Электронная медицинская карта: стандарты безопасности 2026 г.

Электронная медицинская карта подпадает под два режима, которые не совпадают друг с другом: режим защиты персональных данных, рассматривающий сведения о здоровье как особую категорию данных, подпадающую под принципиальный запрет обработки, и режим Кодекса общественного здравоохранения Франции, устанавливающий собственные сроки хранения и собственные права доступа. Соответствие первому режиму не означает соответствия второму, и большинство выявляемых нарушений возникает именно из-за этой путаницы.

Хостинг: обязательная сертификация

Любое лицо, размещающее персональные данные о здоровье по поручению третьих лиц в рамках деятельности по профилактике, диагностике или лечению, должно быть сертифицировано для осуществления этой деятельности.

Это требование носит основополагающий характер и часто обнаруживается слишком поздно. Оно не зависит ни от объёма данных, ни от размера организации: клиника, доверяющая своё профильное программное обеспечение онлайн-провайдеру, должна убедиться, что хостинг данных обеспечивается сертифицированным оператором. Ответственность за эту проверку лежит на операторе обработки данных, то есть на специалисте или учреждении, а не на поставщике услуг.

Отсюда вытекают два практических момента: договор субподряда должен явно указывать эту сертификацию и её область действия, а смена поставщика или инфраструктуры требует повторной проверки этого покрытия.

Режим данных о здоровье

Данные, касающиеся здоровья, относятся к особой категории данных, обработка которых в принципе запрещена. Обработка является законной только в том случае, если она подпадает под одно из исчерпывающе предусмотренных исключений — в частности, оказание медицинской помощи, профилактическая медицина или явно выраженное согласие лица.

Эта перевёрнутая логика имеет прямое следствие: для каждой обработки необходимо уметь указать исключение, на котором она основана. Вторичное использование данных — внутренняя статистика, улучшение инструмента, исследования — не выводится автоматически из законности обработки в целях лечения; оно требует собственного правового основания.

К этому добавляются общие обязательства: реестр обработок, информирование лиц, определённые сроки хранения, оценка воздействия в случаях, когда обработка представляет высокий риск, — что часто имеет место в отношении электронной карты пациента.

Сроки хранения

Они регулируются Кодексом общественного здравоохранения Франции, а не только принципом ограничения хранения.

Медицинская карта, оформленная в медицинском учреждении, хранится двадцать лет с момента последнего пребывания или последней амбулаторной консультации. К этому добавляются два особых правила:

• Для пациента, являвшегося несовершеннолетним на момент оказания помощи, срок хранения продлевается до достижения им двадцативосьмилетнего возраста, если этот срок наступает позднее.
• В случае смерти пациента менее чем через десять лет после последнего обращения карта хранится не менее десяти лет с даты смерти.

Эти сроки приостанавливаются в случае любого досудебного или судебного обращения, направленного на установление ответственности учреждения или специалистов.

Связь со сроками исковой давности по ответственности прямая: иск может быть предъявлен в течение десяти лет с момента консолидации ущерба, а преждевременно уничтоженная карта лишает специалиста его главного средства защиты — этот вопрос подробно рассмотрен в нашей статье о профессиональной гражданской ответственности.

Прослеживаемость доступа

Это самое операционное требование, и его отсутствие труднее всего восполнить впоследствии.

Каждый доступ к карте должен фиксироваться в журнале: кто обращался, к какому элементу, в какую дату. Такое журналирование выполняет две различные и взаимодополняющие функции.

Оно предотвращает и выявляет неправомерные обращения, которые являются одним из наиболее частых нарушений в медицинских учреждениях — просмотр карты коллеги, близкого человека, знакомого лица.

Оно защищает специалиста, позволяя доказать, что вменяемого ему доступа не было или что оспариваемый доступ действительно был связан с оказанием помощи. Без журнала подозрение невозможно ни подтвердить, ни опровергнуть.

Кроме того, права доступа должны различаться в зависимости от функций: принадлежность к лечащей команде не открывает доступ ко всей карте, а лишь к сведениям, необходимым для выполнения соответствующей задачи, как подробно изложено в нашей статье о врачебной тайне.

Право доступа пациента

Пациент имеет прямой доступ ко всей информации, касающейся его здоровья, без необходимости обосновывать свой запрос.

Предоставление информации происходит не ранее истечения периода на размышление и не позднее срока, который увеличивается, если информация датирована более чем пятью годами назад. Возможные расходы ограничиваются стоимостью копирования и пересылки.

Это право ограничено двумя рамками: сведения, полученные от третьих лиц, не участвующих в оказании помощи, из него исключаются, равно как и сведения, касающиеся таких третьих лиц. После смерти пациента доступ правопреемников подчиняется отдельному режиму, ограниченному информацией, необходимой для заявленной цели.

Практические сценарии

Смена профильного программного обеспечения. Проверить сертификацию хостинга нового поставщика, возможность возврата данных и формат экспорта. Миграция без плана восстановления создаёт риск утраты карт, сроки хранения которых ещё не истекли.

Групповая клиника. Разграничить права доступа по врачам и по пациентам, вместо того чтобы открывать всю карту всем сотрудникам. Это наиболее часто проверяемый момент, и он относится столько же к организации, сколько и к технике — тема, рассмотренная в нашей статье об административном соответствии медицинской клиники.

Запрос доступа со стороны пациента. Проверить личность, исключить закрытую информацию, соблюсти применимый срок в зависимости от давности данных. Фиксировать сам запрос и ответ на него: соблюдение срока должно быть доказуемым.

Часто задаваемые вопросы

Нужен ли сертифицированный хостинг-провайдер? Да, как только данные о здоровье размещаются по поручению третьего лица в контексте профилактики, диагностики или лечения. Проверка возлагается на оператора обработки данных, а не на поставщика услуг.

Сколько времени нужно хранить медицинскую карту? Двадцать лет с момента последнего обращения в учреждение, с продлением до достижения пациентом двадцати восьми лет, если он был несовершеннолетним, и не менее десяти лет с даты смерти, наступившей в течение десяти лет.

Может ли пациент ознакомиться со своей картой? Да, напрямую и без объяснения причин, в предусмотренные сроки, которые увеличиваются для информации старше пяти лет. Могут взиматься только расходы на копирование и пересылку.

Обязательно ли журналирование доступа? Да, и оно защищает как специалиста, так и пациента: без журнала оспариваемый доступ невозможно ни подтвердить, ни опровергнуть.

Может ли специалист просматривать любую карту в организации? Нет. Доступ ограничивается информацией, необходимой для выполнения его задач в рамках оказания помощи конкретному пациенту. Права доступа должны быть соответствующим образом разграничены.

Можно ли использовать данные в статистических целях? Не в рамках обработки в целях лечения. Любое вторичное использование требует собственного правового основания законности и, при необходимости, отдельного информирования лиц.

Что важно запомнить

Два режима накладываются друг на друга и должны рассматриваться раздельно. Защита данных требует указания для каждой обработки исключения, делающего её законной, — цель оказания помощи не покрывает вторичное использование. Кодекс общественного здравоохранения Франции устанавливает собственные сроки хранения, исчисляемые десятилетиями и приостанавливаемые в случае обращений.

Между этими двумя режимами есть механизм, служащий обоим одновременно: журналирование доступа в сочетании с разграниченными правами доступа. Именно это позволяет доказать соблюдение принципа «необходимого для выполнения задачи», и именно это защищает специалиста в случае, если ему вменяется неправомерный доступ. Эта логика перекликается с логикой, применимой к получению согласия: то, что не зафиксировано, невозможно ни доказать, ни опровергнуть.