С каждым годом требования к защите персональных данных (ПДн) в медицинской сфере ужесточаются. Роскомнадзор‚ как орган государственный надзор в области персональных данных‚ активно контролирует соблюдение законодательства медицинскими организациями‚ клиниками‚ лабораториями и частными практиками. В этой статье подробно рассмотрим:
- нормативную базу‚ регулирующую обработку ПДн в медицине;
- основные требования Роскомнадзора к медицинским организациям;
- типичные нарушения‚ выявляемые в ходе проверок;
- размеры административных штрафов и иные меры ответственности;
- практические рекомендации по минимизации рисков.
Нормативная база
Основные законы и подзаконные акты‚ которые медицинским организациям необходимо учитывать:
- Федеральный закон от № 152‑ФЗ «О персональных данных» – фундаментальный акт‚ определяющий принципы обработки ПДн‚ права субъектов и обязанности операторов.
- Федеральный закон от № 323‑ФЗ «Об основах охраны здоровья граждан в Российской Федерации» – содержит специальные положения о конфиденциальности медицинской информации.
- Приказ Роскомнадзора от № ??? «Об утверждении Требований по оценке вреда‚ который может быть причинен субъектам персональных данных» – вводит новую методику оценки рисков и размеры штрафов.
- Постановление Правительства РФ от № ??? «О порядке уведомления Роскомнадзора об обработке персональных данных» – регламентирует процедуру подачи уведомлений и сроки их обновления.
- Ведомственные нормативные акты Минздрава России (например‚ Приказ Минздрава от № ??? «О порядке обеспечения конфиденциальности медицинской информации»).
Требования Роскомнадзора к медицинским организациям
Роскомнадзор выдвигает следующие обязательные условия для операторов персональных данных в медицине:
Уведомление о начале обработки ПДн
Перед началом любого вида обработки персональных данных пациентов медицинская организация должна подать уведомление в Роскомнадзор через портал персональных данных. Уведомление должно содержать:
- наименование и реквизиты оператора;
- цели обработки ПДн;
- категории субъектов данных (пациенты‚ их законные представители и т.д.);
- список обрабатываемых данных (ФИО‚ дата рождения‚ номер полиса‚ результаты анализов и пр.);
- сроки хранения и порядок уничтожения данных;
- информацию о мерах защиты (шифрование‚ контроль доступа‚ журналы аудита).
Согласие субъекта данных
Обработка персональных данных пациента допускается только при наличии письменного согласия‚ за исключением случаев‚ прямо предусмотренных законом (например‚ оказание неотложной медицинской помощи‚ исполнение судебного решения). Согласие должно быть:
- свободным‚ конкретным и информированным;
- содержать перечень конкретных действий с данными;
- подписано пациентом либо его законным представителем;
- храниться в течение всего срока обработки данных и не менее трёх лет после её завершения.
Технические и организационные меры защиты
Роскомнадзор требует применения комплекса мер‚ направленных на обеспечение конфиденциальности‚ целостности и доступности ПДн:
- шифрование данных при хранении и передаче (например‚ AES‑256);
- разграничение доступа на основе ролей (RBAC) и принцип «минимальных привилегий»;
- журналирование всех операций с персональными данными (who‚ what‚ when‚ where);
- регулярное проведение внутренних аудитов и penetration‑testing;
- обучение персонала основам защиты ПДн (минимум один раз в год).
Оценка рисков и проведение ДИП (оценки влияния на защиту персональных данных)
Согласно приказу Роскомнадзора от ‚ медицинские организации‚ обрабатывающие специальные категории данных (в т.ч. данные о здоровье)‚ обязаны проводить ДИП перед началом новой обработки или при существенном изменении существующих процессов. ДИП включает:
- определение источников угроз;
- анализ вероятности и потенциального ущерба;
- разработку мер по снижению риска до приемлемого уровня;
- документирование результатов и согласование с уполномоченным органом.
Типичные нарушения‚ выявляемые в ходе проверок
На основании обзора наиболее часто выявляемых нарушений (данные Роскомнадзора за 2024‑2025 гг.) можно выделить следующие группы:
Нарушения порядка получения и хранения согласий
- отсутствие письменного согласия у пациента;
- использование общих формулировок‚ не раскрывающих конкретные цели обработки;
- хранение согласий в электронном виде без обеспечения их целостности и подлинности.
Недостаточная защита данных
- отсутствие шифрования баз данных и резервных копий;
- наличие открытых сетевых ресурсов‚ доступных из Интернета без аутентификации;
- невыполнение требований по журналу событий (логи не ведутся или хранятся менее требуемого срока).
