Кто в кабинете: роли, идентификация и согласие

Это инженерные рекомендации, а не юридическая консультация. Уточняйте детали у профильных юристов.

Кратко

В телемедицинском визите законно может участвовать больше людей, чем врач и пациент: законный представитель ребёнка, родственник, переводчик, врач-консультант из другой клиники, стажёр, ИИ-помощник, который ведёт протокол. Каждого нужно идентифицировать, назначить ему роль и зафиксировать согласие. Базовую идентификацию в России задаёт закон: участники телемедицинской консультации идентифицируются через ЕСИА (ч. 6 ст. 36.2 323-ФЗ, п. 7 приказа Минздрава 193н), врач должен быть в ФРМР, организация – в ФРМО (п. 9), а документы врач подписывает усиленной квалифицированной электронной подписью (ч. 7 ст. 36.2). Поверх этого строится лестница: чем рискованнее действие, тем строже вход и подпись. Согласия тоже многослойные: информированное добровольное согласие (ИДС) на медицинское вмешательство (ст. 20 323-ФЗ), согласие на обработку персональных данных – с 1 сентября 2025 года отдельным документом, письменное согласие на раскрытие врачебной тайны третьим лицам (ч. 3 ст. 13) и согласие законного представителя за ребёнка до 15 лет. Их фиксируют в разные моменты и доказывают по-разному. Постройте единую «ведомость кабинета» – модель данных, которая для любой секунды любого прошлого визита отвечает: кто присутствовал, в какой роли, как идентифицирован, под какой версией согласия. Одна эта структура закроет большую часть требований к идентификации, журналированию и раскрытию информации.

Зачем это читать

Если вы строите телемедицинский продукт, идентификация и согласия – первое, о чём спросят Росздравнадзор, Роскомнадзор, служба безопасности страховщика или юрист в споре, и последнее, что команды проектируют. Бюджет уходит на качество видео и интеграцию с МИС, а потом выясняется, что «добавить маму пациента в звонок» упирается во врачебную тайну, что 16-летний пациент сам даёт согласие на вмешательство, а подключение к ЕСИА – отдельный проект со своей криптографией и сроками. Статья даёт базовую карту: кто может находиться в кабинете, какое подтверждение нужно каждому и какие согласия должны быть оформлены до включения камеры. Она опирается на анатомию телемед-платформы и готовит к подробным статьям блока о комплаенсе. Если времени мало, прочитайте хотя бы раздел о модели «ведомости кабинета»: дешевле страховки в телемед-разработке нет.

Состав участников: шесть ролей, три вопроса к каждой

В обычном видеозвонке есть участники, в телемедицинском – роли, и разница здесь юридическая. Для каждого человека, который может появиться в клинической сессии, продукт обязан ответить на три вопроса: кто это (идентификация), что ему здесь можно (полномочия) и кто согласился на его присутствие (согласие). Пропустите любой из трёх для любой роли – и проверяющему будет на что показать пальцем.

Вот полный состав, который стоит закладывать даже в первую версию продукта:

Нажмите, чтобы увеличить

Эту таблицу усложняют две вещи. Во-первых, кабинет динамичен: переводчик подключается посреди звонка, родитель входит в кадр, консультант из профильного центра заходит на десять минут. Каждое событие меняет юридический состав визита и должно фиксироваться. Во-вторых, ответы зависят от контекста визита: режим («врач – пациент» или «врач – врач»), формат (в реальном времени или отложенная консультация), был ли очный приём по этому обращению и сколько пациенту лет. От этих четырёх фактов зависит, что врачу можно сделать в сессии и чьё согласие нужно. Дальше разберём состав по слоям.

Лестница идентификации

Сначала определения: за словом «проверен» стоят две разные задачи. Идентификация – установить, что за учётной записью стоит реальный человек и что она принадлежит именно ему: паспорт на стойке регистрации в отеле. Аутентификация – убедиться, что сегодня вернулся тот же человек: ключ от номера. Первую задачу в российской телемедицине решает государственная инфраструктура. Идентификация и аутентификация участников дистанционного взаимодействия ведутся через ЕСИА (ч. 6 ст. 36.2 323-ФЗ, п. 7 193н) [1][2]. Граждане подтверждают сведения в ЕГИСЗ простой электронной подписью через ЕСИА или усиленной подписью (подп. «б» п. 39 Положения о ЕГИСЗ) [7]. А ИДС в электронной форме пациент подписывает УКЭП или простой электронной подписью через ЕСИА, медработник – только УКЭП (ч. 7 ст. 20 323-ФЗ) [3]. Иначе говоря, ЕСИА в телемедицине служит и для идентификации, и для подписи.

