В Казахстане медицинские организации обязали указывать ИИН пациента в кассовом чеке при оказании услуг за счет государства. Новое требование распространяется на медицинскую помощь в рамках гарантированного объема бесплатной медицинской помощи (ГОБМП) и обязательного социального медицинского страхования (ОСМС). При платном лечении за собственные средства ИИН пациента в чеке не требуется. Об этом сообщили в Комитете государственных доходов министерства финансов в ответ на запрос inbusiness.kz.
Зачем ИИН понадобился в медицинских чеках
Как пояснили в КГД, изменения внесли в приказ министра финансов №626 о применении контрольно-кассовых машин во исполнение поручения правительства по вопросам Фонда социального медицинского страхования. Цель нововведения — отслеживать фактически оказанные медицинские услуги и усилить контроль за использованием средств ФСМС.
В КГД уточнили, в каких случаях ИИН пациента должен отражаться в чеке, а в каких это не требуется.
"При оказании медицинских услуг за счет бюджетных средств в рамках ГОБМП и ОСМС медицинские организации обязаны отражать ИИН услугополучателя в чеке ККМ. Вместе с тем при получении медицинских услуг и приобретении лекарственных средств за счет собственных средств отражение ИИН услугополучателя в чеке ККМ не требуется", — сообщили в комитете.
В КГД также рассказали, куда будут поступать сведения из таких чеков. Сначала информация о денежном расчете через оператора фискальных данных передается в информационную систему органов государственных доходов. Если речь идет об услугах в рамках ГОБМП или ОСМС, сведения, содержащие ИИН пациента, также будут поступать в информационные системы министерства здравоохранения и Фонда социального медицинского страхования.
Эти данные будут использоваться для мониторинга фактически оказанных медицинских услуг и расходования средств ГОБМП и ОСМС. В комитете уточнили, что ИИН в чеке необходим в том числе для подтверждения получения медицинской услуги конкретным пациентом.
При этом сведения о денежных расчетах будут храниться в информационной системе органов государственных доходов в течение срока исковой давности по налоговому обязательству и требованию, установленного налоговым законодательством. Информация из чеков с ИИН пациента также будет передаваться в системы Минздрава и ФСМС для проведения мониторинга.
В КГД подчеркнули, что при передаче и обработке таких сведений должны соблюдаться требования законодательства о налоговой тайне, неразглашении регистрационных данных налогоплательщиков и другой информации, полученной при приеме, хранении и передаче сведений о денежных расчетах.
Может ли ИИН в чеке раскрыть врачебную тайну
Новое требование, однако, вызывает вопросы с точки зрения защиты персональных данных и врачебной тайны. Руководитель практики Data Privacy в юридической фирме Digital Rights Center Qazaqstan Елжан Кабышев отмечает, что тайну медицинского работника составляет не только диагноз или информация о состоянии здоровья, но и сам факт обращения человека за медицинской помощью.
По его словам, фискальный чек, в котором ИИН конкретного человека связан с медицинской организацией, датой, суммой и наименованием услуги, фактически позволяет установить, что конкретный пациент обращался за медицинской помощью. Особенно чувствительной такая информация становится при обращении в специализированные организации, поскольку характер медицинской помощи в некоторых случаях можно предположить уже по профилю учреждения.
"Формально диагноз в чеке не раскрывается, и на это указывает Министерство финансов. Но с точки зрения защиты данных значение имеет не формальный состав реквизитов, а то, какой вывод из них можно достоверно сделать. Если чек выдан наркологическим, психиатрическим, дерматовенерологическим диспансером, центром репродуктивного здоровья или ВИЧ-сервисной организацией, характер услуги следует из профиля учреждения, независимо от того, назван диагноз в чеке или нет. Юридически это данные о здоровье, то есть персональные данные ограниченного доступа в смысле статьи 6 Закона "О персональных данных и их защите", — пояснил Елжан Кабышев.
После появления ИИН в чеке расширяется и круг лиц, через которых проходят сведения о пациенте. Чек может оказаться у кассира или бухгалтера медицинской организации, которые не являются медицинскими работниками. При этом сама организация как оператор персональных данных обязана обеспечивать их конфиденциальность. Однако, как отмечает эксперт, специальная защита врачебной тайны, предусмотренная Кодексом о здоровье, при расширении такого круга не распространяется на него автоматически.
Одним из основных рисков Елжан Кабышев называет возможность накопления и объединения информации о человеке по ИИН. По его словам, поскольку ИИН является сквозным идентификатором, в случае утечки массив медицинских чеков можно сопоставить с другими базами, где используется тот же номер, например налоговыми, банковскими или кадровыми. При этом отдельный чек может содержать немного информации, однако данные за несколько лет уже позволяют восстановить историю обращений человека за медицинской помощью.
