ГОСТ Р 57301—2016
длина ключа, протоколы и прочее, не были приведены. Справочная информация по этим техническим
критериям, может быть необходима.
5.3 Требования конфиденциальности и безопасности POS
5.3.1 Общие положения
В данном разделе представлены требования, которые будут применяться ко всем клиническим
системам POS в пределах области применения настоящего стандарта.
5.3.2 Согласие субъекта данных на сбор, использование или раскрытие персональной ме
дицинской информации
Требование 1. Согласие на регистрацию данных. В случае когда субъекты данных имеют пра
во согласно закону или обычаю отказаться или аннулировать свое согласие на использование или раз
глашение их персональных медицинских данных, клинические системы POS:
a) должны предоставлять средства для регистрации директив согласия субъекта данных, вклю
чая отказ или аннулирование согласия;
b
) должны иметь возможность выполнить это таким образом, который бы позволил каждой ор
ганизации соответствовать своим юридическим требованиям или требованиям политики по согласию.
Примечание — Согласие может распространяться на всю персональную медицинскую информацию
субъекта данных или на конкретные цели.
Требование 2. Зарегистрировано минимальное количество данных. В случае когда клиниче
ские системы POS записывают директивы разглашения информации субъекта данных, должны быть
записаны особенности директив (например, отказ от согласия или отказ от согласия, данного ранее), а
также тип согласия в тех юрисдикциях, которые распознают два или более типа согласия (например,
подразумеваемое или выраженное согласие), и дата, на которую была выдана директива.
Требование 3. Директива, сопровождающая данные. В случае когда субъекты данных име
ют право согласно закону или обычаю отказаться или аннулировать свое согласие на сбор, исполь
зование или разглашение их персональных медицинских данных, клинические системы POS должны
предоставлять средства передачи ограничений на дальнейшее (т. е. последующее) разглашение
наряду с разглашаемыми данными, если получатель этих данных не может знать или отвечать ди
рективам согласия субъекта данных иным способом. Клинические системы POS должны иметь воз
можность выполнения указанного выше таким способом, который позволит отправляющим и полу
чающим юрисдикциям соответствовать собственным законодательным требованиям или политике
по согласию.
Требование 4. Экстренный доступ. Срочная медицинская помощь (например, оказание помощи
пациенту, находящему без сознания) или другие особые ситуации, допускаемые законом или политикой
(например, исследования в области общественного здравоохранения во время эпидемий инфекцион
ных заболеваний), при которых может потребоваться доступ к истории болезни пациента, хранящейся в
клинической системе POS. независимо от ранее зарегистрированных директив по разглашению ин
формации. Возможность такого экстренного доступа должна предоставляться только авторизованным
пользователям, и его применение (вместе с указанием причины, по которой пользователь игнорирует
директиву согласия) должно быть зарегистрировано в журнале аудита. За исключением случаев, когда
игнорирование директив согласия допускается законом или политикой, и для того, чтобы устранить не
определенность относительно того, намерен ли пользователь действовать вопреки директиве согласия
пациента, система должна разрешить пользователю воспользоваться экстренным доступом напрямую
или система должна информировать зарегистрированного пользователя до предоставления доступа о
том. что он будет экстренным.
Требование 5. Регистрация экстренного доступа. Клинические системы POS должны быть спо
собны;
a) регистрировать события, при которых обработка директив согласия делает невозможным раз
глашение данных;
b
) регистрировать идентификационные данные любого пользователя, который игнорирует дирек
тиву согласия субъекта данных, причину необходимости экстренногодоступа, уникальный идентифика
тор. который будет использоваться позже для идентификации субъекта данных, дату и время исполь
зования экстренного доступа;
c) в случаях когда физическое лицо в организации пользователя несет ответственность за содей
ствие соответствию конфиденциальности, информировать об экстренном доступе.
11