|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
alexeyvg А то, про что вы говорили, возможно, для вас лично очень важно (наверное, вы работаете в этой области), но на качество лечения, на продолжительность жизни, на страдания людей никак не повлияет. Вы, говоря о "понижении класса системы", не забывайте о цели создания этой системы :-) Конкретно медициной не занимаюсь (см.профиль). Было обращение от одной из клиник с проблемой защиты ПД. Предварительная проверка их ИС вызвала большое количество замечаний со стороны роскомсвязьнадзора. Вот и пребывают в панике. Типа медицинская информация (если ее не обезличивать, см.выше) нуждается в тенх. мерах защиты на уровне гостайны. И даже для такой крупной клиники - это непомерные траты. Что касается целей - я это понимаю прекрасно (насчет страданий людей). Но здесь обсуждаются ИС, поэтому и разговоры соответствующие. alexeyvg Это просто внутреннее, чисто техническое дело разработчиков и эксплуататоров внутренних систем - как обеспечить бесопасность данных. Уровень этих рекомендаций - это уровень аспиранта по ИТ-специальности. Т.е. там в общем-то довольно элементарные вещи. Согласен насчет элементарных вещей. Однако, реализация защиты дело не для аспиранта. То же внедрение криптографии требует соответствующей лицензии для разработчика. Да и вообще, если все делать в соотв. с текущими законами... По крайней мере сроки разработки будут приличные ... |
|||
:
Нравится:
Не нравится:
|
|||
05.03.2009, 19:19 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
iehfТипа медицинская информация (если ее не обезличивать, см.выше) нуждается в тенх. мерах защиты на уровне гостайны. И даже для такой крупной клиники - это непомерные траты. ... Согласен насчет элементарных вещей. Однако, реализация защиты дело не для аспиранта. То же внедрение криптографии требует соответствующей лицензии для разработчика. Да и вообще, если все делать в соотв. с текущими законами... По крайней мере сроки разработки будут приличныеНасчет элементарных вещей - это я про то, что тут вопрос не ГОСТ-а, а разработчиков, ну а разработчики, конечно, должны быть квалифицированными. А насчёт затрат - так и будут большие затраты, если делать персонально для больницы. Она, может, и большая, но не настолько-же... "соответствующей лицензии для разработчика" - про это даже смешно... неужели вы всерьёз сказали? Лицензирование - это вопрос бабла и учёта интересов заинтересованных сторон, к квалификации компании и сложности работ отношения не имеет. Кстати, насчёт обезличевания - это вопрос спорный. В рамках системы в целом информация не обезличена. Т.е. у человека в столе лежит история болезни. На ней номер пациента. Рядом в этом столе лежит карточка пациента с его фамилией и номером. Требования закона соблюдены? ... |
|||
:
Нравится:
Не нравится:
|
|||
05.03.2009, 20:01 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
alexeyvg А насчёт затрат - так и будут большие затраты, если делать персонально для больницы. Она, может, и большая, но не настолько-же... Дело в том, что для небольшой больницы затраты могут быть и вовсе фатальными alexeyvg "соответствующей лицензии для разработчика" - про это даже смешно... неужели вы всерьёз сказали? Если верить Федеральному закону N 128-ФЗ "О лицензировании отдельных видов деятельности" ст.17 пп.5...11, то всерьёз alexeyvg Лицензирование - это вопрос бабла и учёта интересов заинтересованных сторон, к квалификации компании и сложности работ отношения не имеет. До тех пор пока к этой компании не проснется интерес со стороны известного ведомства см.тж. alexeyvg Кстати, насчёт обезличевания - это вопрос спорный. В рамках системы в целом информация не обезличена. Т.е. у человека в столе лежит история болезни. На ней номер пациента. Рядом в этом столе лежит карточка пациента с его фамилией и номером. Требования закона соблюдены? Может быть и нарушен. Здесь еще надо учесть ПОСТАНОВЛЕНИЕ от 15 сентября 2008 г. № 687 "ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ ОБ ОСОБЕННОСТЯХ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОСУЩЕСТВЛЯЕМОЙ БЕЗ ИСПОЛЬЗОВАНИЯ СРЕДСТВ АВТОМАТИЗАЦИИ" ... |
|||
:
Нравится:
Не нравится:
|
|||
05.03.2009, 20:44 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
