Медкарты и персональные данные пациентов: как законно передать базу при покупке клиники

Судьба базы пациентов при продаже клиники зависит от двух вещей: продают вам общество целиком или только залы с аппаратами, и какую часть данных вы просите увидеть. Общество переходит вместе со своими картами, и везти их никуда не нужно. Залы с аппаратами переходят без людей: каждый пациент сам решает, продолжать ли курс у нового хозяина. Выгрузку с фамилиями, телефонами и диагнозами до подписания не получает ни один покупатель.

Если продавец предлагает «скинуть базу в Excel» или «перевезти карты вместе с креслами», цену пациентов считают по тому, сколько из них к вам придут: по согласиям и записям, а не по числу строк.

Список пациентов клиники уже врачебная тайна

Строка «фамилия, телефон, 12 занятий ЛФК после перелома лодыжки» в таблице продавца раскрывает сразу три вещи, которые закон закрывает тайной: человек обращался за помощью, у него была травма, его так лечили (ч. 1 ст. 13 закона № 323-ФЗ). У клиники секретом становится уже само присутствие фамилии в списке, и поэтому её база устроена строже списка покупателей магазина.

Другим гражданам, в том числе должностным лицам, такие сведения раскрывают с письменного согласия пациента или его законного представителя (ч. 3 той же статьи). Без согласия их предоставляют только в случаях из закрытого перечня ч. 4, например при угрозе распространения инфекций или по запросу суда. Продажи клиники в этом перечне нет.

Можно ли передать базу пациентов

Базу пациентов законно передают по одному человеку: пациент центра, который ходил на лечебную физкультуру после травмы, сам записывается в новую клинику или подписывает письменное согласие на передачу копии своей карты. Обмен сведениями между медицинскими организациями из п. 8 ч. 4 ст. 13 служит лечению конкретного пациента, поэтому общий файл со всеми пациентами покупателю не передают.

Четыре слоя данных клиники и что с ними делает сделка

В таблице данные клиники разложены на четыре слоя: у каждого слоя свой закон и своя судьба в сделке.

Третий слой подчиняется закону о рекламе. Реклама по сетям электросвязи, в том числе телефоном и в мессенджерах, допускается только при предварительном согласии адресата, и доказать согласие обязан тот, кто распространяет рекламу (ч. 1 ст. 18 закона № 38-ФЗ). Список «давших согласие на рассылки» прежней клиники новый владелец активов использует только после проверки, на чьё имя и для какой рекламы согласие давали.

Закон о персональных данных добавляет к тайне второй замок

Сведения о состоянии здоровья относятся к специальной категории персональных данных. Их обработка допускается, в частности, при письменном согласии человека или в медицинских целях лицом, которое профессионально занимается медицинской деятельностью и обязано хранить врачебную тайну (ст. 10 закона № 152-ФЗ). Второе основание описывает лечение пациента той клиникой, где он лечится, и покупку чужой базы не описывает.

Соглашение о конфиденциальности, которое стороны подписывают перед проверкой, связывает только продавца и покупателя. Три тысячи пациентов центра его не подписывали. Запрет ст. 7 закона № 152-ФЗ на раскрытие чужих данных без согласия человека касается каждого, кто к ним прикоснулся: сотрудника продавца, который готовит выгрузку, и юриста покупателя, который её открывает.

Общий случай, когда врачебной тайны нет, а согласия на передачу базы всё равно нужны, разобран в статье о передаче клиентской базы.

Покупка доли оставляет карты у того же общества, покупка активов меняет оператора

Оператором закон называет лицо, которое организует обработку персональных данных и определяет её цели (п. 2 ст. 3 закона № 152-ФЗ). При покупке доли организация та же, меняются её участники. Оператором остаётся то же общество, участник оператором не становится. Передача данных появится, если базу перенесут в программу другой компании покупателя или выгрузят ему лично. Как форма сделки влияет на лицензию, показано в материале о медицинском центре и лицензии на юрлице.

