Вопросы защиты персональных данных в сфере обязательного медицинского страхования

Структура системы ОМС
Обязательное медицинское страхование - вид обязательного социального страхования, представляющий собой систему создаваемых государством правовых, экономических и организационных мер, направленных на обеспечение при наступлении страхового случая гарантий бесплатного оказания застрахованному лицу медицинской помощи за счет средств обязательного медицинского страхования в пределах территориальной программы обязательного медицинского страхования и в установленных Федеральным законом от 29.11.2010 № 326-ФЗ случаях в пределах базовой программы обязательного медицинского страхования

Структура системы ОМС
Важнейшим нормативным правовым актом, регулирующим обязательное медицинское страхование является Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации».
.

Структура системы ОМС
Федеральный Закон № 326-ФЗ регулирует отношения, возникающие в связи с осуществлением обязательного медицинского страхования, в том числе определяет правовое положение субъектов обязательного медицинского страхования и участников обязательного медицинского страхования, основания возникновения их прав и обязанностей, гарантии их реализации, отношения и ответственность, связанные с уплатой страховых взносов на обязательное медицинское страхование неработающего населения.

Субъекты обязательного медицинского страхования и участники обязательного медицинского страхования
1. Субъектами обязательного медицинского страхования являются:
1) застрахованные лица;
2) страхователи;
3) Федеральный фонд.
2. Участниками обязательного медицинского страхования являются:
1) территориальные фонды;
2) страховые медицинские организации;
3) медицинские организации.
Структура системы ОМС

Структура системы ОМС
Федеральный фонд - некоммерческая организация, созданная Российской Федерацией для реализации государственной политики в сфере обязательного медицинского страхования.

Структура системы ОМС
Территориальные фонды - некоммерческие организации, созданные субъектами Российской Федерации для реализации государственной политики в сфере обязательного медицинского страхования на территориях субъектов Российской Федерации.

Структура системы ОМС
Операторами информационных систем в сфере здравоохранения являются уполномоченный федеральный орган исполнительной власти, уполномоченные органы государственной власти субъектов Российской Федерации, организации, назначенные указанными органами, а также органы управления Федерального фонда обязательного медицинского страхования и территориальных фондов обязательного медицинского страхования в части, касающейся персонифицированного учета в системе обязательного медицинского страхования
(Часть 2 статьи 91 Федерального закона от 21.11.2011
№ 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»)

В настоящее время в Российской Федерации созданы и функционируют Федеральный фонд и 84 территориальных фондов, включая территориальный фонд г. Байконур, для реализации государственной политики в области обязательного медицинского страхования как составной части государственного социального страхования
Структура системы ОМС

По данным форм ведомственного статистического наблюдения на 1 января 2011 года в Российской Федерации в системе обязательного медицинского страхования работало по договорам 8139 медицинских организации, 95 страховых медицинских организаций и 261 филиал
Структура системы ОМС

Структура системы ОМС
Численность граждан, застрахованных по обязательному медицинскому страхованию, на 01 января 2011 года (2010 года) составила 141,442 (142,2) млн. человек; в том числе:
- 57,9 (58,8 – 41,4%) млн. работающих граждан - 40,9%,
- 83,5 (83,4 – 58,6%) млн. неработающих граждан – 59,1%,
- застрахованных 9,5 млн. страхователей, из них юридические лица составляют 52,3% (5 млн.) , ИП – 44,4% (4,2 млн.)

Организация персонифицированного учета в сфере обязательного медицинского страхования
Персонифицированный учет в сфере обязательного медицинского страхования (далее - персонифицированный учет) - организация и ведение учета сведений о каждом застрахованном лице в целях реализации прав граждан на бесплатное оказание медицинской помощи в рамках программ обязательного медицинского страхования.

Организация персонифицированного учета в сфере обязательного медицинского страхования
В рамках персонифицированного учета ведется:
персонифицированный учет сведений о застрахованных лицах;
персонифицированный учет сведений о медицинской помощи, оказанной застрахованным лицам.

Целями персонифицированного учета являются:
создание условий для обеспечения гарантий прав застрахованных лиц на бесплатное оказание медицинской помощи надлежащего качества и в соответствующем объеме в рамках программ обязательного медицинского страхования;
создание условий для осуществления контроля за использованием средств обязательного медицинского страхования;
определение потребности в объемах медицинской помощи в целях разработки программ обязательного медицинского страхования.

