Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

В 2026 году контроль за соблюдением законодательства о персональных данных (ПДн) в сфере здравоохранения достиг беспрецедентной строгости; Медицинские организации — от крупных федеральных центров до небольших частных клиник и стоматологий — находятся в зоне приоритетного внимания Роскомнадзора. Причина очевидна: медицинские данные относятся к особым категориям персональных данных (статья 10 ФЗ-152), их утечка несет необратимый вред правам пациентов и репутации учреждения.

Данная статья подробно разбирает правовую базу, виды проверок, типичные нарушения, систему штрафных санкций (с учетом последних изменений) и пошаговый алгоритм подготовки к визиту инспекторов.

Правовая основа: почему медицина — приоритет №1

Деятельность медицинских организаций регулируется комплексом нормативных актов, незнание которых не освобождает от ответственности:

Федеральный закон от № 152-ФЗ «О персональных данных» — базовый закон; Статьи 5, 9, 10, 19, 22 регламентируют обработку особых категорий ПДн (здоровья), требования к защите и правах субъектов.
Постановление Правительства РФ от № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Это главный технический документ, определяющий 4 уровня защищенности (УЗ) и состав мер по каждому.
Приказ Минздрава России от № 1083н (ред. от 2024-2025 гг.) «Об утверждении требований к информационным системам, используемым в здравоохранении». Вводит специфические требования к МИС (Медицинским информационным системам), ЕМИАС, телемедицине и обмену данными с ЕГИСЗ.
Федеральный закон от № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» — регулирует интеграцию с Госуслугами и ЕГИСЗ.
КоАП РФ (ст. 13.11, 13.11.1, 19.7.5-2) и УК РФ (ст. 137, 272, 273, 274), основание для административной и уголовной ответственности.

Важно: С 2024 года вступил в силу механизм многократного увеличения штрафов (до 60-кратного для повторных нарушений по ст. 13.11 КоАП РФ), что делает игнорирование требований экономически невыгодным даже для крупных холдингов.

Виды проверок Роскомнадзора в 2026 году

Роскомнадзор осуществляет контроль в двух основных формах. Понимание разницы критично для подготовки.

Плановые проверки

Проводится на основании утвержденного ежегодно плана проверок. Включены в реестр рисков (категория риска определяет частоту: высокий — раз в 2 года, средний — раз в 3 года, низкий, раз в 6 лет).

Особенность: Требуют предварительного уведомления не позднее чем за 3 рабочих дня (направляется в личный кабинет на gosnadzor.ru / ЕРП).
Повод: Наличие в реестре операторов ПДн, сведения о категории риска.

Внеплановые проверки

Назначаются по основаниям, указанным в ст. 21 ФЗ-294 (ФЗ «О защите прав юридических лиц и ИП при осуществлении государственного контроля (надзора)»):

Жалобы пациентов (на утечку диагнозов, отказ в доступе к истории болезни, спам от клиник).
Сообщения СМИ / профильных ресурсов об инцидентах безопасности (утечки баз пациентов в даркнет).
Результаты предыдущих проверок (контроль исполнения предписаний).
Обращения других госорганов (Прокуратура, МВД, ФСТЭК, ФСБ, Минздрав).
Инциденты безопасности (уведомление оператором о нарушении безопасности ПДн по ст. 22.1 ФЗ-152).

Ключевое отличие: Внеплановые проверки могут проводиться без предварительного уведомления (в порядке «налетного» визита), если есть основания считать, что уведомление создаст препятствия для выявления нарушений.

Камеральные проверки (Мониторинг)

Проводится дистанционно на основе анализа открытых источников и отчетности оператора:

Наличие и актуальность уведомления о обработке ПДн в реестре Роскомнадзора.
Публикация на сайте Политики конфиденциальности, Положения о защите ПДн, информации о ДПО (лице, отвечающем за организацию обработки ПДн).
Соответствие доменного имени и IP-адресов заявленным в уведомлении.
Проверка на предмет утечек через открытые базы (OSINT).

Чек-лист: что проверяют инспекторы в медорганизациях (Топ-10 фокусов 2026 г.)

На основе практики проверок 2024-2025 гг. выделяем ключевые зоны риска:

Наличие регламента обнаружения и уведомления.

Своевременность: в Роскомнадзор — в течение 24 часов после обнаружения; субъектам ПДн — в установленные сроки.

Полнота сведений (характер, последствия, меры ликвидации).