Отсюда три следствия для продукта. Первое: Sber ID, VK ID и вход по номеру телефона – лишь удобство, для телемедицинской консультации ЕСИА они не заменяют [15]. Ими можно пустить человека в приложение, но не в консультацию. Участникам экспериментального правового режима по ПП 1164 разрешалась альтернативная идентификация – по данным оператора связи или банковскому идентификатору, – но режим вводился на три года с 01.08.2023, и сведений о его продлении после августа 2026-го в открытых источниках нет [13]. Второе: своя «проверка по селфи» – это биометрия. Видеосвязь сама по себе биометрической идентификацией не является, но сверка лица с фото в документе – уже обработка биометрии по 572-ФЗ: идентификация «один ко многим» – только через Единую биометрическую систему, аутентификация «один к одному» – через ЕБС или аккредитованную систему, а аутентификация без аккредитации стоит юрлицу 1–2 млн ₽ (ч. 4 ст. 13.11.3 КоАП). Принуждать к сдаче биометрии нельзя, и отказ от неё не может быть причиной отказа в услуге [8]. Третье: подключение коммерческой системы к ЕСИА – отдельный проект (регистрация информационной системы, подпись запросов по ГОСТ), и его стоит начинать в первые недели, а не за месяц до запуска.

Последствия вполне конкретные. Консультация без идентификации через ЕСИА выпадает из порядка 193н; протокол, не подписанный УКЭП врача, не становится юридически значимым электронным медицинским документом – ЭМД подписываются только УКЭП [10]; а утечка данных о здоровье стоит юрлицу 10–15 млн ₽. Именно через слабую идентификацию на входе чужие данные и чужие учётные записи превращаются в инциденты.

Нажмите, чтобы увеличить

Лестница пациента: проверяйте столько, сколько требует действие

Вопрос не в том, насколько строгую проверку можно запустить, а в том, какая ступень нужна каждому действию. Просмотр справочного контента не требует ничего. Регистрация и запись на очный приём – телефон или почта плюс пароль; Sber ID или VK ID – для удобства. Телемедицинская консультация – ЕСИА, без вариантов. Подписание ИДС и согласий в электронной форме – простая подпись через ЕСИА или УКЭП. Доступ законного представителя к данным ребёнка – ЕСИА представителя плюс подтверждённые полномочия. Выгрузка всей медкарты или смена реквизитов для возврата денег – повторный вход со вторым фактором.

Ступенчатая проверка (step-up) влияет и на воронку. Посчитаем на условных допущениях: 10 000 регистраций в месяц, 22% пациентов когда-либо доходят до первой консультации, и каждый десятый бросает процесс на шаге ЕСИА (нет подтверждённой учётной записи, забыт пароль).

• Требовать ЕСИА при регистрации: 10 000 × 10% = 1 000 потерянных регистраций в месяц.
• Требовать ЕСИА перед первой консультацией: 10 000 × 0,22 = 2 200 человек проходят шаг → 2 200 × 10% = 220 потерь, и для них можно предложить запись на очный приём.

С точки зрения требований результат тот же – правило привязано к консультации, – а потерь в 4,5 раза меньше, причём отсеиваются люди, уже настроенные лечиться, и им есть что предложить. Недопустимо одно – тихо понижать ступень там, где её задаёт норма: «консультация по номеру телефона, а ЕСИА потом» вне режима ЭПР – это консультация вне порядка 193н.

Лестница врача: регистры, аккредитация, подпись

Проверка врача сложнее, и она в основном организационная, а не биометрическая. Слоёв четыре. Лицензия организации: телемедицинская помощь оказывается только по работам и услугам, включённым в лицензию (п. 4 193н), и лицензия действует на всей территории страны – лицензирования «по регионам» нет; подробности – в статье о лицензировании, аккредитации и рецептах. Регистры: врач должен быть в ФРМР, организация – в ФРМО (п. 9 193н; это и лицензионное требование – подп. «ж» п. 5 ПП 852) [2][9]; ваш справочник врачей должен хранить связь с записью регистра и регулярно сверяться с ней. Профиль врача тоже регулируется: пациенту раскрывают ФИО, образование, стаж и категорию консультанта (п. 37 193н). Аккредитация специалиста: периодическая аккредитация – не реже раза в пять лет, документы подаются через ФРМР; продукт должен знать сроки и не ставить в расписание врача с истёкшей аккредитацией. Подпись: протокол консультации и ЭМД врач подписывает УКЭП (ч. 7 ст. 36.2) [1][10], у сертификата есть срок действия, поэтому нужны фоновая проверка и заблаговременное предупреждение.

