Наталья Касперская предупредила о рисках использования федерального регистра пациентов

Президент Группы компаний InfoWatch и эксперт в области информационной безопасности Наталья Касперская оценила риски создания единого федерального регистра пациентов и планов передачи чувствительной медицинской информации о включенных в него пациентах МВД РФ. Широкий доступ к такого рода базам создает вероятность утечек, перепродажи данных в даркнете и злоупотреблений.

Запуск единого федерального регистра пациентов с отдельными заболеваниями и обмен этой информацией с другими ведомствами, в частности МВД РФ, создает высокий риск утечек персональных данных и злоупотреблений. Декларируемые благие цели проекта — сбор общей медицинской статистики, избавление врачей от многократного ввода данных и некое «улучшение жизни» реализуются путем ущемления конституционных прав граждан. Только за прошлый год в открытом доступе оказалось более 1,5 млрд записей персональных данных, сообщила в интервью «Российской газете» президент Группы компаний InfoWatch, председатель правления Ассоциации разработчиков программных продуктов «Отечественный софт» Наталья Касперская.

«В постановлении правительства и пояснительных записках утверждается, что данные будут защищены, хотя практика утечек за последние несколько лет показывает прямо противоположное. Из государственных информационных систем утечки происходят постоянно, сотнями миллионов записей. Речь идет не только о защите, но и о правовых последствиях для людей, попавших в такие базы. Кроме того, есть ощущение, что за счет обогащения этими данными ранее утекшей информации могут быть скомпрометированы и такие деликатные вещи, как, например, тайна усыновления», — подчеркнула эксперт.

По ее словам, доступ широкого круга лиц в такие базы следует расценивать как нарушение врачебной тайны (ст.13 № 323-ФЗ «Об основах охраны здоровья…») и права человека на тайну частной жизни. Особенно когда речь идет о психических состояниях или беременности, которая вообще не должна интересовать МВД РФ и Минздрав РФ. Человек может один раз пережить тяжелый нервный срыв, попасть к психиатру, а потом всю жизнь числиться в регистре и лишиться, например, водительских прав. Таким образом, если пациент обратился за помощью к врачу по такому поводу или даже подозрению на таковой — автоматически попадает в регистр. При этом важно, что исключение записей из регистра не предусмотрено.

«Если это нужно для статистики, то зачем тогда передавать ФИО. Достаточно просто передавать факт наличия заболевания. Кроме того, можно использовать распределенные базы: данные хранятся в медучреждении, а наверх уходят только агрегированные цифры по диагнозам и состояниям. Вместо этого пытаются создать единый массив очень чувствительных данных, который потом с большой вероятностью всплывет в даркнете, будет соединен с другими базами и использован для втюхивания лекарств шарлатанами, мошенниками и вербовщиками», — подчеркнула она.

Наталья Касперская отметила, что примеров свободной продажи таких баз уже десятки. Любому IT-специалисту известно, что единую базу выгоднее атаковать, подчеркнула она.

«Вся борьба с утечками персональных данных последних лет — ужесточение штрафов и наказаний за утечки данных — пока не влияла на рост числа и объема утекающих персональных данных. Медицина была относительным исключением, потому что данные хранились по поликлиникам и были раздроблены. Да, утечки случались, но частные и ограниченные. Создание единого регистра заболеваний откроет дверь для массовых утечек чрезвычайно чувствительных данных», — считает эксперт.

Минздрав РФ планирует собирать и обрабатывать в едином регистре информацию о пациентах с сахарным диабетом, онкологическими, некоторыми сердечно-сосудистыми и психическими заболеваниями, требующими диспансерного наблюдения, новообразованиями in situ, болезнями печени, о беременных женщинах и исходах родов и пациентах с ХОБЛ. Предполагается, что это повысит эффективность сбора статистической информации, финансово-экономического планирования госпрограмм и системы льготного лекобеспечения.

Сейчас аналогичную статистику собирают с помощью форм федерального статистического наблюдения и частично из счетов на оплату медпомощи, а также баз, которые ведут страховые медицинские компании. Старт проекта запланирован на 1 марта 2026 года. Суммарный объем вложений в создание такой базы ведомство ранее оценило в 676 млн руб., писал ранее «МВ».

В 2025 году президент РФ Владимир Путин подписал закон, обязывающий поликлиники передавать МВД РФ информацию о выявленных у пациентов противопоказаниях для управления автомобилем. На основании этих данных их водительские права будут аннулированы. В 2024 году аналогичный закон был принят о пациентах с психическими расстройствами. В соответствии с ним медучреждения по запросу МВД РФ могут делиться данными о представляющих опасность пациентах с психическими расстройствами, алкоголизмом или наркоманией.