ИБ Мед

ФЗ-152 «О персональных данных» в медицине: что нужно знать клинике

—

от автора

Степан Витко
в

1. Введение

Медицинская клиника ежедневно работает с одной из самых чувствительных категорий информации — сведениями о здоровье людей. Диагнозы, результаты анализов, история болезни, генетические и биометрические данные — всё это относится к персональным данным (ПД) особой категории, требующей повышенного уровня защиты.

Регулирование этой сферы в России осуществляется сразу несколькими надзорными органами:

  • Роскомнадзор — контролирует соблюдение требований 152-ФЗ, ведёт реестр операторов ПД, рассматривает жалобы граждан;
  • ФСТЭК России — устанавливает требования к технической защите информационных систем;
  • ФСБ России — регулирует вопросы криптографической защиты данных.

Нарушение требований закона грозит клинике не только штрафами (о них подробно — в разделе 14), но и репутационными потерями, судебными исками от пациентов и даже уголовной ответственностью должностных лиц.

В этой статье разберём: что относится к персональным данным пациента, какие обязанности лежат на клинике как операторе ПД, как правильно оформлять согласие, когда можно передавать данные без согласия пациента и что грозит за нарушения.

2. Что такое персональные данные в медицине

Согласно ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:

«Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных)».

Классификация данных пациента

 Категория Примеры
 Общие персональные данные ФИО, дата и место рождения, адрес, телефон, e-mail, паспортные данные, СНИЛС, ИНН, номер полиса ОМС/ДМС
 Специальная категория (данные о состоянии здоровья) диагнозы, история болезни, результаты анализов и обследований, назначения врача, сведения об аллергиях, о беременности, психиатрический и наркологический анамнез
 Биометрические персональные данные фотографии, видеозаписи, результаты МРТ/КТ/УЗИ/ЭКГ, отпечатки пальцев — если по ним можно установить личность человека

Данные о здоровье прямо отнесены законом к специальной категории персональных данных. Согласно ч. 1 ст. 10 152-ФЗ:

«Обработка специальных категорий персональных данных, касающихся… состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 настоящей статьи».

Связь с врачебной тайной

Помимо 152-ФЗ, работа с медицинскими данными регулируется ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», которая закрепляет понятие врачебной тайны:

«Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну».

Таким образом, в медицине персональные данные пациента защищаются «в двойном контуре» — одновременно нормами о ПД и нормами о врачебной тайне.

3. Что такое обработка персональных данных

Ст. 3 152-ФЗ определяет обработку ПД как:

«Любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных».

Этапы обработки в клинике

Сбор → Запись → Систематизация → Хранение → Уточнение → Передача (при необходимости) → Уничтожение (по истечении сроков хранения)

Принципы обработки (ст. 5 152-ФЗ)

  • обработка должна быть законной и справедливой;
  • ограничена достижением конкретных, заранее определённых целей;
  • не допускается объединение баз ПД, обрабатываемых в разных целях;
  • содержание и объём обрабатываемых ПД должны соответствовать целям обработки — нельзя собирать избыточные данные;
  • хранение ПД должно осуществляться не дольше, чем требуют цели обработки, договор или закон.

4. Правовая база: какие законы регулируют ПД в медицине

 Документ Что регулирует
 ФЗ № 152 «О персональных данных» базовые требования к обработке ПД
 ФЗ № 323 «Об основах охраны здоровья граждан» врачебная тайна, права пациентов, случаи разглашения без согласия (ст. 13)
 Постановление Правительства РФ № 1119 уровни защищённости персональных данных при обработке в информационных системах
 Приказ ФСТЭК России № 21 состав и содержание организационных и технических мер по защите ПД
 Приказ Минздрава России № 911н / приказы о переходе на ЭДО требования к электронному документообороту в медорганизациях
 Приказ Минздрава России № 911н, а также № 340н модели угроз безопасности информации для медицинских информационных систем
 Приказы Роскомнадзора № 178 и № 180 форма и порядок подачи уведомления об обработке ПД
 КоАП РФ (ст. 13.11, 13.14) административная ответственность
 УК РФ (ст. 137, 138, 183, 272, 272.1) уголовная ответственность

5. Специфика работы с ПД пациентов в медучреждениях

Почему медицинские данные требуют повышенной защиты

Данные о здоровье относятся к специальной категории ПД (ст. 10 152-ФЗ), а также составляют врачебную тайну (ст. 13 323-ФЗ). Их неправомерное раскрытие способно причинить пациенту не только материальный, но и серьёзный моральный вред — от социальной стигматизации до угрозы личной безопасности.

