Инструменты внутри видеоконсультации: чат, файлы, демонстрация экрана, аннотации, показатели

Это инженерные рекомендации, а не юридическая консультация. Детали уточняйте у квалифицированного юриста.

Кратко

Инструменты внутри телемедицинского звонка – защищённый чат, обмен файлами и снимками, демонстрация экрана, рисование поверх снимка и живые показания подключённого прибора – работают с медданными: сведениями о здоровье конкретного пациента, то есть со специальной категорией персональных данных по 152-ФЗ и врачебной тайной по 323-ФЗ. Поэтому на каждый из них распространяется та же граница защиты, что и на видео. Хорошая новость: канал, по которому они передаются (data channel WebRTC), по умолчанию шифруется тем же DTLS, что и видео. Так что задача не в том, чтобы «добавить шифрование», а в том, чтобы решить, что хранить, где и сколько, кто это увидит и на что согласился пациент. Часть ответа уже дал приказ Минздрава 193н: сообщения, изображения и записи консультации – «сопутствующие материалы», которые хранятся один год, а заключения и протоколы вносятся в медкарту. Демонстрация экрана – главный источник случайного раскрытия: одно неосторожное «показать весь экран» может открыть карту другого пациента. С подключёнными приборами появляется регуляторный вопрос: прибор, чьи показания использует врач, должен быть зарегистрированным медизделием, а софт, который интерпретирует показания или подаёт тревогу, сам может оказаться медизделием.

Зачем это читать

Телемедицинский приём редко сводится к двум лицам на экране. Врач отправляет результат анализа, пациент загружает фото сыпи, кто-то показывает экран со схемой приёма лекарств, медсестра обводит рану на снимке, подключённый тонометр передаёт показание прямо в звонок. Каждое такое действие перемещает медицинские данные, и каждое может либо остаться внутри защищённого контура, либо незаметно из него выйти. Если вы оцениваете или покупаете телемед-платформу, «есть чат и обмен файлами» – не строчка в списке функций, а набор решений по обращению с данными, от которых зависит, пройдёте ли вы проверку. Статья написана для основателя, продакт-менеджера или руководителя клинической ИТ-службы, которому предстоит описать требования к этим инструментам и задать по каждому правильные вопросы вендору или инженеру. Прочитав её, вы сможете сказать про чат, файлы, демонстрацию экрана, аннотации и показатели, куда идут данные, сколько их хранить, входят ли они в медкарту и что может пойти не так.

Общее правило: всё в звонке – это медданные

Начнём с идеи, которая объединяет все пять инструментов. Медданные – это сведения о здоровье, которые можно связать с конкретным человеком: имя вместе с диагнозом, фото лица пациента, показание давления, привязанное к аккаунту. По 152-ФЗ это специальная категория персональных данных (ст. 10), а по ст. 13 323-ФЗ – врачебная тайна, начиная с самого факта обращения. Как только инструмент внутри звонка касается медданных, на него распространяются те же требования, что и на видео: меры защиты по ст. 19 152-ФЗ и приказу ФСТЭК № 21 для вашего уровня защищённости по ПП 1119 (управление доступом, защита передачи, целостность, регистрация событий) и хранение баз в России (ст. 18 ч. 5).

Теперь о том, что успокаивает. Текст, файлы и координаты рисунка эти инструменты передают по data channel WebRTC – универсальному каналу для произвольных данных, который работает рядом с аудио и видео в том же соединении. Канал построен на SCTP поверх DTLS (Datagram Transport Layer Security – вариант TLS для датаграмм; сам TLS защищает и обычные сайты), и по стандарту RFC 8831 он шифруется по умолчанию той же DTLS-сессией, что и медиа. Проще говоря, сообщение в чате и переданный файл шифруются в передаче автоматически, как и видео. Нужна ли поверх этого криптография по ГОСТ с сертифицированными СКЗИ, решает модель угроз; подробно – в статье о шифровании для телемедицины.

