ГОСТ Р 57301—2016
Требование 6. Согласие дано юридически уполномоченным представителем. В случаях ког
да директива согласия дана от имени объекта получения медицинской помощи юридически уполно
моченным представителем, клинические системы POS должны иметь возможность регистрации иден
тификационных данных этих представителей и степени родства представителя и объекта получения
помощи.
Требование 7. Регистрация разрешений на изменения. Клинические системы POS. записыва
ющие разрешающие директивы, должны иметь возможность отображения того, какие разрешающие
директивы при их наличии действовали в данный момент времени для данного объекта получения
помощи.
Обоснование
Медицинские организации должны знать, что они получили разрешение, требуемое в их юрис
дикции. в ходе сбора, использования или разглашения персональных данных о состоянии здоровья.
Формы разрешения, необходимые для организации, могут отличаться в зависимости от юрисдикции,
обстоятельств, при которых раскрывается информация {например, медицинскому работнику или соци
альной службе), и типа раскрываемой информации (например, обязательный отчет об инфекционных
заболеваниях не требует согласия субъекта данных).
Осуществление ввода персональной медицинской информации в клинические системы POS в
рамках конкретной юрисдикции выполняется теми, основным обязательством которых являются полу
чение и регистрация разрешающей директивы субъектов данных, и это часто происходит во время
сбора данных, когда получение и регистрация разрешения являются наиболее эффективными. Кли
ническая система POS должна предоставить средства таким образом, чтобы организация здравоох
ранения могла гарантировать, что те. кто осуществляет доступ к ПМД, могут получить доступ только к
той информации, которая доступна на законном основании либо на основании согласия или законного
разрешения (например, если данные раскрываются по распоряжению суда).
Ссылки:
ИСО 27799. ИСО/МЭК 15408 (все части). ИСО 18308. ИСО 27789.
5.3.3 Ограничение использования и разглашения
Требование 8. Регистрация и храноние только тех данных, сбор, использование и раз
глашение которых имеют определенную цель. Персональная медицинская информация должна
использоваться или разглашаться только в целях, совпадающих с теми, для которых она была со
брана. Клинические системы POS должны быть структурированы таким образом, чтобы хранение
полей данных, не имеющих явного отношения к определенной цели данных, таких как лечение и
оказание помощи, выставление счета на медицинские услуги или клинические исследования, не
осуществлялось.
Требование 9. Ограничение разглашения информации субъекта данных поставщикам ме
дицинских услуг субъекта данных. Необходима регистрация данного ограничения (например, отказ от
согласия или отказ от ранее данного согласия), а также типа согласия в тех юрисдикциях, которые
распознают один или несколько типов согласия (например, подразумеваемое или выраженное согла
сие). и даты, на которую была выдана директива.
Требование 10. Запрет экспорта данных. Передача данных в печатном виде или электронном
формате из клинической системы POS в другие системы должна осуществляться только в определен
ных целях, например, оказание медицинской помощи, резервное копирование данных или передача
субъекту данных (или агенту субъекта данных) по запросу субъекта.
Обоснование
Это требование является стандартным и традиционным принципом честного использования дан
ных и не препятствует оказанию помощи поставщиками медицинских услуг. В юрисдикциях, где были
введены законодательные акты о защите медицинских данных, эти положения, как правило, разре
шают или требуют многократного использования и разглашения персональных медицинских данных,
связанных с предоставлением медицинской помощи, поддержкой работы системы здравоохранения
или обеспечения общественного здоровья.
Только пользователи клинических систем POS. участвующие в оказании помощи и поддержки
объекта, имеют подразумеваемое согласие объекта оказания медицинской помощи на получение до
ступа к данным субъекта. Без данного согласия нормальный доступ к данным невозможен. Система
должна быть обеспечена соответствующим контролем доступа к записям конкретного субъекта данных.
Например, доступ к любым медицинским картам пациентов, больше не зарегистрированных в клинике или
на приеме, не должен свободно осуществляться пользователями в данной клинике.
12