alm2Как выполняется требование наличия ПИСЬМЕННОГО согласия пациента на обработку персональных данных (когда поток пациентов очень большой) ? Закон крайне сырой. Что касается финансовых организаций - так проще взорвать банк и на его месте построить новый, чем выполнить. Какие будут затраты на установку записи речевых переговоров с клиентом, видео, технические моменты не соответствуют законодательству ЦБ. Если слепо следовать закону - то мне нужно и для записной книжке в телефоне спрашивать письменное согласие абонентов. Мнение выдающихся спецов - закон (и подзаконные акты) в данном виде технически неисполним, и насколько я знаю подымается большая волна чтобы его переписать или отменить до 1 января. ... |
|||
:
Нравится:
Не нравится:
|
|||
18.03.2009, 16:43 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
bantik Мнение выдающихся спецов ... Кто такие? А что закон требует доработки - с этим никто не спорит. Комитет по внесении поправок к ФЗ 152 на последнем инфофоруме принял ряд поправок и направил в соотв. комитет госдумы. ... |
|||
:
Нравится:
Не нравится:
|
|||
19.03.2009, 11:06 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
Несколько замечаний по теме: 1) деперсонифицировать информацию в информационной системе медучреждения невозможно - с ней станет невозможно работать; 2) деперсонифицируется информация, например тогда, когда нужно опубликовать или предоставить для исследования какую-нибудь выборку накопленных данных; 3) насколько я понимаю, согласия пациента на хранение его персональных данных о состоянии здоровья в медицинском учреждении не требеуется; 4) для обеспечения выполнения требований закона необходимо использовать сертифицированные ФСБ криптографические средства; 5) логины и пароли в таком деле - плохой выбор, необходимо использовать инфраструктуру открытого ключа (PKI) и съемные контейнеры закрытых ключей; 6) учитывая разнообразие и разнородность медицинской информации, создание единого стандарта или даже стандартов для обмена электронными историями болезни маловероятно, стандартизовать реально можно лишь протокол создания, передачи, хранения и проверки такого рода данных, не делая предположения об их внутренней структуре; 7) упомянутый ГОСТ - это отражение в нормативной базе международного стандарта электронной истории болезни и электронной медицинской записи. Код: plaintext
... |
|||
:
Нравится:
Не нравится:
|
|||
21.03.2009, 14:04 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
Codenamed6) учитывая разнообразие и разнородность медицинской информации, создание единого стандарта или даже стандартов для обмена электронными историями болезни маловероятно, стандартизовать реально можно лишь протокол создания, передачи, хранения и проверки такого рода данных, не делая предположения об их внутренней структуре;Ну, не знаю... Вот в интернете уж насколько разнообразная информация, и то ведь придумали стандарт для обмена информацией (HTML). По моему, придумать что-то вроде XML с нужными полями (хотя-бы из того-же госта) несложно. Вопрос, по моему, не в сложности, а в заинтересованности. ... |
|||
:
Нравится:
Не нравится:
|
|||
21.03.2009, 21:14 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
CodenamedНесколько замечаний по теме: 1) деперсонифицировать информацию в информационной системе медучреждения невозможно - с ней станет невозможно работать; Не уверен. Т.е. чтобы лечить пациента врачу необходимо знать его фамилию, паспорт и т.п.? Codenamed 2) деперсонифицируется информация, например тогда, когда нужно опубликовать или предоставить для исследования какую-нибудь выборку накопленных данных; Для этого в том числе ... |
|||
:
Нравится:
Не нравится:
|
|||
23.03.2009, 12:12 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
iehfCodenamedНесколько замечаний по теме: 1) деперсонифицировать информацию в информационной системе медучреждения невозможно - с ней станет невозможно работать; Не уверен. Т.е. чтобы лечить пациента врачу необходимо знать его фамилию, паспорт и т.п.? Все паспортные данные пациента врачу знать не обязательно. Но бОльшая их часть будет нужна позже при подаче реестра пролеченных пациентов для оплаты мед. услуг страховым компаниям. Фамилию знать нужно. Простейший случай - хотя бы для того чтобы отправить пациента на сдачу анализов или для других обследований нужно в направлении указать ФИО этого пациента. В электронных историях болезней паспортные данные, как правило, вбиваются один раз при обращении пациента в приемный покой отделения. Ну а дальше ФИО пациента фигурирует практически во всех электронных документах истории болезни, направлениях на обследования, справках и т.д. Да и даже чисто по-человечески - будь бы врачом, как бы вы обращались к вашим пациентам, не зная даже как минимум их фамилий? ;-) ... |
