Руководство по информационной безопасности в медорганизации
Медицинские юристы на основе своей практики дала рекомендации, как врачу выполнить требования по работе с персданными и защитить себя от юридических рисков. Смотрите, каких принципов придерживаться для безопасного общения с пациентами и какую информацию допустимо размещать в индивидуальном блоге врача.
В мае 2026 года прокуратура направила в суд уголовное дело против медработника из Новгородской области. Ее обвинили в том, что, используя служебный доступ к медицинской информационной системе, получила данные о пациентке и передала их знакомой через мессенджер. Дело возбуждено по ч. 2 ст. 137 УК РФ, максимальное наказание по которой – до 4 лет лишения свободы. Это не единичный случай, и судебная практика по подобным делам становится все более суровой.
В то же время в защите персональных данных нуждаются и сами медработников. Суды все чаще встают на сторону врачей, чьи личные данные публикуют пациенты в соцсетях.
Читайте в рекомендации, какие бывают типы персональных данных, какая ответственность предусмотрена за их распространение и как обезопасить себя при общении с журналистами, в соцсетях и с ИИ.
Типы персональных данных
Персональные данные – это любые данные, которые позволяют идентифицировать человека. Закон о защите персональных данных – 152-ФЗ. Медработники имеют доступ как к общим, так и специальным персональным данным пациентов, за распространение которых по закону положено нести ответственность.
Общие персональные данные включают Ф. И. О., дату и место рождения, паспортные данные, контактную информацию, сведения о месте работы и образовании, а также индивидуальный номер налогоплательщика и др. – подробнее в памятке 1.
Андрей Севостьянов
ведущий юрисконсульт ФГБУ «ЦКБ с поликлиникой» Управления делами Президента РФ
Мария Коробенкова
юрист, управляющий партнер ООО «Специализированная юридическая компания в области медицинского права “РМК”»
Елена Хмелевская
адвокат, советник специализированной юридической компании в области медицинского права ООО «ЮК „РМК“», Санкт-Петербург
В мае 2026 года прокуратура направила в суд уголовное дело против медработника из Новгородской области. Ее обвинили в том, что, используя служебный доступ к медицинской информационной системе, получила данные о пациентке и передала их знакомой через мессенджер. Дело возбуждено по ч. 2 ст. 137 УК РФ, максимальное наказание по которой – до 4 лет лишения свободы. Это не единичный случай, и судебная практика по подобным делам становится все более суровой.
В то же время в защите персональных данных нуждаются и сами медработников. Суды все чаще встают на сторону врачей, чьи личные данные публикуют пациенты в соцсетях.
Читайте в рекомендации, какие бывают типы персональных данных, какая ответственность предусмотрена за их распространение и как обезопасить себя при общении с журналистами, в соцсетях и с ИИ.
Типы персональных данных
Персональные данные – это любые данные, которые позволяют идентифицировать человека. Закон о защите персональных данных – 152-ФЗ. Медработники имеют доступ как к общим, так и специальным персональным данным пациентов, за распространение которых по закону положено нести ответственность.
Общие персональные данные включают Ф. И. О., дату и место рождения, паспортные данные, контактную информацию, сведения о месте работы и образовании, а также индивидуальный номер налогоплательщика и др. – подробнее в памятке 1.
Специальные категории данных и биометрия. К этой группе данных относятся сведения, которые касаются убеждений человека, а также его расы, интимной жизни и состояния здоровья. Биометрические данные – это уникальные физиологические или поведенческие характеристики человека, используемые для точного подтверждения его личности, например ДНК-профиль, отпечатки пальцев, снимок сетчатки, рентген-изображения и пр. Какие сведения относятся к спецкатегориям, показали в памятке 2.
Для обработки персональных данных нужно получить письменное согласие пациента. Но для лечения письменное согласие не нужно, достаточно данных, которые пациент предоставляет добровольно – данные паспорта, СНИЛС и пр.
Поскольку медработники постоянно имеют дело с персональными данными пациентов – они в зоне особого риска. Ниже – памятка по безопасной работе с персональными данными.
Поскольку медработники постоянно имеют дело с персональными данными пациентов – они в зоне особого риска. Ниже – памятка по безопасной работе с персональными данными.
Ответственность за нарушения работы с персональными данными
Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» ввел штрафы за нарушения при работе с персональными данными. Штрафы действуют с 30 мая 2025 года, в том числе «оборотные» — если оператор персональных данных допустил утечку персональной информации о пациентах (ч. 12–18 ст. 13.11 КоАП). Размеры штрафов зависят от категории персданных.
Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» ввел штрафы за нарушения при работе с персональными данными. Штрафы действуют с 30 мая 2025 года, в том числе «оборотные» — если оператор персональных данных допустил утечку персональной информации о пациентах (ч. 12–18 ст. 13.11 КоАП). Размеры штрафов зависят от категории персданных.
