1. Предмет заключения
Настоящее заключение подготовлено в целях правового обоснования обязанности медицинских организаций государственной, муниципальной и частной систем здравоохранения (далее — медицинские организации, клиники) передавать в Единую государственную информационную систему в сфере здравоохранения (далее — ЕГИСЗ, единая система) сведения о медицинской документации, дневниках лечебного процесса и иных сведениях о ходе оказания медицинской помощи, в том числе в обезличенном виде, независимо от наличия либо отсутствия согласия пациента на передачу персонализированных (идентифицирующих личность) данных.
Все нормативные акты, статьи и пункты приведены с номерами в форме прямых цитат с целью получения возможности легко проверить выводы данного заключения любым юристом или коллегой-врачом.
2. Медицинские организации как обязательные поставщики информации в ЕГИСЗ
В соответствии с подпунктом «к» пункта 44 Положения о единой государственной информационной системе в сфере здравоохранения, утверждённого постановлением Правительства РФ от 09.02.2022 № 140 (далее — Положение № 140), поставщиками информации в единую систему являются:
«медицинские организации (санаторно-курортные организации) государственной, муниципальной и частной систем здравоохранения»
Данная норма прямо и без каких-либо исключений распространяется на все медицинские организации независимо от формы собственности — государственные, муниципальные и частные. Таким образом, статус поставщика информации в ЕГИСЗ и вытекающие из него обязанности возникают у частной клиники в силу закона, а не в силу договора или волеизъявления пациента.
Пункт 45 Положения № 140 конкретизирует содержание этой обязанности: поставщики сведений в единую систему обеспечивают представление сведений в порядке и сроки, установленные Положением, а также актуальность и достоверность передаваемых сведений. Указанная обязанность носит императивный характер и не поставлена в зависимость от согласия третьих лиц, включая пациентов, поскольку регулирует публично-правовые отношения между медицинской организацией и государством (оператором ЕГИСЗ), а не гражданско-правовые отношения между клиникой и пациентом.
3. Обязанность медицинской организации по пункту 16 части 1 статьи 79 ФЗ № 323
Часть 1 статьи 79 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (далее — ФЗ № 323) устанавливает перечень обязанностей, возлагаемых на любую медицинскую организацию, оказывающую медицинскую помощь на территории Российской Федерации. Пункт 16 части 1 статьи 79 ФЗ № 323 гласит:
«Медицинская организация обязана: … 16) обеспечивать предоставление информации в единую государственную информационную систему в сфере здравоохранения в соответствии с законодательством Российской Федерации.»
Данная норма распространяется на медицинскую организацию как таковую — законодатель не делает разграничения по признаку формы собственности (государственная, муниципальная, частная) и не устанавливает исключений для коммерческих (частных) клиник. Отказ пациента от передачи персонализированных данных не отменяет и не приостанавливает действие статьи 79 ФЗ № 323, поскольку обязанность установлена законом непосредственно для медицинской организации, а не обусловлена согласием пациента.
4. Статья 91.1 ФЗ № 323: правовой режим обезличенных сведений в ЕГИСЗ
Статья 91.1 ФЗ № 323 определяет структуру, состав и порядок функционирования ЕГИСЗ. Часть 3 статьи 91.1 ФЗ № 323 перечисляет сведения, включаемые в единую систему. В частности, пункт 4 части 3 статьи 91.1 ФЗ № 323 устанавливает:
«Единая система включает в себя: … 4) указанные в статье 94 настоящего Федерального закона и обезличенные в порядке, установленном уполномоченным федеральным органом исполнительной власти по согласованию с федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, сведения о лицах, которым оказывается медицинская помощь, а также о лицах, в отношении которых проводятся медицинские экспертизы, медицинские осмотры и медицинские освидетельствования»
Кроме того, пункт 5 части 3 статьи 91.1 ФЗ № 323 относит к составу единой системы также:
«сведения о медицинской документации, по составу которых невозможно определить состояние здоровья гражданина, и сведения о медицинской организации, в которой медицинская документация создана и хранится»
Из буквального содержания статьи 91.1 ФЗ № 323 следует, что законодатель прямо предусмотрел самостоятельный правовой режим для обезличенных сведений, отличный от режима персональных данных и сведений, составляющих врачебную тайну. Обезличивание сведений в порядке, устанавливаемом уполномоченным органом (Минздравом России по согласованию с Роскомнадзором), выступает достаточным правовым основанием для их обработки и передачи в ЕГИСЗ без получения отдельного согласия гражданина, поскольку в результате обезличивания сведения перестают быть персональными данными и врачебной тайной в смысле статей 13 ФЗ № 323 и 3, 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (обезличивание — один из способов обработки данных, прямо предусмотренный законом, снимающий необходимость получения согласия субъекта).