Нажмите, чтобы увеличить

Итак, шифрование в передаче обеспечивает протокол. Значит, вся работа и весь риск – в другом: что хранится, где и сколько, кто это видит, входит ли это в медицинскую документацию и на что пациент дал согласие. Дальше разберём эти вопросы для каждого инструмента. Главная ловушка: «зашифровано» не значит «соответствует требованиям». Идеально зашифрованный чат, который пишет логи в стороннюю аналитику без договора с клиникой, – всё равно передача медданных третьему лицу без основания, а если сервис зарубежный, то ещё и нарушение локализации. Каждый подрядчик, который хранит или видит эти данные, должен работать по поручению оператора на обработку ПДн (ст. 6 152-ФЗ).

Защищённый чат: удобство и часть документации

Чат в звонке кажется самым простым инструментом, но его последствия недооценивают чаще всего. Сообщение «калий пришёл 5,9, продолжайте новую дозу» – это медданные в текстовом виде. Отсюда два решения.

Первое – хранение и срок. Если чат эфемерный (виден во время звонка и потом стирается), риск невелик, но и клинической пользы после звонка никакой. Если переписка сохраняется, она становится материалом консультации. 193н прямо относит текстовые и голосовые сообщения, изображения, аудио- и видеозаписи к «сопутствующим материалам» телемедицинской консультации и требует хранить их один год, а заключения и протоколы консультации вносятся в медицинскую карту консультирующей организации (п. 49–51). То есть решение «хранить ли чат» частично уже принято за вас. Клинически значимое содержимое, как та корректировка дозы, должно попасть в протокол, а протокол – в электронную медкарту как электронный медицинский документ, подписанный УКЭП врача (приказ 209н). Пациент вправе получить сведения о своих персональных данных (ст. 14 152-ФЗ), а по запросу – бумажную копию электронного медицинского документа. Сам чат хранится в зашифрованном виде, в России и с контролем доступа, как любая часть медкарты.

Второе – идентификация и контекст. В чате не видно лица, поэтому сообщение, отправленное не в то окно, молча уходит не тому человеку. Защитные меры вполне практичны: привязывайте каждую переписку к подтверждённому приёму, участники которого вошли через ЕСИА, а не к «висящему» контакту; явно показывайте, кто участвует в переписке; закройте пути, по которым медданные могут уйти за пределы защищённого контура: копирование в буфер обмена, сторонние клавиатуры, которые ведут логи. Чат также должен быть доступным: читаемый контраст, подписи для скринридера, статус не только цветом. Ориентир тот же, что и для остального интерфейса: ГОСТ Р 52872-2019 на базе WCAG 2.1, уровень AA (подробнее – в статье о WCAG 2.1 AA и ГОСТ Р 52872-2019 для телемед-видео).

Файлы и снимки: анализы и фото сыпи

Обмен файлами – точка, где отложенная телемедицина встречается с живым звонком. Врач отправляет PDF с результатами анализов, пациент загружает фото раны или упаковки лекарства. Эти файлы – медданные в самой концентрированной форме: на одном снимке могут быть лицо, тело и видимые проявления болезни.

Передачу защищает шифрование data channel, но файл, в отличие от произнесённой фразы, остаётся. Отсюда три решения. Где он окажется? Переданный файл должен попадать в шифрованное хранилище внутри вашей границы, а не в общий облачный бакет или тестовую папку разработчика. Кто управляет этим хранилищем? Если это стороннее объектное хранилище, нужны договор-поручение и российская площадка с аттестатом на нужный уровень защищённости (такие аттестаты есть, например, у Yandex Cloud, Cloud.ru и Selectel); без этого каждое загруженное фото – передача медданных без основания. Сколько его хранить и входит ли он в медкарту? Снимки, переданные в ходе консультации, хранятся год как сопутствующие материалы (193н). Анализ, на основании которого врач принял решение, становится частью медицинской документации и хранится по её срокам: по 209н электронный медицинский документ хранится не меньше, чем бумажный аналог, а сроки для каждого вида документов задаёт федеральный справочник НСИ. Для размытого фото, присланного по ошибке, нужен заранее продуманный порядок удаления.

