Медицинские споры
Оборотные штрафы за утечку данных пациентов клиники
У большинства составов за утечку персональных данных есть порог: тысяча субъектов, десять тысяч, сто тысяч. У клиник этого порога нет — данные о состоянии здоровья относятся к специальной категории, и штраф считается по факту утечки.
Цифра, ради которой стоит дочитать: от 10 до 15 миллионов рублей для юридического лица за одну утечку сведений о здоровье. Хоть тысячи карт, хоть одной.
Почему клиника в худшей категории по умолчанию
Согласно ч. 1 ст. 10 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обработка специальных категорий персональных данных, касающихся в том числе состояния здоровья и интимной жизни, не допускается, кроме случаев по ч.ч. 2 и 2.1 этой статьи.
Дальше начинается то, чего многие клиники не знают. Согласно п. 4 ч. 2 ст. 10 Федерального закона № 152-ФЗ обработка допускается в медико-профилактических целях, для установления диагноза и оказания медицинских услуг — при условии, что её ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное сохранять врачебную тайну. Для лечения письменное согласие не единственное основание. А для рассылок, акций, отзывов и передачи данных подрядчикам это основание не работает.
Согласно ч. 1 ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» сам факт обращения за медицинской помощью составляет врачебную тайну. Поэтому утечка одного списка записавшихся — это утечка сведений специальной категории, даже без диагнозов.
Сколько именно: разбор ст. 13.11 КоАП РФ
Действующая редакция введена Федеральным законом от 30.11.2024 № 420-ФЗ, который вступил в силу по истечении ста восьмидесяти дней со дня официального опубликования — с 30 мая 2025 года. Этим же законом ст. 13.11 КоАП РФ дополнена частями 10–18.
Утечка специальной категории — ч. 16 ст. 13.11 КоАП РФ. Действия или бездействие оператора, повлёкшие неправомерную передачу, распространение или доступ к информации, включающей специальную категорию персональных данных: на должностных лиц от 1 до 1,3 миллиона рублей, на юридических — от 10 до 15 миллионов. Ни слова о количестве субъектов.
Биометрия — ч. 17 ст. 13.11 КоАП РФ: на юридических лиц от 15 до 20 миллионов рублей.
Обычные данные с порогом по числу субъектов. Согласно ч.ч. 12–14 ст. 13.11 КоАП РФ утечка данных от 1 до 10 тысяч субъектов стоит юридическому лицу от 3 до 5 миллионов рублей, от 10 до 100 тысяч — от 5 до 10 миллионов, свыше 100 тысяч — от 10 до 15 миллионов.
Неуведомление Роскомнадзора об утечке — ч. 11 ст. 13.11 КоАП РФ: на должностных лиц от 400 до 800 тысяч рублей, на юридических — от 1 до 3 миллионов. Это самостоятельный штраф, он складывается со штрафом за саму утечку.
Неуведомление о намерении обрабатывать данные — ч. 10 ст. 13.11 КоАП РФ: 30–50 тысяч рублей на должностных лиц и 100–300 тысяч на юридических.
Обработка без письменного согласия там, где оно обязательно, — ч. 2 ст. 13.11 КоАП РФ: 100–300 тысяч на должностных лиц и 300–700 тысяч на юридических; при повторе по ч. 2.1 — от 1 до 1,5 миллиона.
Про индивидуальных предпринимателей отдельно: согласно примечанию 1 к ст. 13.11 КоАП РФ за нарушения по ч.ч. 1.1 и 8–18 они отвечают как юридические лица. Кабинет косметологии на ИП платит те же 10–15 миллионов, что и сетевая клиника.
Оборотный штраф за повтор
Согласно ч. 15 ст. 13.11 КоАП РФ повторная утечка по ч.ч. 12–14 для юридического лица оборачивается штрафом от 1 до 3 процентов совокупной выручки за предшествующий календарный год, но не менее 20 миллионов и не более 500 миллионов рублей. Согласно ч. 18 повтор по специальной категории или биометрии считается по той же формуле, но нижняя граница — 25 миллионов.
