ГОСТ Р 57301—2016
Перед попыткой внести вклад в краткую медицинскую карту (путем отправки информации на PSIS) системы
должны установить (с помощью интерфейса службы контроля доступа spine), что клиенты не возражают про
тив создания краткой медицинской карты.
Требование 3.16.11 Управления информацией Великобритании
Доступ из систем социальной помощи
Перед отправкой любой информации из любых учреждений социальной помощи в информационные службы
NHS (например, отправка сообщений CAF в PSIS) система должна обеспечить получение явно выраженного
согласия от клиента. Ожидается, что механизм блокирования (см 3.5 и ссылки) будет использоваться для
управления данным согласием: оценки, которые были заблокированы и защищены, не могут быть отправле
ны PSIS. в то время как оценки, которые заблокированы, могут быть отправлены, но не будут доступны для
обычного просмотра остальным.
В.2.4 Игнорирование согласия в случае чрезвычайных обстоятельств
США
CCHIT IFR.02
Разрешает авторизованным пользователям (имеющим допуск при чрезвычайных обстоятельствах) осущест
влять доступ к электронным медицинским данным в случав чрезвычайных обстоятельств.
Великобритания
Требование 3.2.6 Управления информацией Великобритании
Система должна гарантировать, что пользователь, который запрашивает доступ к конфиденциальным персо
нальным данным, которые доступны в CRS NHS и относятся к пациентам, выразившим «явное несогласие»,
сначала будет уведомлен о последствиях перед выводом таких данных. Система должна гарантировать, что
пользователь зарегистрировал подтверждение того, что данное уведомление было принято к сведению перед
выводом данных. В таких обстоятельствах должны соблюдаться рекомендации, изложенные в NPFIT-FNT-K-
IG-0114 DES — Проектирование диалога игнорирования несогласия.
В.2.5 Регистрация в журнале игнорирования согласия
Канада
Требование конфиденциальности 13 канадской медицинской организации Infoway
Регистрация игнорирования согласия
Инфоструктура EHR должна быть способна:
a) заносить в журнал случаи, при которых обработка директив согласия (см. требование конфиденциаль
ности 12. перечисление Ь) запрещает передачу данных;
b
) заносить в журнал идентификационные данные каждого пользователя, который игнорирует директивы
согласия пациента/лица. причину игнорирования согласия, а также дату и время, в которое согласив было
проигнорировано;
c) оповещать лицо, ответственное за обеспечение соблюдения конфиденциальности в организации, где ра
ботает пользователь, осуществляющий доступ, а также в организации, в которой проводился сбор информа
ции, о том. что согласие было проигнорировано.
Обоснование — Так как некоторые законы о защите медицинских данных, например, закон Онтарио о за
щите персональных медицинских данных, разрешают осуществлять как маскировку, так и демаскировку, а
также уведомлять третьих лиц о существующих маскировках, системы EHRi и POS. подключенные к инфо
структуре EHR. должны вести слежку путем занесения в журнал аудита идентификационных данных каждо
го. кто демаскирует или снимает блокировку с карт (см. требование безопасности 38 и требование безопас
ности 43).
Кроме того, некоторые законодательные акты о защите медицинских данных требуют, чтобы хранители ме
дицинской информации уведомляли пациента/лицо о том. что его или ее информация украдена, утеряна или
доступ к ней был осуществлен посторонним лицом. Уведомление о том. что директива согласия лица была
проигнорирована, окажет значительную помощь лицу (лицам), ответственным за обеспечение соответствия
организации требованиям конфиденциальности, в определении того, когда были осуществлены потенциаль
ный «несанкционированный» доступ или разглашение ПМД. Игнорирование директив согласия пациента/
лица должно контролироваться как в организации, в которой осуществлялся сбор ПМД. так и в организации, из
которой будет осуществлен доступ к информации.
Поскольку журналы сами по себе будут содержать конфиденциальную информацию, они должны иметь за
щиту и исключать несанкционированный доступ. Требования к их безопасности описаны в требовании
безопасности 50 (обеспечение доступа к журналам аудита инфоструктуры EHR) и требовании безопасно
сти 51 (исключение несанкционированного доступа к журналам аудита инфоструктуры EHR).
Помимо регистрации случаев игнорирования директив согласия пациента/лица (см. перечисление Ь) и уве
домления ответственных лиц о том. что директива согласия лица была проигнорирована (см. перечисление с),
существует также связанное требование об уведомлении пациентов/лиц о несанкционированном доступе
(см. требование конфиденциальности 20. приведенное в разделе 5).
50