Защита информации в биобанках: пробелы регулирования и пути решения
Автор: Петухов Олег Анатольевич, юрист, руководитель юридической компании ЛЕГАС
Сайт: legascom.ru
E-mail: petukhov@legascom.ru
Развитие персонализированной и предиктивной медицины дало мощный импульс биобанкированию - сбору и хранению биологических образцов человека и связанных с ними данных. Однако правовое регулирование этой сферы заметно отстаёт: сегодня в российском законодательстве нет единого механизма защиты информации, которая аккумулируется в биобанках. Из‑за этого возникают серьёзные риски для прав граждан и информационной безопасности.
Какие данные хранят биобанки и почему их сложно защищать
В биобанке сведения о биообразце существуют на двух уровнях:
Базовый уровень - данные, непосредственно полученные из самого образца.
Метауровень - сопутствующая информация: сведения о доноре, условиях забора, транспортировки, хранения и т. п.
Для науки важны оба уровня, но с точки зрения права они подпадают под разные режимы защиты:
Персональные данные - регулируются ФЗ № 152‑ФЗ «О персональных данных». Сюда относятся Ф. И. О., адрес, национальность и иные сведения, позволяющие идентифицировать человека.
Врачебная тайна - защищается ст. 13 ФЗ № 323‑ФЗ «Об основах охраны здоровья граждан в РФ».
Генетическая информация и данные - специального режима защиты практически нет. Существующие нормы (например, в законах о геномной регистрации и генно‑инженерной деятельности) не подходят для биобанков: у них другой объект регулирования.
Именно отсутствие чёткого правового статуса генетических данных - ключевая проблема. Не определены даже базовые понятия: чем отличаются «генетическая информация» и «генетические данные», как их корректно классифицировать. При этом генетические сведения многоаспектны: они одновременно могут быть и персональными, и частью врачебной тайны, и источником рисков для родственников донора.
Почему действующие механизмы не закрывают проблему
Режим персональных данных (в том числе специальные требования ст. 11 ФЗ № 152‑ФЗ) не рассчитан на специфику генетической информации. Генетические данные нельзя сводить к обычным идентификаторам: они содержат прогнозные и семейные характеристики, которые не укладываются в стандартные критерии идентификации лица.
Некоторые эксперты предлагают создать особый режим защиты - так называемый «режим контролируемого доступа». Но пока эта концепция остаётся декларативной: не описаны ни механизмы, ни критерии его применения.
Что предлагает автор для устранения пробелов
Чтобы оперативно закрыть правовой вакуум, автор предлагает поэтапный подход:
На первом этапе - включить генетические данные в сферу действия ФЗ № 152‑ФЗ как особый вид сведений о частной жизни. Это позволит сразу применить базовые механизмы защиты персональных данных и требования к псевдонимизации, хранению ключей деобезличивания, обмену информацией.
На втором этапе - разработать отдельный нормативный акт, который учтёт специфику генетических данных: их прогнозный характер, влияние на интересы третьих лиц (родственников), особенности обработки и передачи.
Как выстроить административный контроль
Создание единой информационной системы биобанков (с публичным каталогом образцов) требует единых обязательных требований к защите данных. Автор считает обоснованным распределить компетенции между ведомствами:
Минздрав России (совместно с Минцифры России и ФСБ России) - устанавливает обязательные требования к информационным системам биобанков и к единой системе.
Роскомнадзор - осуществляет контроль за информационной безопасностью систем.
Росздравнадзор и ФМБА России - контролируют соответствие систем требованиям в сфере здравоохранения и функционирования биобанков.
Такой подход позволит обеспечить баланс между развитием науки, защитой прав граждан и национальной безопасностью.
Вывод: нужна унификация и чёткие правила
Информация в биобанках носит комплексный характер: она объединяет персональные данные, врачебную тайну, генетические и иные сведения о частной жизни. Поэтому защита должна строиться на единых принципах и обязательных требованиях, а не на фрагментарном применении разных правовых режимов. Первым шагом должно стать признание генетических данных особым объектом правовой охраны и расширение сферы действия закона о персональных данных. В дальнейшем - создание специализированного регулирования, учитывающего уникальные свойства генетической информации и интересы всех участников процесса.
