2) свойство информации быть правильно воспринятой, соответствие информации истинности
3) информацию, которую ни при каких условиях невозможно сопоставить с конкретным физическим лицом
4) обязательное требование не передавать такую информацию третьим лицам без согласия ее правообладателя (+)
Правильным является вариант 4. В Российском информационном праве конфиденциальность означает установленную обязанность лица, получившего доступ к определённой информации, не передавать её третьим лицам без согласия обладателя информации. Именно такое определение закреплено в Федеральном законе № 149-ФЗ Об информации, информационных технологиях и о защите информации ; поэтому ключевым признаком конфиденциальности является не качество или истинность данных, а ограничение их неправомерного раскрытия.
Для медицинских информационных систем этот принцип имеет особое значение, поскольку сведения о состоянии здоровья относятся к защищаемой информации, а соблюдение врачебной тайны является одним из принципов охраны здоровья граждан. Доступ к электронной медицинской карте, результатам исследований и иной медицинской документации должен предоставляться только уполномоченным лицам в пределах их полномочий; на практике конфиденциальность поддерживается аутентификацией пользователей, разграничением прав доступа, журналированием действий и средствами криптографической защиты. При этом передача медицинских сведений возможна не только с согласия пациента: Федеральное законодательство предусматривает отдельные случаи законного предоставления такой информации без согласия, поэтому конфиденциальность следует понимать как соблюдение установленного режима доступа, а не как абсолютный запрет любой передачи.
Остальные характеристики относятся к другим свойствам информации. Сохранение данных без несанкционированных изменений характеризует целостность, соответствие сведений действительности связано с их достоверностью, а невозможность определить принадлежность персональных данных конкретному субъекту без дополнительной информации относится к обезличиванию. Федеральный закон № 152-ФЗ рассматривает обезличивание как самостоятельную операцию обработки персональных данных, поэтому его нельзя отождествлять с конфиденциальностью.
| Понятие | Основной признак | Значение для медицинской информационной системы |
|---|---|---|
| Конфиденциальность | Предотвращение неправомерного раскрытия информации лицам, не имеющим законного основания для доступа | Защищает сведения пациента от просмотра и передачи неуполномоченным пользователям |
| Целостность | Сохранение правильности и неизменности данных при хранении и обработке | Предотвращает несанкционированное изменение диагноза, результатов исследований, назначений и иных записей |
| Доступность | Возможность своевременно получить информацию уполномоченному пользователю | Обеспечивает доступ врача к необходимой медицинской информации при оказании помощи |
| Достоверность | Соответствие сведений фактическому состоянию объекта или пациента | Определяет пригодность медицинских данных для принятия клинических решений |
| Обезличивание | Невозможность без дополнительной информации установить принадлежность персональных данных конкретному субъекту | Применяется, в частности, при обработке массивов данных, когда непосредственная идентификация пациента не требуется. |
| Аутентификация и разграничение доступа | Проверка личности пользователя и предоставление только разрешённых полномочий | Являются техническими механизмами реализации режима конфиденциальности в медицинских информационных системах |
Таким образом, конфиденциальность относится прежде всего к контролю доступа и допустимости раскрытия сведений, а не к их содержательной правильности. В медицинской кибернетике она рассматривается совместно с целостностью и доступностью как одно из базовых свойств защищённой информационной системы. Нарушением конфиденциальности может быть даже ознакомление постороннего лица с достоверной и неизменённой медицинской записью, поскольку целостность данных при этом не страдает. Надёжная защита медицинской информации поэтому требует одновременно организационных правил доступа и технических средств информационной безопасности.