Трансформация института врачебной тайны в эпоху электронного здравоохранения

Авторы: Акулин И.М., Чеснокова Е.А., Смирнова К.М., Пресняков Р.А.

Оглавление

1. Введение

2. Цифровизация здравоохранения в Российской Федерации: проблемы и перспективы

3. Основные современные подходы к защите информации, содержащейся в базах Больших данных

4. Заключение

---

1. Введение

Повсеместная цифровая трансформация оказывает влияние на многие социальные сферы, в том числе и на здравоохранение. При этом, несмотря на, казалось бы, высокие темпы технологического развития, государство все же не спешит с тотальной цифровизацией данной области, а, напротив, довольно осторожно подходит к изменению status quo. Это связано с разными обстоятельствами, среди которых существенную роль играют сложившиеся этические и правовые представления о том, каким образом должны быть выстроены взаимоотношения между пациентом и врачом. Переход к электронному (цифровому) здравоохранению неизбежно влечет их глобальную переоценку, возникают новые риски и потенциальные проблемы в части обеспечения информационной безопасности и защиты приватности, которая в широком смысле охватывает собой персональные данные и сведения, относящиеся к различным видам тайн, включая врачебную. Для формирования правовой действительности, в которой будут нивелированы указанные риски и защищены интересы как пациентов, так и врачей и где в то же время будут созданы условия для интеграции передовых технологий в систему здравоохранения, необходимо с предельным вниманием отнестись к происходящему нормотворчеству, а также выработать комплекс предложений по развитию нормативного правового регулирования, которое в первую очередь обеспечит защиту института врачебной тайны в период цифровой трансформации. В частности, на законодательном уровне должны быть определены формы электронных документов и пересмотрен круг субъектов, имеющих доступ как к персонализированной, так и к деперсонализированной информации о состоянии здоровья, определены условия, при которых возникает право доступа к информации вне зависимости от волеизъявления пациента. Вместе с тем для соблюдения прав пациентов, в том числе обеспечения права на конфиденциальность, а также для усиления защиты от несанкционированного доступа или утечки данных необходимо на федеральном уровне законодательно закрепить меры, обеспечивающие безопасность и сохранность данных, основанных на передовых технических решениях в сфере цифровых технологий.

2. Цифровизация здравоохранения в Российской Федерации: проблемы и перспективы

В России предпосылки "цифрового переосмысления" традиционной модели здравоохранения возникли еще в 2001 г., когда впервые была опубликована Концепция развития телемедицинских технологий[1]. Однако относительно целостная нормативно-правовая объективация данных веяний появилась только к 2011 г., когда законодатель определил рамки электронного здравоохранения Российской Федерации в иной, новой Концепции создания единой государственной информационной системы в сфере здравоохранения[2].

Единая государственная информационная система в сфере здравоохранения (далее — ЕГИСЗ, единая система) — это государственная информационно-техническая платформа, которая выступает основой для функционирования различных цифровых систем, например электронной медицинской карты, информационных телекоммуникационных технологий, а также является решением, посредством которого бумажный документооборот медицинских организаций переводится в электронный вид.

Сегодня единая система находится в процессе интенсивного развития, и для ее функционирования требуется сформировать надлежащую систему правового регулирования[3]. Основными документами, регламентирующими ее работу, сейчас являются Закон об охране здоровья[4], Постановление о единой системе[5], которым утверждено Положение о ЕГИСЗ, Постановление о правилах взаимодействия иных информационных систем[6]. Указанные нормативные правовые акты на данном этапе определяют вектор развития единой системы — цифровизация процессов здравоохранения, которая должна среди прочего позволить в реальном времени осуществлять мониторинг, выстраивать краткосрочные, среднесрочные и долгосрочные программы развития, реализовывать адресные решения, определять медицинские организации, в которых возникает аномальное повышение смертности.

К тому же стоит выделить ряд потенциальных задач единой системы, которые могут быть решены в будущем, а именно: реализация механизма поддержки врачебных решений; возможность аналитики данных для улучшения качества, методов оказания медицинской помощи; развитие персонализированной медицины, ориентированной на предупреждение болезней, а не только на борьбу с ними; повышение доступности медицинской помощи, в том числе высококвалифицированной, посредством широкого внедрения информационно-телекоммуникационных технологий, введения автоматизированных процедур проверки соответствия принятого клинического решения актуализированным правилам медицинской помощи. То, что такие задачи являются перспективными, подтверждается мировым опытом[7] и все чаще получает отражение на уровне Министерства здравоохранения РФ[8]. Для их реализации потребуется внести изменения в действующее законодательство в части регулирования порядка обработки сведений, относящихся к врачебной тайне и персональным данным.