Пример расчёта показывает масштаб. Допустим, дерматологический сервис хранит два снимка на приём, примерно по 3 мегабайта, и проводит 200 приёмов в день. Это 2 × 3 МБ × 200 = 1 200 мегабайт, около 1,2 гигабайта в день. При сроке хранения в один год получается постоянный «скользящий» архив примерно 1,2 ГБ × 365 ≈ 438 гигабайт снимков пациентов. Каждый снимок нужно шифровать при хранении, фиксировать доступ к нему и удалять по расписанию, а всё, что попало в медкарту, хранится дольше, по срокам НСИ. Так «мы добавили обмен файлами» незаметно превращается в «мы ведём архив медицинских изображений». Это архитектурное решение, и откладывать его на потом нельзя.

Вторая мера – проверка содержимого: контролируйте типы файлов, проверяйте их антивирусом и ограничивайте размер. Поле загрузки, которое принимает что угодно, – это ещё и поверхность атаки, ведущая прямо в хранилище медданных.

Демонстрация экрана: главный риск случайного раскрытия

Демонстрация экрана чаще других инструментов приводит к утечке, причём из-за обычной человеческой ошибки, а не хакера. Механизм простой: врач хочет показать одно, а случайно показывает всё.

152-ФЗ требует, чтобы обрабатываемые данные не были избыточными по отношению к цели (ст. 5), а 323-ФЗ запрещает разглашать врачебную тайну (ст. 13). Данные пациента, с которым идёт приём, нужны для его лечения, а данные другого пациента – никогда, но именно они и утекают, когда врач показывает весь экран. Типичные сценарии: всплывает уведомление с именем другого пациента; в соседней вкладке МИС всё ещё открыта карта предыдущего пациента; на общем экране мелькает превью письма или приглашение в календарь.

Нажмите, чтобы увеличить

Инженерные меры хорошо известны, и они должны работать по умолчанию, а не включаться по желанию. Предлагайте показ одного приложения или окна и делайте его рекомендуемым вариантом вместо всего экрана. Автоматически отключайте уведомления ОС и приложений на время показа. Показывайте врачу заметный индикатор «вы показываете экран» и кнопку остановки в один клик. Где платформа это позволяет, размывайте показ или придерживайте его, пока врач не подтвердит, что именно видно. Ничего экзотического, но именно это отличает инструмент, который не раскрывает лишнего по своему устройству, от инструмента, который рассчитывает, что уставший врач никогда не ошибётся.

Аннотации: рисунок, который может стать документом

Аннотация – это рисунок поверх общего снимка или экрана: обвести очаг, отметить амплитуду движений, указать на строку анализа. Технически это просто: рисунок передаётся потоком координат по тому же шифрованному data channel и накладывается на снимок у обоих участников. Нового медиа, которое нужно шифровать, обычно нет, и новых рисков при передаче почти не появляется.

Решать с аннотацией нужно другое: что делать с результатом. Если размеченный снимок сохраняется («обведена зона интереса, контроль через две недели»), он становится клинической документацией с теми же требованиями к хранению, доступу и целостности, что и любое изображение в медкарте. Целостность здесь особенно важна: сохранённую аннотацию нужно защитить от незаметной подмены, потому что рисунок, который можно потихоньку изменить, подрывает доверие к записи. Приказ ФСТЭК № 21 содержит меры обеспечения целостности, а 209н требует подписывать электронные медицинские документы УКЭП и при исправлении хранить все версии. И ещё одна граница: аннотация – инструмент общения и документирования, а не измерительный прибор. Как только инструмент заявляет, что измеряет что-то по снимку (например, площадь раны в квадратных сантиметрах для клинического решения), вы приближаетесь к вопросу о медизделии из следующего раздела.