Смягчение существует. Согласно ч. 3.4-2 ст. 4.1 КоАП РФ за нарушения по ч.ч. 15 и 18 ст. 13.11 КоАП РФ штраф назначается в размере одной десятой минимального, но не менее 15 и не более 50 миллионов рублей — при одновременном выполнении трёх условий, включая расходы на информационную безопасность не менее 0,1 процента годовой выручки за три года и документально подтверждённое соблюдение требований к защите данных в течение двенадцати месяцев. Это экономический аргумент для собственника, но доказательства собирают заранее, а не в день проверки.
Про скидку — без иллюзий. Согласно ч. 1.3-3 ст. 32.2 КоАП РФ штраф, выявленный в ходе государственного контроля, можно уплатить в половинном размере в течение двадцати дней, но ст. 13.11 КоАП РФ прямо названа в перечне исключений; изъятие внесено тем же Федеральным законом № 420-ФЗ.
Уголовная ответственность
Согласно ст. 272.1 УК РФ, введённой Федеральным законом от 30.11.2024 № 421-ФЗ, наказываются незаконные использование, передача, сбор и хранение компьютерной информации с персональными данными, полученной неправомерным доступом или иным незаконным путём.
Для медицины важна ч. 2: те же деяния в отношении данных несовершеннолетних, специальных категорий или биометрии наказываются штрафом до 700 тысяч рублей, принудительными работами до пяти лет либо лишением свободы на тот же срок. Администратор, скопировавший базу пациентов на флешку, попадает сразу в квалифицированный состав, а при корыстной заинтересованности или использовании служебного положения по ч. 3 — до шести лет со штрафом до 1 миллиона рублей.
Согласие отдельным документом: почему нельзя зашивать его в договор
Согласно ч. 1 ст. 9 Федерального закона № 152-ФЗ согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным, и оформляется оно отдельно от иных информации и (или) документов, которые подтверждает или подписывает субъект персональных данных.
Норма молодая: правило об отдельном оформлении введено Федеральным законом от 24.06.2025 № 156-ФЗ и действует с 1 сентября 2025 года. Клиники, обновлявшие документы раньше, почти наверняка держат согласие абзацем в договоре — ровно то, что теперь запрещено. Галочка «согласен с условиями договора и на обработку персональных данных» в форме онлайн-записи тоже не годится.
Согласно ч. 4 ст. 9 Федерального закона № 152-ФЗ письменное согласие включает девять позиций, из которых чаще всего забывают четыре: сведения о лице, обрабатывающем данные по поручению оператора, перечень действий и способы обработки, срок действия согласия и способ его отзыва. Согласно ч. 3 ст. 9 доказывать получение согласия обязан оператор.
Отдельно про уведомление регулятора. Согласно ч. 1 ст. 22 Федерального закона № 152-ФЗ оператор до начала обработки обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные. Прежние массовые исключения утратили силу с 1 сентября 2022 года; клинике из оставшихся подходит разве что обработка без средств автоматизации, а любая медицинская информационная система это исключение снимает.
Первые сутки после утечки
Согласно ч. 3.1 ст. 21 Федерального закона № 152-ФЗ при установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, оператор обязан уведомить Роскомнадзор:
- В течение 24 часов — об инциденте, предполагаемых причинах и вреде, принятых мерах по устранению последствий, а также сообщить сведения о лице, уполномоченном на взаимодействие с надзорным органом.
- В течение 72 часов — о результатах внутреннего расследования, включая сведения о лицах, чьи действия стали причиной инцидента.
Отсчёт идёт с момента выявления инцидента — оператором, надзорным органом или иным заинтересованным лицом. Пропуск срока — это ч. 11 ст. 13.11 КоАП РФ и ещё от 1 до 3 миллионов рублей сверху.
Готовым заранее должно быть немногое: ответственное лицо с контактами, шаблон уведомления, порядок фиксации инцидента и снятия логов, регламент расследования. За 24 часа с нуля это не собрать.
Что реально утекает в клиниках
Доступ к медицинской информационной системе. Администратор, у которого открыты карты всех пациентов, — это расширение зоны поражения. Разграничение прав по ролям и журналирование доступа снижают масштаб утечки и дают доказательства для расследования по ч. 3.1 ст. 21 Федерального закона № 152-ФЗ.