При этом, как и для любой государственной информационной системы, аккумулирующей большие массивы чувствительных данных, актуальными для ЕГИСЗ вопросами являются защита персональных данных и обеспечение информационной безопасности. Пока что довольно сложно оценить, в достаточной ли степени обеспечена такая защита, поскольку ЕГИСЗ все еще формируется и итоговый вид ее подсистем до конца не ясен, однако уже сейчас можно говорить о наличии некоторых проблем, затрагивающих прямо или косвенно интересы пациентов[9].

Необходимость соблюдения врачебной тайны, режим которой возникает в рамках отношений "врач — пациент", "врач — пациент — врач", "врач — пациент — родственники пациента" и в рамках аналогичных групп, является одной из классических проблем медицинского права. За восемь лет действия Закона об охране здоровья в ст. 13, посвященную регулированию врачебной тайны, были внесены лишь незначительные изменения, которые не решили сложившиеся проблемы и перенесли их актуальность в цифровую эпоху.

В действующем законодательстве под врачебной тайной понимаются сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе[10]. Из приведенной дефиниции видно, что действующее законодательство не содержит определения врачебной тайны, но ограничивает круг сведений, которые являются ею. При этом данные сведения имеют широкое применение и толкование, так как к ним можно отнести различные категории информации, прямо или косвенно затрагивающие отношения пациента и третьих лиц в процессе получения медицинской помощи[11].

Согласно ч. 2 ст. 13 Закона об охране здоровья обязанность по соблюдению врачебной тайны возлагается на лиц, которым эта тайна стала известна при обучении, исполнении трудовых, должностных, служебных и иных обязанностей. Открытый перечень лиц, обязанных хранить врачебную тайну, свидетельствует о том, что практически любое лицо, получившее доступ к таким сведениям, должно соблюдать режим врачебной тайны. В условиях цифрового здравоохранения к числу этих лиц могут в отдельных случаях относиться в том числе и провайдеры (операторы) медицинских информационных систем.

Сведения, составляющие врачебную тайну, могут быть разглашены фактически в любых целях на основании согласия пациента, что прямо следует из открытого перечня таких целей, сформулированного в ч. 3 ст. 13 Закона об охране здоровья. Одновременно с этим в Законе установлены основания, допускающие разглашение сведений, составляющих врачебную тайну, и без согласия пациента. Так, врачебная тайна может быть разглашена для цели оказания медицинской помощи, когда осуществляется обмен информацией между медицинскими организациями, в том числе когда информация размещается в медицинских информационных системах. При этом, однако, должны учитываться положения Закона о персональных данных[12], поскольку сведения, составляющие врачебную тайну, одновременно могут являться персональными данными на основании этого Закона, относясь к общим (например, Ф.И.О., адрес, контактные данные пациента), специальным (сведения о здоровье, диагнозе), а также биометрическим (сетчатка глаза) категориям персональных данных. Основания передачи таких данных третьим лицам сформулированы в Законе о персональных данных в закрытых перечнях применительно к каждой категории персональных данных.

Среди таких оснований ключевой для медицинских организаций является обработка в целях оказания медицинских и медико-социальных услуг, если она осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну. Для медицинских организаций, которые обрабатывают специальные данные в иных целях, а также для иных, немедицинских организаций, ключевым является получение согласия в письменной форме, которое, помимо прочих обязательных атрибутов, сформулированных в ст. 10 Закона о персональных данных, должно содержать конкретную цель обработки. В то же время в условиях развития цифровых технологий, а также накопления большого массива данных ценность представляет их повторное использование, осуществить которое применительно к данным о здоровье в рамках действующего регулирования невозможно. Этот вывод происходит из ст. 10 Закона о персональных данных, которая среди допустимых оснований обработки специальных категорий данных не содержит такого основания, как, например, обработка для общественно полезных, публичных целей (в частности, научных исследований), даже при условии, что такие данные являются обезличенными. Аналогичным образом такое положение отсутствует и в ч. 4 ст. 13 Закона об охране здоровья, описывающей случаи использования сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя. Можно говорить, что отсутствие специальных норм в данном случае препятствует развитию медицинской науки и внедрению сервисов нового поколения.

Одним из возможных выходов из сложившейся ситуации является внесение изменений в положения о врачебной тайне. Так, можно предусмотреть дополнительные положения, допускающие обработку сведений, составляющих врачебную тайну и относящихся к персональным данным, в случаях, когда это необходимо для научных и (или) исследовательских целей при условии надлежащего обезличивания сведений о пациенте.