№	Зона проверки	Что именно ищут инспекторы	Риск / Санкция
1	Уведомление в реестре	Актуальность сведений: цели обработки, категории субъектов/ПДн, перечень действий, меры защиты (УЗ 1-4), сроки хранения. Соответствие реальности (МИС, сайт, CRM, 1С, видеонаблюдение).	Ст. 19.7.5-2 КоАП (до 500 тыс. руб. для юрлиц)
2	Согласия пациентов	Наличие письменного согласия на обработку ПДн (п. 1 ст. 9 ФЗ-152) и отдельного согласия на обработку ПДн здоровья (п. 1 ст. 10 ФЗ-152). Проверка формы: реквизиты оператора, цели, срок действия, право отзыва. Электронные согласия (ЭЦП/ЭДО/Госуслуги) — валидность.	Признание обработки недопустимой, ст; 13.11 КоАП
3	Локальные нормативные акты (ЛНА)	Полный пакет: Политика конфиденциальности (сайт/стенд), Положение о защите ПДн, Инструкция по защите ПДн для сотрудников, Положение о ДПО, Журналы учета (носителей, инцидентов, доступа), План реагирования на инциденты. Даты утверждения/пересмотра (не реже 1 раза в год).	Ст. 13.11 КоАП (отсутствие ЛНА = грубое нарушение)
4	Меры защиты по Постановлению № 1119 (УЗ 1-3)	Физическая: доступ к серверным, архивам, кабинетам врачей (СКУД, журналы). Программно-техническая: СЗИ (Средства защиты информации), сертифицированные ФСТЭК/ФСБ (антивирусы, МЭ, контроль целостности, DLP, шифрование). Организационная: ролевая модель доступа (RBAC), разделение прав админа и врача, учет привилегированных пользователей.	Ст. 13.11 КоАП (повышенные штрафы за отсутствие СЗИ)
5	МИС и интеграции (ЕГИСЗ, ЕМИАС, СМЭВ)	Соответствие Приказу Минздрава № 1083н. Наличие сертификата ФСТЭК на МИС (если УЗ 1-3). Защита каналов обмена (ТLS 1.2+, ГОСТ-шифрование). Логирование всех операций с ПДн (создание, чтение, изменение, удаление, экспорт) — хранение логов не менее 3 лет.	Предписание об устранении, штрафы, риск отключения от ЕГИСЗ
6	Работа с третьими лицами (Договоры поручения)	Наличие договоров поручения (ст. 24 ФЗ-152) с: ИТ-аутсорсерами, колл-центрами, лабораториями, СМО, облачными провайдерами (1С Fresh, Яндекс.Облак и др.), сервисами SMS/Email-рассылок. В договоре обязаны быть: перечень ПДн, цели, меры защиты, запрет суборучения без согласия, аудит.	Ст. 13.11 КоАП (передача без договора = распространение)
7	Права субъектов ПДн	Процедура обработки запросов: доступ (ст. 14), уточнение/блокирование/уничтожение (ст. 21), отзыв согласия. Сроки исполнения (30 дней / 10 дней для уточнения). Форма ответа. Отказы — только с правовыми основаниями.	Жалобы в Роскомнадзор -> Внеплановая проверка
8	Уведомление об инцидентах (ст. 22.1 ФЗ-152)	Ст. 13.11.1 КоАП (до 1 млн руб. за несвоевременное уведомление)
9	Видеонаблюдение и биометрия	Камеры в зонах приема/операционных — обработка биометрических ПДн (ст. 11 ФЗ-152). Необходимость согласия или основания (безопасность). Уведомление в реестре с указанием биометрии. Защита видеозаписей (шифрование, доступ).	Высокие штрафы (биометрия = особый режим)
10	Обучение персонала	Документальное подтверждение: приказы о допуске, журналы инструктажей (вводный, первичный, повторный), тесты/протоколы проверки знаний. Обучение всех имеющих доступ к ПДн (врачи, медсестры, админы регистратуры, уборщицы серверной, сисадмины аутсорса).	Ст. 13.11 КоАП (отсутствие обучения = нарушение ст. 19 ФЗ-152)

Система штрафов 2026 года: арифметика риска

После изменений в КоАП РФ (ФЗ от № 351-ФЗ и последующие поправки) штрафы стали существенными статьей расходов.

