор считает перспективным движение к первой - к формированию специального, более детального регулирования, в том числе через экспериментальные правовые режимы.
Какие риски нужно закрывать в первую очередь
Петухов выделяет ключевые риски в телемедицине:
неправомерный доступ к данным;
их незаконное использование и распространение;
искажение информации.
Чтобы минимизировать эти риски, важно чётко определить, кто и за что отвечает в цепочке оказания телемедицинской помощи.
Кто должен нести ответственность: распределение ролей
Автор предлагает закрепить правовой статус ключевых субъектов:
Медицинская организация - отвечает за организацию внутреннего доступа к данным, инструктаж сотрудников, исключение физического доступа посторонних к носителям информации.
Медицинский работник - обязан соблюдать врачебную тайну, не передавать токены УКЭП, фиксировать ход консультации и присутствие третьих лиц. При этом на врача не стоит возлагать задачи, требующие технической реализации (например, идентификацию пациента через криптографические средства).
Пациент - должен предоставлять достоверные данные и осознанно соглашаться на выбранный формат консультации. Если общение происходит вне защищённой системы (например, по электронной почте), врач обязан предупредить о рисках и получить информированное согласие.
Владелец медицинской информационной системы - ключевой субъект для защиты данных от технологических рисков. Именно он должен обеспечивать техническую защиту, мониторинг системы, удалённую поддержку и соответствие требованиям по уровню защищённости не ниже второго.
Практические предложения по институционализации
Для повышения защищённости данных и прозрачности рынка автор предлагает:
конкретизировать правовой статус владельца медицинской информационной системы как самостоятельного участника правоотношений;
установить единые требования к защите данных (управление установкой ПО, контроль интерфейсов, регистрация событий, невозможность отрицания отправки/получения информации и т. п.);
создать реестр владельцев медицинских информационных систем под надзором уполномоченного госоргана (например, Роскомнадзора или Росздравнадзора);
внедрить механизмы идентификации врачей и пациентов: автоматический вывод данных врача в интерфейсе, проверка через сайт медорганизации, использование ЕСИА, УКЭП или биометрии.
Вывод
Развитие телемедицины расширяет возможности пациентов, но одновременно усиливает риски утечки и неправомерного использования персональных медицинских данных. Оптимальный путь - институционализировать регулирование через чёткое закрепление статусов и зон ответственности участников: медорганизаций, врачей, владельцев информационных систем и пациентов. При этом именно владелец системы должен отвечать за технологические риски, а остальные участники - за риски, связанные с человеческим фактором. Такой подход позволит системно минимизировать угрозы и повысить доверие к телемедицинским услугам.