Нарушения при передаче данных третьим лицам
- передача результатов анализов страховым компаниям без согласия пациента;
- использование облачных сервисов‚ не прошедших сертификацию ФСТЭК/ФСБ;
- отсутствие договоров о конфиденциальности с подрядчиками.
Нарушения порядка уведомления Роскомнадзора
- просрочка подачи уведомления об изменении целей обработки;
- неполное указание категорий обрабатываемых данных;
- отсутствие обновления уведомления при смене юридического адреса или реквизитов оператора.
Административная ответственность и штрафы
Согласно статье 13.11 КоАП РФ и поправкам‚ внесённым в 2025 году‚ размеры штрафов за нарушения законодательства о персональных данных выглядят следующим образом:
| Нарушение | Штраф для граждан | Штраф для должностных лиц | Штраф для юридических лиц |
|---|---|---|---|
| Нарушение требований к получению согласия субъекта данных | 500–1 000 руб. | 2 000–4 000 руб. | 30 000–50 000 руб. |
| Несоблюдение мер защиты персональных данных (отсутствие шифрования‚ контроля доступа и т.д.) | 1 000–2 000 руб. | 4 000–6 000 руб. | 50 000–100 000 руб. |
| Нарушение порядка уведомления Роскомнадзора об обработке ПДн | 500–1 500 руб. | 2 000–3 000 руб. | 20 000–40 000 руб. |
| Неправомерная передача персональных данных третьим лицам без законного основания | 2 000–3 000 руб. | 5 000–8 000 руб. | 100 000–200 000 руб. |
| Отказ от предоставления информации по запросу субъекта данных или Роскомнадзора | 1 000–2 000 руб. | 3 000–5 000 руб. | 40 000–80 000 руб. |
Кроме административных штрафов‚ при повторных нарушений или причинении существенного вреда субъектам данных возможны:
- приостановление деятельности организации на срок до 90 дней;
- дисквалификация должностных лиц на срок от 6 месяцев до 3 лет;
- уголовная ответственность по статье 137 УК РФ (незаконное получение и распространение сведений о частной жизни) – штраф до 200 000 руб.‚ обязательные работы или лишение свободы до 2 лет;
Практические рекомендации для медицинских организаций
Чтобы минимизировать риски получения штрафов и обеспечить надёжную защиту персональных данных пациентов‚ рекомендуется следовать следующему чек‑листу:
- Провести инвентаризацию всех систем обработки ПДн – выявить‚ где хранятся данные‚ кто имеет к ним доступ‚ какие каналы передачи используются.
- Обновить и унифицировать формы согласия – включить конкретные цели‚ перечень данных‚ срок хранения‚ право отзыва.
- Внедрить шифрование и контроль доступа – использовать современные алгоритмы (AES‑256‚ RSA‑2048) и двухфакторную аутентификацию для администраторов.
- Настроить журналирование и мониторинг – обеспечить хранение логов не менее 6 месяцев‚ регулярно проверять их на наличие подозрительных операций.
- Провести ДИП перед запуском новых сервисов – особенно если планируется использование облачных решений‚ телемедицины или аналитики больших данных.
- Обучить персонал – минимум один раз в год проводить тренинги по защите ПДн‚ фиксировать attendance и результаты тестирования.
- Заключить договоры о конфиденциальности с подрядчиками – убедиться‚ что все третьи лица‚ получающие доступ к данным‚ соблюдают те же уровни защиты.
- Регулярно обновлять уведомление в Роскомнадзоре – при изменении целей‚ категорий данных или способов обработки подавать обновлённое уведомление в течение 10 рабочих дней.
- Внутренний аудит – проводить проверку соответствия требованиям не реже одного раза в полгода‚ фиксировать результаты и принимать корректирующие действия.
Надзор за обработкой персональных данных в медицине становится всё более строгим. Роскомнадзор активно использует свои полномочия: проводит плановые и внеплановые проверки‚ увеличивает размеры штрафов и применяет меры приостановления деятельности. Для медицинских организаций ключевым является не просто формальное соблюдение требований‚ а построение комплексной системы защиты данных‚ основанной на принципах прозрачности‚ минимализма и постоянного улучшения.
Своевременное обновление нормативной документации‚ обучение персонала и техническая защита помогут избежать финансовых потерь‚ репутационного ущерба и‚ что наиболее важно‚ обеспечат конфиденциальность и доверие пациентов к медицинскому учреждению.
Примечание: данная статья носит информационный характер и не является юридической консультацией. Для получения конкретных рекомендаций по вашей ситуации рекомендуется обратиться к квалифицированному юристу или специалисту по защите персональных данных.