Если врач консультирует коллег из другой организации (режим «врач – врач»), к этим слоям добавляются межорганизационные: консультирующая организация – в ФРМО, заключение или протокол консилиума вносится в её медкарту (п. 49–51 193н), сведения о протоколе и запросе на консультацию уходят в ЕГИСЗ в течение одного рабочего дня [7], а по ОМС такую консультацию оплачивает запросившая организация [12]. Для продукта это отдельные функции: синхронизация справочников, обмен документами, канал передачи заключений.

Назначение препаратов – верхняя ступень. Электронный рецепт по приказу 1094н требует УКЭП медработника, записи врача в ФРМР и организации в ФРМО и подключения организации к ГИС субъекта; по просьбе пациента выдаётся бумажный дубликат [11]. После телемедицинской консультации рецепт возможен только при коррекции лечения, назначенного на очном приёме по тому же обращению (п. 38–39 193н), а для препаратов с наркотическими и психотропными веществами действуют отдельные правила оформления [2][11]. Если в планах есть рецепты, статья об электронных рецептах превращает это в план интеграции.

И о симметрии: пациенты и врачи входят в одни и те же сессии. Продукт, который требует ЕСИА от пациентов, но позволяет врачам делить планшет в ординаторской с одним паролем на всех или держать один токен УКЭП на отделение, решил только половину задачи. Аутентификация и идентификация пациентов и врачей разбирает многофакторный вход, SSO и дизайн сессий для обеих сторон.

Стопка согласий

С согласием в телемед-продуктах обычно ошибаются одинаково: многослойный юридический объект сводят к одному булеву полю. Если разложить его на слои, модель данных почти проектируется сама.

Слой 1 – ИДС на медицинское вмешательство. Согласие даётся до вмешательства на основе понятного объяснения целей, методов, рисков, вариантов и ожидаемых результатов (ч. 1 ст. 20 323-ФЗ) [3]. В электронной форме пациент подписывает его УКЭП или простой подписью через ЕСИА, медработник – УКЭП (ч. 7 ст. 20). Для телемедицины медорганизация обязана заранее раскрыть на сайте или в приложении, как она получает ИДС и согласие на обработку ПДн (п. 37 193н) [2]. Сам текст храните с версиями: когда юристы обновят формулировку, старые записи должны указывать на ту версию, которую пациент действительно видел.

Слой 2 – согласие на обработку персональных данных. Медорганизация обрабатывает сведения о здоровье в медицинских целях без согласия – это исключение для лиц, обязанных хранить врачебную тайну (п. 4 ч. 2 ст. 10 152-ФЗ). Немедицинскому оператору платформы нужно письменное согласие пациента с обязательным содержанием (ч. 4 ст. 9; электронная форма с электронной подписью приравнивается к письменной), а с 1 сентября 2025 года согласие оформляется отдельно от оферты, политики и договора [6]. Маркетинг, аналитика и обучение моделей – отдельные цели, их не прячут строчкой в общем согласии; что можно сделать через обезличивание, разбирает статья об обезличивании и аналитике медданных.

Слой 3 – запись и третьи лица. Приказ 193н не обязывает записывать консультации, но если запись сделана, это «сопутствующий материал», который хранится один год (п. 49–51) [2]. Записанная сессия – одновременно персональные данные и врачебная тайна. Присутствие третьего лица – родственника, переводчика со стороны, представителя работодателя – это раскрытие врачебной тайны, а оно допускается только с письменного согласия пациента или его законного представителя; такое согласие может входить в ИДС (ч. 3 ст. 13 323-ФЗ) [5]. Простое продуктовое правило: запись выключена по умолчанию, включается явным действием с уведомлением всех участников, а событие включения хранится вместе с записью; третье лицо входит только после зафиксированного согласия пациента. Подробный разбор – в статье о согласии пациента, записи и хранении данных.

Слой 4 – согласие за другого человека. ИДС за несовершеннолетнего и за недееспособного гражданина даёт один из родителей или иной законный представитель (ч. 2 ст. 20) [3]. Подросток старше 15 лет (больной наркоманией – старше 16) даёт или не даёт ИДС сам (ч. 2 ст. 54) [4]. Электронное ИДС от представителя несовершеннолетнего возможно, если сведения о представителе есть в медицинской документации (ч. 7 ст. 20). А информировать родителей без согласия подростка закон позволяет лишь в отдельных случаях (п. 4 ч. 4 ст. 13) [5]. Для инженеров это значит: доступ представителя нельзя моделировать как «второй логин на аккаунте пациента». Это отдельная учётная запись с подтверждённой связью, ограниченными правами и правилами видимости, которые меняются, когда пациенту исполняется 15, – конкретную матрицу видимости согласуйте с юристом.