Безусловно, при такой формулировке потребуется нормативное уточнение того, что же является тем самым надлежащим обезличиванием данных. Кроме того, может потребоваться ее уточнение применительно к обработке данных лиц, страдающих редкими (орфанными) заболеваниями.

3. Основные современные подходы к защите информации, содержащейся в базах Больших данных

В настоящее время существует законодательная инициатива, направленная на упрощение доступа к различным видам охраняемых законом тайн, включая врачебную[13]. Она разработана экспертами АНО "Цифровая экономика" по результатам исследования "Определение состава сведений, составляющих соответственно банковскую тайну, тайну связи, врачебную тайну и иные виды тайн, и порядка их передачи третьим лицам"[14], проведенного международной юридической фирмой Dentons, в соответствии с п. 01.01.003.003 Плана мероприятий по направлению "Нормативное регулирование" программы "Цифровая экономика Российской Федерации"[15].

Данный законопроект направлен на выработку сбалансированного подхода, взаимно учитывающего основные права человека и интересы инновационного бизнеса, и предусматривает расширение перечня субъектов, которым с согласия пациента может быть предоставлен доступ к сведениям, составляющим врачебную тайну. Например, предлагается дополнить ч. 3 ст. 13 Закона об охране здоровья указанием на возможность разглашения составляющих ее сведений организациям. При этом, согласно законопроекту, правило о необходимости получения письменного согласия пациента остается неизменным. Учитывая это, высказываемые опасения о возможном ослаблении регулирования врачебной тайны можно назвать преувеличенными. Данное нововведение должно обеспечить эффективную работу телемедицинских сервисов, легитимизировать права организаций на получение доступа к врачебной тайне, а также закрепить за ними ответственность в случае утечки данной информации. Положения законопроекта в рассматриваемой части учитывают, что на современном этапе защита той или иной информации зачастую связана с безопасностью именно информационной инфраструктуры, а не с компетенцией отдельных лиц. Таким образом, законопроект является лишь первым маленьким шагом к изменению регулирования врачебной тайны.

Аналогичным образом могут быть реформированы и положения Закона о персональных данных. С учетом подписанного Россией в октябре 2018 г. Протокола о внесении поправок в Конвенцию о защите физических лиц при автоматизированной обработке персональных данных[16] можно ожидать реформу регулирования защиты персональных данных[17]. Указанный Протокол во многом учел положения GDPR[18] и направлен на унификацию и модернизацию процессов обработки персональных данных в разных странах мира.

Одно из положений, имплементация которого в российское законодательство нивелировала бы рассматриваемый барьер, сформулировано в подп. "b" ч. 4 ст. 5 Протокола, согласно которому последующая обработка персональных данных, необходимая для достижения общественных целей, целей проведения научных, исторических исследований, в целях статистики, при условии соблюдения надлежащих мер защиты, совместима с целями, в которых изначально осуществлялась обработка персональных данных. Что является такими надлежащими мерами, в Конвенции не раскрывается, однако полагаем, что наряду с иными организационными и техническими мерами к ним может относиться обезличивание персональных данных.

В рамках ЕГИСЗ порядок обезличивания сведений о пациентах, обрабатываемых в подсистеме "Федеральная интегрированная электронная медицинская карта", определяется в Приказе Минздрава N 341н[19].

Предусматривается обезличивание сведений, составляющих персональные данные, а именно: Ф.И.О., дата рождения, место рождения, данные документа, удостоверяющего личность, место жительства и регистрации, дата регистрации, номер СНИЛС и полиса ОМС, серия и номер выданного листка нетрудоспособности. При этом обезличивание автоматически осуществляется специальной подсистемой обезличивания персональных данных ЕГИСЗ двумя способами, которые зависят от вида персональных данных: присвоение 128-значного числового идентификатора, который вычисляется посредством криптографического преобразования по ГОСТ Р 34.11-2012, а также изменение состава или семантики, посредством которого персональные данные заменяются определенными значениями.

Иные сведения, содержащиеся в системе, в частности пол, анамнез, диагноз, сведения об организации, осуществляющей медицинскую деятельность; вид, условия, сроки, объем и результаты оказания медицинской помощи, а также некоторые другие сведения, обезличиванию не подлежат. Доступ к такой информации, полученный компаниями в установленном порядке, позволит им проводить анализ указанных данных и в дальнейшем, например, развивать сервисы по поддержке принятия решений для врачей.