Таблица основных санкций (для юридических лиц):

Ст. 13.11 КоАП РФ (Нарушение прав субъектов ПДн, отсутствие согласия, утечка):
- Первичное: 15 000 – 75 000 руб. (для должностных лиц 3 000 – 10 000 руб.)
- Повторное (в течение года после вступления решения в силу): 300 000 – 500 000 руб. (или до 1 млн руб. за утечку биометрии/особых категорий).
- Многократное (3 и более раза): до 15 000 000 руб. (60-кратное увеличение базового максимума).
Ст. 13.11.1 КоАП РФ (Нарушение порядка уведомления об инциденте): до 1 000 000 руб.
Ст. 19.7.5-2 КоАП РФ (Нарушение порядка уведомления о обработке / несоответствие реестру): до 500 000 руб.
Дополнительные меры: Конфискация носителей информации (ст. 3.12 КоАП), приостановление деятельности до 90 дней (ст. 3.11 КоАП — для критических нарушений безопасности УЗ 1-2).

Пример расчета для клиники с 50 врачами: Обнаружение системного отсутствия согласий на обработку данных здоровья (нарушение ст. 10 ФЗ-152) квалифицируется как множественное нарушение прав множества субъектов. Роскомнадзор может выписать предписание на устранение и штраф по верхней границе (500 тыс. руб.). При повторной проверке через год — 1-5 млн руб. При третьей — до 15 млн руб.

Алгоритм подготовки к проверке: Пошаговый план (Roadmap)

Этап 1: Аудит «Как есть» (Gap-анализ) — 2-4 недели

Инвентаризация всех ИСПДн (МИС, сайт, CRM, 1С, почта, файл-серверы, видеонаблюдение, АТС, телемедицина).
Определение Уровня защищенности (УЗ 1-4) для каждой ИСПДн по Постановлению № 1119.
Сверка уведомления в реестре с реальным парком ИСПДн и целями обработки.
Проверка пакета ЛНА на актуальность (даты, подписи, соответствие ст. 22 ФЗ-152).
Аудит согласий: выборка 10-20% историй болезни за последний год.
Проверка договоров поручения со всеми контрагентами, имеющими доступ к ПДн.

Этап 2: Устранение критических пробелов (Quick Wins), 1-2 месяца

Обновление уведомления в реестре (электронно через ЛК Роскомнадзора).
Внедрение/обновление форм согласий (бумажные + ЭЦП/Госуслуги).
Настройка RBAC в МИС: врач видит только своих пациентов, админ регистратуры — не видит диагнозы, сисадмин — не имеет доступа к БД приложения.
Установка сертифицированных СЗИ (МЭ, антивирус, контроль целостности, DLP для УЗ 1-2).
Настройка аудита (логирования) критических событий в МИС и ОС (Linux/Windows Auditd / SACL).
Подписание доп. соглашений / новых договоров поручения с ИТ-вендорами;

Этап 3: Системная работа и документация — Постоянно

Ежеквартальные внутренние аудиты (чек-лист инспектора).
Ежегодное пересмотр ЛНА (Протокол совещания КЗПДн / УК по защите ПДн).
Плановые инструктажи персонала (раз в год + при приеме на работу).
Учения по реагированию на инцидент (Tabletop exercises), раз в полгода.
Мониторинг утечек (DLP, SIEM, сервисы мониторинга даркнета по домену/email организации).

Этап 4: Действия в день проверки (SOP для администратора/ДПО)

Встреча: Проверить служебное удостоверение инспектора и постановление о проверке (для плановой) / основание (для внеплановой).
Сопровождение: Назначить ответственного сотрудника (ДПО или зам. главврача по ИТ) для сопровождения. Не оставлять инспектора одного с серверами/БД.
Предоставление документов: Выдавать только по письменным требованиям (протоколу осмотра/опроса). Копии заверять печатью/подписью. Вести свой параллельный журнал выданных документов.
Технический доступ: Не давать root/admin пароли. Выдавать временный доступ «только чтение» (read-only) к консоли МИС/БД/логам под наблюдением.
Протокол: Внимательно читать протокол осмотра/проверки перед подписью. Вносить несогласия в графе «Замечания проверяемого лица». Фотографировать страницы протокола.

Специфика проверок в 2026 году: Новые тренды

Фокус на цепочке поставок (Supply Chain)

Роскомнадзор проверяет не только клинику, но и её ИТ-аутсорсера, облачного провайдера МИС, разработчика мобильного приложения для записи. Если у подрядчика УЗ ниже требуемого или нет сертификата ФСТЭК — штрафуется оператор (клиника) за передачу ПДн лицу, не обеспечивающему защиту.