Внимание
За разглашение персональных данных медработника могут уволить
Медицинского работника могут привлечь к дисциплинарной ответственности – она предусматривает замечание, выговор и увольнение по пп. «в» п. 6 ст. 81 ТК.
Кроме того медработника могут привлечь к материальной ответственности – медорганизция может взыскать с медработника компенсацию морального вреда, которая выплатила пациенту по его вине.
Также за разглашение персональных данных предусмотрена административная (ст. 13.11 КоАП РФ) и уголовная (ст. 137 УК РФ) ответственность.
Уголовная ответственность по ст. 137 УК РФ за незаконное собирание и распространение сведений о частной жизни человека – пока практики привлечения медработников по этой статье нет.
Нарушения в работе с общими персданными
Если клиника допустит утечку общих данных, сумма штрафа рассчитывают по количеству людей, которые пострадали, или количеству утекших идентификаторов. Для физических лиц штраф составит 10-15 тыс., для должностного лица штраф – от 200 тыс. до 600 тыс. руб. Для юридических лиц и ИП — от 3 млн до 15 млн руб. Если нарушили работу с общими персональными данными повторно, штраф для должностных лиц составит от 800 тыс. до 1,2 млн руб. Нарушения в работе с общими персданными — штрафы до 500 млн руб.
Для ИП или коммерческой организации действуют иные правила — сумма штрафа за повторную утечку данных составляет 1–3 процента совокупной годовой выручки. Штраф будет в пределах 20–500 млн руб.
Нарушения в работе со спецкатегориями и биометрией
Размеры штрафов в случае утечки персданных специальных категорий не зависят от того, сколько человек пострадало. То же самое касается биометрических данных.
Если сотрудники не проследят за сведениями о состоянии здоровья и они станут доступными третьим лицам — штраф для должностных лиц назначат в 1–1,3 млн руб. Для ИП и юрлиц — в 10–15 млн руб. Если не проследят за биометрией, будут более строгие санкции: 1,3–1,5 млн руб. и 15–20 млн руб. соответственно. Если повторно утекут данные о спецкатегориях или биометрии, сумму повысят — от 1,5 до 2 млн руб. для должностных лиц. Для коммерсантов штраф за повторную утечку — 1–3 процента совокупной годовой выручки, но в пределах 25–500 млн руб.
Нарушения во взаимодействии с Роскомнадзором
Если МО не уведомила Роскомнадзор о намерении обрабатывать персональные данные, это будет нарушением. В некоммерческих клиниках отвечать за нарушение будет должностное лицо. Ему придется заплатить штраф от 30 тыс. до 50 тыс. руб. Коммерческим юридическим лицам и ИП назначат санкции в пределах 100–300 тыс. руб. Еще одно нарушение — не сообщили или не успели вовремя сообщить Роскомнадзору об утечке данных. Для должностных лиц назначат штраф в размере 400–800 тыс. руб., для ИП и коммерческих юридических лиц — 1–3 млн руб.
Случаи из юридической практики
Ответственность за распространение персональных данных несут медработники и иногда пациенты. Смотрите, какие споры о распространении фото- и видеоизображений медработников и пациентов были в судебной практики в последнее время с комментариями юриста Елены Хмелевской.
1. Врач опубликовала фото пациентки с приема
Суть спора: врач опубликовала фото с приема пациентки. Пациентка подала иск, и врач получила крупный штраф за разглашение врачебной тайны. Смотрите комментарий юриста, почему так произошло.
2. Родственник пациента опубликовала съемку с приема врача с негативными комментариями
Если клиника допустит утечку общих данных, сумма штрафа рассчитывают по количеству людей, которые пострадали, или количеству утекших идентификаторов. Для физических лиц штраф составит 10-15 тыс., для должностного лица штраф – от 200 тыс. до 600 тыс. руб. Для юридических лиц и ИП — от 3 млн до 15 млн руб. Если нарушили работу с общими персональными данными повторно, штраф для должностных лиц составит от 800 тыс. до 1,2 млн руб. Нарушения в работе с общими персданными — штрафы до 500 млн руб.
Для ИП или коммерческой организации действуют иные правила — сумма штрафа за повторную утечку данных составляет 1–3 процента совокупной годовой выручки. Штраф будет в пределах 20–500 млн руб.
Нарушения в работе со спецкатегориями и биометрией
Размеры штрафов в случае утечки персданных специальных категорий не зависят от того, сколько человек пострадало. То же самое касается биометрических данных.
Если сотрудники не проследят за сведениями о состоянии здоровья и они станут доступными третьим лицам — штраф для должностных лиц назначат в 1–1,3 млн руб. Для ИП и юрлиц — в 10–15 млн руб. Если не проследят за биометрией, будут более строгие санкции: 1,3–1,5 млн руб. и 15–20 млн руб. соответственно. Если повторно утекут данные о спецкатегориях или биометрии, сумму повысят — от 1,5 до 2 млн руб. для должностных лиц. Для коммерсантов штраф за повторную утечку — 1–3 процента совокупной годовой выручки, но в пределах 25–500 млн руб.