Это подтверждается также подпунктом «ж» пункта 3 Положения № 140, которым к функциям единой системы отнесена:
«обработка и хранение указанных в статье 94 Федерального закона и обезличенных в порядке, установленном Министерством здравоохранения Российской Федерации по согласованию с Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций сведений о лицах, которым оказывается медицинская помощь, а также о лицах, в отношении которых проводятся медицинские экспертизы, медицинские осмотры и медицинские освидетельствования в соответствии с пунктом 4 части 3 статьи 91.1 Федерального закона»
Таким образом, дневники лечебного процесса и иные записи медицинской документации, содержащие сведения о состоянии здоровья, при их надлежащем обезличивании подлежат обязательной передаче в подсистемы ЕГИСЗ (включая федеральную интегрированную электронную медицинскую карту и федеральный реестр электронных медицинских документов), и такая передача не требует согласия пациента, так как объектом передачи выступают уже не персональные данные конкретного физического лица, а обезличенная статистическая (учётная) информация, необходимая для целей государственного управления здравоохранением, статистического наблюдения и обеспечения преемственности оказания медицинской помощи (подпункты «п», «р» пункта 3 Положения № 140).
5. Лицензионное требование по подпункту «е» пункта 6 Положения о лицензировании медицинской деятельности (ПП РФ № 852)
Постановлением Правительства РФ от 01.06.2021 № 852 утверждено Положение о лицензировании медицинской деятельности (за исключением деятельности, осуществляемой на территории инновационного центра «Сколково»). Подпункт «е» пункта 6 указанного Положения устанавливает в качестве лицензионного требования, предъявляемого к лицензиату при осуществлении медицинской деятельности:
«размещение информации в единой системе в соответствии со статьей 91.1 Федерального закона «Об основах охраны здоровья граждан в Российской Федерации» и Положением о единой государственной информационной системе в сфере здравоохранения посредством медицинской информационной системы медицинской организации, соответствующей установленным требованиям, или (в случае если государственная информационная система в сфере здравоохранения субъекта Российской Федерации обеспечивает выполнение функций медицинской информационной системы медицинской организации) посредством государственной информационной системы в сфере здравоохранения субъекта Российской Федерации, соответствующей установленным требованиям, или посредством иной информационной системы, предназначенной для сбора, хранения, обработки и предоставления информации, касающейся деятельности медицинской организации и предоставляемых ею услуг»
Из данной нормы следует, что размещение информации в ЕГИСЗ является не факультативной, а обязательной составляющей лицензионных требований, предъявляемых к любому лицензиату медицинской деятельности, включая частные клиники. Неисполнение указанного лицензионного требования квалифицируется как нарушение лицензионных требований, что в силу статьи 19 Федерального закона от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности» влечёт административную ответственность лицензиата вплоть до приостановления либо аннулирования лицензии при грубом нарушении. При этом ни статья 91.1 ФЗ № 323, ни Положение № 852, ни Положение № 140 не ставят исполнение указанного лицензионного требования в зависимость от согласия пациента на обработку персональных данных — предметом лицензионного требования выступает факт размещения (передачи) информации в установленном порядке, а не персонализация такой информации.
6. Соотношение обязанности по передаче сведений в ЕГИСЗ с правом пациента на отказ от обработки персональных данных
Отказ пациента от передачи персонализированных данных (то есть от идентификации его личности в ЕГИСЗ) реализует право субъекта персональных данных, предусмотренное Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», и не освобождает медицинскую организацию от исполнения публично-правовой обязанности по передаче сведений о медицинской документации и лечебном процессе в обезличенном виде. Правовая конструкция статьи 91.1 ФЗ № 323 и Положения № 140 построена таким образом, что:
— обязанность передачи сведений в ЕГИСЗ возложена на медицинскую организацию как на поставщика информации (подпункт «к» пункта 44 Положения № 140, пункт 16 части 1 статьи 79 ФЗ № 323) и не является производной от воли пациента;
— объектом обязательной передачи в силу пункта 4 части 3 статьи 91.1 ФЗ № 323 выступают именно обезличенные сведения о лицах, которым оказывается медицинская помощь, то есть сведения, лишённые идентифицирующих признаков и, соответственно, не относящиеся к персональным данным в значении статьи 3 Федерального закона № 152-ФЗ;
— отказ от согласия на обработку персональных данных (идентификацию) не тождественен отказу от передачи медицинской информации как таковой и не может толковаться расширительно как основание для неисполнения обязательного лицензионного требования (подпункт «е» пункта 6 Положения № 852);
— неисполнение обязанности по передаче сведений в ЕГИСЗ (в том числе обезличенных) образует самостоятельное нарушение — как обязанности, установленной статьёй 79 ФЗ № 323, так и лицензионного требования, установленного Положением № 852, независимо от объёма персонализации переданных данных.
