Защита медицинской конфиденциальности при трансграничной передаче документов

Определите всех получателей, сократите объём документов, используйте безопасную передачу и управляйте согласием, доступом, метаданными и удалением при международном обмене сведениями о здоровье.

Главное

Согласно китайскому Закону о защите персональной информации (PIPL), сведения о здоровье относятся к чувствительной персональной информации. Для их обработки необходимы конкретная цель, достаточная необходимость и строгие меры защиты.[1]
В просьбе «отправить мои документы за границу» могут участвовать исходная больница, координатор, переводческая компания, платформа, зарубежная больница, страховщик и родственники. Определите каждого получателя и его роль.
Используйте минимальный набор документов, необходимый для заявленной цели. Водителю нужны инструкции по обеспечению мобильности, а не результаты патоморфологии; отделу расчёта стоимости может не требоваться полная психиатрическая история.
Требования к отдельному согласию и трансграничной передаче зависят от того, кто обрабатывает информацию и зачем. Попросите учреждение объяснить правовое основание и механизм передачи; не полагайтесь на одну общую галочку.[1][2]
Шифруйте файлы, отправляйте пароль отдельно, устанавливайте срок действия ссылки и подтверждайте удаление или возврат после завершения задачи. Метаданные DICOM и документов могут содержать идентификационные сведения, даже если имя файла выглядит анонимным.[3]

Полное руководство

Документ может пересечь несколько границ незаметно для пациента. Больница экспортирует PDF координатору, координатор отправляет его переводчику, перевод загружают в облачное хранилище, ссылка попадает зарубежному врачу, а родственник пересылает её в семейную группу.

Каждый шаг может казаться полезным. Вместе они создают копии, новых получателей и неопределённые сроки хранения. Защита конфиденциальности начинается с составления маршрута до отправки файла.

Сначала определите людей и системы

Составьте простую схему передачи:

Получатель или система	Цель	Необходимые данные	Кому разрешена пересылка	Когда заканчивается доступ
Китайская больница	Клиническая оценка	Медицинские документы, значимые для решения	Указанная клиническая команда	По правилам хранения больницы
Переводчик	Перевод выбранных заключений	Выбранные страницы исходника	Только утверждённый проверяющий	После сдачи и проверки качества
Координатор	Организация оценки	Указатель и необходимые файлы	Указанное контактное лицо больницы	При завершении услуги
Страховщик	Решение о покрытии	Документированный перечень подтверждающих материалов	Сотрудники, обрабатывающие страховые требования	По полису и закону
Водитель или отель	Организация доступности	Имя, время и потребности в обеспечении мобильности	Клинические получатели отсутствуют	После услуги

Если человек не может объяснить, зачем ему файл, приостановите отправку. «Для удобства» — не конкретная медицинская цель.

Узнайте, кто обрабатывает данные

Отправка пациентом лично имеющейся у него копии выбранному врачу организационно отличается от экспорта больницей документов через подрядчика. Больницы, агентства, платформы, переводчики и зарубежные получатели могут выступать операторами персональной информации, уполномоченными обработчиками или независимыми получателями в зависимости от договорённостей.

По PIPL предоставление персональной информации другому оператору обычно требует сообщить человеку наименование и контакты получателя, цель, способ и категории информации, а также получить отдельное согласие, если не применяется другое законное основание.[1] Для чувствительной информации необходимо дополнительно сообщать о необходимости и последствиях, а для трансграничного предоставления действуют дополнительные требования.[1]

Пациент не должен выбирать правовой механизм организации. Попросите ответственное за конфиденциальность лицо указать:

Кто отвечает за передачу
Правовое основание обработки и вывоза данных
Зарубежного получателя и страну или регион
Цель, категории данных и срок хранения
Участвуют ли субподрядчики или облачные провайдеры
Как пациент может реализовать свои права в отношении зарубежного получателя
На какой трансграничный механизм или исключение опирается организация

Китайские правила трансграничного обмена данными 2024 года уточняют случаи обязательной оценки безопасности, стандартного договора или сертификации и предусматривают исключения для некоторых передач, необходимых для договора или экстренной ситуации.[2] Освобождение от процедуры подачи документов не разрешает игнорировать ограничение целей, безопасность или права человека.