При покупке оборудования, бизнеса у ИП или имущественного комплекса пациентов принимает другая организация. Карты к ней автоматически не переходят. Пациент вправе по запросу, в том числе электронному, получить копии медицинских документов и выписки (ч. 5 ст. 22 закона № 323-ФЗ) и принести их новой клинике. Сравнение форм сделки по остальным строкам собрано в статье о формах покупки бизнеса.

До сделки покупателю показывают обезличенные показатели

Обезличивание по закону означает действия, после которых без дополнительной информации нельзя определить, какому человеку принадлежат данные (п. 9 ст. 3 закона № 152-ФЗ). Такие сведения продавец показывает свободно, и для оценки клиники их хватает:

• число уникальных пациентов за 12 месяцев и по месяцам;
• доля повторных визитов и пациентов, пришедших больше трёх раз;
• распределение приёмов по врачам и видам услуг;
• доля плательщиков: самостоятельная оплата, ДМС, ОМС;
• число действующих согласий на рассылки без контактов.

Фамилии, диагнозы, сканы карт и выгрузку из программы до сделки не принимают, даже если продавец их предлагает. Как из повторных визитов и приёмов по врачам складывается выручка кресла, показывает статья об экономике стоматологии.

В клинике проверку начинают с обезличенной сводки и образцов бланков согласий, а журнал согласий и договор на медицинскую программу смотрят, когда сводка сошлась с выпиской по счёту. Порядок, где дешёвые сверки идут раньше дорогих, разбирает бесплатный курс «10 шагов к покупке прибыльного бизнеса».

Карты хранят 25 лет, и хранителя записывают в договор

Медицинская организация обязана вести медицинскую документацию в установленном порядке и обеспечивать её учёт и хранение (п. 11 и 12 ч. 1 ст. 79 закона № 323-ФЗ). Срок хранения амбулаторной карты формы 025/у и медицинской карты стоматологического больного 043/у по справке КонсультантПлюс составляет 25 лет (перечень форм учётной документации).

При покупке активов оригиналы карт остаются у продавца вместе с обязанностью выдавать копии, в том числе тем, кто к новой клинике не перешёл. В договор записывают, кто и по какой описи хранит эти карты и кто отвечает пациенту, который через пять или пятнадцать лет попросит выписку.

Если продавец собирается закрыть своё общество после сделки, вопрос о картах решают с юристом до подписания. Место карт в общем маршруте проверки, рядом с лицензией и врачами, показано в статье о покупке стоматологической клиники.

Центр реабилитации с 3 100 пациентами: «база» за 900 000 ₽ стоит столько, сколько пришло людей

Условный пример, числа подобраны для расчёта. В центре реабилитации после травм две процедурные и зал лечебной физкультуры. Продавец передаёт новому ООО покупателя оборудование и право аренды. За 24 месяца в центре лечились 3 100 человек, и продавец включил «базу» в цену отдельной строкой: 900 000 ₽, около 290 ₽ за карту.

Новое ООО не может купить эти 3 100 строк. Платить разумно только за пациентов, которые после сделки записались к новому владельцу или подписали письменное согласие на передачу копии своей карты.

Оставшиеся деньги покупатель оставляет у себя. Для сравнения, один штраф юрлицу по ч. 2 ст. 13.11 КоАП РФ за обработку без согласия равен 33–78% заявленной цены «базы».

Условие о цене записывают так: строка «база» оплачивается частями после передачи, по числу пациентов, записанных к новой клинике за первые 90 и 180 дней, а до этого сумма лежит на удержании или на счёте эскроу. Как устроены такие расчёты, разобрано в статье о безопасном расчёте за бизнес.

Пять шагов, которыми новый владелец законно получает пациентов

1. Прежняя клиника сама сообщает своим пациентам о смене организации и адресе приёма, не передавая данные новой клинике.
2. Пациент выбирает: записаться в новую клинику, подписать письменное согласие на передачу копии карты или запросить у прежней копии и выписки.
3. Новая клиника как оператор уведомляет Роскомнадзор до начала обработки персональных данных, то есть до первой записи пациента (ч. 1 ст. 22 закона № 152-ФЗ).
4. Новая клиника ведёт запись только тех, кто обратился сам или подписал согласие.
5. Карты прежней клиники остаются у неё на хранении по описи. Если она прекращает обработку данных, то уведомляет Роскомнадзор в течение десяти рабочих дней с даты прекращения (ч. 7 ст. 22).

