Медицинские данные относятся к категории специальных персональных данных (ст. 10 Федерального закона № 152-ФЗ «О персональных данных»), а сведения о состоянии здоровья пациента дополнительно охраняются как врачебная тайна (ст. 13 Федерального закона № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»). Поэтому утечка такой информации влечёт для медицинской организации (МО) самые серьёзные последствия среди всех операторов персональных данных.
Нормативная база
30 ноября 2024 года Президент РФ подписал два ключевых закона, ужесточивших ответственность за утечки персональных данных:
- Федеральный закон № 420-ФЗ — внёс изменения в КоАП РФ, дополнив статью 13.11 новыми составами правонарушений, включая оборотные штрафы;
- Федеральный закон № 421-ФЗ — внёс изменения в Уголовный кодекс РФ, установив уголовную ответственность за незаконный оборот персональных данных.
Основные положения закона № 420-ФЗ вступили в силу 30 мая 2025 года.
Административная ответственность: размеры штрафов
Размер штрафа за утечку баз данных теперь напрямую зависит от объёма утраченных сведений. Для юридических лиц (медицинских организаций) при первичной утечке предусмотрены следующие санкции:
- утечка данных от 1 000 до 10 000 субъектов — штраф от 3 до 5 млн рублей;
- утечка данных от 10 000 до 100 000 субъектов — от 5 до 10 млн рублей;
- утечка данных более 100 000 субъектов либо 1 млн и более идентификаторов — от 10 до 15 млн рублей;
- утечка биометрических или медицинских данных — до 20 млн рублей.
Как видно, законодатель выделил медицинские данные в отдельную категорию с повышенной санкцией — до 20 млн рублей даже за первичное нарушение.
Оборотные штрафы за повторную утечку
Если медицинская организация допустит повторную утечку персональных данных, ей грозит оборотный штраф:
- от 1% до 3% годовой выручки;
- минимальный размер — не менее 20 млн рублей;
- максимальный размер — до 500 млн рублей.
Для крупных сетевых клиник и медицинских холдингов такие суммы могут оказаться критическими для бизнеса.
Уголовная ответственность
Федеральный закон № 421-ФЗ ввёл уголовную ответственность за незаконные сбор, хранение, использование, передачу персональных данных, а также за создание и эксплуатацию информационных ресурсов для их незаконного оборота. Санкции включают:
- штрафы до 1 млн рублей и более;
- лишение свободы на срок до 5–6 лет (при отягчающих обстоятельствах — до 10 лет);
- запрет занимать определённые должности.
Уголовная ответственность наступает для должностных лиц и сотрудников, допустивших или организовавших утечку, а не только для организации.
Дополнительные риски для медорганизации
Помимо штрафов по КоАП и УК РФ, утечка медицинских данных влечёт:
- Гражданские иски пациентов — компенсация морального вреда за разглашение врачебной тайны;
- Репутационные потери и отток пациентов;
- Проверки Роскомнадзора и Росздравнадзора, вплоть до приостановления деятельности;
- Риски для лицензии на медицинскую деятельность при системных нарушениях.
Как медорганизации защититься
- внедрить и актуализировать модель угроз и систему защиты информации в соответствии с требованиями ФСТЭК;
- ограничить доступ сотрудников к медицинским картам по принципу минимально необходимого;
- использовать сертифицированные средства криптографической защиты;
- регулярно обучать персонал правилам обработки персональных данных и врачебной тайны;
- проводить аудит и тестирование на проникновение;
- при инциденте, своевременно уведомлять Роскомнадзор (в течение 24 часов о факте утечки и 72 часов о результатах расследования).
За утечку медицинских данных медицинской организации грозит штраф до 20 млн рублей при первичном нарушении и оборотный штраф до 500 млн рублей при повторном. Должностные лица могут понести уголовную ответственность вплоть до лишения свободы. Учитывая особую чувствительность сведений о здоровье, вложения в защиту информации для медорганизации — это не формальность, а необходимое условие устойчивой работы.