2026-07-22 10:08 Медику

Руководство по информационной безопасности в медорганизации

Медицинские юристы на основе своей практики дала рекомендации, как врачу выполнить требования по работе с персданными и защитить себя от юридических рисков. Смотрите, каких принципов придерживаться для безопасного общения с пациентами и какую информацию допустимо размещать в индивидуальном блоге врача.

Андрей Севостьянов

ведущий юрисконсульт ФГБУ «ЦКБ с поликлиникой» Управления делами Президента РФ

Мария Коробенкова

юрист, управляющий партнер ООО «Специализированная юридическая компания в области медицинского права “РМК”»

Елена Хмелевская

адвокат, советник специализированной юридической компании в области медицинского права ООО «ЮК „РМК“», Санкт-Петербург

В мае 2026 года прокуратура направила в суд уголовное дело против медработника из Новгородской области. Ее обвинили в том, что, используя служебный доступ к медицинской информационной системе, получила данные о пациентке и передала их знакомой через мессенджер. Дело возбуждено по ч. 2 ст. 137 УК РФ, максимальное наказание по которой – до 4 лет лишения свободы. Это не единичный случай, и судебная практика по подобным делам становится все более суровой.

В то же время в защите персональных данных нуждаются и сами медработников. Суды все чаще встают на сторону врачей, чьи личные данные публикуют пациенты в соцсетях.

Читайте в рекомендации, какие бывают типы персональных данных, какая ответственность предусмотрена за их распространение и как обезопасить себя при общении с журналистами, в соцсетях и с ИИ.

Типы персональных данных

Персональные данные – это любые данные, которые позволяют идентифицировать человека. Закон о защите персональных данных – 152-ФЗ. Медработники имеют доступ как к общим, так и специальным персональным данным пациентов, за распространение которых по закону положено нести ответственность.

Общие персональные данные включают Ф. И. О., дату и место рождения, паспортные данные, контактную информацию, сведения о месте работы и образовании, а также индивидуальный номер налогоплательщика и др. – подробнее в памятке 1.

Специальные категории данных и биометрия. К этой группе данных относятся сведения, которые касаются убеждений человека, а также его расы, интимной жизни и состояния здоровья. Биометрические данные – это уникальные физиологические или поведенческие характеристики человека, используемые для точного подтверждения его личности, например ДНК-профиль, отпечатки пальцев, снимок сетчатки, рентген-изображения и пр. Какие сведения относятся к спецкатегориям, показали в памятке 2.

Для обработки персональных данных нужно получить письменное согласие пациента. Но для лечения письменное согласие не нужно, достаточно данных, которые пациент предоставляет добровольно – данные паспорта, СНИЛС и пр.

Ситуация

Пациент отказывается подписывать согласие на обработку персональных данных

Отказ пациента подписать согласие на обработку персональных данных не препятствует лечению пациента. Важно не путать с ИДС, без подписи которого лечить пациента нельзя!

Для других целей использовать эти данные нельзя. Например, пересылать в другие медорганизации, для рассылки рекламы, для размещения на сайте. Желательно, сделать пометку на карте таких пациентов, чтобы избежать ошибочных рассылок.

Поскольку медработники постоянно имеют дело с персональными данными пациентов – они в зоне особого риска. Ниже – памятка по безопасной работе с персональными данными.

Ответственность за нарушения работы с персональными данными

Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» ввел штрафы за нарушения при работе с персональными данными. Штрафы действуют с 30 мая 2025 года, в том числе «оборотные» — если оператор персональных данных допустил утечку персональной информации о пациентах (ч. 12–18 ст. 13.11 КоАП). Размеры штрафов зависят от категории персданных.

Внимание

За разглашение персональных данных медработника могут уволить

Медицинского работника могут привлечь к дисциплинарной ответственности – она предусматривает замечание, выговор и увольнение по пп. «в» п. 6 ст. 81 ТК.

Кроме того медработника могут привлечь к материальной ответственности – медорганизция может взыскать с медработника компенсацию морального вреда, которая выплатила пациенту по его вине.

Также за разглашение персональных данных предусмотрена административная (ст. 13.11 КоАП РФ) и уголовная (ст. 137 УК РФ) ответственность.

Уголовная ответственность по ст. 137 УК РФ за незаконное собирание и распространение сведений о частной жизни человека – пока практики привлечения медработников по этой статье нет.

Нарушения в работе с общими персданными

Если клиника допустит утечку общих данных, сумма штрафа рассчитывают по количеству людей, которые пострадали, или количеству утекших идентификаторов. Для физических лиц штраф составит 10-15 тыс., для должностного лица штраф – от 200 тыс. до 600 тыс. руб. Для юридических лиц и ИП — от 3 млн до 15 млн руб. Если нарушили работу с общими персональными данными повторно, штраф для должностных лиц составит от 800 тыс. до 1,2 млн руб. Нарушения в работе с общими персданными — штрафы до 500 млн руб.

Для ИП или коммерческой организации действуют иные правила — сумма штрафа за повторную утечку данных составляет 1–3 процента совокупной годовой выручки. Штраф будет в пределах 20–500 млн руб.

Нарушения в работе со спецкатегориями и биометрией

Размеры штрафов в случае утечки персданных специальных категорий не зависят от того, сколько человек пострадало. То же самое касается биометрических данных.

Если сотрудники не проследят за сведениями о состоянии здоровья и они станут доступными третьим лицам — штраф для должностных лиц назначат в 1–1,3 млн руб. Для ИП и юрлиц — в 10–15 млн руб. Если не проследят за биометрией, будут более строгие санкции: 1,3–1,5 млн руб. и 15–20 млн руб. соответственно. Если повторно утекут данные о спецкатегориях или биометрии, сумму повысят — от 1,5 до 2 млн руб. для должностных лиц. Для коммерсантов штраф за повторную утечку — 1–3 процента совокупной годовой выручки, но в пределах 25–500 млн руб.

Нарушения во взаимодействии с Роскомнадзором

Если МО не уведомила Роскомнадзор о намерении обрабатывать персональные данные, это будет нарушением. В некоммерческих клиниках отвечать за нарушение будет должностное лицо. Ему придется заплатить штраф от 30 тыс. до 50 тыс. руб. Коммерческим юридическим лицам и ИП назначат санкции в пределах 100–300 тыс. руб. Еще одно нарушение — не сообщили или не успели вовремя сообщить Роскомнадзору об утечке данных. Для должностных лиц назначат штраф в размере 400–800 тыс. руб., для ИП и коммерческих юридических лиц — 1–3 млн руб.

Случаи из юридической практики

Ответственность за распространение персональных данных несут медработники и иногда пациенты. Смотрите, какие споры о распространении фото- и видеоизображений медработников и пациентов были в судебной практики в последнее время с комментариями юриста Елены Хмелевской.

1. Врач опубликовала фото пациентки с приема

Суть спора: врач опубликовала фото с приема пациентки. Пациентка подала иск, и врач получила крупный штраф за разглашение врачебной тайны.

2. Родственник пациента опубликовала съемку с приема врача с негативными комментариями

Внимание

Есть случаи, когда фото можно размещать без согласия человека, не опасаясь штрафов

Это следующие случаи:

съемка сделана на публичном мероприятии, например на конференции, съезде, собрании. При этом на них, например, фото врача – это не основной объект съемки;
врач или пациент сам позировал за плату и дал предварительное согласие на съемку;
съемка проводилась в государственных или общественных интересах: розыск пропавших, защита правопорядка и безопасности.

5. Съемка коллег для жалобы руководству
...

Информационный источник публикации Актион МЦФЭР

Источник изображения Magnific

Получить все материалы