Знакомая работает в поликлинике и упомянула диагноз, который пациент ей не сообщал. Значит ли это, что любой сотрудник может открыть электронную карту?

Нет. Техническая возможность входа не равна законному доступу к любой карте. Работник должен обрабатывать медицинские сведения в пределах полномочий и конкретной служебной цели. Зафиксируйте, что именно было сказано, и запросите у учреждения проверку доступа и раскрытия.

Начните с фактов, а не догадки.

Одна карта содержит данные разной чувствительности

В системе могут находиться обращения, диагнозы, назначения, результаты исследований, рецепты, больничные, направления и служебные отметки. Не каждый экран доступен каждому работнику одинаково. Врач, который лечит пациента, регистратор, лаборатория, администратор системы и сотрудник статистики решают разные задачи, поэтому полномочия должны различаться. Конкретная архитектура зависит от учреждения и информационной системы, но общий вопрос остаётся прежним: зачем этому человеку понадобились именно эти сведения для выполнения работы. Служебный доступ может понадобиться для исправления сбоя или аудита, однако он тоже должен иметь задачу и ответственного. Пациенту полезно различать просмотр карты, передачу выписки и случайное разглашение вслух: это отдельные действия, для проверки которых нужны разные даты, пользователи и доказательства.

Правила о сообщении информации родственникам раскрыты в статье о врачебной тайне. Родство или знакомство с сотрудником не создаёт автоматического доступа.

Регистратуре нужны одни поля, лечащему врачу — другие

Для записи на приём работнику нужны идентификация, контакты, расписание и направление. Полная история психиатрического, репродуктивного или иного лечения для этой операции избыточна. Врач оценивает более широкий набор данных, когда он связан с безопасностью и планом помощи. Лаборатория получает сведения, необходимые для исследования и передачи результата.

Если сотрудник объясняет просмотр словами «у нас всё открыто», попросите руководство назвать роль пользователя, локальные правила и основание операции. Настройка системы не освобождает организацию от обязанности разграничивать работу с данными и обучать персонал.

Пациент может запросить объяснение обработки

Обратитесь в медицинскую организацию письменно: укажите свои данные, период, предполагаемое событие и желаемый результат. Спросите, какие категории сведений обрабатываются, для каких целей, кому они предоставлялись в описанной ситуации и как реализовать права пациента. Формулируйте запрос без требования выдать пароли, внутренние секреты защиты или данные других пациентов.

Общий порядок запросов о персональных данных продолжает статья о законном объёме сведений. Если нужна сама медицинская информация, отдельный материал объясняет получение копии карты.

Ошибочный диагноз и незаконный просмотр — разные обращения

При фактической ошибке приложите документ, который показывает правильные данные, и попросите медицинскую организацию проверить запись и порядок её уточнения. Не требуйте удалить клиническое мнение лишь потому, что оно неприятно: медицинская запись отражает оказанную помощь, а спор о диагнозе может потребовать врачебной оценки.

При подозрении на посторонний просмотр опишите человека, дату, фразу и обстоятельства, из которых следует знание. Сохраните сообщения и свидетелей. Просите провести служебную проверку, установить действия с картой и сообщить о принятых мерах в допустимом законом объёме. Не пытайтесь войти под чужой учётной записью, чтобы добыть доказательство.

Передача между учреждениями имеет собственное основание

Направление к специалисту, экстренная помощь, лабораторное исследование и государственная отчётность предполагают разные наборы сведений. Спросите врача, какие данные уйдут вместе с направлением и кто получит результат. Если используется мобильное приложение пациента, проверьте, какие уведомления показываются на заблокированном экране и на каких устройствах открыт аккаунт.

Рабочий компьютер в кабинете также не должен оставаться с открытой картой для следующего посетителя. Увидев данные другого человека, не фотографируйте их и сообщите учреждению о проблеме конфиденциально.

Жалоба должна указывать действие и вред

Если ответ учреждения не объясняет ситуацию, обратитесь к вышестоящей организации или уполномоченному органу по компетенции. Для вопроса о персональных данных изучите официальный порядок Национального центра защиты персональных данных; для качества медицинской записи и действий работников — порядок в системе здравоохранения. Приложите первое обращение и ответ.

При публикации диагноза либо использовании сведений для давления сохраните страницу, адрес, дату и круг получателей. Материал об утечке данных поможет ограничить распространение. Первый практический шаг в описанной ситуации — письменный запрос главному врачу о проверке конкретного доступа, а не публичное обвинение всей поликлиники.