Об утверждении правил подключения электронных информационных ресурсов, содержащих персональные медицинские данные, к сетям телекоммуникаций, связывающим их с другими базами данных в области здравоохранения Приказ Министерства здравоохранения Республики Казахстан от 26 февраля 2021 года № 111

В соответствии с подпунктом 86) статьи 7 Кодекса Республики Казахстан от 7 июля 2020 года «О здоровье народа и системе здравоохранения», приказом Министра здравоохранения Республики Казахстан от 30 сентября 2020 года № 625 «О распределении обязанностей между Министром, первым вице-министром и вице-министрами здравоохранения Республики Казахстан» ПРИКАЗЫВАЮ:

1. Утвердить правила подключения электронных информационных ресурсов, содержащих персональные медицинские данные, к сетям телекоммуникаций, связывающим их с другими базами данных в области здравоохранения согласно приложению к настоящему приказу.

2. Департаменту развития электронного здравоохранения Министерства здравоохранения Республики Казахстан в течение трех рабочих дней после дня принятия настоящего приказа обеспечить его размещение на интернет-ресурсе Министерства здравоохранения Республики Казахстан. 

3. Контроль за исполнением настоящего приказа возложить на курирующего вице-министра здравоохранения Республики Казахстан.

4. Настоящий приказ вступает в силу со дня его подписания.

Вице-министр здравоохранения Республики Казахстан – Главный государственный санитарный врач Республики Казахстан Е. Киясов

1. Настоящие правила подключения электронных информационных ресурсов, содержащих персональные  медицинские данные, к сетям телекоммуникаций, связывающим их с другими базами данных в области здравоохранения  (далее – Правила) разработаны в соответствии с подпунктом 86) статьи 7  Кодекса Республики Казахстан от 7 июля 2020 года «О здоровье народа и системе здравоохранения»(далее – Кодекс) и определяют порядок подключения электронных информационных ресурсов, содержащих персональные  медицинские данные, к сетям телекоммуникаций, связывающим их с другими базами данных в области здравоохранения.  

2. В настоящих Правилах используются следующие понятия:

персональные медицинские данные – персональные данные, содержащие сведения о здоровье физического лица и оказанных ему медицинских услугах, зафиксированные на электронных, бумажных или иных материальных носителях;

объекты информатизации – электронные информационные ресурсы, программное обеспечение, интернет-ресурс и информационно-коммуникационная инфраструктура;

электронные информационные ресурсы (далее – ЭИР)– информация в электронно-цифровой форме, содержащаяся на электронном носителе и в объектах информатизации;

уполномоченный орган в области здравоохранения – центральный исполнительный орган, осуществляющий руководство и межотраслевую координацию в области охраны здоровья граждан Республики Казахстан, медицинской и фармацевтической науки, медицинского и фармацевтического образования, санитарно-эпидемиологического благополучия населения, обращения лекарственных средств и медицинских изделий, качества оказания медицинских услуг (помощи);

владелец интеграционного сервиса – собственник или владелец объекта информатизации, предоставляющий интеграционный сервис;

интеграционный сервис – способ информационного взаимодействия объектов информатизации;

инициатор интеграционного сервиса – владелец объекта информатизации, инициирующий запрос на предоставление интеграционного сервиса;

средство криптографической защиты информации (далее – СКЗИ) – программное обеспечение или аппаратно-программный комплекс, реализующее алгоритмы криптографических преобразований, генерацию, формирование, распределение или управление ключами шифрования;

оператор информационно-коммуникационной инфраструктуры «электронного правительства» (далее – оператор) – юридическое лицо, определяемое Правительством Республики Казахстан, на которое возложено обеспечение функционирования закрепленной за ним информационно-коммуникационной инфраструктуры «электронного правительства».

3. Подключение электронных информационных ресурсов, содержащих персональные медицинские данные, к сетям телекоммуникаций, связывающим их с другими базами данных в области здравоохранения проводится посредством интеграции объектов информатизации в соответствии с приказом исполняющего обязанности Министра информации и коммуникаций Республики Казахстан от 29 марта 2018 года № 123 «Об утверждении Правил интеграции объектов информатизации «электронного правительства» (зарегистрирован в Реестре государственной регистрации нормативных правовых актов за № 16777).

