Медицинские PDF: клинические записи и приватность пациента

Пациент присылает в клинику по электронной почте сканированный PDF старой выписки. Администратору нужно объединить его с двумя другими заключениями, прежде чем их увидит врач. И вот открывается первый попавшийся бесплатный PDF-инструмент, в него перетаскиваются три файла, полные диагнозов, списков лекарств и номера медицинского страхового полиса, и нажимается «объединить».

Ничего не выглядит неправильным. Объединённый файл скачивается, врач его читает, день идёт дальше. Но эти три документа только что покинули клинику и оказались на чужом сервере, а это были не обычные документы.

Это не юридическая и не медицинская консультация. Я не ваш специалист по защите данных, и у каждой клиники свои правила, которым нужно следовать. Но данные о здоровье находятся в отдельной, более строгой коробке в рамках GDPR, и это меняет то, как вам следует относиться к каждому PDF, который их содержит.

Почему данные о здоровье обрабатываются иначе

Большинство персональных данных в рамках GDPR уже защищены. Данные о здоровье получают дополнительный слой. Регламент называет их особой категорией, и они стоят рядом с такими вещами, как религиозные убеждения, сексуальная ориентация и биометрические данные. Базовое правило для данных особой категории состоит в том, что их обработка запрещена, если вы не выполняете одно из условий из короткого списка, например явное согласие пациента или оказание помощи медицинским работником.

Это слово «обработка» очень широкое. Оно охватывает чтение файла, его хранение, изменение и передачу. Объединение двух заключений считается. Разделение записи, чтобы отправить одну страницу, считается. Сжатие скана, чтобы отправить его по почте, считается. Поэтому в момент, когда задействован медицинский PDF, вы работаете с самым чувствительным классом данных, который признаёт закон, и планка для небрежного обращения с ними намного выше.

Клиническая запись также обычно несёт больше, чем диагноз. Там, как правило, есть имя, дата рождения, адрес, идентификатор пациента, иногда номер страховки. Каждое из этих данных идентифицирует само по себе. В связке с медицинским диагнозом они рисуют полную картину человека в один из самых личных его моментов.

Что сайт с загрузкой на самом деле делает с файлом

Когда вы отправляете этот PDF в онлайн-инструмент, файл выходит из-под вашего контроля. Он отправляется на сервер, которым вы не управляете, обрабатывается там и может быть закэширован, поставлен в очередь или скопирован, прежде чем что-либо вернётся обратно. По GDPR эта компания становится обработчиком, действующим от вашего имени, а вы — клиника или практикующий специалист — остаётесь контролёром, ответственным за данные.

Контролёр берёт на себя реальные обязанности в ту же секунду, когда появляется обработчик. Вам нужен письменный договор с этой компанией, прописывающий, что они могут делать с данными и когда их удаляют. Для данных о здоровье особой категории вам также нужно быть уверенным, что весь механизм имеет правильные средства защиты. Бесплатный инструмент, который вы нашли через поиск, редко даёт вам что-либо из этого. У вас нет с ними договора, вы не знаете, где находятся их серверы, и вы не можете сказать, кто ещё может прикоснуться к файлу.

Для данных о здоровье есть и более острый край. Если сервер находится за пределами ЕС, вы совершили международную передачу данных особой категории — именно то, вокруг чего GDPR создаёт больше всего трений. Для отпускной фотографии это не имело бы значения. Для онкологического заключения пациента вы тихо создали проблему, которую не можете задокументировать.

Утечка, о которой пришлось бы сообщать

Медицинские записи — это ровно то, что нужно злоумышленникам и брокерам данных. Утёкшую историю болезни нельзя сбросить, как пароль. Если чувствительные данные пациента оказываются раскрыты через сервис, за который вы не могли поручиться, это может быть нарушением безопасности персональных данных, а утечки, связанные с данными о здоровье, регуляторы воспринимают наиболее серьёзно. Обязанности по уведомлению, оповещение пациентов и удар по репутации клиники — всё это следует за единственной небрежной загрузкой.

Самое досадное в том, что сама задача — объединить или сжать пару файлов — никогда не требовала покидать здание.

Держите файл на своей машине

Вот решение, и оно легче проблемы. Если PDF никогда не покидает ваше устройство, ни один внешний обработчик к нему не прикасается. Не нужно гоняться за договором, не нужно обосновывать передачу, нет третьей стороны, которая могла бы его слить. Вы по-прежнему контролёр и по-прежнему обязаны проявлять к пациенту обычную заботу, но целый слой риска просто не существует, потому что данные остались там, где были.

Это идея, лежащая в основе инструментов, которые работают целиком в вашем браузере. Код выполняет работу локально, в памяти вашего компьютера, и файл остаётся на месте. Так мы построили reader.me. Когда вы объединяете, разделяете или сжимаете клинический PDF, он обрабатывается в вашем браузере и никогда не достигает нашего сервера. Если хотите доказательств, откройте DevTools браузера, понаблюдайте за вкладкой Network во время работы — и вы не увидите ничего, что выносит ваш документ наружу.

Две повседневные задачи важнее всего для медицинских файлов:

• Когда запись приходит с паролем, который вы знаете, вы можете снять этот пароль локально, чтобы с файлом было проще работать, никуда его не отправляя.
• Когда вам нужно передать запись дальше и сначала хочется её защитить, вы можете зашифровать PDF паролем прямо на своей машине, а затем поделиться им через канал, которого ожидает пациент.

Привычки для клиник, врачей и пациентов

Несколько простых правил уберегают медицинские PDF от неприятностей:

• Относитесь к каждому клиническому документу как к данным особой категории. Выписки, результаты анализов, рецепты, направления и формы согласия — всё это подпадает, даже одна отсканированная страница.
• Никогда не перетаскивайте запись пациента в случайный онлайн-инструмент. Нет договора и нет ясного местоположения сервера — значит, он не получает данные ваших пациентов, и точка.
• По умолчанию используйте инструменты, которые работают в вашем браузере для рутинных задач вроде объединения, разделения или сжатия. Если это работает локально, нет обработчика, которого нужно проверять, и ничто не пересекает границу.
• Защищайте файлы перед отправкой. Пароль на PDF и разумный канал доставки лучше открытого вложения.
• Если вы пациент, спросите, как ваша клиника обращается с вашими файлами. Вы имеете на это право.

Правила вокруг данных о здоровье звучат тяжело, и они действительно тяжёлые, потому что тяжелы сами данные. Но повседневное решение невелико. Держите файл на своей машине, используйте инструменты, которые не загружают, — и самая тяжёлая часть проблемы вас не достигнет. Если вам нужна более длинная версия того, как загрузка запускает эти обязанности, я отдельно писала о GDPR и загрузке PDF.