Нажмите, чтобы увеличить

Записи о согласии полезно считать доказательствами, а не настройками. Настройку можно изменить, доказательство можно только дополнить. Храните каждое согласие как неизменяемое событие – кто согласился, на какую версию документа, за кого, каким способом подписи, с какой меткой времени, – а отзыв – как новое событие, никогда не перезапись. Проверяющий спросит, на что пациент был согласен 3 марта, и перезаписанный булев флаг на это не ответит.

Кабинет динамичен: входы посреди звонка, переводчики, консультанты

Всё перечисленное происходит до визита. Самое сложное начинается во время него: состав телемедицинского кабинета меняется посреди звонка, и каждое изменение – комплаенс-событие. Рабочее решение – контрольная точка входа: никто не попадает в медиасессию, не пройдя идентификацию → назначение роли → согласие → объявление → запись в журнал, именно в этом порядке. Виртуальная приёмная – это та же контрольная точка, только с интерфейсом для пациентов; такой же шлюз нужен для каждой роли, включая персонал.

Нажмите, чтобы увеличить

Переводчики – роль, в которой команды чаще всего ошибаются, причём двумя способами. Первая ошибка касается того, кто переводит. Переводчик слышит врачебную тайну. Если он не сотрудник медорганизации, его присутствие требует письменного согласия пациента (ч. 3 ст. 13), а договор с ним или с агентством – обязательства о неразглашении; если перевод – сервис платформы, который обрабатывает данные, нужно ещё и поручение обработки. «Переведёт двоюродный брат» юридически означает присутствие родственника с согласия пациента, но клинически это риск: от родства качество медицинского перевода не растёт. Спрос на эту роль реальный: иностранные пациенты, мигранты, пациенты, для которых русский не родной, глухие и слабослышащие, которым нужен русский жестовый язык. Вторая ошибка – качество видео. Жестовый перевод требует полной частоты кадров, чётко видимых рук и лица и малой задержки, поэтому канал переводчика нельзя пускать по урезанному профилю качества: требования к задержке и битрейту стоит зафиксировать в SLA. Механика многосторонних звонков – селективные аудиоканалы, раскладки по ролям – в статье о многосторонних консультациях.

Врачи-консультанты и консилиумы – это «позвать старшего коллегу», только по формальным правилам. В режиме «врач – врач» лечащий врач подключает консультанта из другой организации или собирает консилиум; результат – медицинское заключение или протокол консилиума (п. 2–3 193н). Сроки заданы: экстренная консультация – от 30 минут до 2 часов, неотложная – от 3 до 24 часов (п. 19) [2], а соблюдение сроков консультаций по ОМС контролируют страховые медицинские организации [12]. Для продукта это значит: «позвать консультанта» – один клик, полный аудио-видеоканал, подпись роли на экране и журнал с метками входа и выхода, связанный с протоколом, потому что сроки придётся доказывать.

Наблюдатели и ИИ-помощники замыкают состав. Стажёр или ассистент – сотрудник, который прошёл обучение и подчиняется правилам доступа организации. ИИ-помощник – сервис внутри периметра медданных: он работает по поручению оператора, обрабатывает данные в России (отправка медданных в зарубежные ИИ-API упирается в локализацию и трансграничную передачу специальной категории), а пациента уведомляют до того, как инструмент начнёт слушать. Ориентир по сценарию – ИИ-помощник врача в поликлиниках Москвы: он расшифровывает разговор и заполняет протокол, а врач проверяет и подписывает [14]. Если инструмент начинает поддерживать врачебные решения, он должен быть зарегистрирован как медицинское изделие (ст. 38 323-ФЗ; для СППВР в телемедицине – п. 17 193н). Клиническая обвязка – в отдельной статье об ИИ-скрайбе; а правило для кабинета простое: всё, что слушает разговор, должно быть в ведомости.