Мессенджеры и личные телефоны врачей. Пересылка снимков, анализов и фото пациентов в личных чатах — обработка данных специальной категории вне контура оператора, и доказывать её правомерность по ч. 3 ст. 9 Федерального закона № 152-ФЗ придётся клинике.
Фотографии «до и после» в рекламе. Здесь два самостоятельных требования. Согласно ст. 152.1 ГК РФ обнародование и использование изображения гражданина допускается только с его согласия. Согласно п. 2 ч. 2 ст. 10 Федерального закона № 152-ФЗ обработка специальных категорий, разрешённых субъектом для распространения, допускается с соблюдением запретов и условий ст. 10.1 этого закона — согласие на распространение оформляется отдельно.
Обмен данными между медорганизациями. Согласно п. 8 ч. 4 ст. 13 Федерального закона № 323-ФЗ он допускается без согласия пациента, но с учётом требований законодательства о персональных данных. Оговорка в конце нормы рабочая, и её проверяют.
Частые ошибки
- Согласие внутри договора. С 1 сентября 2025 года прямо противоречит ч. 1 ст. 9 Федерального закона № 152-ФЗ.
- Одно согласие на всё. Лечение, маркетинг и публикация фотографий — разные цели, объединять их в один документ рискованно.
- Расчёт на то, что «у нас мало пациентов». По ч. 16 ст. 13.11 КоАП РФ порога по числу субъектов нет вовсе, а по примечанию 1 к статье ИП отвечает как юридическое лицо.
- Уведомление в Роскомнадзор «когда разберёмся». Сроки 24 и 72 часа считаются от момента выявления, а не от завершения разбирательства.
- Нет уведомления о намерении обрабатывать данные. Отдельный состав по ч. 10 ст. 13.11 КоАП РФ на 100–300 тысяч рублей, и выявляется он по реестру.
Что понадобится в вашем случае
Порядок выше типовой, а исход зависит от ваших документов. Пришлите, что есть, и я скажу, чего не хватает и на что суд посмотрит в первую очередь. Первичная оценка бесплатная.
Частые вопросы
Какой штраф за утечку персональных данных пациентов?
Согласно ч. 16 ст. 13.11 КоАП РФ утечка данных специальной категории, к которым относятся сведения о состоянии здоровья, влечёт штраф на юридических лиц от 10 до 15 миллионов рублей, на должностных лиц — от 1 до 1,3 миллиона. Количество пострадавших пациентов на размер санкции не влияет.
За сколько часов нужно уведомить Роскомнадзор об утечке?
Согласно ч. 3.1 ст. 21 Федерального закона № 152-ФЗ — в течение 24 часов об инциденте и в течение 72 часов о результатах внутреннего расследования. Отсчёт ведётся с момента выявления.
Можно ли включить согласие на обработку данных в договор с пациентом?
Нет. Согласно ч. 1 ст. 9 Федерального закона № 152-ФЗ согласие оформляется отдельно от иных документов, которые подписывает субъект. Правило действует с 1 сентября 2025 года.
Нужно ли согласие пациента для ведения медицинской карты?
Для медико-профилактических целей, диагностики и оказания медицинских услуг работает п. 4 ч. 2 ст. 10 Федерального закона № 152-ФЗ — при условии, что обработку ведёт лицо, обязанное хранить врачебную тайну. Для маркетинга и публикации фотографий это основание не подходит.
Что дальше
Пакет по персональным данным собираю клинике целиком: согласия под каждую цель, политика, регламент реагирования на инцидент, разграничение доступа к медицинской информационной системе, правила для мессенджеров. Первичная оценка бесплатная: пришлите формы согласий и договор, скажу, где у вас сейчас открытый состав.
Вадим Дрозд, юридическое партнёрство «Закон и Правосудие», Иркутск, ул. Александра Невского, 99/4. Телефон +7 984 276-71-55. Работаю онлайн по всей России.
Статья не заменяет консультацию по конкретному делу: каждый документ оценивается по тексту и по профилю клиники.