Кто обязан хранить врачебную тайну

Согласно ст. 13 323-ФЗ, обязанность не разглашать сведения, составляющие врачебную тайну, лежит не только на врачах, но и на всех лицах, которым эти сведения стали известны при исполнении профессиональных, служебных и иных обязанностей:

  • врачи и медицинские сёстры;
  • администраторы регистратуры;
  • сотрудники call-центра;
  • IT-специалисты, обслуживающие медицинскую информационную систему (МИС);
  • бухгалтеры и HR (если имеют доступ к медкартам сотрудников).

Законные основания обработки без согласия

Часть 2 ст. 10 152-ФЗ допускает обработку данных о здоровье без согласия пациента, в частности, если обработка необходима для:

«…установления или осуществления прав субъекта персональных данных или третьих лиц… а также в связи с осуществлением правосудия», а также «в целях оказания медицинской помощи, если обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным соблюдать врачебную тайну».

Каналы сбора данных

  • очно — при заполнении анкет, письменных согласий в регистратуре;
  • дистанционно — через формы онлайн-записи на сайте, мобильные приложения, сервисы телемедицины, чат-боты в мессенджерах.

При дистанционном сборе данных клиника обязана обеспечить тот же уровень защиты и получения согласия, что и при очном визите.

6. Права пациентов как субъектов персональных данных

Согласно главе 3 152-ФЗ (ст. 14–17), пациент имеет право:

  1. На добровольное информированное согласие — данные могут обрабатываться только с явного согласия пациента (кроме случаев, прямо предусмотренных законом);
  2. На отзыв согласия в любой момент (ст. 9, ч. 2);
  3. На доступ к своим данным — получить сведения о том, какие данные о нём хранятся, с какой целью и кому передавались (ст. 14);
  4. На уточнение, блокирование или уничтожение данных, если они неполны, устарели, неточны, незаконно получены или не нужны для целей обработки (ст. 14, ч. 3);
  5. На ограничение обработки — например, запретить использование своих контактов для маркетинговых рассылок;
  6. На получение информации о целях, способах и сроках обработки ПД;
  7. На конфиденциальность сведений о состоянии здоровья согласно ст. 13 323-ФЗ;
  8. На защиту своих прав — обращение с жалобой в Роскомнадзор или в суд (ст. 17 152-ФЗ).

7. Обязанности клиники как оператора персональных данных

7.1 Организационные обязанности

  • Уведомление Роскомнадзора об обработке ПД (ст. 22 152-ФЗ) — до начала обработки клиника, за отдельными исключениями, обязана направить уведомление в уполномоченный орган;
  • Назначение ответственного лица, отвечающего за организацию обработки ПД (ст. 18.1, ч. 1 152-ФЗ) — оформляется приказом руководителя;

Разработка локальных актов:

  • Политика обработки персональных данных (публикуется на сайте клиники и размещается на информационном стенде — требование ст. 18.1, ч. 2 152-ФЗ);
  • Положение об обработке и защите ПД;
  • Регламенты работы с медицинской информационной системой (МИС);
  • Ограничение доступа сотрудников к ПД в зависимости от должностных обязанностей;
  • Обучение персонала правилам обработки ПД и соблюдения врачебной тайны;
  • Внутренний контроль (аудит) соответствия обработки ПД требованиям закона.

