Електронна медична карта: стандарти безпеки 2026

Електронна медична картка поєднує два режими регулювання, які не збігаються між собою: режим захисту персональних даних, який розглядає дані про здоров'я як особливу категорію, що підпадає під принципову заборону обробки, і режим Кодексу охорони здоров'я Франції, який встановлює власні строки зберігання та власні права доступу. Відповідність першому режиму не означає відповідності другому, і більшість виявлених порушень виникає саме через це змішування понять.

Розміщення даних: обов'язкова сертифікація

Будь-яка особа, яка розміщує персональні дані про здоров'я від імені третіх осіб у рамках діяльності з профілактики, діагностики чи лікування, повинна бути сертифікованою для цього.

Це структуроутворююче зобов'язання, яке часто виявляють із запізненням. Воно не залежить ні від обсягу даних, ні від розміру структури: медичний кабінет, який довіряє своє галузеве програмне забезпечення онлайн-провайдеру, має переконатися, що розміщення даних забезпечує сертифікований оператор. Відповідальність за цю перевірку лежить на розпоряднику даних, тобто на фахівці чи установі, а не на постачальнику послуг.

Звідси випливають два практичні наслідки: договір субпідряду має прямо зазначати цю сертифікацію та її обсяг, а зміна постачальника чи інфраструктури вимагає повторної перевірки цього покриття.

Режим даних про здоров'я

Дані про здоров'я належать до особливої категорії, обробка якої в принципі заборонена. Обробка є законною лише тоді, коли вона підпадає під один із вичерпно визначених винятків — зокрема, медичне обслуговування, профілактична медицина або явна згода особи.

Ця перевернута архітектура має пряме наслідок: для кожної обробки даних необхідно вміти визначити виняток, на якому вона ґрунтується. Вторинне використання даних — внутрішня статистика, вдосконалення інструменту, дослідження — не випливає автоматично із законності обробки для цілей лікування; воно вимагає власної правової підстави.

До цього додаються загальні зобов'язання: реєстр обробки даних, інформування осіб, визначені строки зберігання, оцінка впливу, коли обробка становить високий ризик — що часто трапляється у випадку електронної картки пацієнта.

Строки зберігання

Вони регулюються Кодексом охорони здоров'я Франції, а не лише принципом обмеження строку зберігання.

Медична картка, сформована в закладі охорони здоров'я, зберігається двадцять років з моменту останнього перебування або останньої амбулаторної консультації. До цього додаються два спеціальні правила:

• Для пацієнта, який на момент лікування був неповнолітнім, строк зберігання продовжується до досягнення ним двадцяти восьми років, якщо цей термін є більш віддаленим.
• У разі смерті пацієнта менш ніж через десять років після останнього звернення картка зберігається щонайменше десять років від дати смерті.

Ці строки призупиняються у разі будь-якого досудового чи судового провадження, спрямованого на встановлення відповідальності закладу чи фахівців.

Зв'язок зі строками позовної давності щодо відповідальності є прямим: позов може бути пред'явлений протягом десяти років з моменту стабілізації шкоди, а передчасно знищена картка позбавляє фахівця його головного засобу захисту — це питання докладно розглянуто в нашій статті про цивільну професійну відповідальність.

Простежуваність доступу

Це найбільш практична вимога, і відсутність якої найважче виправити згодом.

Кожен доступ до картки має бути зафіксований у журналі: хто переглядав, яку інформацію, якого дня. Ця реєстрація виконує дві окремі й взаємодоповнюючі функції.

Вона запобігає та виявляє неправомірний доступ, який є одним із найпоширеніших порушень у закладах охорони здоров'я — перегляд картки колеги, родича чи знайомої особи.

Вона захищає фахівця, даючи змогу довести, що доступ, у якому його звинувачують, не відбувався, або що оскаржуваний доступ дійсно був пов'язаний із лікуванням пацієнта. Без журналу підозру неможливо ні підтвердити, ні спростувати.

Крім того, права доступу мають бути диференційовані залежно від функцій: належність до лікувальної команди не відкриває доступу до всієї картки, а лише до необхідної інформації, як пояснюється в нашій статті про лікарську таємницю.

Право доступу пацієнта

Пацієнт має прямий доступ до всієї інформації про своє здоров'я без необхідності обґрунтовувати свій запит.

Надання інформації відбувається не раніше завершення строку для роздумів і не пізніше строку, який подовжується, якщо інформації понад п'ять років. Можлива плата обмежується вартістю копіювання та пересилання.

Це право обмежене двома винятками: інформація, отримана від третіх осіб, які не брали участі в лікуванні, з нього виключена, так само як і інформація, що стосується таких третіх осіб. Після смерті доступ спадкоємців регулюється окремим режимом, обмеженим інформацією, необхідною для заявленої мети.

Сценарії використання

Зміна галузевого програмного забезпечення. Перевірити сертифікацію розміщення даних нового постачальника, можливість повернення даних та формат експорту. Міграція без плану відновлення даних загрожує втратою карток, строки зберігання яких ще не закінчилися.

Груповий медичний кабінет. Диференціювати права доступу за лікарем і за пацієнтом замість того, щоб відкривати всю картку для всіх. Це найпоширеніший момент контролю, який залежить як від організації, так і від технічних засобів — тема розглянута в нашій статті про адміністративну відповідність медичного кабінету.

Запит на доступ від пацієнта. Перевірити особу, виключити заборонену інформацію, дотримуватися строку, застосовного залежно від давності даних. Фіксувати запит і відповідь: дотримання строку потрібно доводити.

Часті запитання

Чи потрібен сертифікований оператор для розміщення даних? Так, як тільки дані про здоров'я розміщуються від імені третьої особи в контексті профілактики, діагностики чи лікування. Перевірка покладається на розпорядника даних, а не на постачальника послуг.

Скільки часу зберігати медичну картку? Двадцять років з моменту останнього перебування в закладі, з продовженням до двадцяти восьми років пацієнта, якщо він був неповнолітнім, і щонайменше десять років від дати смерті, якщо вона настала протягом десяти років.

Чи може пацієнт ознайомитися зі своєю карткою? Так, безпосередньо і без обґрунтування, у передбачені строки, які подовжуються для інформації віком понад п'ять років. Вимагати можна лише оплату копіювання та пересилання.

Чи є реєстрація доступу обов'язковою? Так, і вона захищає як фахівця, так і пацієнта: без журналу оскаржуваний доступ неможливо ні підтвердити, ні спростувати.

Чи може фахівець переглядати будь-яку картку структури? Ні. Доступ обмежується інформацією, необхідною для виконання його функцій у лікуванні відповідного пацієнта. Права доступу мають бути диференційовані відповідно до цього.

Чи можна використовувати дані для статистичних цілей? Не в рамках обробки даних для лікування. Будь-яке вторинне використання вимагає власної правової підстави законності, а за потреби — окремого інформування осіб.

Основне, що варто запам'ятати

Два режими накладаються один на одного і повинні розглядатися окремо. Захист даних вимагає визначення для кожної обробки винятку, який робить її законною — мета лікування не покриває вторинного використання. Кодекс охорони здоров'я Франції встановлює власні строки зберігання, які обчислюються десятиліттями і призупиняються у разі оскарження.

Між цими двома режимами є один механізм, який слугує обом одразу: реєстрація доступу в поєднанні з диференційованими правами доступу. Саме це дає змогу довести, що межа «необхідного для виконання функцій» була дотримана, і саме це захищає фахівця, коли його звинувачують у неправомірному доступі. Ця логіка перегукується з логікою, застосовною до отримання згоди: те, що не зафіксовано, неможливо ні довести, ні спростувати.