Клиника подчиняется двум разным требованиям одновременно: как оператор персональных данных она обязана соблюдать 152-ФЗ, а как медицинская организация - хранить врачебную тайну по законодательству об охране здоровья граждан. Формально это разные обязанности с разными проверяющими - Роскомнадзор смотрит за персональными данными, а вопросы врачебной тайны чаще всплывают в жалобах через Росздравнадзор или суд, - но набор практических мер во многом совпадает, поэтому выстраивать их стоит как одну систему, а не два независимых проекта.
Общая часть - это доступ к сведениям о пациентах: разграничение прав в медицинской информационной системе по ролям, подписки о неразглашении для всего персонала, а не только врачей, и техническая защита самой системы по уровню, который определяется постановлением Правительства N 1119 для специальной категории данных. Эти меры одновременно снижают риск утечки в терминах 152-ФЗ и риск нарушения тайны.
Специфика в другом. 152-ФЗ требует согласий на обработку, уведомления в Роскомнадзор, положения об обработке персональных данных и реагирования именно на утечки - с уведомлением регулятора в течение 24 и 72 часов. Врачебная тайна работает шире технического периметра: устное обсуждение диагноза в коридоре клиники или разговор по телефону без проверки личности звонящего - это уже нарушение тайны, хотя формально ИСПДн никто не взламывал и утечки данных в техническом смысле не было.
Практический набор для старта: приказ и подписки о неразглашении, разграничение доступа, техническая защита по уровню ИСПДн, отдельно положение об обработке персональных данных и положение о врачебной тайне, согласия пациентов, включая согласие на распространение, если планируете публиковать отзывы или фото на сайте.