Установленный порядок схож с механизмом, предусмотренным в американском Законе от 21.08.1996 о передаче данных и учете в системе медицинского страхования[20] (далее — HIPAA), который определил требования к обеспечению конфиденциальности медицинских данных о пациентах, а также правила обмена такими данными. § 164.514 (e) раздела 45 Свода федеральных законов США предусмотрена возможность использования и раскрытия ограниченного набора медицинских данных для целей исследования, общественного здравоохранения или оказания медицинских услуг, если из них исключены идентификаторы субъекта, его родственников, работодателя, иных совместно проживающих с ним лиц[21]. Такие сведения могут быть использованы в указанных выше целях без получения согласия при условии заключения соглашения об использовании данных (data use agreement), которое должно быть составлено по определенной форме. Такое соглашение заключается между субъектом, подпадающим под действие HIPAA (включая широкий круг организаций здравоохранения, а также страховые компании), и получателем данных. С одной стороны, схожесть порядков обезличивания показывает, что отечественная система соответствует международным стандартам, что должно свидетельствовать об актуальности используемых решений и гарантировать полноправный диалог Российской Федерации с другими государствами в вопросах защиты специальной категории персональных данных, т.е. данных о здоровье. С другой стороны, нельзя игнорировать тот факт, что российский подход может иметь те же недостатки, что и действующие международные порядки, а с учетом постоянного роста производительности вычислительных систем уже в краткосрочной перспективе может устареть и не обеспечивать защиту персональных данных пользователей единой системы.

Стоит отметить, что в Приказе N 341н изначально заложен механизм, позволяющий осуществлять реидентификацию субъекта.

Так, п. 7 устанавливает, что обезличенные данные должны одновременно быть анонимными, полными и семантически целостными, что обеспечивается посредством создания таблицы (справочника) соответствия уникального 10-значного числа, формируемого генератором случайных чисел и назначаемого субъекту данных. Казалось бы, законодатель изначально заложил в действующее регулирование взаимоисключающие требования, которые позволяют реидентифицировать субъекта. Однако нельзя не отметить содержащееся в Приказе N 341н указание на то, что передача информации из сформированной таблицы (справочника) соответствия запрещается. Отсюда следует, что реидентификация возможна только на стороне подсистемы обезличивания.

В то же время представляется, что указанное регулирование не исключает риски реидентификации, лежащие на стороне получателя такой обезличенной информации, в полной мере. Вследствие поступательного роста производительности и доступности вычислительных мощностей можно осуществить реидентификацию лица путем совмещения баз данных, содержащих даже обезличенную информацию. Это связано с тем, что даже обезличенные данные имеют атрибуты, относимые к личности[22].

Данный тезис не только получил подтверждение в многочисленных научных работах, отчетах, посвященных данной проблематике, но и неоднократно был реализован на практике[23]. Так, британские исследователи из Имперского колледжа Лондона Л. Роше и И.-А. де Монжуа совместно с Ж. Хендрикс из Левенского католического университета (Бельгия) предложили статистическую модель количественной оценки вероятности того, что человек будет с высокой точностью правильно повторно идентифицирован даже при ограниченном количестве персональных атрибутов. Используя почтовый индекс, дату рождения и пол, сравнивая данные с социально-демографическими данными, авторы смогли идентифицировать лицо с вероятностью 77%. Если в дополнение к указанным атрибутам использовать обезличенные данные из медицинской карты, то верность повторной идентификации составит 99,8%. Таким образом, авторы доказывают, что даже наличие ограниченного числа атрибутов позволяет с высокой вероятностью идентифицировать человека[24].

В 2016 г. Федеральное министерство здравоохранения Австралии опубликовало на специальном правительственном сайте обезличенные медицинские платежные документы около 2,9 млн австралийцев (примерно 10% населения), которые относились к периоду с 1984 по 2014 г. и содержали около 1 млрд строк исторических данных о состоянии здоровья. Инициативными сотрудниками Мельбурнского университета эти данные были повторно идентифицированы путем сопоставления опубликованной информации с другими базами данных[25].

С учетом стремительного развития вычислительных технологий сохраняется риск несанкционированной реидентификации. Одним из потенциально перспективных подходов к нивелированию данного риска может выступить законодательное установление запрета на осуществление попыток реидентификации с введением норм, устанавливающих ответственность за его нарушение[26]. Однако для некоторых групп, например для лиц, страдающих редкими (орфанными) заболеваниями, введение такой юридической ответственности может быть недостаточной гарантией соблюдения их прав.

Полагаем, что для наиболее уязвимых в отношении реидентификации контингентов необходимо сформировать особые технические решения, максимально ограничивающие возможность доступа к сведениям, составляющим врачебную тайну.