|||
:
Нравится:
Не нравится:
|
|||
23.03.2009, 13:22 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
iehf Codenamed 2) деперсонифицируется информация, например тогда, когда нужно опубликовать или предоставить для исследования какую-нибудь выборку накопленных данных; Для этого в том числе Так оно и есть. В статистических выборках, как правило, важно количество ( к примеру количество пациентов, переболевших данным заболеванием, или количество прооперованных), но при этом мало кого интересует, был ли среди них Ваня Иванов. Но, имхо, деперсонификация данных внутри лечебного отделения принесет больше головной боли чем какого-либо положительного эффекта. Опять же имхо, лучше в данном случае, каждому пользователю (группе пользователей) раздать права только на ту информацию, которая ему необходима для продуктивной работы ... |
|||
:
Нравится:
Не нравится:
|
|||
23.03.2009, 14:42 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
Ну, и для того чтобы не оставалось никаких вопросов - естественно необходима разработка/доработка мед стандарта ... |
|||
:
Нравится:
Не нравится:
|
|||
23.03.2009, 14:57 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
edges7 Все паспортные данные пациента врачу знать не обязательно. Но бОльшая их часть будет нужна позже при подаче реестра пролеченных пациентов для оплаты мед. услуг страховым компаниям. Правильно. Но в этом случае для страховой не важна история болезни пациента. edges7 Фамилию знать нужно. Простейший случай - хотя бы для того чтобы отправить пациента на сдачу анализов или для других обследований нужно в направлении указать ФИО этого пациента. В электронных историях болезней паспортные данные, как правило, вбиваются один раз при обращении пациента в приемный покой отделения. Ну а дальше ФИО пациента фигурирует практически во всех электронных документах истории болезни, направлениях на обследования, справках и т.д. С анализами пример неубедительный. Можно сделать анализ и привязыть его к номеру истории болезни. edges7 Да и даже чисто по-человечески - будь бы врачом, как бы вы обращались к вашим пациентам, не зная даже как минимум их фамилий? ;-) Понятно, что элементарной вежливости никто не отменял. Я бы спросил имя и отчество, и так бы и обращался. При этом мне было бы безразлично настоящие и.о. были названы или нет. Такая практика, кстати, есть в разных анонимных кабинетах. ... |
|||
:
Нравится:
Не нравится:
|
|||
23.03.2009, 15:49 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
edges7Ну, и для того чтобы не оставалось никаких вопросов - естественно необходима разработка/доработка мед стандарта Угу. Все вопросы сняты :) ... |
|||
:
Нравится:
Не нравится:
|
|||
23.03.2009, 15:51 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
iehfedges7 Все паспортные данные пациента врачу знать не обязательно. Но бОльшая их часть будет нужна позже при подаче реестра пролеченных пациентов для оплаты мед. услуг страховым компаниям. Правильно. Но в этом случае для страховой не важна история болезни пациента. Да, действительно, история болезни для страховых компаний, как таковая, не важна. Все что им подается – это период лечения (с какого и по какое число пациент находился на стационарном лечении), соответственно койко-дни, код заболевания, исход, сумма на которую был пролечен пациент. Все остальные данные – это паспортные данные и данные страхового полиса. И при этом страховым компаниям абсолютно фиолетово, как и чем лечили их застрахованного, сколько раз и по какому поводу оперировали. Хотя по некоторым спорным случаям могут запросить и более детальную информацию. iehf С анализами пример неубедительный. Можно сделать анализ и привязыть его к номеру истории болезни. ОК. Давайте подойдем к этому с другой стороны. Рассмотрим такой случай. Пациент сперва обратился в поликлинику к терапевту. Врач, выслушав жалобы, выписал направление на анализы и прочие обследования. Соответственно после результатов обследований, врач сообщает пациенту, что результаты не очень утешительны и направляет его на стационарное лечение. И только, в приемном покое стационара на пациента заводят историю болезни. Т.