7. Выводы
1. Все медицинские организации государственной, муниципальной и частной систем здравоохранения являются поставщиками информации в ЕГИСЗ в силу прямого указания подпункта «к» пункта 44 Положения о единой государственной информационной системе в сфере здравоохранения, утверждённого постановлением Правительства РФ от 09.02.2022 № 140.
2. Обязанность обеспечивать предоставление информации в ЕГИСЗ установлена законом (пункт 16 части 1 статьи 79 ФЗ № 323) непосредственно для медицинской организации и не поставлена в зависимость от согласия пациента.
3. Статья 91.1 ФЗ № 323 предусматривает самостоятельный правовой режим для обезличенных сведений о лицах, которым оказывается медицинская помощь (пункт 4 части 3 статьи 91.1), а также для сведений о медицинской документации, по составу которых невозможно определить состояние здоровья гражданина (пункт 5 части 3 статьи 91.1). Такие сведения подлежат обязательной передаче в ЕГИСЗ независимо от согласия пациента, поскольку в результате обезличивания утрачивают статус персональных данных.
4. Размещение информации в единой системе является обязательным лицензионным требованием к медицинской деятельности в соответствии с подпунктом «е» пункта 6 Положения о лицензировании медицинской деятельности, утверждённого постановлением Правительства РФ от 01.06.2021 № 852, неисполнение которого влечёт ответственность лицензиата вплоть до приостановления действия либо аннулирования лицензии.
5. Таким образом, отказ пациента от передачи персонализированных данных в ЕГИСЗ не освобождает медицинскую организацию (государственную либо частную) от обязанности передавать в ЕГИСЗ сведения о лечебном процессе (в том числе дневники лечебного процесса) в обезличенном виде — данная обязанность имеет самостоятельное правовое основание в виде прямого указания закона и подзаконных нормативных правовых актов и не может быть заблокирована волеизъявлением пациента об отказе от идентификации.
8. Конкретизация состава сведений о пациентах, подлежащих передаче в ЕГИСЗ
Положение о единой государственной информационной системе в сфере здравоохранения, утверждённое постановлением Правительства РФ от 09.02.2022 № 140, конкретизирует состав сведений о пациентах и их медицинской документации, подлежащих размещению в ЕГИСЗ. В частности, Приложение № 1 к Положению № 140 устанавливает, какие именно данные включаются в соответствующие федеральные регистры и подсистемы единой системы.
Так, пунктами Приложения № 1 предусмотрено, что в федеральной интегрированной электронной медицинской карте и федеральном реестре электронных медицинских документов размещаются сведения:
«о медицинской документации в форме электронных документов, по составу которых невозможно определить состояние здоровья гражданина, и сведения о медицинской организации, в которой такая медицинская документация создана и хранится»
Кроме того, в подсистемах ЕГИСЗ, связанных с учётом оказанной медицинской помощи, согласно Положению № 140 и статье 94 ФЗ № 323 подлежат учёту и передаче следующие сведения о пациентах (в персонифицированном либо обезличенном виде в зависимости от наличия согласия пациента и требований закона): фамилия, имя, отчество; пол; дата рождения; данные документа, удостоверяющего личность; страховой номер индивидуального лицевого счёта; номер полиса обязательного медицинского страхования; сведения о факте обращения за медицинской помощью, диагнозах, проведённых обследованиях, назначенном и проведённом лечении, медицинских вмешательствах, сроках и результатах оказанной медицинской помощи.
Таким образом, Положение № 140 через структуру и содержание подсистем ЕГИСЗ (федеральная интегрированная электронная медицинская карта, федеральный реестр электронных медицинских документов и иные реестры) прямо определяет, какие категории сведений о пациенте и его медицинской документации подлежат обязательному размещению в единой системе — от идентификационных данных (при наличии согласия на их использование) до детализированных сведений о ходе лечебного процесса и результатах оказанной помощи (в том числе в обезличенном виде).
Нарушение установленных выше нормативных актов грозит клинике ответственностью по ч. 3 ст. 14.1 КоАП РФ вплоть до приостановки деятельности на 90 суток.
Анализ нормативных документов подготовлен руководителем «Центра защиты врачей» медицинским юристом Владиславом Аносовым.
