Как медиков обяжут вносить персональные данные о пациентах в единую базу

С 14 июля 2026 года без подключения к системе клиники будут лишать лицензии. Причины и риски комментирует для Zakon.kz юрист Сайкен Айсин.

В Казахстане устанавливаются новые квалификационные требования в медицине. Они содержатся в приказе министра здравоохранения РК № 48 от 8 мая 2026 года, который вносит изменения в приказ Минздрава от 22 октября 2020 года «Об утверждении квалификационных требований, предъявляемых к медицинской и фармацевтической деятельности».

Изменения вступают в силу 14 июля 2026 года. И в первую очередь выделим среди них, пожалуй, важнейшее – не только для медицинских организаций, но и для их клиентов. Это новый пункт 8 в Приложении 1, в части «Квалификационные требования, предъявляемые к медицинской деятельности» (фармацевтов не касается):

«Наличие медицинской цифровой системы для сбора, обработки и хранения персональных медицинских данных для формирования электронных медицинских записей».

Поясняем. Медицинская цифровая система (МЦС) – это ИС, посредством которой персональные данные о пациенте, в том числе и медицинские, включающие сбор анамнеза, вносятся в Национальный электронный паспорт здоровья и цифровые ресурсы Минздрава, а именно в ИС «СУР-2.0». К которым данная МЦС, установленная в конкретной медорганизации, подключена.

Цель понятна. Гражданин ранее лечился у одного врача, у другого, а затем обратился к третьему. Чтобы этот последний не выпытывал в который раз у пациента информацию (которую тот, кстати, мог и подзабыть: не зря же древнегреческое слово «анамнез» переводится как «воспоминание»), медицинские данные и вносятся в общий электронный банк данных.

Но есть нюанс. Врачебная тайна – это не просто персональные данные, и в отношении ее передачи должны действовать особые правила. В чем проблема?

Пациент может довериться конкретному врачу или клинике, но вправе не делиться конфиденциальной информацией со всем медицинским сообществом. А теперь выходит так, что при получении согласия на сбор и обработку персональных данных медицинская организация вносит ее в цифровые ресурсы Минздрава, после чего к ней получает доступ и всякий другой последующий медик, к которому пациент обратится. Уже не спрашивая согласия.

Другой момент. Доктора ведь не сами создают и обслуживают МЦС. Этим занимаются десятки частных контор (ТОО, как правило), на данный момент таких поставщиков информационных услуг насчитывается в соответствующем перечне 43 в отношении медицинских цифровых систем и 17 – лабораторных.

Т.е. медицинская организация выбирает ТОО, которое будет обслуживать МЦС и отправлять медицинские персональные данные в центр. И вот здесь возможны риски, говорит юрист, к.ю.н. Сайкен Айсин.

Врачебная тайна – это не просто этическая норма, а установленный законом режим ограниченного доступа к информации о здоровье человека. При передаче этих данных в цифровую систему стороннего оператора фактически расширяется круг лиц, имеющих техническую возможность доступа к чувствительной информации. При этом не обеспечивается, чтобы каждый из этих операторов нес ту же меру юридической ответственности, что и медицинская организация, – сказал Сакен Айсин.

Дело в том, что медицинские работники очевидно несут ответственность за утечку данных (если виновны в ней), поскольку сами и собирали тот же анамнез. Но в дальнейших договорных отношениях с частными подрядчиками – теми самыми ТОО, обслуживающими МЦС – ответственность за неправомерное использование персональных данных может быть распределена недостаточно четко.

Причем практика показывает, что утечки зачастую происходят не из-за взлома государственных платформ, а из-за банальной небрежности на уровне конкретного исполнителя. Чем больше посредников получают доступ к медицинским персональным данным, тем выше системный риск.

Так что формальное наличие сертификатов безопасности у поставщиков цифровых систем не гарантирует реальной защищенности данных. Как показывает опыт…

Еще одна ключевая юридическая проблема заключается не в самих в изменениях требований, а в нарушении принципа правовой определенности, а также добросовестного администрирования: нормативный акт, затрагивающий тысячи субъектов (только детских садов с медлицензией – более 10 тысяч), должен сопровождаться реальным информированием адресатов, а не ограничиваться публикацией в реестре НПА, о которой узнают постфактум, – отметил Айсин.

Тем не менее, это новое квалификационное требование, как уже говорилось, вступает в силу 14 июля, и несоответствие ему влечет отзыв лицензии у медицинских организаций.

В завершение коротко о других изменениях:

• санитарно-эпидемиологическое заключение становится отдельным документом (прежде соответствие санитарным правилам было частью общего требования к помещению – отдельного документа «на руках» не предусматривалось, говорит Сайкен Айсин);
• в требовании к помещению добавилось уточнение: договор аренды (или безвозмездного пользования) должен быть заключен на срок не менее 1 года (до сих пор такого ограничения не было);
• медицинское оборудование теперь надо регистрировать в цифровой системе DariKZ плюс появилось требование о наличии лицензии на «обращение с приборами и установками, генерирующими ионизирующее излучение» (раньше такого пункта не было, хотя лицензия на атомную энергию как таковая существовала в других НПА, здесь ее явно выделили как условие, уточняет Сайкен Айсин);

Образование медработников отныне верифицируется через две новые цифровые базы:

• «Единая платформа высшего образования» и «Национальная образовательная база данных» – с водоразделом по 2012 году (раньше им был 2015 год); кто получил диплом до 2012 года, предоставляет бумажную копию.
• трудовые договоры и стаж – через Enbek.kz (прежде сведения о стаже брались из информационной системы Минтруда без уточнения источника, теперь же прямо указана цифровая система Enbek.kz);
• в форму на медработников добавили графу ИИН, тогда как раньше были только ФИО, должность, образование, стаж (это, к слову, расширение объема персональных данных, циркулирующих через реестры).

Остальные требования: по стажу (5 лет), образованию, сертификату специалиста – в сущности, остались прежними.

Поменялся только способ проверки – не бумага, а цифровая база. При этом, что касается не медицинской, а фармацевтической деятельности, то тут никаких новых цифровых требований для аптек/складов не появилось – цифровизация коснулась именно медицинской, а не фармацевтической части.

Пожалуй, единственное важное новшество для провизоров: им разрешили как допустимые виды образования «техническое и профессиональное либо послесреднее» – как равнозначную альтернативу высшему образованию по ряду позиций.