7.2 Технические меры защиты

Согласно Приказу ФСТЭК России № 21, оператор обязан применять:

  • сертифицированные средства защиты информации и антивирусное ПО;
  • разграничение прав доступа пользователей МИС (ролевая модель);
  • шифрование данных при хранении и передаче по сети;
  • журналирование (логирование) действий пользователей в информационных системах;
  • контроль физического доступа в помещения с носителями ПД, видеонаблюдение;
  • обезличивание данных при использовании для статистики, маркетинга, научных исследований.

7.3 Правовые меры

Получение письменного согласия пациента, при этом рекомендуется разделять согласия по целям:

  • Включение условий о конфиденциальности ПД в договоры с контрагентами — лабораториями, IT-подрядчиками, колл-центрами, аутсорсинговыми компаниями;
  • Ознакомление сотрудников с обязанностями по защите ПД под подпись, закрепление соответствующих пунктов в трудовых договорах и должностных инструкциях.

7.4 Дополнительные требования

  • Хранение баз ПД граждан РФ только на серверах, физически расположенных на территории РФ (ст. 18, ч. 5 152-ФЗ);
  • Своевременная актуализация уведомления в Роскомнадзоре при изменении целей или условий обработки;
  • Прекращение обработки и уничтожение данных при отзыве согласия либо при достижении цели обработки (если иное не установлено законом о сроках хранения медицинской документации);
  • Готовность предоставить документы по запросу Роскомнадзора в рамках проверки;
  • Обязанность уведомить Роскомнадзор об утечке ПД в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (требование введено поправками в 152-ФЗ, вступившими в силу с 2022–2023 гг.).

8. Согласие пациента на обработку ПД

Согласие должно быть, согласно ст. 9 152-ФЗ, конкретным, информированным и сознательным. В письменном согласии (форма закреплена в ст. 9, ч. 4) должны быть указаны:

  • ФИО, адрес субъекта ПД, реквизиты документа, удостоверяющего личность;
  • наименование и адрес оператора;
  • цель обработки;
  • перечень персональных данных, на обработку которых даётся согласие;
  • перечень действий с ПД, на совершение которых даётся согласие, общее описание используемых оператором способов обработки;
  • срок действия согласия и порядок его отзыва;
  • подпись субъекта ПД.

Особенности получения согласия у отдельных категорий

  • Несовершеннолетние до 15 лет и недееспособные пациенты — согласие даёт законный представитель (родитель, опекун);
  • Несовершеннолетние с 15 лет (а больные наркоманией — с 16 лет) — самостоятельно дают согласие на медицинское вмешательство и обработку своих данных (ст. 54 323-ФЗ);
  • Дистанционная запись — согласие фиксируется через чекбокс на сайте/в приложении со ссылкой на политику обработки ПД, при этом формулировка должна быть однозначной, без «умалчивания по умолчанию».

Частые ошибки

  • общая формулировка «согласен на обработку данных» без указания целей и перечня данных;
  • отсутствие отдельного согласия на передачу данных третьим лицам (например, в лабораторию-партнёра);
  • получение согласия «постфактум» — после того, как данные уже были собраны или переданы.

9. Передача персональных данных пациентов третьим лицам

Общее правило: передача ПД третьим лицам без согласия пациента не допускается, за исключением прямо предусмотренных законом случаев (раздел 10).

Кому данные могут передаваться при наличии согласия:

  • родственникам пациента (в рамках информирования о состоянии здоровья);
  • другим медицинским организациям (при переводе, консультации);
  • лабораториям-партнёрам (для проведения анализов);
  • страховым компаниям (ОМС/ДМС) — для оплаты оказанных услуг.

Что считается нарушением

  • обсуждение диагноза пациента в присутствии посторонних лиц (в коридоре, в лифте, по громкой связи);
  • публикация фотографий «до/после» без письменного согласия пациента;
  • пересылка результатов анализов через незащищённые каналы (личные мессенджеры, обычную электронную почту без шифрования);
  • передача данных коллегам «для консультации» без должностной необходимости.

