01 / О КЛИЕНТЕ
Клиент — “патронажная” организация (НКО), которая защищает права детей и взрослых с различными заболеваниями, оказывает социальную поддержку и помогает получать необходимую помощь и реабилитацию.
02 / КОНТЕКСТ ПРОЕКТА
Для оказания услуг людям с сахарным диабетом организации необходимо обрабатывать сведения о состоянии здоровья (о наличии заболевания и его типе).
Такие сведения относятся к специальной категории персональных данных. По общему правилу их обработка требует письменного согласия субъекта персональных данных в соответствии с Федеральным законом № 152-ФЗ «О персональных данных».
Однако существующий формат оказания помощи не позволял эффективно собирать такие согласия. Оформление документов на бумаге или с использованием электронной подписи создавало дополнительные организационные барьеры и могло задерживать оказание услуг, в том числе в ситуациях, требующих оперативного решения.
Требовалось найти законный способ обрабатывать чувствительные персональные данные не медицинской организации, не создавая дополнительных препятствий для получения помощи.
03 / ЧТО ТРЕБОВАЛОСЬ
Найти правовые основания для обработки сведений о состоянии здоровья без получения письменного согласия на обработку персональных данных.
Привести процессы сбора и использования данных в соответствие с требованиями законодательства.
Привести выбранную правовую модель в соответствие с уставными и внутренними документами организации.
Снизить риск претензий со стороны контрольных и надзорных органов и сохранить оперативность оказания социально значимых услуг.
Разработать сценарии ответов на запросы субъектов персональных данных.
04 / РИСКИ
Нет лицензии на оказание медуслуг
НКО, которая занимается помощью больным, не имела лицензию в связи с ненадобностью. Законодательство о персональных данные специально не учитывает такие случаи обработки персональных данных о состоянии здоровья и не предусматривает особых исключений.
Административная ответственность
Обработка специальных категорий персональных данных без надлежащего правового основания могла повлечь административную ответственность по частям 2 и 16 статьи 13.11 КоАП РФ. Потенциальный размер штрафов для клиента оценивался в 15,7 млн руб.
Ограничения деятельности
Необходимость получать письменное согласие при каждом обращении могла существенно замедлять обработку запросов и создавать дополнительные препятствия для людей, которым требовалась социальная поддержка.
Несоответствие документов фактическим процессам
Даже при наличии формально оформленных документов организация рисковала столкнуться с претензиями, если фактический порядок сбора и использования сведений о здоровье не соответствовал закреплённым правовым основаниям.
05 / ЧТО МЫ СДЕЛАЛИ
1. Определили альтернативные правовые основания обработки данных
Проанализировали законодательство о персональных данных и нашли правовую модель, позволяющую обрабатывать сведения о сахарном диабете без получения письменного согласия. В основу решения легли положения об обработке данных в рамках уставной деятельности организации для осуществления прав субъекта персональных данных и исполнение требований законодательства. Для НКО, в отличие от коммерческих организаций, устав имеет больший правовой вес.
2. Перестроили процесс сбора персональных данных
Скорректировали порядок сбора сведений о состоянии здоровья с учётом выбранных правовых оснований. Это позволило согласовать фактические процессы оказания услуг с требованиями законодательства и избежать необходимости выстраивать работу исключительно вокруг сбора письменных согласий.
3. Закрепили правовую модель в документах организации
Подготовили необходимые изменения в уставные документы и внутреннюю документацию, чтобы выбранные основания обработки персональных данных были надлежащим образом отражены в документах организации.
4. Провели комплексный аудит деятельности
Минимизировали обработку персональных данных о состоянии здоровья. Выстроили легальные процессы работы с ними. Провели другие мероприятия, которые позволили комплексно обеспечить поддерживаемость и оперативность в обработке чувствительных данных.
06 / РЕЗУЛЬТАТЫ ДЛЯ КЛИЕНТА
1. Легализовали обработку сведений о состоянии здоровья
Организация получила правовую модель обработки специальных категорий персональных данных без необходимости получать письменное согласие на обработку в каждом случае, охваченном выбранными законными основаниями.
2. Сохранили оперативность оказания социально значимых услуг
Удалось наладить процессы с минимальными организационными изменениями и без создания дополнительных барьеров, связанных с оформлением согласий на бумаге или электронной подписью.
3. Снизили регуляторные риски
Изменение процессов и документации позволило обосновать правомерность обработки сведений о здоровье и обеспечить большую прозрачность работы с персональными данными людей, обращающихся за помощью. Тем самым клиент снизил риск привлечения к административной ответственности и назначение штрафов около 16 млн. руб.
07 / ПРАКТИЧЕСКАЯ ЗНАЧИМОСТЬ ПРОЕКТА
1. Согласие — не единственное правовое основание обработки персональных данных даже для специальных категорий персональных данных.
Для специальных категорий персональных данных необходимо анализировать весь предусмотренный законом набор правовых оснований, вникать и понимать процессы
2. Документы должны соответствовать реальным бизнес-процессам
Для выбора основания обработки недостаточно только изучить законодательство или подготовить отдельный документ. Необходимо учитывать цели деятельности организации, характер оказываемых услуг, порядок сбора данных и фактические условия взаимодействия с субъектами персональных данных.
3. При обработке данных о состоянии здоровья необходимо учитывать интересы уязвимых категорий граждан
В социально значимых проектах требования к защите персональных данных важно реализовывать так, чтобы соблюдение закона не создавало необоснованных препятствий для получения помощи. Грамотно выбранная правовая модель позволяет совместить защиту чувствительной информации и снижение регуляторных рисков.
