Дубли пациентов в МИС: как склеить карты и сохранить врачебную тайну

Одна и та же пациентка в вашей МИС может существовать в трёх разных карточках: одна заведена на девичью фамилию, вторая — с опечаткой в отчестве, третья появилась, когда она записалась через сайт с другого номера телефона. Формально это три разных человека. По факту — один пациент с расщеплённой на три части историей лечения.

Инфоповод: почему 474 млн рублей потратят на дубли и врачебную тайну

В конце августа 2026 года Медвестник сообщил: Москва направит 474 млн рублей на доработку ЕМИАС, городской медицинской информационной системы. Среди задач подрядчика две прямо по нашей теме: устранить недостатки, которые приводили к нарушению врачебной тайны, и убрать дубликаты записей пациентов в одном из регистров — гражданах с противопоказаниями к владению оружием и управлению транспортом. Работы рассчитаны до августа 2027 года.

Речь о государственной системе, но проблема та же, что живёт в МИС частной клиники любого размера. Разница в масштабе и в том, что у частной клиники нет подрядчика на полмиллиарда. Дубли в небольшой базе без специального отчёта почти не видны: глазами администратора три карточки одного человека выглядят как три разных пациента.

Вот три типовых сценария. Пациентка вышла замуж и сменила фамилию, а администратор завёл новую карту вместо того, чтобы отредактировать старую. В ФИО при регистрации допустили опечатку («Ирина» вместо «Ирена»), и поиск по точному совпадению её не нашёл. Человек записался через форму на сайте с рабочего телефона, хотя раньше был в базе с личным номером. Каждый случай сам по себе не выглядит как ошибка — система просто честно создаёт то, что ей передали.

Откуда берутся дубли карт в МИС

Дубли не возникают сами по себе — у каждого есть конкретная техническая причина, и почти все они завязаны на моменте первичного заведения карты.

Ручной ввод без проверки на совпадение. Во многих МИС проверка на однофамильцев при заведении карты есть, но она выключена или настроена так, что её легко пропустить. Администратор торопится, не ищет пациента перед созданием карты — и система молча плодит дубль. Классика жанра: «не нашли — создали».

Разрозненные каналы записи. Пациент может прийти через сайт, через агрегатор, позвонить напрямую или записаться в другом филиале сети. Если эти каналы не сверяются с единой базой перед созданием карты, каждый канал заводит своего «нового» пациента.

Смена персональных данных. Фамилия после замужества, новый номер телефона после смены оператора, второй email — любое изменение идентифицирующих данных без ручного обновления старой карты создаёт почву для дубля при следующем визите.

Миграция и объединение баз. При переходе на другую МИС или при слиянии баз филиалов перенос данных редко включает дедупликацию. Если в старой базе уже было 200 дублей, после переноса их станет столько же, только в новой системе — с новыми ID и без истории причины. Поэтому дедупликацию выгоднее провести до переноса, а не после — это стоит заложить в план миграции вместе с вопросом, в каком формате вендор отдаст ваши данные при уходе (подробнее в статье «Клиника внутри госплатформы: к чему готовить МИС и данные»). Требования к самой электронной медкарте и порядку её ведения после перехода подробно разобраны в статье про требования ЕГИСЗ и план внедрения электронной медкарты в стоматологии.

Как посчитать долю дублей в своей базе

Прежде чем чинить проблему, стоит понять её масштаб — иначе легко либо проигнорировать реальный риск, либо потратить недели на ручную проверку там, где хватило бы часа.

Базовый отчёт. Выгрузите из МИС таблицу всех пациентов с полями: ФИО, дата рождения, телефон, email. Сгруппируйте по совпадению ФИО и даты рождения одновременно — это самый надёжный первичный признак дубля, потому что случайное совпадение обоих полей у двух разных людей крайне маловероятно.

Дополнительные признаки. Если ФИО отличается (смена фамилии, опечатка), но совпадает СНИЛС или телефон — это тоже кандидат на дубль, просто требующий ручной проверки, а не автоматического слияния. С телефоном особенно осторожно: один номер нередко записан на мужа и жену или на маму и ребёнка, и такие карты склеивать нельзя.

Нечёткое сравнение. Опечатки и вариации написания («Наталия» и «Наталья», «Кристина» и «Христина») точный поиск не ловит. Здесь помогает нечёткое сравнение строк (fuzzy matching). В части МИС есть встроенный поиск однофамильцев по настраиваемым признакам — стоит проверить в документации своей системы или спросить поддержку. Если его нет, выгрузку можно прогнать через простой скрипт на основе расстояния Левенштейна: он найдёт похожие, но не идентичные ФИО с одинаковой датой рождения.