10. Когда допускается разглашение ПД без согласия пациента (ст. 13 ФЗ-323)

Часть 4 ст. 13 323-ФЗ прямо перечисляет случаи, когда предоставление сведений, составляющих врачебную тайну, допускается без согласия гражданина:

 Основание Кому передаются данные
 Пациент не способен выразить свою волю (без сознания, в тяжёлом состоянии) из-за состояния здоровья Супругу (супруге), близким родственникам, а при их отсутствии — иным родственникам, либо законному представителю
 Угроза распространения инфекционных заболеваний, массовых отравлений и поражений Органы Роспотребнадзора, Минздрав
 Запрос органов дознания и следствия, суда в связи с расследованием или судебным разбирательством Суд, прокуратура, органы следствия
 Оказание помощи несовершеннолетнему (в т.ч. в связи с потреблением наркотиков) для информирования родителей/законных представителей Родители, законные представители
 Установление факта совершения противоправных действий и/или причинения вреда здоровью в результате противоправных действий Органы внутренних дел (МВД)
 Проведение военно-врачебной экспертизы Военные комиссариаты, воинские части
 Обмен информацией между медицинскими организациями в целях оказания медпомощи Другие медорганизации
 Контроль качества и безопасности медицинской деятельности Росздравнадзор, органы управления здравоохранением
 Расследование несчастного случая на производстве Работодатель, СФР (Социальный фонд России), государственная инспекция труда
 Осуществление учёта и контроля в системе ОМС Территориальные фонды ОМС, страховые медицинские организации

Цитата из закона:

«Предоставление сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя допускается: 1) в целях проведения медицинского обследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю… 2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений… 3) по запросу органов дознания и следствия, суда…» (ст. 13, ч. 4 ФЗ-323, извлечение).

11. Уровни защищённости и требования к информационным системам

Постановление Правительства РФ № 1119 от 01.11.2012 устанавливает 4 уровня защищённости персональных данных при их обработке в информационных системах (УЗ-1 — самый высокий, УЗ-4 — базовый).

Уровень защищённости зависит от:

  • категории обрабатываемых ПД (специальные категории — данные о здоровье — требуют более высокого уровня защиты);
  • типа актуальных угроз безопасности;
  • количества субъектов ПД, чьи данные обрабатываются одновременно;
  • того, являются ли субъекты ПД сотрудниками оператора или третьими лицами (пациентами).

Поскольку клиника обрабатывает специальную категорию данных (сведения о здоровье) большого числа субъектов, не являющихся её сотрудниками, к медицинским информационным системам, как правило, применяются повышенные требования защищённости — вплоть до УЗ-1.

При интеграции с ЕГИСЗ (Единая государственная информационная система в сфере здравоохранения) дополнительно применяются требования по использованию сертифицированных ФСБ России средств криптографической защиты информации.

12. Типовые угрозы безопасности ПД в медицинских информационных системах

Модели угроз для медицинских информационных систем формируются на основе методических документов ФСТЭК и профильных приказов Минздрава. Условно угрозы делятся на три типа:

  • Тип 1 — угрозы, связанные с наличием недекларированных возможностей в системном программном обеспечении, используемом в информационной системе;
  • Тип 2 — угрозы, связанные с недекларированными возможностями в прикладном программном обеспечении (в частности, в самой МИС, программах для записи пациентов, электронной медицинской карте);
  • Тип 3 — угрозы, не связанные с наличием недекларированных возможностей: внешние атаки (вирусы, фишинг, взлом), а также ошибки и злоупотребления персонала (человеческий фактор).

Правильная классификация угроз необходима для выбора адекватных мер защиты и уровня защищённости системы.

13. Типичные ошибки клиник при работе с ПД

  • «скачанная из интернета» политика обработки ПД без адаптации к реальным процессам клиники;
  • отсутствие согласия на обработку ПД или его формальное, юридически некорректное оформление;
  • отсутствие технической защиты: нелицензионное ПО, отсутствие шифрования, слабые пароли к МИС;
  • избыточный доступ сотрудников к данным без учёта принципа «необходимого минимума» (например, администратор регистратуры видит полную историю болезни);
  • передача результатов анализов и заключений по личной почте или через мессенджеры без шифрования;
  • работа с внешними подрядчиками (IT-компании, лаборатории, колл-центры) без договоров, содержащих обязательства о конфиденциальности;
  • разглашение диагноза по телефону без верификации личности звонящего («это муж пациентки, скажите её диагноз»).