Даты шагов продавца (1 и 5) и покупателя (3 и 4) записывают в договор рядом с графиком оплаты «базы».

Штрафы падают на того, кто обрабатывает данные без согласия

Обработка закон понимает широко: сбор, запись, хранение, использование и передача персональных данных (п. 3 ст. 3 закона № 152-ФЗ). Покупатель, который получил таблицу пациентов и завёл её в свою программу, тоже их обрабатывает.

Для нового ООО из примера обработка без письменного согласия там, где оно требуется, стоит юрлицу от 300 000 до 700 000 ₽, повторная от 1 000 000 до 1 500 000 ₽ (ч. 2 и 2.1 ст. 13.11 КоАП РФ). Повторный штраф больше всей строки «база».

Рискует и прежний центр, который отправил выгрузку покупателю по распоряжению владельца. За разглашение информации с ограниченным доступом, полученной по службе или профессии, организации грозит от 100 000 до 200 000 ₽, а её должностному лицу от 40 000 до 50 000 ₽ или дисквалификация на срок до трёх лет (ст. 13.14 КоАП РФ).

Обе статьи применяются, если в действиях нет уголовно наказуемого деяния, поэтому за незаконную передачу данных возможна и уголовная ответственность.

Шесть красных флагов в предложении продавца

• «Выгрузим базу в Excel и пришлём на почту».
• «Карты просто перевезём вместе с кабинетами».
• «Согласия у нас есть», но без образца бланка и журнала.
• «Все пациенты подписали общее согласие», а в нём не назван получатель данных.
• Отказ показать политику обработки персональных данных.
• Цена «базы» фиксирована и не зависит от того, сколько пациентов перейдёт.

При покупке доли каждый флаг означает риск общества, которое переходит к вам вместе с историей нарушений. При покупке активов флаг показывает, что вам предлагают заплатить за то, что купить нельзя.

Частые вопросы

Персональные данные при продаже бизнеса: что меняется

Персональные данные при продаже бизнеса остаются у оператора, который их собирал. Покупка доли ООО оставляет оператора прежним: меняются участники, а данные остаются в обществе. Покупка активов создаёт нового оператора, которому нужны своё основание обработки и уведомление Роскомнадзора до её начала. Для клиники к этому добавляется врачебная тайна, поэтому без письменного согласия пациента его данные новой организации не передают.

Можно ли написать пациентам о новой клинике

Написать пациентам о новой клинике вправе прежняя клиника, у которой есть их контакты: она сообщает о смене организации и новом месте приёма. Новая клиника сама писать по чужой базе не может, у неё нет ни данных, ни согласий. Если сообщение по телефону или в мессенджере содержит рекламу, на него нужно предварительное согласие адресата по закону о рекламе.

Кто хранит медицинские карты после продажи клиники

Медицинские карты после продажи клиники хранит та организация, которая их вела. При покупке доли это то же общество, и покупатель получает его вместе с обязанностью хранить карты. При покупке активов оригиналы карт остаются у продавца, а новой клинике по согласию пациента передают копии. Срок хранения карт форм 025/у и 043/у составляет 25 лет, поэтому хранителя карт и опись записывают в договор.

Условие о «базе» входит в договор до задатка

Перед задатком отправьте продавцу один запрос: обезличенная сводка по пациентам за 12 месяцев, образцы бланков согласий, политика обработки персональных данных и ответ, в какой форме идёт сделка. Если продаётся не доля, добавьте в проект договора оплату «базы» по числу записавшихся пациентов и раздел о хранении карт. Отказ продавца обсуждать эти условия показывает, что за 900 000 ₽ вам предлагают таблицу, а не пациентов.