Нарушения во взаимодействии с Роскомнадзором
Если МО не уведомила Роскомнадзор о намерении обрабатывать персональные данные, это будет нарушением. В некоммерческих клиниках отвечать за нарушение будет должностное лицо. Ему придется заплатить штраф от 30 тыс. до 50 тыс. руб. Коммерческим юридическим лицам и ИП назначат санкции в пределах 100–300 тыс. руб. Еще одно нарушение — не сообщили или не успели вовремя сообщить Роскомнадзору об утечке данных. Для должностных лиц назначат штраф в размере 400–800 тыс. руб., для ИП и коммерческих юридических лиц — 1–3 млн руб.
Случаи из юридической практики
Ответственность за распространение персональных данных несут медработники и иногда пациенты. Смотрите, какие споры о распространении фото- и видеоизображений медработников и пациентов были в судебной практики в последнее время с комментариями юриста Елены Хмелевской.
1. Врач опубликовала фото пациентки с приема
Суть спора: врач опубликовала фото с приема пациентки. Пациентка подала иск, и врач получила крупный штраф за разглашение врачебной тайны. Смотрите комментарий юриста, почему так произошло.
2. Родственник пациента опубликовала съемку с приема врача с негативными комментариями
3. Пациент вел съемку врача без его согласия
Внимание
Есть случаи, когда фото можно размещать без согласия человека, не опасаясь штрафов
Это следующие случаи:
- съемка сделана на публичном мероприятии, например на конференции, съезде, собрании. При этом на них, например, фото врача – это не основной объект съемки;
- врач или пациент сам позировал за плату и дал предварительное согласие на съемку;
- съемка проводилась в государственных или общественных интересах: розыск пропавших, защита правопорядка и безопасности.
4. Фото врача в соцсети с порочащей подписью
5. Съемка коллег для жалобы руководству
6. Передача данных пациентов в прокуратуру без запроса
7. Съемка медработников в комнате отдыха персонала
8. Данные врача на сайте отзывов без статуса СМИ
Безопасное общение
С полицией
С марта 2025 года органы внутренних дел (ОВД) могут запрашивать у клиник сведения о некоторых пациентах без их согласия – Приказ Минздрава России, МВД России от 06.02.2025 № 56н/39. Речь идет о пациентах с хроническими и затяжными психическими расстройствами – если есть основания полагать, что они склонны к общественно опасным действиям. Определять склонность нужно по конкретным критериям, которые установил Минздрав – Приказ Минздрава России от 01.11.2024 № 594н.
С полицией
С марта 2025 года органы внутренних дел (ОВД) могут запрашивать у клиник сведения о некоторых пациентах без их согласия – Приказ Минздрава России, МВД России от 06.02.2025 № 56н/39. Речь идет о пациентах с хроническими и затяжными психическими расстройствами – если есть основания полагать, что они склонны к общественно опасным действиям. Определять склонность нужно по конкретным критериям, которые установил Минздрав – Приказ Минздрава России от 01.11.2024 № 594н.
Если сведения о таком пациенте запрашивают правоохранители, брать согласие на разглашение персданных у самого человека не нужно. Далее – алгоритм, что делать, если пришел запрос от правоохранителей: как правильно и в каком формате ответить, в какие сроки уложиться, что делать при задержке запрашиваемой информации, чтобы к медработникам клиники не было претензий.
Алгоритм. Схема действий, если правоохранители требуют отправить данные о пациенте
Алгоритм. Схема действий, если правоохранители требуют отправить данные о пациенте
С журналистами
Сотрудники клиник редко сталкиваются с журналистами, поэтому внезапный визит съемочной группы может застать их врасплох. Чтобы клиника не понесла репутационные потери, медработникам нужно соблюдать четыре простых правила – в таблице ниже.
Таблица. Четыре правила для сотрудников при визите журналистов
Сотрудники клиник редко сталкиваются с журналистами, поэтому внезапный визит съемочной группы может застать их врасплох. Чтобы клиника не понесла репутационные потери, медработникам нужно соблюдать четыре простых правила – в таблице ниже.
Таблица. Четыре правила для сотрудников при визите журналистов
Со страховыми и банками
Дмитрий Борисович Гаганов, юрисконсульт Ассоциации организаторов здравоохранения в онкологии подготовил комплект документов, чтобы ответить на запрос меддокументации пациента от страховой или банка и не оказаться в суде. Обычно такие запросы связаны с расследованием страхового ...
Дмитрий Борисович Гаганов, юрисконсульт Ассоциации организаторов здравоохранения в онкологии подготовил комплект документов, чтобы ответить на запрос меддокументации пациента от страховой или банка и не оказаться в суде. Обычно такие запросы связаны с расследованием страхового ...
Информационный источник публикации Актион МЦФЭР
Источник изображения Freepik