14. Ответственность за нарушение требований 152-ФЗ

14.1 Административная ответственность (КоАП РФ)

Ст. 13.11 КоАП РФ предусматривает штрафы за различные нарушения при обработке ПД, в том числе:

  • обработка ПД без согласия субъекта или с нарушением требований к получению согласия:

○ для должностных лиц — от 100 000 до 300 000 руб.;

○ для юридических лиц — от 300 000 до 500 000 руб.;

  • повторное совершение аналогичного правонарушения:

○ должностные лица — от 300 000 до 500 000 руб.;

○ ИП — от 500 000 до 1 000 000 руб.;

○ юридические лица — от 1 000 000 до 1 500 000 руб.;

  • утечка персональных данных (незаконное разглашение, распространение) — от 3 000 000 до 20 000 000 руб. в зависимости от объёма пострадавших субъектов;
  • повторная утечка — так называемый «оборотный штраф»: от 1% до 3% совокупного размера выручки организации за календарный год, предшествующий году совершения правонарушения (но не менее 20 000 000 и не более 500 000 000 руб.).

Ст. 13.14 КоАП РФ — разглашение информации с ограниченным доступом (в том числе врачебной тайны):

● для граждан и должностных лиц — штраф от 40 000 до 50 000 руб. либо дисквалификация на срок до 3 лет;

● для юридических лиц — от 100 000 до 200 000 руб.

14.2 Уголовная ответственность

  • Ст. 137 УК РФ — незаконное собирание или распространение сведений о частной жизни лица без его согласия (наказание вплоть до лишения свободы на срок до 4 лет при квалифицирующих признаках);
  • Ст. 183 УК РФ — незаконное разглашение сведений, составляющих охраняемую законом тайну (в т.ч. врачебную), лицом, которому она была доверена по службе;
  • Ст. 272 УК РФ — неправомерный доступ к охраняемой законом компьютерной информации (несанкционированный доступ к МИС);
  • Ст. 272.1 УК РФ (введена в 2024 г.) — незаконные действия в отношении охраняемой законом компьютерной информации, содержащей персональные данные, включая их неправомерное получение, использование, передачу, — с наказанием вплоть до лишения свободы.

14.3 Гражданско-правовая ответственность

Пациент, чьи права как субъекта ПД нарушены, вправе на основании ст. 17 152-ФЗ и общих норм ГК РФ (ст. 151, 1064) обратиться в суд с требованием о компенсации морального вреда и возмещении причинённых убытков.

14.4 Внеплановые проверки Роскомнадзора

В случае утечки данных или поступления жалобы Роскомнадзор вправе инициировать внеплановую проверку оператора ПД, по результатам которой могут быть выданы предписания об устранении нарушений и составлены протоколы об административных правонарушениях.

15. Последствия утечки данных для клиники

Юридические последствия:

— штрафы (в т.ч. оборотные — до 3% годовой выручки);

— уголовные дела в отношении должностных лиц;

— судебные иски пациентов о компенсации морального вреда.

Репутационные последствия:
— потеря доверия существующих и потенциальных пациентов;
— негативные отзывы и публикации в СМИ;
— отказ корпоративных клиентов и партнёров от сотрудничества;
— риски при прохождении лицензирования и аккредитации.

Как утечка может быть использована злоумышленниками:
— оформление кредитов и микрозаймов на данные пациента;
— шантаж на основе конфиденциальных диагнозов (например, психиатрических, венерологических);
— подделка медицинских документов и справок;
— продажа баз данных пациентов клиник в даркнете;
— телефонное мошенничество с использованием реальных данных о посещении клиники («звонок от врача», фиктивные «дополнительные анализы» и т.п.);
— мошеннические схемы со страховыми выплатами по ОМС/ДМС.

