Пластическая (косметическая) хирургия относится к категории медицинской деятельности, где обрабатываются персональные данные особой категории – сведения о состоянии здоровья, фотографии «до‑и‑после», биометрические данные и прочее. Нарушение правил их хранения и передачи может привести к штрафам, приостановке лицензии и утрате доверия пациентов. В статье рассматриваются нормативно‑правовая база, организационные и технические меры, а также практический чек‑лист для подготовки к проверкам контролирующих органов.

Нормативно‑правовая база

• Федеральный закон № 152‑ФЗ «О персональных данных» (с изменениями 2025‑2026 гг.) – основной документ, регулирующий сбор, хранение и передачу ПДн.
• Приказ ФСТЭК России от № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных».
• ГОСТ Р 50922‑96 «Защита информации. Защита персональных данных в информационных системах».
• Приказ Минздрава России № 358н от «Об организации обработки медицинских данных в медицинских организациях».
• Требования Роскомнадзора к локализации данных (с 1 июля 2025 года все персональные данные российских граждан должны храниться на территории РФ).

Все перечисленные акты применимы к клиникам, частным врачам‑хирургам, лабораториям и сервисам, которые собирают и обрабатывают данные пациентов.

Особенности персональных данных в пластической сфере

В отличие от общих медицинских данных, в пластической хирургии часто обрабатываются:

• Фотографии «до‑и‑после», видеоматериалы – биометрические данные (изображения лица).
• Сведения о проведённых операциях, осложнениях, результатах обследований – специальные категории данных о здоровье.
• Информация о желаемом внешнем виде, психологические оценки – данные о личных предпочтениях, которые могут подпадать под категорию «особые сведения».

Эти данные требуют повышенных мер защиты и обязательного получения информированного согласия пациента.

Организационные требования

Назначение ответственного за обработку ПДн

Каждая клиника обязана назначить Ответственного за организацию обработки персональных данных (ОПД). Его функции:

1. Разработка и поддержка Политики обработки персональных данных;
2. Контроль соблюдения технических и организационных мер;
3. Взаимодействие с Роскомнадзором и подготовка к проверкам;
4. Обучение персонала.

Согласие пациента

Согласие должно быть:

• Писаным или электронным (отдельный документ, не включённый в пользовательское соглашение);
• Конкретным – указаны цели обработки, перечень данных, срок действия, порядок отзыва;
• Подписанным пациентом (для электронного варианта – цифровая подпись или подтверждение через SMS/почту).

Документация

Обязательные документы:

• Политика обработки персональных данных;
• Регламент доступа к данным (роль‑ориентированный контроль);
• Договоры с третьими лицами (лаборатории, страховые компании) – включают пункты о конфиденциальности и обязательном шифровании;
• Отчёты о проведённых аудитах и тестах на уязвимости.

Уведомление Роскомнадзора

Если обработка осуществляется с использованием автоматизированных систем, необходимо подать уведомление о начале обработки в Роскомнадзор (за исключением случаев, предусмотренных ст. 22 ФЗ).

Технические меры защиты

Локализация данных

Все копии персональных данных пациентов должны находиться на серверах, расположенных в РФ. При использовании облачных сервисов выбирайте провайдеров, предоставляющих Russian Cloud (например, Cloud.ru, Yandex.Cloud) с сертификатами ФСТЭК.

Защита изображений

Фотографии «до‑и‑после» следует хранить в отдельном зашифрованном хранилище, доступ к которому имеет только лечащий врач и пациент (через защищённый портал). При передаче в лаборатории использовать одноразовые ссылки с ограниченным сроком действия.

Требования к срокам хранения

• Общие медицинские данные – не менее 5 лет после завершения лечения (считается сроком давности по медицинской тайне).
• Данные о проведённых операциях, осложнениях – не менее 10 лет (в соответствии с требованиями Минздрава).
• Фотографии «до‑и‑после» – по согласованию с пациентом; при отсутствии согласия – уничтожить в течение 30 дней после завершения лечения.
• Резервные копии – хранить не менее 3 лет, после чего проводить их безопасную утилизацию;

При достижении срока хранения необходимо оформить акт уничтожения данных с подписью ответственного лица.

Требования к передаче данных

Передача внутри организации

Для обмена данными между отделами (приём, лаборатория, бухгалтерия) использовать внутренний защищённый портал с:

• TLS 1.3;
• аутентификацией по сертификату;
• журналом доступа.

Передача третьим лицам

При передаче данных в страховые компании, лаборатории или рекламные агентства необходимо:

1. Подписать договор о передаче персональных данных (включает пункт о цели, сроке и мерах защиты).
2. Получить отдельное согласие пациента на передачу конкретных сведений.
3. Шифровать файлы (AES‑256) и передавать их через защищённый канал (SFTP, HTTPS).
4. Ограничить объём передаваемых данных – передавать только необходимое.

Электронная почта

Для отправки медицинских заключений использовать S/MIME или PGP‑шифрование. В теме письма указывать только номер пациента без ФИО.

Подготовка к проверкам контролирующих органов

1. Проверка документации: наличие актуальной политики, регламентов доступа, договоров с третьими лицами, актов уничтожения.
2. Технический аудит: демонстрация работы системы шифрования, журналов доступа, резервных копий.
3. Интервью с персоналом: проверка уровня осведомлённости сотрудников о правилах обработки ПДн.
4. Тестирование на уязвимости: предоставить отчёт о проведённом pentest‑аудите за последние 12 месяцев.
5. Отчёт о соблюдении локализации: показать, что все данные находятся на серверах в РФ.

Рекомендуется проводить внутренний аудит раз в полгода и вести «плей‑бук» с пошаговыми инструкциями для быстрой реакции на запросы проверяющих.

Практический чек‑лист для клиники

• ✅ Назначен ответственный за обработку ПДн.
• ✅ Разработана и опубликована Политика обработки ПДн.
• ✅ Получено информированное согласие от каждого пациента (отдельный документ).
• ✅ Все серверы находятся в РФ, сертификаты ФСТЭК актуальны;
• ✅ Данные шифруются при хранении (AES‑256) и передаче (TLS 1.3).
• ✅ Внедрена двухфакторная аутентификация для всех сотрудников.
• ✅ Ведётся журнал доступа, хранится минимум 12 мес.
• ✅ Регулярные резервные копии, проверка восстановления раз в квартал.
• ✅ Договоры с лабораториями/страховыми включают пункты о защите ПДн.
• ✅ Сроки хранения согласованы с Минздравом, подготовлен акт уничтожения.
• ✅ Проведён внутренний аудит и подготовлен план действий на случай утечки.

Пластическая хирургия оперирует чувствительными медицинскими данными, поэтому соблюдение требований 152‑ФЗ и сопутствующих нормативов является обязательным. Организационные меры (политика, согласия, назначение ответственного) в сочетании с техническими (шифрование, контроль доступа, резервное копирование) позволяют обеспечить конфиденциальность, целостность и доступность данных, а также успешно пройти проверки Роскомнадзора и Минздрава.

Регулярный аудит, обучение персонала и документальное фиксирование всех процессов – ключ к минимизации рисков и построению доверительных отношений с пациентами.