"Отдельно взятый чек малоинформативен. Массив чеков за несколько лет, привязанный к ИИН, это уже история обращений человека за медицинской помощью, то есть профиль, из которого реконструируются хронические заболевания, беременность, зависимости, психическое состояние", — отметил эксперт.
Еще один риск связан с удлинением цепочки обработки данных. Раньше сведения о факте обращения находились внутри медицинской организации и, в части оплаченных случаев, передавались между ней и ФСМС. Теперь в эту цепочку включаются операторы фискальных данных — коммерческие организации, для которых медицинские данные не являются профильными, — а затем органы государственных доходов.
"Каждое дополнительное звено — самостоятельная точка отказа. При этом статья 22 Закона "О персональных данных и их защите" возлагает обязанности по защите на всех участников обработки, но требования к ОФД сформированы налоговым, а не здравоохранительным регулированием, и вопрос о том, обеспечивают ли они режим, адекватный данным о здоровье, остается открытым", — считает Кабышев.
Вопросы у эксперта вызывает и срок хранения данных. По его словам, операторы фискальных данных хранят их не менее пяти лет. При этом закон требует хранить персональные данные столько, сколько необходимо для цели, ради которой их собирали. Поэтому, если медицинские чеки нужны для выявления двойного финансирования за конкретный период, Елжан Кабышев считает, что необходимость хранить их в течение пяти лет требует отдельного обоснования.
Еще один риск связан с тем, как эти данные могут использоваться в дальнейшем. ИИН в медицинских чеках собирают для контроля за расходованием средств ОСМС, однако информация будет поступать и в систему органов госдоходов. Елжан Кабышев отмечает, что в дальнейшем эти сведения могут использоваться не только для проверки расходов ОСМС, например предоставляться правоохранительным органам в случаях, предусмотренных законом.
Особенно опасной утечка медицинских данных может быть для отдельных групп пациентов.
"Для большинства людей утечка сведений об обращении к врачу неприятна. Для людей, живущих с ВИЧ, для пациентов психиатрических и наркологических служб, для женщин, обращающихся по поводу прерывания беременности, для жертв домашнего насилия — это риск дискриминации, увольнения, потери опеки, а в отдельных случаях и физической безопасности", — пояснил он.
Вопросы у Елжана Кабышева вызывает и то, как новое требование закрепили законодательно. По его словам, для сбора и обработки персональных данных необходимо согласие человека, кроме случаев, предусмотренных законом. Однако требование указывать ИИН пациента в чеке ввели приказом министра финансов.
"Приказ министра законом не является. Обработка данных о здоровье без согласия пациента, введенная подзаконным актом, на мой взгляд, требует проверки на соответствие этой конструкции. Сам приказ № 626 издан на основании норм Налогового кодекса в сфере применения ККМ. Вопрос в том, позволяет ли это требовать раскрытия идентификатора пациента, который при получении помощи по ГОБМП или ОСМС зачастую не является плательщиком", — отметил он.
Кабышев также отмечает, что клиники и ФСМС уже располагают ИИН пациентов. Поэтому, по его мнению, для борьбы с приписками и двойным финансированием необязательно передавать сам ИИН еще и через систему фискальных чеков. Снизить риски можно, например, если скрывать часть ИИН или заменять его другим идентификатором. Еще один вариант — передавать данные напрямую в ФСМС по защищенному каналу, минуя фискальный чек.
Еще одна проблема касается прав самого пациента. Сейчас человек не может посмотреть, какие чеки с его ИИН накоплены и кто обращался к этим данным. При этом клиника обязана указать ИИН в чеке, но сам пациент, по разъяснениям КГД, не несет административной ответственности, если откажется его сообщать.
Как считает эксперт, из-за этого клиники могут начать брать ИИН из своих учетных систем без обращения к пациенту. В таком случае данные могут использоваться уже не для той цели, для которой изначально собирались.
При этом Елжан Кабышев подчеркивает, что сама цель нового механизма — борьба с приписками и двойным финансированием в системе ОСМС — обоснована. Вопрос заключается в том, каким способом государство будет ее достигать.
"Цель, которую преследует государство, легитимна: приписки и двойное финансирование в ОСМС это реальная проблема, и они оплачиваются деньгами налогоплательщиков. Но приватность в данном случае не противостоит контролю, она задает форму, в которой контроль должен осуществляться", — резюмировал эксперт.
По его мнению, необходимо закрепить основание такой обработки данных на уровне закона, четко определить круг случаев, цели и состав передаваемой информации, предусмотреть псевдонимизацию ИИН, ограничить доступ операторов фискальных данных и сроки хранения информации, а также дать пациенту возможность видеть, кто обращался к его данным.
Читайте по теме:
В Казахстане ждут снижения базовой ставки: что будет с кредитами