Модель данных, которая всё это держит

Если свести всё вместе, получится базовый артефакт – ведомость кабинета: привязанная к визиту запись, которая связывает личность, роль и согласие. Рабочая схема v1 – пять таблиц. Persons (по строке на человека или агента, со способом идентификации – ЕСИА, учётная запись сотрудника, сервис – и ссылками на доказательства). Credentials (запись ФРМР, аккредитация, сертификат УКЭП, лицензия организации и перечень работ – со сроками и задачами перепроверки). Consents (неизменяемые события: субъект, кто дал, вид – ИДС, ПДн, раскрытие врачебной тайны, запись, – версия документа, объём, способ подписи, метка времени). Sessions (визит: режим «врач – пациент» или «врач – врач», реальное время или отложенный, ссылка на очный приём по обращению). Participations (человек × сессия × роль × метки входа и выхода × события согласия, которые авторизовали присутствие). Когда такая схема есть, требования к журналированию перестают быть абстракцией: журналирование доступа к ЭМД предусматривает приказ 209н [10], регистрацию событий безопасности – меры защиты ПДн (подробнее о требованиях 2026 года), а вопрос проверяющего «кто видел данные пациента, когда и на каком основании» становится JOIN-ом, а не расследованием. Журналы аудита и контроль доступа строят полный каталог событий ровно на этой структуре.

Проверить схему просто. Возьмите любую минуту любого визита прошлого квартала и потребуйте: каждый человек в медиасессии в эту минуту, роль каждого, способ идентификации каждого и версию согласия, покрывавшую каждое присутствие. Если хоть один из четырёх ответов пуст, в схеме дыра, а схемы дешевле всего чинить до запуска.

«Типичная ошибка: один чекбокс на всё. Во многих телемед-продуктах всю стопку согласий молча заменяет единственный чекбокс при регистрации («Принимаю оферту, политику конфиденциальности и даю согласие на обработку персональных данных»). С 1 сентября 2025 года он прямо противоречит требованию оформлять согласие на обработку ПДн отдельным документом. Он не работает как ИДС: у ИДС своё содержание и подпись не только пациента, но и медработника. Он не покрывает присутствие третьих лиц, потому что раскрытие врачебной тайны требует письменного согласия пациента именно на это. И он ничего не доказывает о законном представительстве. Похожие ошибки – входы посреди звонка без записи в журнале («ординатор просто посмотрел»), родственник-переводчик без зафиксированного согласия и правка текста согласия на месте, после которой никто не докажет, что было написано в версии 1.3. Каждый пункт всплывает при проверке – и чинится в схеме.»

Где здесь Фора Софт

Фора Софт делает софт для видео в реальном времени с 2005 года – телемедицина, видеоконференции, стриминг, OTT, e-learning, видеонаблюдение, AR/VR, 250+ выпущенных проектов – и слой идентификации и согласий в наших телемед-проектах обычно идёт первым, потому что его дороже всего переделывать задним числом. Мы сначала проектируем модель ведомости кабинета: вход через ЕСИА на нужной ступени, связь врачей с ФРМР и УКЭП, согласия как версионируемые неизменяемые события, контрольные точки входа в сценарии звонка и журнал, который ответит на вопрос проверяющего. Потом поверх этой структуры подключаем видеослой – включая отдельный профиль качества для переводчика жестового языка. Сначала требования, потом функции.

Главное

• В телемедицинском кабинете шесть постоянных ролей; каждой нужны отдельные ответы: идентификация, полномочия, согласие.
• Участники телемедицинской консультации идентифицируются через ЕСИА (ч. 6 ст. 36.2, п. 7 193н); Sber ID и VK ID – только удобный вход, а своя «проверка по селфи» – биометрия по 572-ФЗ.
• Врач – это ФРМР, аккредитация и УКЭП; рецепт – по 1094н и после телеконсультации только при коррекции лечения, назначенного очно.
• Согласие – четыре слоя: ИДС, ПДн (отдельным документом с 01.09.2025), раскрытие врачебной тайны и запись, законный представитель; храните их как неизменяемые события.
• Законный представитель даёт ИДС за ребёнка до 15 лет; старше 15 подросток решает сам, и видимость его данных для родителя зависит от возраста.
• Стройте ведомость кабинета: любая прошлая минута отвечает – кто, в какой роли, как идентифицирован, под каким согласием.

Что читать дальше

• Журналы аудита и контроль доступа для клинического видео – каталог событий для ведомости.
• Согласие пациента, запись и хранение данных – подробно о записи.
• Аутентификация и идентификация пациентов и врачей – многофакторный вход, SSO и дизайн сессий.

Строите телемедицинский продукт? Слой идентификации и согласий решает, пройдёт ли платформа первую проверку. Поговорите с нашей телемед-командой об архитектуре идентификации с ЕСИА, ФРМР и УКЭП, посмотрите кейсы или скачайте рабочий лист «Роли, идентификация и согласие» и разметьте собственный кабинет.