е. был момент, когда результаты анализов уже были известны, а истории болезни еще не было. Или, например, другой исход, когда врач изучив результаты обследований, радостно сообщает пациенту, что ничего серьезного нет, выписывает таблетки и отправляет пациента домой. Т.е. в данном случае результаты анализов и обследований имеются, а истории болезни, как таковой, нет, и уже, видимо, не будет. А данные результатов обследований в БД должны быть. К чему, в таком случае привязывать результаты анализов? ;-) Да и номер истории, сам по себе, вряд ли претендует на роль некоего уникального идентификатора. Ежегодно он обнуляется, и с 1 января номера историй болезней начинаются с 1. Если его и использовать, то только как часть составного ключа. И таких нюансов в медицине довольно много. Здесь можно далеко уйти :) edges7iehf Да и даже чисто по-человечески - будь бы врачом, как бы вы обращались к вашим пациентам, не зная даже как минимум их фамилий? ;-) Понятно, что элементарной вежливости никто не отменял. Я бы спросил имя и отчество, и так бы и обращался. При этом мне было бы безразлично настоящие и.о. были названы или нет. Такая практика, кстати, есть в разных анонимных кабинетах. К сожалению, такой вариант подходит, когда пациент сам из своего собственного кармана оплачивает весь процесс лечения. Но для страховой медицины, такое, конечно же, не прокатит. :) Вряд ли страховая компания будет оплачивать лечение некоего анонима, неизвестно у кого застрахованного, да и застрахованного ли вообще. В-общем, как и всегда пришли к тому, что все упирается в финансы… ... |
|||
:
Нравится:
Не нравится:
|
|||
23.03.2009, 17:55 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
iehf Но в этом случае для страховой не важна история болезни пациента.Вы не правы, страховая помимо оплаты лечения должна проводить экспертизу качества оказания мед.помощи, для чего ей требуется доступ к истории болезни некоторой группы пролеченных (допустим, не менее 5-10% случаев за период). Ну и для собственно идентификации пациента как своего застрахованного требуется перс.информация (ФИО, ДР, полис)... ... |
|||
:
Нравится:
Не нравится:
|
|||
30.03.2009, 22:11 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
mvb, В приведенном Вами примере данные истории болезни все равно хранятся и обрабатываются в ИСПД лечебного учреждения, а не страховой компании. Это я и имел в виду. Работники страховой обращаются в лечебное учреждение и там им предоставляют нужную информацию. Они обрабатывают ее по своему усмотрению. Такой вид обработки, по-моему, регламентируется на ФЗ, а скорей 687 постановлением правительства РФ. ... |
|||
:
Нравится:
Не нравится:
|
|||
31.03.2009, 12:21 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
Ну вот приначальники и соначальники с вопросами: а что у нас касательно "Федеральный закон Российской Федерации от 27 июля 2006 г. N 152-ФЗ О персональных данных"? Наметили: Бумагу специальную подписывать при открытии истории болезни. Обязательность журналирования работы с определенными данными в БД. ... Неприкасаемость закона медицины какая-то условная. Хотя может быть ещё не разобрались. И наверно скоро объявят уполномоченный орган по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, который является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи. ... |
|||
:
Нравится:
Не нравится:
|
|||
21.04.2009, 13:38 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
... |
|||
:
Нравится:
Не нравится:
|
|||
23.04.2009, 13:19 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
Коллеги, простите за резкость, но вы несете чушь. Зачем к отечественному законотворчеству приплетать жемчужины архитектурных ИТ решений, технологические прорывы, шифрование, незначимые пароли и ФСБ вот даже приплели.. У Вас есть Система, и вы, как разработчики за нее отвечаете, не хотите отвечать - Заказчик выбрет другую. А вот чтобы Вам не отвечать за собственные косяки в безопасности, сертифицируйте свое чадо в ФСТЭК - всего-то год аццкого организационного гемороя и лям-деревом. Что в итоге? Вуаля! Система сертифицирована и прошла проверку ФСТЭК. Все претензии по безопасности и отсутствию бэкдоров с закладкам - к ним. А как вы пишете Систему и что вы пишете не важно. Если будет явная лажа никто такую Систему не сертифицирует. Есть ограничения - если выпустите следующую версию Системы - сертификация поновой =) ... |
|||
:
Нравится:
Не нравится:
|
|||