Живые показатели: где проходит граница медизделия

Технически самый интересный инструмент в звонке – живые показания подключённого прибора (Bluetooth-тонометра, пульсоксиметра, глюкометра, умных весов), выведенные прямо в окно приёма. Здесь верны сразу две вещи: показание – это медданные, как и всё остальное, а прибор вместе с софтом вокруг него может быть медицинским изделием, которое в России должно пройти государственную регистрацию. Именно на втором вопросе команды чаще всего попадают в беду, поэтому здесь важна точность.

Начнём с прибора. По 323-ФЗ медицинским изделием считается в том числе специальное программное обеспечение, которое производитель предназначил для профилактики, диагностики, лечения, реабилитации и мониторинга состояния организма, а обращаться в России могут только зарегистрированные изделия (ст. 38). Тонометр или глюкометр, на показания которого врач опирается при принятии решений, должен быть зарегистрированным медизделием; порядок дистанционного наблюдения исходит из того, что данные поступают с медизделий автоматически или вводятся вручную (п. 43–46 193н). Популярные носимые гаджеты часто не зарегистрированы как медизделия, и это реальное ограничение для продукта, а не формальность.

Нажмите, чтобы увеличить

Теперь о софте. Граница определяется тем, что софт делает с показанием. Показать врачу число с зарегистрированного прибора или сохранить его в медкарте – минимальный риск: решение принимает врач, глядя на то же число, что выдал прибор. Тревога по порогам, которые задал лечащий врач, – часть самого порядка дистанционного наблюдения (193н). Но как только софт начинает интерпретировать показание сам (решает, что оно опасно, считает оценку риска или подводит к диагнозу), по своему назначению он становится кандидатом в медизделие. Правила государственной регистрации (ПП 1684) прямо распространяются на программное обеспечение, а ПО с искусственным интеллектом по классификации Минздрава относится к классу риска 3 (приказ 4н, п. 15.1.1). Порядок телемедицины допускает системы поддержки принятия врачебных решений на базе ИИ в отложенных консультациях, но только зарегистрированные как медизделия (п. 15–17 193н). В каждой спецификации разделяйте эти вещи: «показать число» – функция, «сказать врачу, что число значит и что делать» – возможно, медизделие. Где именно проходит граница для вашего продукта, определяет назначение, заявленное производителем, поэтому, если вы подошли к ней близко, получите регуляторное заключение до разработки, а не после.

Ещё два практических замечания. Показатели с прибора должны сохранять целостность на всём пути: переставленная цифра в давлении – это клиническая ошибка, поэтому путь от прибора до экрана должен быть проверяемым и защищённым от подмены. Кроме того, подключённый прибор – это ещё и поток данных дистанционного наблюдения. Если показания собираются вне живого звонка, действуют правила дистанционного наблюдения как отдельного продукта: наблюдение назначается после очного приёма, а при артериальной гипертензии и сахарном диабете входит в базовую программу ОМС.

Пять инструментов в одной таблице

Таблица сводит решения вместе. Каждая строка отвечает на вопросы: что передаёт инструмент, где оседают данные, входят ли они в медкарту и какой подрядчик (а значит, какой договор) участвует.

Нажмите, чтобы увеличить

Картина та же, с которой мы начали: передачу шифруют за вас, а хранение, статус в медкарте и договор с каждым подрядчиком нужно продумать для каждого инструмента отдельно.