Как читать результат. Российского норматива по доле дублей нет. Ориентир есть у американской ассоциации управления медицинской информацией (AHIMA): не более 1% дублирующихся электронных медкарт. Большинство организаций до него не дотягивают или вовсе не считают этот показатель. Если у вас после первого отчёта заметно больше 1% — причина не в единичных ошибках администраторов, а в процессе заведения карт, и разовой чисткой её не закрыть.

Чем реально вредит расщеплённая история болезни

Дубль карты — не только неаккуратная база данных. Это конкретные риски, часть из которых касается здоровья пациента напрямую.

Повторные снимки и лишняя лучевая нагрузка. Если рентгеновский снимок или результат КТ лежит в «старой» карте, а врач видит перед собой «новую», у пациента запросят повторное исследование. Для стоматологии это лишний рентген, для диагностических центров — повторная лучевая нагрузка без медицинской необходимости.

Потерянные аллергии и непереносимости. Это самый опасный сценарий. Если сведения об аллергии на анестетик или антибиотик остались в другой карточке, врач физически не может их увидеть в момент назначения препарата. Насколько это серьёзно, показало исследование в журнале BMJ Quality & Safety (12 больниц США, данные 2022-2023 годов): у пациентов с дублями электронных медкарт шансы внутрибольничной смерти оказались примерно в 4,7 раза выше. Причинно-следственную связь авторы не доказывали, но одним из объяснений назвали как раз недоступность данных об аллергиях и сопутствующих заболеваниях.

Потерянный план лечения. Пациент, который начал многоэтапное лечение в одной карте, а на следующий визит попал во «вторую», выглядит для врача как новый человек без истории — рекомендации предыдущего приёма приходится восстанавливать по памяти или заново.

Искажённая аналитика и LTV. Для управленческой отчётности дубль — это два «пациента» с одним визитом каждый вместо одного пациента с двумя визитами. Воронка выглядит хуже, чем есть на самом деле, а расчёт LTV и возвращаемости — заведомо неверным.

Ошибочные повторные рассылки. Напоминание о профилактическом осмотре или SMS с акцией уходит на обе карточки одного человека — раздражает пациента и портит статистику открываемости коммуникаций.

Как безопасно склеить карты: что нельзя удалять и как логировать

Найти дубли — только половина работы. Вторая половина — объединить их так, чтобы не потерять данные и не создать новую проблему вместо старой.

Стандартный порядок. Определите основную карту (обычно ту, где больше визитов и актуальнее контактные данные) и карту-дубль. При объединении в основную карту переносятся все приёмы, назначения, результаты анализов и документы из карты-дубля, после чего дубль помечается как объединённый, а не удаляется.

Когда объединять нельзя. Для клиник, работающих в ОМС, есть нюанс: если одна из карточек уже прошла идентификацию в ТФОМС как подтверждённая страховая запись, МИС может не дать объединить её с неидентифицированной — сначала придётся подтвердить данные второй карты. Не склеивайте и карты с совпавшим телефоном без сверки ФИО и даты рождения: это могут быть разные члены одной семьи.

Что нельзя удалять безвозвратно. Даже после успешного слияния саму карту-дубль не удаляют физически — она остаётся в архиве с пометкой, на какую карту перенесены данные, кто и когда провёл объединение. Это и есть журнал слияний: дата, ответственный сотрудник, причина, ссылка на итоговую карту. Без него при любом споре — со стороны пациента, страховой или проверяющего органа — доказать корректность переноса данных будет нечем.

MPI для сетевых клиник. Если у вас несколько филиалов на разных МИС или базах, для связывания карт одного пациента между системами используется Master Patient Index (MPI) — мастер-индекс, который держит связь «один пациент — несколько ID в разных базах» без физического слияния самих систем. Как вообще связать МИС, CRM, кассу и мессенджеры в один контур, чтобы данные о пациенте не расползались по разным программам, разобрано в статье «Зоопарк систем в клинике» — здесь не будем повторяться.

Здесь же стоит закрыть причину, а не только следствие. Чем больше каналов записи живут отдельно, тем чаще администратор не узнаёт пациента и заводит новую карту. Главное правило — одна точка правды: запись из любого канала заводится только в МИС и только после поиска по телефону и дате рождения. Сервисы, которые работают поверх МИС, такие как МедПуш Бот, не создают свою базу пациентов: бот берёт запись из МИС, отправляет пациенту подтверждение и напоминания, а ответ пациента меняет статус именно этой записи. Параллельной картотеки, из которой потом вырастают дубли, не появляется. Разовый аудит накопленных дублей это не отменяет, но новые будут появляться реже.

Врачебная тайна и матрица доступа по ролям

Пока карты дублируются, доступ к ним часто устроен ещё хуже: все администраторы клиники видят все карточки целиком, включая диагнозы, хотя работа большинства из них с диагнозом никак не связана.

