Персональные данные в клинике и медицинском центре (2026)

Что особенного в медицине

Клиника обрабатывает данные, которые закон защищает сильнее всего. Сведения о состоянии здоровья относятся к специальным категориям персональных данных (ч. 1 ст. 10 152-ФЗ). Их можно обрабатывать только в случаях, перечисленных в ч. 2 той же статьи. Для медицинской организации главный из них — п. 4: обработка в медико-профилактических целях, для установления диагноза и оказания медицинских услуг, если её ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну. Отпала цель — например, пациент перестал обращаться и сроки хранения документов истекли, — обработку специальных категорий нужно прекратить (ч. 4 ст. 10).

Поверх 152-ФЗ действует врачебная тайна (ст. 13 323-ФЗ). Ею защищены не только диагноз и результаты обследований, но и сам факт обращения за медицинской помощью. Поэтому подтвердить по телефону «да, такой пациент у нас лечится» нельзя без согласия пациента, а разглашение сведений работником, получившим к ним доступ по службе, влечёт отдельную ответственность (ст. 13.14 КоАП).

Третий слой — государственные системы. Медицинские организации, в том числе частные, передают сведения в ЕГИСЗ (ст. 91.1 323-ФЗ). Это обработка по требованию закона: согласие пациента на неё не нужно, но её надо отразить в политике и в уведомлении Роскомнадзора, а каналы связи с государственными системами защищать по их требованиям.

Какие документы нужны

Базовый набор оператора — общий для всех (подробно — на странице «Персональные данные»). В клинике он должен учитывать медицинскую специфику:

• Политика обработки — с отдельными целями: оказание медицинской помощи, запись на приём, ведение медицинской документации, передача сведений в государственные системы, рассылки и отзывы — образец политики.
• Согласие на обработку для целей сверх лечения — напоминания о визитах с рекламой, программы лояльности, публикация отзывов, передача сведений страховщику или работодателю по программе ДМС, если это не следует из договора, — образец согласия. Согласие на медицинское вмешательство его не заменяет.
• Приказ об ответственном — в клинике им часто назначают заместителя главного врача или администратора, но важно, чтобы у него были полномочия в отношении врачей, регистратуры и подрядчика по МИС — образец приказа.
• Уведомление в Роскомнадзор — с указанием специальных категорий и всех информационных систем: МИС, сайта, телефонии, CRM — образец уведомления.
• Оценка вреда — для специальных категорий вред оценивается как высокий, и это нужно отразить в акте — образец акта.
• Политика сайта и тексты согласий для формы записи — форма «опишите жалобу» уже собирает сведения о здоровье — образец политики сайта.
• Порядок реагирования на утечку — с распределением ролей на 24 и 72 часа — образец порядка.

Медицинская информационная система и уровень защищённости

Уровень защищённости ИСПДн определяется по ПП № 1119. Для специальных категорий он не может быть ниже УЗ-3: так получается при угрозах 3-го типа, если в системе данные менее 100 000 пациентов. Если пациентов больше 100 000, уровень поднимается до УЗ-2, а при угрозах 2-го типа — до УЗ-1. Подробно — в разборе ПП № 1119, состав мер для каждого уровня — в разборе приказа ФСТЭК № 21.

На практике это означает: учётные записи у каждого врача свои, доступ к картам ограничен ролью, действия в МИС журналируются, резервные копии проверяются, а облачная МИС размещена в России и подключена по договору поручения.

Запись через сайт, мессенджеры и колл-центр

• В форме записи собирайте минимум: имя, телефон, специалиста. Поле «жалобы» превращает форму в сбор специальных категорий — если оно нужно, сделайте его необязательным и опишите в политике.
• Счётчики и чаты на страницах с записью передают сведения о посещении страниц конкретных врачей. Это тоже нужно описать в политике сайта.
• Внешний колл-центр, агрегатор записи или разработчик МИС работают по поручению: в договоре — цели, перечень действий, конфиденциальность, меры защиты по ст. 19 152-ФЗ (ч. 3 ст. 6).
• Пересылка анализов и заключений в личных мессенджерах врачей — частый источник утечек. Лучше закрепить разрешённые каналы приказом.

Частые ошибки

• Одно согласие «на всё» в договоре на медицинские услуги. Для целей сверх лечения согласие оформляется отдельным документом.
• Регистратура подтверждает визит по телефону. Факт обращения — тоже врачебная тайна.
• Общий логин в МИС на смену. Невозможно установить, кто открыл карту, и уровень защищённости не выполнен.
• Сведения о здоровье в рекламной рассылке. Напоминание «пора сдать анализы на …» раскрывает диагноз при чужом телефоне.
• Уведомление в Роскомнадзор без специальных категорий. Это недостоверные сведения в реестре операторов.

Чем рискуете

Суммы — для коммерческих организаций по ст. 13.11 КоАП. В государственных, муниципальных и некоммерческих медицинских организациях штрафы за утечку и неуведомление назначают должностным лицам — суммы для них покажет калькулятор.

• утечка специальных категорий — от 10 до 15 млн рублей;
• повторная утечка специальных категорий — оборотный штраф 1–3 % выручки, но не меньше 25 млн и не больше 500 млн рублей;
• Роскомнадзор не уведомлён об утечке — от 1 до 3 млн рублей;
• обработка без письменного согласия, когда оно нужно, — от 300 до 700 тысяч рублей, повторно — от 1 до 1,5 млн;
• нарушена локализация баз данных — от 1 до 6 млн рублей.

Посчитать для своей ситуации — в калькуляторе штрафов.

С чего начать

1. Составьте перечень систем, где есть сведения о пациентах: МИС, сайт и форма записи, телефония, CRM, лабораторные сервисы, почта.
2. Разделите цели на «лечение» (без согласия на обработку ПДн) и «всё остальное» (с согласием) — и перестройте бланки.
3. Проверьте договоры с подрядчиками на условия поручения и размещение данных в России.
4. Определите уровень защищённости МИС и сверьте меры с приказом ФСТЭК № 21.
5. Обновите уведомление в Роскомнадзор: специальные категории, системы, сведения о местонахождении баз.
6. Утвердите порядок реагирования на утечку и проверьте, кто в выходной сможет подать уведомление за 24 часа.