Helsi — головна медична система країни. Які дані вона збирає та наскільки вони захищені

Порталом Helsi в Україні користуються і пацієнти, і медичні працівники. Хочете знайти сімейного лікаря, відвідати потрібного фахівця чи записатися на вакцинацію — вам сюди. Тут зберігається й ваша електронна медична карта з інформацією про візити до лікарів, напрямки та виписані ліки. Але чи добре захищено цю інформацію? І чи не можуть зловмисники отримати доступ до неї?

Наші колеги з «Заборони» поговорили з директором Helsi Євгеном Донцем і розпитали його про те, як працює система, як справи з безпекою та хто ж усе-таки має доступ до даних пацієнтів.

Сталкінг з боку лікаря

Софію з Харкова переслідував її колишній — лікар-інтерн місцевої лікарні. Чоловік писав їй погрози з фейкових аккаунтів у соцмережах, розвішував сире м'ясо у її під'їзді та буквально тероризував усю родину дівчини.

Якось батько Софії отримав повідомлення з невідомого номера: «Як успіхи вашої доньки щодо психологів і психіатрів?».

Дівчина справді записалася на прийом до психіатра через важкий емоційний стан, спровокований переслідуваннями. На її думку, єдине місце, де сталкер міг знайти цю інформацію — офіційний ресурс Міністерства охорони здоров'я Helsi. Софія нікому не розповідала, що йде до лікаря, але реєструвалася на прийом через сайт. А оскільки її колишній хлопець працює лікарем, він цілком мав змогу отримати доступ до цієї інформації.

«Заборона» надіслала до МОЗ запит з проханням пояснити, як таке могло статися, і хто взагалі має доступ до особистих даних пацієнтів у медичних системах. Виразної та повної інформації про перелік осіб, яким надається цей доступ, ніде немає.

Зазвичай на обробку запитів, у яких просять провести перевірку, держорганам надається місяць. Проте редакція «Заборони» каже, що навіть чотири місяці по тому жодної відповіді так і не отримала. У міністерстві нібито коротко відписали, що це питання не належить до їхньої компетенції, тому запит перенаправляють до Харківського Департаменту охорони здоров'я.

За кілька днів надійшов лист від Харківської обласної травматологічної лікарні. У листі (очікувано) йшлося про те, що вони не можуть спростувати або підтвердити інформацію, викладену у зверненні. Чому очікувано? Річ у тім, що лікарня не має змоги перевірити, чи їхній співробітник переглядав дані іншої людини в системі Helsi.

Як працює Helsi?

Helsi — це електронна медична система, яка надає користувачам доступ до центральної бази даних пацієнтів. Втім, це не державний продукт, а приватна компанія, яка уклала з державою договір про надання послуг. Компаній на кшталт Helsi досить багато (тут можна переглянути їхній перелік) — всі вони мають різний інтерфейс і функції, але всі приєднані до Центральної бази даних пацієнтів.

А от Центральна база даних пацієнтів — це вже державний продукт, за який відповідає Міністерство охорони здоров'я. Крім зберігання даних пацієнтів, ця платформа здійснює інші функції: веде облік підписаних декларацій, розраховує фінансування медустанов тощо.

Попри те, що системи на кшталт Helsi належать бізнесу, вони все одно регулюються законодавством України — наприклад, Законом України «Про захист персональних даних». За його дотриманням стежить Офіс уповноваженого з прав людини, а Helsi та подібні до неї системи повинні звітувати саме йому: надавати вичерпний перелік даних, які вони збирають, зазначати мету та методи їхнього збирання тощо. Офіс, своєю чергою, може проводити перевірки цих сервісів.

Ще один закон, який регулює роботу сервісів на кшталт Helsi, — «Про збереження інформації». Дотримання цього закону контролює вже Державна служба спецзв'язку та захисту інформації. І для того, щоб розпочати роботу, сервіси медичних послуг мають отримати атестат відповідності нормам захисту інформації.

«Це досить складний процес: спершу потрібно скласти технічне завдання, погодити його, потім пройти атестацію. А в разі суттєвих змін — ще й переатестацію», — пояснює директор Helsi.me Євген Донець.

Для того, щоб сервіс мав доступ до Центральної бази — він має підписати згоду на підключення до МОЗ. У цьому договорі, як пояснює Євген Донець, є низка вимог, які сервіс має реалізувати. Перед впровадженням якоїсь нової функції вона проходить тестування від міністерства, і лише після успішного тестування видається дозвіл на запуск.

Запит «Заборони» Євген Донець пам'ятає — отже, перед тим як перенаправити його до Харківського департаменту охорони здоров'я, його направляли на розслідування в Helsi (система справді може розслідувати подібні випадки сама). Запит, за словами Донця, вони «опрацювали», але не були впевнені, чи мають право передавати журналістам цю інформацію.