Что относится к врачебной тайне. По части 1 статьи 13 федерального закона №323-ФЗ врачебная тайна — это сведения о факте обращения гражданина за медицинской помощью, состоянии его здоровья и диагнозе, а также иные сведения, полученные при его медицинском обследовании и лечении. Часть 2 запрещает разглашать их всем, кому они стали известны при исполнении трудовых, должностных и служебных обязанностей — то есть не только врачу, но и администратору, бухгалтеру и любому, кто по работе видит карту.

Принцип минимально достаточного доступа. Разумная матрица ролей выглядит так. Администратор видит контактные данные пациента, статус записи и историю визитов без диагнозов. Врач и ассистент на приёме получают полную медицинскую карту в рамках своего приёма. Маркетолог работает только с обезличенной аналитикой — количество визитов, канал привлечения, средний чек — без доступа к диагнозу. Бухгалтер видит финансовые операции, но не содержание приёма.

Почему у маркетолога не должно быть доступа к диагнозу. Диагноз не нужен для работы с воронкой и рекламой — а любой лишний доступ увеличивает число людей, через которых теоретически может произойти утечка. Если МИС физически не разделяет роли на уровне настроек, эта задача решается организационно: отдельными правами доступа и регламентом, кто и зачем заходит в карту.

Обмен данными между МИС без нарушения тайны. Пункт 8 части 4 статьи 13 323-ФЗ разрешает раскрывать сведения, составляющие врачебную тайну, без согласия пациента при обмене информацией медицинскими организациями, в том числе размещённой в медицинских информационных системах, в целях оказания медицинской помощи с учётом требований законодательства о персональных данных. Это основание для передачи данных между разными юрлицами сети или при направлении пациента в другую клинику. Филиалы одного юрлица — это одна организация, там вопрос не в передаче, а в матрице доступа. И это основание не распространяется на передачу данных третьим лицам вроде маркетинговых подрядчиков.

Если в клинике только предстоит выстраивать электронный документооборот и порядок ведения карт под требования 2026 года, стоит сразу свериться с актуальным перечнем — какие формы медицинской документации обязательны для частной клиники в 2026 году, это тот же контур, что и матрица доступа.

Что грозит клинике: 152-ФЗ, врачебная тайна и проверки

Ответственность за нарушения в этой сфере распадается на две разные истории — за них отвечают разные субъекты и по разным статьям, и путать их не стоит.

Разглашение врачебной тайны конкретным сотрудником. Если сотрудник разгласил сведения, составляющие врачебную тайну, без согласия пациента, применяется статья 13.14 КоАП РФ «Разглашение информации с ограниченным доступом». Это касается не только врача, а любого, кто получил доступ к карте по работе. В редакции Федерального закона № 206-ФЗ от 11.06.2021 штраф для граждан — 5000-10 000 рублей, для должностных лиц — 40 000-50 000 рублей или дисквалификация на срок до трёх лет, для юридических лиц — 100 000-200 000 рублей. Обратите внимание: суммы, которые до сих пор кочуют по отраслевым статьям (500-1000 рублей гражданину и отсутствие ответственности юрлица), — это редакция до 2021 года, ориентироваться на неё нельзя.

Утечка персональных данных как ответственность клиники. Если произошла утечка персональных данных пациентов, отвечает уже клиника как оператор — по статье 13.11 КоАП РФ в редакции Федерального закона № 420-ФЗ от 30.11.2024. Новые штрафы действуют с 30 мая 2025 года. Для клиники ключевая часть 16: утечка специальной категории персональных данных, к которой относятся сведения о здоровье, стоит юрлицу 10-15 млн рублей уже в первый раз. Повторная такая утечка (часть 18) — оборотный штраф 1-3% годовой выручки, но не менее 25 млн и не более 500 млн рублей. Разбор остальных составов и того, как выстроить договор поручения с МИС-провайдером, — в статье «152-ФЗ для клиники 2026: договор с МИС и оборотные штрафы».

Практический вывод. Дубли карт и неупорядоченный доступ к ним — это не абстрактный вопрос порядка в базе, а прямой источник риска по обеим статьям одновременно. Чем больше сотрудников без надобности видят диагнозы, тем выше вероятность разглашения. Чем хуже организована база, тем сложнее доказать проверяющему, что данные защищены системно, а не хаотично. Базовый чек-лист по защите персональных данных клиники, включая согласия и политику конфиденциальности, разобран в статье «Как избежать штрафов за персональные данные в 2026».

Начните с одного отчёта на этой неделе: выгрузите базу, сгруппируйте по ФИО и дате рождения, посчитайте долю совпадений. Если она заметно выше 1% — это не разовая уборка, а повод пересмотреть процесс заведения карт и матрицу доступа целиком, пока проверяющий не сделал это за вас.