Согласие и привычка не раскрывать лишнего

Через все пять инструментов проходят две темы. Согласие. Пациент должен понимать, что включает приём, и соглашаться с этим: снимки могут храниться, сессия может записываться, подключённый прибор передаёт данные в карту. Согласие на обработку ПДн собирает оператор. Клиника делает это сама, а если платформа обрабатывает данные о здоровье как самостоятельный оператор, не будучи медорганизацией, ей нужно письменное согласие пациента; с 1 сентября 2025 года оно оформляется отдельным документом. Обработчик по поручению собственного согласия не собирает. У записи свои правила согласия и хранения, которые мы разбираем в статье о записи и в статье о согласии пациента, записи и хранении. Принцип простой: если инструмент в звонке захватывает или хранит медданные, пациент должен знать об этом заранее и согласиться, а не узнать постфактум. Неизбыточность. Каждый инструмент должен раскрывать минимум медданных, нужный для задачи: показ одного окна, переписка, привязанная к приёму, файлы, которые попадают только в нужную карту. Если заложить и то и другое в поведение по умолчанию, инструменты будут защищать пациента, не полагаясь на чью-то внимательность.

Типичные ошибки

Показ всего экрана. Самая частая реальная утечка в телемед-инструментах: при показе всего экрана видно уведомление, открытая вкладка или карта другого пациента. По умолчанию должен быть показ одного окна с автоматическим отключением уведомлений.

Чат считают одноразовым. Удаляют переписку, которую по 193н нужно хранить год, или клинически значимые сообщения, которые следовало перенести в протокол. Или наоборот: хранят всё подряд бессрочно, без расписания удаления и контроля доступа.

Хранение файлов вне границы. Загруженные фото и PDF с анализами сохраняют в общий облачный бакет, в зарубежный сервис или у подрядчика без поручения. Шифрование в передаче не спасёт файл, который осел в хранилище, где ему не место.

Показатели незаметно превращаются в диагностику. Инструмент, который начинался как «показать показание», обрастает собственными тревогами или оценкой риска и выходит без регуляторной оценки, а значит, возможно, и без нужной регистрации медизделия. Ещё хуже, если показатели идут с гаджета, который сам медизделием не является.

Забыть про доступность. Чат и инструменты совместной работы не отвечают ГОСТ Р 52872-2019 (WCAG 2.1 AA): статус показан только цветом, нет подписей для скринридера, контраст нечитаемый. А ведь этой частью продукта пожилые и слабовидящие пациенты пользуются наравне со всеми.

Где здесь Фора Софт

Задача – чтобы каждый инструмент внутри звонка соблюдал ту же границу медданных, что и видео, а для этого инструменты нужно строить так, чтобы безопасный путь был путём по умолчанию. Фора Софт разрабатывает системы реального времени на WebRTC с тех пор, как технология только появилась: телемедицина, видеоконференции, e-learning и стриминг, в том числе функции на data channel – чат, передача файлов и аннотации. Мы встраиваем каждый инструмент в границу медданных: шифрованное хранилище в российской инфраструктуре и поручение для каждого подрядчика, сроки хранения сопутствующих материалов и перенос значимого в протокол, показ одного окна с отключением уведомлений и чёткое разделение между показом показателя и его интерпретацией. В итоге на приёме удобное действие и действие, правильное с точки зрения закона, совпадают.

Главное

• Каждый инструмент в звонке (чат, файлы, экран, аннотации, показатели) работает с медданными и попадает в ту же границу защиты, что и видео.
• Data channel WebRTC по умолчанию шифрует чат, файлы и аннотации в передаче (DTLS, RFC 8831).
• Основная работа – не шифрование передачи, а хранение в России, доступ, статус в медкарте и поручение для каждого подрядчика.
• По 193н переписка, изображения и записи консультации хранятся год; клинически значимое переносится в протокол и медкарту.
• Показ всего экрана – главный риск раскрытия; по умолчанию – одно окно и отключённые уведомления.
• Прибор должен быть медизделием; софт, который лишь показывает число, несёт минимальный риск, а софт, который интерпретирует показания или подаёт тревогу, сам может оказаться медизделием.

Что читать дальше

• Запись клинических сессий: когда, как и конфликт с комплаенсом
• Задержка, качество и клиническая планка «достаточно хорошо»
• Журналы аудита и контроль доступа для клинического видео