4. Заключение

Цифровизация медицины, использование новейших технологий раскрывают новые горизонты возможностей для отечественного здравоохранения. Перевод медицинских данных в цифровой формат, большие данные позволят проводить аналитическую обработку огромных массивов информации с целью повышения эффективности управленческих решений в здравоохранении на уровне всей Российской Федерации, а также сформируют основу эффективной политики распределения финансовых средств, стимуляции кадрового потенциала, развития медицинской науки, разработки и внедрения клинических рекомендаций, учитывающих как достижения современной медицины, так и реальные возможности здравоохранения на уровне субъектов.

Создание персональных интегрированных баз данных и использование их лечащими врачами в сочетании с доступом к деперсонализированным базам больших данных станет фундаментом для развития систем поддержки принятия решений, искусственного интеллекта, строящихся на персонализированном подходе к каждому пациенту.

Новые цифровые технологии потенциально готовы способствовать прорыву в организации медицинской помощи, переходу на качественно новый уровень здравоохранения. Однако для этого необходимо на нормативном уровне предусмотреть положения, регулирующие обязанность поставщиков данных аккумулировать и оцифровывать всю информацию о состоянии здоровья, своевременно передавать ее в единую систему. В данном аспекте представляется целесообразным на федеральном уровне закрепить новые цифровые формы первичной медицинской документации, а также меры стимулирования и специальные меры юридической ответственности.

Вместе с тем для реализации открывающихся перспектив необходимо не только увеличить объемы цифровой информации и предусмотреть технические стандарты, обеспечивающие ее совместимость, но и расширить круг субъектов, а также пересмотреть перечень обстоятельств, при которых возникает правовая возможность доступа к медицинским данным. В данном контексте становится очевидным, что потребности науки и общественные интересы могут в значительной степени идти вразрез с индивидуальными правами отдельных граждан. Повышаются риски как законного, так и противоправного раскрытия врачебной тайны не только отдельных пациентов, но и целых социальных групп.

Законодательное закрепление требований по деперсонализации представляется не в полной мере отвечающим современным реалиям научно-технического прогресса. Риск реидентификации с учетом развивающихся технологий не может быть исключен полностью, однако может быть нивелирован путем установления запрета на осуществление попыток реидентификации с формулированием соответствующих норм об ответственности за нарушение[27].

В то же время необходимо оценить, насколько введение такой ответственности будет достаточным для защиты лиц, страдающих редкими (орфанными) заболеваниями, так как риск их реидентификации даже по обезличенным данным является наиболее высоким.

Особо острой проблема нарушения врачебной тайны становится в контексте внедрения информационно-телекоммуникационных технологий. Взаимодействие медицинских работников между собой и с пациентом происходит в интернет-пространстве, что в значительной степени повышает возможность несанкционированного доступа в систему общения. Кроме того, нормативное закрепление создания и наполнения хранилищ электронных документов, формируемых при предоставлении телемедицинских услуг, обеспечение дистанционного доступа пациента к электронным документам[28] создает дополнительные риски утечки данных и получения неуполномоченными лицами больших объемов персонализированной информации о состоянии здоровья граждан.

В целом решение проблемы соблюдения режима врачебной тайны в динамично развивающемся цифровом обществе видится в поиске новых технических решений, обеспечивающих защиту данных пациентов, и в их законодательном закреплении на федеральном уровне. Одной из таких технологий может выступить блокчейн, который целесообразно использовать для сбора первичных данных, верификации взаимодействия различных институтов, работы с электронной медицинской картой. Применение технологии блокчейн может привести к созданию комплексной системы "здоровья", в рамках которой будет возможно осуществить переход на персонализированную медицину.

Еще одним вариантом развития единой системы и одновременно повышения доверия к ней является обеспечение пациентов возможностью контроля своих данных.

Подобный механизм используется в эстонской системе Electronic Health Record, которая позволяет пациентам не только отслеживать, кто именно обрабатывает их данные, но также ограничить доступ к ним[29]. В рамках этой системы формируется определенная форма личного контроля: пациент видит субъектов, взаимодействующих с его данными, и если такое лицо вызывает у него подозрения, то он может направить жалобу по данному факту. Кроме того, пациент может определить круг лиц, которые имеют доступ к его сведениям, составляющим врачебную тайну.

Российская единая система пока что находится в процессе формирования и требует пристального внимания со стороны профессионального сообщества с целью выработки комплексных решений, которые в первую очередь должны быть нацелены на введение нормативного правового регулирования, соблюдающего интересы пациентов, медицинских работников и не ограничивающего развитие цифровых технологий, нивелирование возникающих правовых и технических рисков и проблем, а также создание современного сервиса, повышающего качество и доступность медицинской помощи на территории Российской Федерации.

Рекомендуется Вам: