Руководство по информационной безопасности в медорганизации

Медицинские юристы на основе своей практики дала рекомендации, как врачу выполнить требования по работе с персданными и защитить себя от юридических рисков. Смотрите, каких принципов придерживаться для безопасного общения с пациентами и какую информацию допустимо размещать в индивидуальном блоге врача.

Андрей Севостьянов

ведущий юрисконсульт ФГБУ «ЦКБ с поликлиникой» Управления делами Президента РФ

Мария Коробенкова

юрист, управляющий партнер ООО «Специализированная юридическая компания в области медицинского права “РМК”»

Елена Хмелевская

адвокат, советник специализированной юридической компании в области медицинского права ООО «ЮК „РМК“», Санкт-Петербург

В мае 2026 года прокуратура направила в суд уголовное дело против медработника из Новгородской области. Ее обвинили в том, что, используя служебный доступ к медицинской информационной системе, получила данные о пациентке и передала их знакомой через мессенджер. Дело возбуждено по ч. 2 ст. 137 УК РФ, максимальное наказание по которой – до 4 лет лишения свободы. Это не единичный случай, и судебная практика по подобным делам становится все более суровой.

В то же время в защите персональных данных нуждаются и сами медработников. Суды все чаще встают на сторону врачей, чьи личные данные публикуют пациенты в соцсетях.

Читайте в рекомендации, какие бывают типы персональных данных, какая ответственность предусмотрена за их распространение и как обезопасить себя при общении с журналистами, в соцсетях и с ИИ.

Типы персональных данных

Персональные данные – это любые данные, которые позволяют идентифицировать человека. Закон о защите персональных данных – 152-ФЗ. Медработники имеют доступ как к общим, так и специальным персональным данным пациентов, за распространение которых по закону положено нести ответственность.

Общие персональные данные включают Ф. И. О., дату и место рождения, паспортные данные, контактную информацию, сведения о месте работы и образовании, а также индивидуальный номер налогоплательщика и др. – подробнее в памятке 1.

Специальные категории данных и биометрия. К этой группе данных относятся сведения, которые касаются убеждений человека, а также его расы, интимной жизни и состояния здоровья. Биометрические данные – это уникальные физиологические или поведенческие характеристики человека, используемые для точного подтверждения его личности, например ДНК-профиль, отпечатки пальцев, снимок сетчатки, рентген-изображения и пр. Какие сведения относятся к спецкатегориям, показали в памятке 2.

Для обработки персональных данных нужно получить письменное согласие пациента. Но для лечения письменное согласие не нужно, достаточно данных, которые пациент предоставляет добровольно – данные паспорта, СНИЛС и пр.

Поскольку медработники постоянно имеют дело с персональными данными пациентов – они в зоне особого риска. Ниже – памятка по безопасной работе с персональными данными.

Ответственность за нарушения работы с персональными данными

Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» ввел штрафы за нарушения при работе с персональными данными. Штрафы действуют с 30 мая 2025 года, в том числе «оборотные» — если оператор персональных данных допустил утечку персональной информации о пациентах (ч. 12–18 ст. 13.11 КоАП). Размеры штрафов зависят от категории персданных.

Нарушения в работе с общими персданными

Если клиника допустит утечку общих данных, сумма штрафа рассчитывают по количеству людей, которые пострадали, или количеству утекших идентификаторов. Для физических лиц штраф составит 10-15 тыс., для должностного лица штраф – от 200 тыс. до 600 тыс. руб. Для юридических лиц и ИП — от 3 млн до 15 млн руб. Если нарушили работу с общими персональными данными повторно, штраф для должностных лиц составит от 800 тыс. до 1,2 млн руб. Нарушения в работе с общими персданными — штрафы до 500 млн руб.

Для ИП или коммерческой организации действуют иные правила — сумма штрафа за повторную утечку данных составляет 1–3 процента совокупной годовой выручки. Штраф будет в пределах 20–500 млн руб.

Нарушения в работе со спецкатегориями и биометрией

Размеры штрафов в случае утечки персданных специальных категорий не зависят от того, сколько человек пострадало. То же самое касается биометрических данных.

Если сотрудники не проследят за сведениями о состоянии здоровья и они станут доступными третьим лицам — штраф для должностных лиц назначат в 1–1,3 млн руб. Для ИП и юрлиц — в 10–15 млн руб. Если не проследят за биометрией, будут более строгие санкции: 1,3–1,5 млн руб. и 15–20 млн руб. соответственно. Если повторно утекут данные о спецкатегориях или биометрии, сумму повысят — от 1,5 до 2 млн руб. для должностных лиц. Для коммерсантов штраф за повторную утечку — 1–3 процента совокупной годовой выручки, но в пределах 25–500 млн руб.

Нарушения во взаимодействии с Роскомнадзором

Если МО не уведомила Роскомнадзор о намерении обрабатывать персональные данные, это будет нарушением. В некоммерческих клиниках отвечать за нарушение будет должностное лицо. Ему придется заплатить штраф от 30 тыс. до 50 тыс. руб. Коммерческим юридическим лицам и ИП назначат санкции в пределах 100–300 тыс. руб. Еще одно нарушение — не сообщили или не успели вовремя сообщить Роскомнадзору об утечке данных. Для должностных лиц назначат штраф в размере 400–800 тыс. руб., для ИП и коммерческих юридических лиц — 1–3 млн руб.

Случаи из юридической практики

Ответственность за распространение персональных данных несут медработники и иногда пациенты. Смотрите, какие споры о распространении фото- и видеоизображений медработников и пациентов были в судебной практики в последнее время с комментариями юриста Елены Хмелевской.

1. Врач опубликовала фото пациентки с приема

Суть спора: врач опубликовала фото с приема пациентки. Пациентка подала иск, и врач получила крупный штраф за разглашение врачебной тайны. Смотрите комментарий юриста, почему так произошло.

2. Родственник пациента опубликовала съемку с приема врача с негативными комментариями

5. Съемка коллег для жалобы руководству

Безопасное общение

С полицией

С марта 2025 года органы внутренних дел (ОВД) могут запрашивать у клиник сведения о некоторых пациентах без их согласия – Приказ Минздрава России, МВД России от 06.02.2025 № 56н/39. Речь идет о пациентах с хроническими и затяжными психическими расстройствами – если есть основания полагать, что они склонны к общественно опасным действиям. Определять склонность нужно по конкретным критериям, которые установил Минздрав – Приказ Минздрава России от 01.11.2024 № 594н.

Если сведения о таком пациенте запрашивают правоохранители, брать согласие на разглашение персданных у самого человека не нужно. Далее – алгоритм, что делать, если пришел запрос от правоохранителей: как правильно и в каком формате ответить, в какие сроки уложиться, что делать при задержке запрашиваемой информации, чтобы к медработникам клиники не было претензий.

Алгоритм. Схема действий, если правоохранители требуют отправить данные о пациенте

С журналистами

Сотрудники клиник редко сталкиваются с журналистами, поэтому внезапный визит съемочной группы может застать их врасплох. Чтобы клиника не понесла репутационные потери, медработникам нужно соблюдать четыре простых правила – в таблице ниже.

Таблица. Четыре правила для сотрудников при визите журналистов

Со страховыми и банками

Дмитрий Борисович Гаганов, юрисконсульт Ассоциации организаторов здравоохранения в онкологии подготовил комплект документов, чтобы ответить на запрос меддокументации пациента от страховой или банка и не оказаться в суде. Обычно такие запросы связаны с расследованием страхового ...