Отправляйте минимально необходимый набор документов

Исходите из требуемого решения и создайте копию для оценки. Полный архив исходников храните отдельно.

Примеры:

Хирургу, оценивающему возможность удаления опухоли, могут потребоваться изображения, патоморфология и соответствующий хирургический или медицинский анамнез, а не все несвязанные амбулаторные записи.
Переводчику выписного эпикриза не нужен весь архив DICOM.
Страховщик должен получить документы из своего письменного запроса, а не неограниченный доступ к порталу.
Перевозчику могут понадобиться сведения об инвалидной коляске и записи на приём, а не диагноз.

Минимально необходимый не означает клинически неполный. Уточните у принимающего врача, какие документы обеспечивают безопасную оценку, затем удаляйте только действительно не относящиеся к делу материалы.

Никогда не редактируйте и не скрывайте сведения в единственной исходной копии. Создайте производный файл с пометкой REDACTED COPY, зафиксируйте удалённое и сохраните порядок страниц. При передаче для лечения сообщите о скрытии сведений, чтобы принимающая команда могла определить, влияет ли это на интерпретацию.

Согласие должно быть достаточно конкретным и понятным

Полезное уведомление отвечает на вопросы:

Какая информация используется?
Для какой цели?
Кто её получает?
В какой стране или регионе?
Как её будут передавать и хранить?
Как долго она будет доступна?
Кому её могут передать дальше?
Как пациент может отозвать согласие, когда это применимо, запросить доступ или исправление либо подать жалобу?

Избегайте единого разрешения, объединяющего клиническую оценку, маркетинг, исследования, отзывы и бессрочное хранение данных. Это разные цели.

Согласие не всегда является единственным законным основанием. PIPL также признаёт обработку, необходимую для заключения или исполнения договора с участием человека, и экстренную обработку, необходимую для защиты жизни, здоровья или имущества.[1] Организация должна документировать реально используемое основание, а не привычно собирать подпись, чтобы затем применять данные шире.

Выберите канал передачи с мерами контроля

Предпочитайте портал принимающей больницы или одобренный учреждением сервис зашифрованной передачи. Если файлы необходимо отправить в зашифрованном архиве:

Используйте надёжное шифрование, а не просто переименование расширения ZIP
Передавайте пароль другим каналом
По возможности ограничьте ссылку указанными получателями
Требуйте входа в учётную запись и многофакторной аутентификации
Установите минимально практически возможный срок действия
Отключите публичную индексацию и анонимную повторную передачу
Ведите журнал загрузок и скачиваний
При больших передачах сверяйте контрольную сумму или число файлов
После подтверждённого получения удалите временные локальные и облачные копии с учётом обязательных сроков хранения

Обычная электронная почта и чаты удобны, но пересылку, резервные копии и компрометацию аккаунта трудно контролировать. Если больница одобряет такой канал, спросите, как управляются идентификация, доступ и хранение.

Не используйте общую семейную учётную запись для портала пациента. Одноразовый проверочный код, платёжный PIN или основной пароль предоставляют более широкий доступ, чем ссылка на одно заключение.

Скрытые идентификационные сведения в файлах

Удаление имени с видимой страницы или из имени файла не обязательно означает обезличивание.

PDF и офисные файлы могут содержать имена авторов, историю изменений, комментарии и вложения. Фотографии могут нести метаданные местоположения и устройства. Объекты DICOM содержат встроенные атрибуты пациента и исследования, а текст может быть записан непосредственно в пиксели изображения.[3]

Когда цель требует обезличивания, например для исследования, обучения или внешней слепой оценки, используйте профессиональный процесс, соответствующий правилам принимающего учреждения. Затем проверьте, сохраняется ли согласованная связь данных между файлами без раскрытия прямых идентификаторов.