Сведения о застрахованном лице и об оказанной ему медицинской помощи относятся к информации ограниченного доступа и подлежат защите в соответствии с законодательством Российской Федерации.
(Часть 6 статьи 44 Федерального закона № 326-ФЗ)
Организация персонифицированного учета в сфере обязательного медицинского страхования

Сведения о застрахованном лице
1) фамилия, имя, отчество;
2) пол;
3) дата рождения;
4) место рождения;
5) гражданство;
6) данные документа, удостоверяющего личность;
7) место жительства;
8) место регистрации;
9) дата регистрации;

Сведения о застрахованном лице
10) страховой номер индивидуального лицевого счета (СНИЛС), принятый в соответствии с законодательством Российской Федерации об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования;
11) номер полиса обязательного медицинского страхования застрахованного лица;
12) данные о страховой медицинской организации, выбранной застрахованным лицом;
13) дата регистрации в качестве застрахованного лица;
14) статус застрахованного лица (работающий, неработающий).

Сведения об оказанной застрахованному лицу медицинской помощи
1) номер полиса обязательного медицинского страхования застрахованного лица;
2) медицинская организация, оказавшая соответствующие услуги;
3) виды оказанной медицинской помощи;
4) условия оказания медицинской помощи;
5) сроки оказания медицинской помощи;
6) объемы оказанной медицинской помощи;
7) стоимость оказанной медицинской помощи;
8) диагноз;
9) профиль оказания медицинской помощи;

Сведения об оказанной застрахованному лицу медицинской помощи
10) медицинские услуги, оказанные застрахованному лицу, и примененные лекарственные препараты;
11) примененные медико-экономических стандарты;
12) специальность медицинского работника, оказавшего медицинскую помощь;
13) результат обращения за медицинской помощью;
14) результаты проведенного контроля объемов, сроков, качества и условий предоставления медицинской помощи.

Статья 93 Федерального закона № 323-ФЗ от 21.11.2011: Сведения о лицах, которые участвуют в оказании медицинских услуг
1) фамилия, имя, отчество (последнее - при наличии);
2) пол;
3) дата рождения;
4) место рождения;
5) гражданство;
6) данные документа, удостоверяющего личность;
7) место жительства;
8) место регистрации;
9) дата регистрации;

Статья 93 Федерального закона № 323-ФЗ от 21.11.2011: Сведения о лицах, которые участвуют в оказании медицинских услуг
10) страховой номер индивидуального лицевого счета (при наличии), принятый в соответствии с законодательством Российской Федерации об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования;
11) сведения об образовании, в том числе данные об образовательных организациях и о документах об образовании;
12) наименование организации, оказывающей медицинские услуги;
13) занимаемая должность в организации, оказывающей медицинские услуги.

Статья 21 Федерального закона № 323-ФЗ от 21.11.2011: Выбор врача и медицинской организации
Гражданин имеет право на выбор медицинской организации в порядке, утвержденном уполномоченным федеральным органом исполнительной власти, и на выбор врача с учетом согласия врача.
В выбранной медицинской организации гражданин осуществляет выбор не чаще чем один раз в год (за исключением случаев замены медицинской организации) врача-терапевта, врача-терапевта участкового, врача-педиатра, врача-педиатра участкового, врача общей практики (семейного врача) или фельдшера путем подачи заявления лично или через своего представителя на имя руководителя медицинской организации.

Статья 21 Федерального закона № 323-ФЗ от 21.11.2011: Выбор врача и медицинской организации
При выборе врача и медицинской организации гражданин имеет право на получение информации в доступной для него форме, в том числе размещенной в информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет"), о медицинской организации, об осуществляемой ею медицинской деятельности и о врачах, об уровне их образования и квалификации.

Проблемы
Как быть со средним медицинским персоналом, который также оказывает медицинскую помощь? (Из средств массовой информации: В ряде населённых пунктов есть только фельдшеры или медсестры)
Надо ли публиковать информацию о том, какое медицинское учебное заведение окончил врач, какие курсы повышения квалификации проходил, каков стаж его работы, какова статистика его врачебных ошибок и успехов, летальность в сравнении?

Проблемы
Имеет ли право операторы информационных систем в сфере здравоохранения в части, касающейся персонифицированного учета в сфере обязательного медицинского страхования (то есть фонды ОМС), определяющие цели обработки персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными, контролировать организацию обработки персональных данных в информационных системах МО, СМО и других субъектов и участников сферы ОМС?

Выполнение требований законодательства Российской Федерации по защите персональных данных
В соответствии с пунктом 5 части 1 статьи 12 Федерального закона от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности» лицензированию подлежит деятельность по технической защите конфиденциальной информации.