16. Как клинике снизить риски и обеспечить соответствие 152-ФЗ: практический чек-лист

● [ ] Провести аудит всех процессов сбора, хранения и передачи ПД в клинике;

● [ ] Определить категорию обрабатываемых данных и требуемый уровень защищённости информационной системы (ПП РФ № 1119);

● [ ] Направить/актуализировать уведомление в Роскомнадзор об обработке ПД;

● [ ] Разработать и опубликовать на сайте Политику обработки персональных данных, разместить её также на информационном стенде в клинике;

● [ ] Разделить формы согласия по целям (медицинское вмешательство / обработка ПД / передача третьим лицам);

● [ ] Настроить ролевую модель доступа сотрудников к МИС и медицинским картам;

● [ ] Внедрить сертифицированные средства защиты информации и шифрование данных;

● [ ] Заключить (или актуализировать) договоры с контрагентами — лабораториями, IT-подрядчиками, колл-центрами — с пунктами о конфиденциальности;

● [ ] Организовать регулярное обучение персонала (вводное для новых сотрудников и периодическое для всех);

● [ ] Ограничить сбор данных принципом необходимого минимума — не запрашивать лишние сведения;

● [ ] Разработать регламент действий при обнаружении утечки данных (кого уведомлять, в какие сроки);

● [ ] Не публиковать фото/видео пациентов и сотрудников без отдельного письменного согласия.

17. Часто задаваемые вопросы (FAQ)

Нужно ли получать отдельное согласие на фото/видео для медкарты (например, снимки «до/после»)?
Да. Фотографии и видеозаписи, по которым можно идентифицировать человека, относятся к биометрическим ПД, и на их использование (особенно при публикации, например, в портфолио клиники) необходимо отдельное письменное согласие пациента.

Может ли клиника отказать в приёме, если пациент не подписывает согласие на обработку ПД?
Обработка минимально необходимых данных (ФИО, контакты) для оказания медицинской помощи возможна в силу закона без отдельного согласия (п. 4 ч. 2 ст. 10 152-ФЗ — обработка в целях оказания медицинской помощи лицом, обязанным соблюдать врачебную тайну). Однако для иных целей (например, маркетинговых рассылок) отказ пациента подписать согласие не может быть основанием для отказа в медицинской помощи.

Как долго нужно хранить медицинские данные пациента?
Сроки хранения медицинской документации устанавливаются, в частности, нормативными актами Минздрава (сроки хранения медицинских карт составляют, как правило, 25 лет). Обработка ПД в рамках этого срока осуществляется на основании закона, а не только согласия пациента, поэтому отзыв согласия не влечёт немедленного удаления медицинской документации, подлежащей обязательному хранению.

Что делать, если пациент требует удалить свои данные, а закон обязывает хранить документацию?
Клиника обязана разъяснить пациенту законные сроки хранения медицинской документации и правовые основания, в силу которых данные не могут быть удалены до истечения установленного срока (ст. 21, ч. 5 152-ФЗ допускает продолжение хранения ПД, если это предусмотрено иным федеральным законом).

Нужно ли согласие законного представителя при обращении несовершеннолетнего?
До 15 лет (для больных наркоманией — до 16 лет) согласие на медицинское вмешательство и обработку ПД даёт законный представитель. С 15 лет несовершеннолетний вправе самостоятельно давать информированное добровольное согласие (ст. 54 323-ФЗ).

18. Заключение

Соблюдение требований 152-ФЗ и 323-ФЗ для медицинской клиники — не бюрократическая формальность, а фундаментальное условие законной работы и один из ключевых факторов доверия пациентов. Правильно выстроенная система защиты персональных данных снижает юридические риски, защищает клинику от штрафов и уголовной ответственности должностных лиц, а также напрямую влияет на репутацию и лояльность пациентов.

Рекомендуется регулярно (не реже одного раза в год) проводить внутренний аудит процессов обработки ПД, актуализировать локальные акты и консультироваться с профильными юристами и специалистами по информационной безопасности — особенно при внедрении новых цифровых сервисов (онлайн-запись, телемедицина, мобильные приложения).

Обращаем внимание: статья носит информационный характер и не является юридической консультацией. Для оценки соответствия конкретной клиники требованиям законодательства рекомендуется обратиться к профильным юристам и специалистам по защите информации.