При непосредственном лечении чрезмерное обезличивание может создать риск ошибочного сопоставления пациента. Больнице могут требоваться имя, дата рождения и номер пациента, чтобы документы не были прикреплены к другому человеку. Следуйте её контролируемой процедуре идентификации.

Предоставляйте переводчикам и координаторам ограниченный доступ

В договоре оказания услуг следует указать:

Наименование юридического лица и сотрудников с доступом
Конкретные файлы и цель
Разрешено ли локальное скачивание
Использование машинного перевода или сервисов ИИ и место обработки данных
Запрет или условия привлечения субподрядчиков
Требования конфиденциальности и безопасности
Сроки хранения, возврата и удаления
Порядок уведомления об инцидентах
Запрет использования истории пациента, изображения или данных для маркетинга или обучения моделей без отдельного разрешения

PIPL требует, чтобы уполномоченные обработчики действовали в пределах согласованной цели и способа и возвращали или удаляли информацию после завершения договорённости; дальнейшее поручение обработки требует разрешения первоначального оператора.[1]

Перед отправкой особо чувствительных документов запросите образец перевода на вымышленных данных. Не загружайте идентифицируемые документы в бесплатный онлайн-сервис перевода или составления резюме лишь потому, что это быстро.

Доступ родственников — тоже передача данных

Пациенты часто хотят помощи супруга или взрослого ребёнка. Определите разрешённые действия этого человека:

Только просмотр записей на приём
Получение счетов
Доступ к клиническим заключениям
Общение с врачами
Разрешение дальнейшего раскрытия
Принятие решений, если это юридически допустимо

Используйте функцию доступа представителя или семьи в больнице, если она есть. Не считайте родство разрешением на неограниченное раскрытие. Если пациент впоследствии отзывает семейный доступ, обновите сведения в больнице, у координатора, в общих папках и группах сообщений, а не только один пароль.

Документы детей требуют особой осторожности. PIPL относит информацию о детях младше 14 лет к чувствительной и требует согласия родителя или опекуна при обработке на основании согласия.[1]

Генетика, репродуктивное и психическое здоровье требуют особого внимания

Некоторые документы раскрывают сведения не только о пациенте, но и о родственниках. Результаты исследования наследственных генетических вариантов могут указывать на семейный риск. Документы о репродуктивном здоровье, инфекциях, сексуальном и психическом здоровье при ненадлежащем использовании могут причинить дополнительный социальный вред.

Перед передачей уточните, нужен ли весь отчёт, можно ли сократить упоминания имён родственников и достаточно ли заключения специалиста для решения. Не скрывайте от лечащей команды клинически значимые сведения, но и не отправляйте их автоматически отелям, туристическим агентствам или административным сотрудникам общего профиля.

Ведите понятный пациенту журнал действий

В журнале передачи фиксируйте:

Дату и время
Отправителя и получателя
Цель
Имена файлов и версию
Канал и срок действия ссылки
Разрешение или правовое основание, зафиксированное организацией
Подтверждение получения
Сведения о пересылке или субподрядчиках
Подтверждение удаления или возврата

Это не бюрократия ради бюрократии. Если отправлена неправильная версия или ссылка утекла, журнал показывает, где ограничить проблему.

Реализуйте права, не повреждая медицинскую документацию

PIPL предоставляет людям право знать об обработке и принимать решения о ней, а также, при соблюдении законных условий, получать доступ или копии, исправлять и требовать удаления персональной информации.[1]

Уточните у ответственного за конфиденциальность, как:

Получить копию хранящихся данных
Исправить ошибку в идентификационных или контактных сведениях
Ограничить или прекратить необязательную передачу
Удалить доступ бывшего координатора
Запросить удаление при выполнении законных условий
Оспорить ошибочное автоматическое сопоставление
Пожаловаться учреждению или регулятору

Право на удаление не означает, что больница обязана уничтожить документы, которые закон требует хранить. Вместо этого пациент может иметь возможность прекратить необязательное раскрытие при сохранении исходной медицинской документации.