«Ми маємо певну процедуру, де зазначено, за якими правилами ми розслідуємо такі інциденти, яку інформацію і кому можемо передавати. У нас навіть під час деяких судових розглядів запитували певну інформацію», — каже він.

Оновлення: Керівниця відділу маркетингу та комунікацій Helsi Олена Губич запевняє, що у компанії не знайшли офіційне звернення від журналістів «Заборони» на своїх офіційних каналах комунікації, натомість знайшли офіційні звернення до інших запитуваних осіб, які переслали у Helsi в неофіційний спосіб. Також у компанії наполягають, що згаданий лікар, якого звинувачують у сталкінгу, не працював із Helsi та не мав доступів до системи.

Безпека даних

За словами директора Helsi, дані пацієнтів обробляють на рівні сервісів і на рівні Центральної бази. Атестація системи безпеки сервісів бере до уваги і взаємодію між цими структурами.

«Ми використовуємо світовий досвід у сфері безпеки даних. По суті, це використання технологій захисту інформації, які нині поширені й перевірені у професійному середовищі. Єдине, про що треба завжди пам'ятати — це те, що між безпекою інформації та зручністю користування цією інформацією завжди є певний баланс. Тобто можна зробити добре захищену систему з чудовими показниками захисту інформації, але вона буде незручною. Очевидно, що розробники інформаційних систем та інтерфейсів завжди балансують між легкістю користування та секретністю доступу до цієї інформації», — каже Донець.

Системи Helsi зберігаються в українському центрі Denovo. У цьому ж дата-центрі зберігаються й дані Центральної бази даних.

«Раніше була практика, коли навіть за кордоном зберігали. Сьогодні це неприпустимо: медичні дані є чутливою інформацією, тож вони мають зберігатися на території України. До того ж зберігатися за всіма вимогами безпеки на серверних майданчиках у дата-центрах, які відповідають найвищим стандартам. У нас таких небагато», — пояснює директор Helsi.

Для доступу користувачів сервіс використовує двофакторну автентифікацію та шифрування в браузері, тож зламати кабінет пацієнта досить складно.

«Варто зауважити, що ми не маємо права просто брати в пацієнта чи клієнта будь-які дані та безпідставно їх обробляти. Насамперед ми спираємося на згоду користувача, на те, що він передає ці дані з певною метою. Це дуже базовий принцип — просто так узяти дані неможливо, їх все одно слід отримати законним шляхом», — пояснює Євген Донець.

Угода користувача, опублікована на сайті Helsi, не містить вичерпного переліку даних, які збирає система. Фактично, коли ви використовуєте сервіс — ви не можете знати, які дані система в цей час збирає, а які ні. Іншими словами, під час реєстрації на сайті ви автоматично надаєте сервісу дозвіл на збирання даних, про які можете не підозрювати. За словами Євгена Донця, все через те, що перелік потрібних даних постійно змінюється.

«Іноді неможливо дати вичерпну відповідь, аби кожен параметр, який ми збираємо, був би структурований і зрозумілий. Але зауважу, що ми не маємо права збирати дані (принаймні певні типи даних) без згоди користувачів і без повідомлення уповноваженого про те, що ми обробляємо ці дані. Втім, дуже добре, якщо користувачі запитують про це. Адже коли людина, наприклад, підписує якусь програму лояльності в умовному магазині — вона майже ніколи не усвідомлює, що реально передає на обробку свою особисту інформацію», — вважає директор Helsi.

У підсумку Донець пообіцяв, що угоду скоро оновлять, опублікувавши більш детальний перелік та сформулювавши мету обробки даних, які збирає сервіс.

Хто має доступ до даних?

Коли лікар авторизується в системі, він отримує унікальний ідентифікатор, який дає йому доступ до обмеженої інформації. Також усі лікарі мусять підписати зобов'язання про нерозголошення даних. Під час внесення даних пацієнта в систему медик фактично підписується під ними, тому є можливість відстежити, хто, як і коли вносив ті чи інші дані.

Це зручно, наприклад, під час розслідувань підробки документів про вакцинацію — коли лікар вносить в систему номер і партію вакцини для пацієнта, але замість справжнього щеплення виливає цю вакцину в раковину. Стежити за процесом вакцинації складно, і медична система в тому вигляді, в якому вона існує нині, на це не здатна. Наразі поліція може вийти на підробні сертифікати лише через повідомлення щодо продажу довідок про вакцинацію у соцмережах. А от записи підозрюваного медпрацівника в Helsi можуть бути доказом того, що й інші сертифікати, підписані цим лікарем, фейкові. Але чи це справді так, чи ні — вирішує вже поліція.