24.04.2009, 16:21 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
Medvich ... сертифицируйте свое чадо в ФСТЭК - всего-то год аццкого организационного гемороя и лям-деревом ... ... если выпустите следующую версию Системы - сертификация поновой =) Весьма позитивно... ;) ... |
|||
:
Нравится:
Не нравится:
|
|||
24.04.2009, 18:55 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
Форумчане! Прочитал выше приведенные мысли. Захотелось высказать свое мнение. Выполнить требования федерального 152 закона о защите персональных данных (в рамках действующего законодательства) не представляется возможным . Деперсонифицировать информацию в медучреждении невозможно (Например: законодательство в сфере оборота наркотических и т.д. средств строго регламентирует какие поля и в каких журналах требуется заполнить персональными данными.) Создание единого стандарта для обмена электронными историями болезни очень даже возможно. В настоящее время все довольствуются вписками из истории болезни или амбулаторной карты (ксерокопия протокола исследования в качестве БОЛЬШОГО подарка) Обмен «персональными медицинскими записями» возможен. Достаточно вспомнить, что подавляющая часть мед. документов формализирована. Хотя следует признать, что анализ привнесенных данных может быть сложен. Лечащего врача "устроит" любой читаемый формат (pdf, xml, doc, bmp, pdf, avi, mp3 и т.д. ), если он будет на 100% знать, что представленные данные достоверны, не фальсифицированы, актуальны (то есть, если на основании этих данных можно будет принять решение). «Законописатели» собираются добить умирающую систему здравоохранения возложив проблемы введения электронного документооборота на «больницы» (а помнится в СССР даже простенькие бланки были типовыми по всей стране, утверждались Минздравом. ). ... |
|||
:
Нравится:
Не нравится:
|
|||
09.09.2009, 23:33 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
pkkv, Паникёр ... |
|||
:
Нравится:
Не нравится:
|
|||
11.09.2009, 12:45 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
pkkv...Выполнить требования федерального 152 закона о защите персональных данных (в рамках действующего законодательства) не представляется возможным... Возможно ) В каждый комп включая сервер, ставите по соболю... для включения компа - таблетка, для входа в систему рутокен+пин... все пуки в системе какой-нить SecretDiskNG контролируются... дисководы и USB у врачей ваще выпаять... системники опечатать... ) коннект к серверу через шифрованый канал по какому-нить ВипНет или Континент, само собою с сертификатом и криптографией, авторизация на сервере аналогично... и вот внутри этого всего запускаете ваше приложение клиент/сервер... или даже в терминальном режиме... в софте конечно логируете все действия и запросы... каждая печатуемая бумажка нумеруется и фиксируется в журнале... к этому всему очень очень много документации... всякие правила, регламенты, журналы... все рабочие места и сервер аттестовать сервер в комнату с железными дверями, кондиционером и сигналкой выведенной на пункт внев.охраны... а лучше своих двух автоматичков ... |
|||
:
Нравится:
Не нравится:
|
|||
11.09.2009, 23:04 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
>Кифирчик, 11.09.2009 23:04 [7650313] >Возможно. Согласен. Пример, как вариант, подобной системы здесь . Доступ врачей в интернет, со своего рабочего компа, только через терминал сервер. Последний помешается между двух брандмауэров. Настройки оных спецы по-полочкам должны разложить. С уважением, Владимир. ... |
|||
:
Нравится:
Не нравится:
|
|||
12.09.2009, 22:41 |
|
выполнение требований федерального 152 закона о защите персональных данных
|
|||
---|---|---|---|
#18+
>Кифирчик, 11.09.2009 23:04 [7650313] >Возможно. Согласен. Пример, как вариант, подобной системы здесь . Доступ врачей в интернет, со своего рабочего компа, только через терминал сервер. Последний помешается между двух брандмауэров. Настройки оных спецы по-полочкам должны разложить. С уважением, Владимир. ... |
|||
:
Нравится:
Не нравится:
|
|||
12.09.2009, 23:19 |
|
|
start [/forum/topic.php?fid=33&msg=35886481&tid=1548433]: |
0ms |
get settings: |
8ms |
get forum list: |
13ms |
check forum access: |
3ms |
check topic access: |
3ms |
track hit: |
138ms |
get topic data: |
9ms |
get forum data: |
2ms |
get page messages: |
55ms |
get tp. blocked users: |
1ms |
others: | 314ms |
total: | 546ms |
0 / 0 |