Если ссылка или файл попали не тому человеку

Действуйте немедленно:

Отзовите ссылку или завершите сеанс учётной записи.
Свяжитесь с непреднамеренным получателем и попросите удалить данные, больше не открывая и не пересылая их.
Уведомите ответственное за конфиденциальность или безопасность лицо отправляющей организации.
Точно определите, какие файлы, идентификаторы и временной период были раскрыты.
Смените скомпрометированные пароли и завершите активные сеансы.
Сохраните журнал действий и регистрационные сведения об инциденте.
Уточните последующую оценку риска, уведомления и меры устранения последствий.

Не удаляйте доказательства инцидента, пока ответственная служба безопасности их не зафиксирует. Если затронуты финансовые идентификационные, паспортные или учётные данные, следите за неправомерным использованием и выполняйте официальные рекомендации по защите личности или платежей.

Проверка конфиденциальности перед каждой отправкой

Личность получателя проверена независимым каналом
Клиническая или административная цель указана
Минимально необходимые файлы выбраны
Исходный архив сохранён
Содержание чувствительных страниц и встроенных метаданных понятно
Уведомление пациента и согласие либо другое основание документированы ответственной организацией
Трансграничный механизм или исключение подтверждены, когда применимо
Безопасный канал и срок доступа установлены
Пароль отправлен отдельно
Пересылка и субподрядчики раскрыты
Получение подтверждено
Дата удаления или возврата зафиксирована

Юридическая и медицинская оговорка: Это руководство содержит общую информацию о конфиденциальности и безопасности, а не юридическую консультацию. Обязательства по трансграничной передаче данных зависят от организаций, данных, цели, объёма, местонахождения и действующих правил. Больницам и поставщикам услуг следует получить квалифицированную консультацию по праву Китая и страны назначения; пациентам не следует откладывать экстренную помощь из-за административных формальностей.

Связанные больницы

Запросите у каждой больницы контакт ответственного за конфиденциальность, одобренные каналы загрузки, уведомление о зарубежном получателе, политику хранения и процедуры доступа представителя, исправления и сообщения об инцидентах.

Связанные виды лечения

Геномное тестирование, лечение бесплодия, психиатрическая помощь, лечение инфекций и оценка редких заболеваний могут затрагивать особенно чувствительную или связанную с семьёй информацию, для которой нужен ограниченный план раскрытия.

Связанные материалы

Часто задаваемые вопросы

Незаконно ли пациенту отправлять свои документы за границу по электронной почте?

В этой статье нет такого общего утверждения. Юридические обязанности различаются для человека, отправляющего собственную копию, и учреждения или платформы, экспортирующих данные. Риск для конфиденциальности остаётся, поэтому используйте безопасный маршрут принимающей больницы и при необходимости получайте консультацию по конкретному случаю.

Позволяет ли подписание одного согласия всем поставщикам услуг использовать мои документы?

Такое предположение небезопасно. Получатели, цели, категории данных и последующие передачи должны раскрываться конкретно, а PIPL требует отдельного согласия для определённых действий по передаче и обработке чувствительной информации, если не применяется другое законное основание.[1]

Достаточно ли ZIP-архива с паролем?

Это одна мера контроля, а не полная система. Также проверяйте получателя, используйте надёжное шифрование, отправляйте пароль отдельно, ограничивайте доступ, устанавливайте срок действия и подтверждайте удаление.

Могу ли я самостоятельно удалить своё имя из файлов DICOM?

Переименование файлов неэффективно, поскольку DICOM содержит встроенные атрибуты.[3] Для непосредственного лечения сохраняйте безопасное сопоставление личности; для обезличенного использования применяйте профессиональную процедуру, запрошенную учреждением.

Могу ли я попросить больницу удалить мою медицинскую документацию?

У человека есть право на удаление при определённых законных условиях, но у больницы могут быть юридические обязанности хранения. Попросите больницу разграничить хранение исходной документации и необязательную передачу либо копии у третьих лиц.[1][4]

Защита конфиденциальности медицинской информации при международной передаче документов