Выполнение требований законодательства Российской Федерации по защите персональных данных
Под технической защитой конфиденциальной информации понимается выполнение работ и (или) оказание услуг по ее защите от несанкционированного доступа, от утечки по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней (пункт 2 «Положения о лицензировании деятельности по технической защите конфиденциальной информации», утвержденного Постановлением Правительства Российской Федерации от 03.02.2012 № 79).

Выполнение требований законодательства Российской Федерации по защите персональных данных
Пунктом 1 части 1 статьи 12 Федерального закона № 99-ФЗ к лицензируемым видам деятельности отнесены:
- разработка, производство, распространение шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнение работ,
- оказание услуг в области шифрования информации,

Выполнение требований законодательства Российской Федерации по защите персональных данных
Пунктом 1 части 1 статьи 12 Федерального закона № 99-ФЗ к лицензируемым видам деятельности отнесены:
- техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)

Выполнение требований законодательства Российской Федерации по защите персональных данных
Приказ Министерства здравоохранения и социального развития Российской Федерации от 25.01.2011 N 29н
«Об утверждении Порядка ведения персонифицированного учета в сфере обязательного медицинского страхования»
(Зарегистрировано в Минюсте РФ 08.02.2011 N 19742)

Выполнение требований законодательства Российской Федерации по защите персональных данных
Приказ Министерства здравоохранения и социального развития Российской Федерации РФ от 28.02.2011 N 158н
(ред. от 09.09.2011)
"Об утверждении Правил обязательного медицинского страхования"
(Зарегистрировано в Минюсте РФ 03.03.2011 N 19998)

Проблемы
Отсутствие необходимого количества квалифицированных кадров по информационной безопасности.
Специалисты по ИБ готовятся, повышают квалификацию, и уходят на более высокие зарплаты.
Сложность выполнения лицензионных требований к квалификации специалистов по ИБ

Проблемы
Постановление Правительства Российской Федерации от 16 апреля 2012 года № 313 ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ О ЛИЦЕНЗИРОВАНИИ ДЕЯТЕЛЬНОСТИ ПО РАЗРАБОТКЕ, ПРОИЗВОДСТВУ, РАСПРОСТРАНЕНИЮ ШИФРОВАЛЬНЫХ (КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ, ИНФОРМАЦИОННЫХ СИСТЕМ И ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ, ЗАЩИЩЕННЫХ С ИСПОЛЬЗОВАНИЕМ ШИФРОВАЛЬНЫХ (КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ, ВЫПОЛНЕНИЮ РАБОТ, ОКАЗАНИЮ УСЛУГ В ОБЛАСТИ ШИФРОВАНИЯ ИНФОРМАЦИИ, ТЕХНИЧЕСКОМУ ОБСЛУЖИВАНИЮ ШИФРОВАЛЬНЫХ (КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ, ИНФОРМАЦИОННЫХ СИСТЕМ И ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ, ЗАЩИЩЕННЫХ С ИСПОЛЬЗОВАНИЕМ ШИФРОВАЛЬНЫХ (КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ (ЗА ИСКЛЮЧЕНИЕМ СЛУЧАЯ, ЕСЛИ ТЕХНИЧЕСКОЕ ОБСЛУЖИВАНИЕ ШИФРОВАЛЬНЫХ (КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ, ИНФОРМАЦИОННЫХ СИСТЕМ И ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ, ЗАЩИЩЕННЫХ С ИСПОЛЬЗОВАНИЕМ ШИФРОВАЛЬНЫХ (КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ, ОСУЩЕСТВЛЯЕТСЯ ДЛЯ ОБЕСПЕЧЕНИЯ СОБСТВЕННЫХ НУЖД ЮРИДИЧЕСКОГО ЛИЦА ИЛИ ИНДИВИДУАЛЬНОГО ПРЕДПРИНИМАТЕЛЯ)

Проблемы
д) наличие в штате у соискателя лицензии (лицензиата) следующего квалифицированного персонала:
руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15, 17руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15, 17, 18руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15, 17, 18, 20руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15, 17, 18, 20, 25руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15, 17, 18, 20, 25 - 28 перечня);

Проблемы
руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее или среднее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 100 аудиторных часов) (только для работ и услуг, указанных в пунктах 21руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее или среднее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 100 аудиторных часов) (только для работ и услуг, указанных в пунктах 21 - 24 перечня);

Проблемы
20. Работы по обслуживанию шифровальных (криптографических) средств, предусмотренные технической и эксплуатационной документацией на эти средства (за исключением случая, если указанные работы проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя).
21. Передача шифровальных (криптографических) средств.
22. Передача защищенных с использованием шифровальных (криптографических) средств информационных систем.
23. Передача защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.
24. Передача средств изготовления ключевых документов.