Що ж до масштабних витоків даних, то їх, за словами Донця, в Helsi не було.

«Нещодавно була інформація, що в інтернеті хтось нібито продавав дані людей, що пройшли вакцинацію. Це був абсолютний фейк, і це досить швидко довели. Та й загалом, якщо йдеться про якісь умовно великі витоки інформації — я таких випадків в Україні поки що не знаю. Але це не означає, що до цього не потрібно готуватися й над цим не потрібно працювати», — каже він.

Дані в системі поділяються на два види: дані з обмеженим доступом та ті, що є загальнодоступними для лікарів. До першого виду належить, наприклад, інформація про психіатричні захворювання — вона надається лікареві тільки в тому разі, якщо пацієнт дасть на це згоду через смс-підтвердження.

Загальнодоступні дані — це основна інформація про пацієнта, яка може передаватися від лікаря до лікаря. Скажімо, якщо пацієнт спершу лікується в сімейного лікаря, а потім лягає на стаціонар до клініки, і тамтешні фахівці мусять ознайомитися з його медкарткою. Або ж у тому разі, коли один лікар підміняє іншого і має дізнатися необхідну інформацію про пацієнтів.

«Я закликаю розглядати лікаря передусім як професіонала, який несе абсолютну відповідальність за розголошення цих даних. Ситуація зі сталкером, як на мене, ненормальна. У цьому випадку лікар зловживав своїм посадовим становищем. Цей інцидент, по суті, дискредитує не лише лікаря, а й усю систему. Безперечно, це матиме досить серйозні наслідки», — каже Донець.

Якщо медпрацівник не є сімейним лікарем конкретного пацієнта і не проводив для нього прийоми, то, теоретично, доступу до його даних у такого медпрацівника бути не може. Згідно з алгоритмами отримання доступу, без певних ідентифікаторів розкрити повну інформацію неможливо. Але цілком може бути, що цю інформацію злочинцю міг повідомити хтось із його колег, якого відвідувала постраждала дівчина.

У всьому винен лікар?

У мережі неодноразово писали про випадки, коли людина під своїм номером телефону заходила до Helsi, а система натомість відкривала профіль іншого пацієнта. Тут, наприклад, ідеться про те, як пацієнт зареєструвався в медичній системі, щоб записатися на вакцинацію, а коли зайшов у свій профіль — побачив медичну інформацію геть іншої людини. Він її навіть не знав, а свій номер (за яким і реєструвався) використовував із 2004 року.

За словами Євгена Донця, коли Helsi тільки створювали, то система підтягувала дані користувача з різних реєстрів. Якщо ім'я чи телефон користувача не збігалися з реєстрами — дані позначалися як неверифіковані, а підтвердити їх міг лише сімейний лікар, до якого пацієнт мусив прийти з документом, що посвідчує особу.

Що далі, то більше людей стали укладати декларації з сімейними лікарями, тож реєстр пацієнтів почав рости. Усім, хто підписав декларацію, надавали ідентифікатор у Центральній базі даних. Цей ідентифікатор Helsi наразі використовує для підтвердження особистості.

На жаль, проблема полягає в тому, що не всі перевіряли свої номери телефонів у системі. Дуже часто пацієнта реєстрували за телефоном когось із родичів.

«Для нас лікар — це валідатор, і саме він має підтверджувати правильність даних. Але часом лікарі можуть теж помилятися. На жаль, поки ще не існує ідеальної системи, яка б ідентифікувала абсолютно кожного Євгена Євгеновича Донця як Євгена Євгеновича Донця. Тому що в нас, по суті, не працюють якісно навіть ID-картки. А в разі інтеграції, наприклад, із додатком “Дія” (про що ми зараз серйозно думаємо) — там ЕЦП, Банк ID. Але вони все одно не дають повного покриття та гарантії того, що всі люди вноситимуть дані в систему без помилок», — пояснює директор Helsi.

Наразі для того, щоб увійти в систему, потрібно ввести номер телефону тай код із смс. Втім, у Helsi вже розробляють і складніші способи доступу.

«Це не проблема локального характеру абощо — це проблема користувацької культури, і, зокрема, культури постачальників послуг. Раніше ми не думали про те, що написано в нашій медичній картці. Якщо її не могли знайти серед стосів незрозумілого жовтого паперу в реєстратурі — це, звісно, було погано, але доступом до медичної інформації ніхто сильно не переймався. Проте зараз нова ера, і нам потрібно плекати нову культуру, в якій пацієнт усвідомлює, що він надає системі свій номер телефону, свої паспортні дані, і регулярно перевіряє свою медичну інформацію, яка там накопичується», — каже Євген Донець.

Автор: Поліна Вернігор, «Заборона». hromadske публікує матеріал за підтримки «Медиасети»