Искусственный интеллект и принятие решений

Если клиника использует ИИ-системы для триажа, диагностики (КТ/МРТ анализ), предсказания исходов — это обрабатывается как автоматическое принятие решений (ст. 10.1 ФЗ-152, поправки 2024 г.). Требуется: оценка последствий (DPIA), информация пациентам о логике алгоритма, возможность обжалования решения у врача-человека.

Трансграничная передача (Cross-border)

Использование зарубежных SaaS (Google Workspace, Microsoft 365, Zoom, Telegram Bot API для записей) — высокий риск; С 2023-2024 гг. требуется: оценка адекватности защиты в стране-получателе (для «неадекватных» стран — Стандартные договорные условия (СДУ) + дополнительные меры (шифрование на стороне клиента, псевдонимизация). Роскомнадзор запрашивает СДУ и обоснование адекватности.

Биометрия и видеонаблюдение

Установка камер с распознаванием лиц в регистратуре/палатах без отдельного согласия и без уведомления в реестре как обработка биометрических ПДн — топовое нарушение 2025-2026 гг.

Распространенные мифы, которые стоят миллионы

Миф 1: «Мы маленькая клиника / ИП-стоматолог, нас не проверяют».

Реальность: Камеральный мониторинг охватывает 100% операторов из реестра. Отсутствие уведомления или устаревшая Политика на сайте — повод для предписания и штрафа удаленно. Внеплановые проверки инициируются жалобами пациентов, а не размером бизнеса.

Миф 2: «У нас МИС с сертификатом ФСТЭК, значит мы защищены полностью».

Реальность: Сертификат на ПО (МИС) покрывает только программные механизмы. Не покрывает: физическую защиту серверной, настройку ОС/БД, действия админов, отсутствие DLP, обучение врачей, согласия пациентов, договоры с подрядчиками; Защита — это комплекс мер (ст. 19 ФЗ-152), а не коробка с софтом.

Миф 3: «Пациент подписал общее согласие при регистрации — этого достаточно».

Реальность: Для данных здоровья (особая категория) требуется отдельное, конкретное, информированное и волеизъявленное согласие (п. 1 ст. 10 ФЗ-152). Общее согласие на «обработку ПДн для оказания мед. помощи» часто признается судами и Роскомнадзором недостаточным, если не перечислены конкретные действия (передача в СМО, ЕГИСЗ, научные цели, маркетинг).

Миф 4: «Мы не храним ПДн, у нас всё в облаке у 1С/Яндекс/МИС-вендора».

Реальность: Вы — Оператор. Облако, Уполномоченное лицо. Ответственность за законность, цели, права субъектов, уведомление в реестре, договор поручения, полностью на Вас. Штрафы выписываются Оператору.

В 2026 году защита персональных данных в медицине перестала быть «бумажной работой для галочки». Это:

Финансовая безопасность: Избежание штрафов до 15 млн руб. и рисков приостановления деятельности.
Репутационный актив: Пациенты и СМО выбирают клиники, не попавшие в реестры утечек (Roskomsvoboda, «Код Безопасности», профильные Telegram-каналы).
Условие участия в госзаказе/ОМС: Нарушения в сфере ПДн являются основанием для отказа в заключении контрактов по 44-ФЗ/223-ФЗ и проблем с тарифами ОМС.
Киберустойчивость: Меры по 152-ФЗ (сегментация сети, бэкапы, DLP, обучение) — это лучшая защита от шифровальщиков (ransomware), которые в 2024-2025 гг. атаковали медорганизации массово.

Рекомендация: Не ждите проверки. Закажите независимый аудит соответствия (GAP-анализ) у аккредитованного лицензиата ФСТЭК или сертифицированного специалиста по защите ПДн (СЗПДн). Стоимость аудита (100-300 тыс. руб.) несоизмеримо ниже стоимости штрафа и репутационных потерь.

Полезные ссылки для ДПО и руководства медорганизаций:

Официальный сайт Роскомнадзора (Раздел «Персональные данные»)
Реестр операторов ПДн (Личный кабинет оператора)
ФСТЭК России (Реестры сертифицированных СЗИ, Методические документы)
ФЗ-152 «О персональных данных» (актуальная редакция)
Постановление Правительства № 1119
Минздрав России (Приказы по информатизации, Приказ № 1083н)

Статья подготовлена на основе законодательства РФ, действующего на г. Данная информация носит справочный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к юристу по защите персональных данных.