4. Уполномоченный орган в области здравоохранения уведомляет субъекты персональных данных через кабинет пользователя на веб-портале «электронного правительства» в автоматическом режиме обо всех случаях изменения и дополнения персональных данных в рамках информационного взаимодействия при условии регистрации субъектов персональных данных на веб-портале «электронного правительства».

5. Физическое лицо дает согласие на сбор и обработку персональных медицинских данных посредством зарегистрированного на веб-портале «электронного правительства» его абонентского номера сотовой связи путем передачи одноразового пароля, сервиса обеспечения безопасности персональных данных или путем отправления короткого текстового сообщения в качестве ответа на уведомление веб-портала «электронного правительства».

6. Не допускается подключение электронных информационных ресурсов, содержащих персональные медицинские данные физических лиц, к сетям телекоммуникаций, связывающим их с другими базами данных, без согласия физических лиц при использовании персональных медицинских данных, касающихся их частной жизни, кроме случаев, связанных с донорством крови и ее компонентов, органов (части органа) и (или) тканей (части ткани), а также запросами правоохранительных, специальных государственных органов по предоставлению информации в форме электронного документа, составляющей медицинскую тайну, о состоянии на учете лиц с психическими, поведенческими расстройствами (заболеваниями), связанными с употреблением психоактивных веществ в соответствии с пунктом 6 статьи 273 Кодекса.  

7. Владелец интеграционного сервиса при организации интеграционного сервиса обеспечивает инициатору интеграционного сервиса доступ к персональным медицинским данным, утвержденным приказом Министра здравоохранения Республики Казахстан от 25 февраля 2019 года № ҚР ДСМ-5 «Об утверждении Перечня персональных данных, необходимого и достаточного для выполнения осуществляемых задач» (зарегистрирован в Реестре государственной регистрации нормативных правовых актов под № 18355).

8. Владелец интеграционного сервиса и инициатор интеграционного сервиса обеспечивают защиту объектов информатизации в соответствии с Законом Республики Казахстан 24 ноября 2015 года «Об информатизации».

9. Для обеспечения сохранности персональных медицинских данных и недопущения доступа к ним третьим лицам владелец интеграционного сервиса и инициатор интеграционного сервиса применяют криптографическую защиту хранимой в электронно-цифровой форме информации с ограниченным доступом с использованием СКЗИ, в соответствии с едиными требованиями в области информационно-коммуникационных технологий и обеспечения информационной безопасности, утвержденными постановлением Правительства Республики Казахстан от 20 декабря 2016 года № 832 «Об утверждении единых требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности».

10. В целях обеспечения информационной безопасности (далее – ИБ) сетей:

1) при подключении корпоративной сети телекоммуникаций между собой владелец интеграционного сервиса или инициатор интеграционного сервиса и локальных сетей государственных органов (далее – ГО) или местных исполнительных органов (далее – МИО) используют:

средства разделения и изоляции информационных потоков;

оборудование с компонентами, обеспечивающими ИБ и безопасное управление;  

выделенные и интегрированные с оборудованием доступа межсетевые экраны, установленные в каждой точке подключения, с целью защиты периметра единой транспортной среды государственных органов (далее – ЕТС ГО).

При подключении сервера к ЕТС ГО и локальной сети безопасность обеспечивается посредством межсетевых экранов и отдельных шлюзов доступа, установленных в местах стыка с ЕТС ГО и локальной сетью;

2) при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей к интернету через единый шлюз доступа к интернету (далее – ЕШДИ) ГО, МИО или организации используют услуги оператора или другого оператора связи, имеющего зарезервированные каналы связи на оборудовании ЕШДИ.

11. Для обеспечения ИБ:

1) неиспользуемые порты кабельной системы локальной сети отключаются от активного оборудования;

2) информация с ограниченным доступом не передается по незащищенным проводным каналам связи и радиоканалам, не оборудованным соответствующими СКЗИ.