Обработка персональных данных в медицинской организации: врачебная тайна, требования 152-ФЗ и чек-лист
Актуально на июль 2026 г. Учтены поправки в КоАП по ФЗ № 420-ФЗ (в силе с 30 мая 2025 года) и Приказ Минздрава № 408 от 03.08.2023.
Медицинская организация обрабатывает самые чувствительные данные из всех возможных: сведения о здоровье относятся к специальным категориям персональных данных (ч. 1 ст. 10 152-ФЗ), а значит, режим их защиты строже, чем для обычных ПДн. При этом поверх 152-ФЗ действует ещё один режим — врачебная тайна (ст. 13 323-ФЗ). Эти два закона работают параллельно и не всегда совпадают.
Ниже — практический разбор: чем врачебная тайна отличается от ПДн, на каком основании можно обрабатывать данные пациентов, какие документы обязательны, что грозит за нарушение и что проверить у себя. Материал для главврачей, юристов клиник, ответственных за обработку ПДн и специалистов по информационной безопасности.
Персональные данные пациента и врачебная тайна: в чём разница
Два понятия часто смешивают, а это разные правовые режимы.
Персональные данные (п. 1 ст. 3 152-ФЗ) — любая информация, относящаяся прямо или косвенно к определённому физическому лицу. Для пациента это ФИО, дата рождения, адрес, СНИЛС, полис ОМС, диагноз, история болезни, результаты анализов.
Врачебная тайна (ст. 13 323-ФЗ) — сведения о самом факте обращения за медицинской помощью, о состоянии здоровья, диагнозе и иная информация, полученная при обследовании и лечении. Врачебная тайна шире: она защищает даже факт визита, когда человек, по сути, здоров.
Специальный статус данных о здоровье
По ч. 1 ст. 10 152-ФЗ данные о состоянии здоровья и сексуальной жизни — специальная категория. Их обработка по умолчанию запрещена, кроме исчерпывающего перечня исключений (ч. 2 ст. 10). Это ключевое отличие от обычной анкеты: клиника обязана иметь чёткое правовое основание для каждой операции с медданными, а цена ошибки — многократно выше (см. раздел о штрафах).
Законные основания обработки медицинских данных
Чтобы обрабатывать специальную категорию, нужно попасть в одно из исключений ч. 2 ст. 10 152-ФЗ. Для медицины основные основания такие.
Письменное согласие пациента
Согласие на обработку специальных категорий должно быть письменным, конкретным, информированным и добровольным (ст. 9 152-ФЗ). В форме обязательны: цели обработки, перечень данных, перечень действий, срок действия и порядок отзыва.
Три документа, которые путают чаще всего
В регистратуре обычно лежит один лист, и это главный источник претензий. На деле у клиники три разных документа с разными законами, разными реквизитами и разной судьбой при отзыве.
| Документ | Норма | О чём он | Что будет при отзыве |
|---|---|---|---|
| Информированное добровольное согласие на медицинское вмешательство | ст. 20 323-ФЗ | Пациент согласен на осмотр, процедуру, лечение | Отказ от вмешательства, лечение прекращается |
| Согласие на обработку персональных данных | ст. 9 152-ФЗ, письменная форма по ст. 10 | Клиника вправе собирать и хранить данные, включая сведения о здоровье | Обработка прекращается, кроме той, что идёт по другим основаниям |
| Согласие на разглашение врачебной тайны | ч. 3 ст. 13 323-ФЗ | Кому именно клиника вправе сообщать сведения: супругу, родственнику, работодателю, страховой | Клиника обязана перестать сообщать сведения названным лицам |
Врачебная тайна после смерти пациента
Здесь чаще всего опираются на устаревшее знание. По ч. 2 ст. 13 323-ФЗ разглашать сведения нельзя в том числе после смерти человека — это общее правило. Но с 2022 года действует исключение в ч. 3.1 той же статьи, появившееся после решения Конституционного Суда.
После смерти пациента сведения допускается сообщить по их запросу:
- супругу или супруге;
- близким родственникам — детям, родителям, усыновлённым и усыновителям, родным братьям и сёстрам, внукам, дедушкам и бабушкам;
- иным лицам, которых пациент указал в письменном согласии на разглашение врачебной тайны или в информированном добровольном согласии.
Ключевое условие — пациент при жизни не запретил такое разглашение. Эти же лица вправе получить медицинские документы и выписки из них. Отказывать им «потому что тайна» — ошибка, которая приводит к жалобам и судам ровно так же, как и лишнее разглашение.
Диагнозы с усиленным режимом: психиатрия, ВИЧ, наркология
Для части сведений одного 323-ФЗ мало — действуют отдельные законы, и режим строже общего:
- Психиатрическая помощь — Закон РФ от 02.07.1992 № 3185-1. Сам факт обращения к психиатру защищён наравне с диагнозом;
- ВИЧ-инфекция — Федеральный закон от 30.03.1995 № 38-ФЗ. Разглашение статуса создаёт не только правовой риск, но и прямой репутационный ущерб пациенту;
- Наркологическая помощь — специальные правила информирования законных представителей несовершеннолетних, отличные от общего порядка.
Практический вывод для информационной системы клиники: доступ к этим записям должен быть уже, чем к обычной карте. Если в медицинской информационной системе роль «регистратура» видит всю карту целиком, усиленный режим существует только на бумаге.
Обработка без согласия — когда это законно
По ч. 2 ст. 10 152-ФЗ согласие не требуется, если обработка ведётся в медико-профилактических целях, для оказания медицинской помощи лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну. Также без отдельного согласия допустима обработка для защиты жизни пациента, для целей обязательного медицинского страхования и в иных прямо предусмотренных законом случаях.
Данные сотрудников клиники
Данные работников обрабатываются на основании трудовых отношений (ст. 88 ТК РФ + 152-ФЗ). А вот медицинские данные сотрудников, полученные при обязательных медосмотрах, — это уже специальная категория и требуют собственного основания.
Обязательные документы медицинской организации
Медицинская организация всегда является оператором ПДн и обязана оформить комплекс документов.
Уведомление в Роскомнадзор
По ст. 22 152-ФЗ оператор обязан уведомить РКН до начала обработки. Освобождения по ч. 2 ст. 22 к медицине практически не применяются: обработка специальной категории требует уведомления в любом случае. Уведомление подаётся через портал РКН до начала обработки.
Минимальный пакет внутренних документов
| Документ | Основание |
|---|---|
| Политика обработки ПДн (публичная, на сайте) | п. 2 ст. 18.1 152-ФЗ |
| Положение об обработке и защите ПДн (внутреннее) | ст. 18.1 152-ФЗ |
| Приказ о назначении ответственного за обработку ПДн | ч. 1 ст. 22.1 152-ФЗ |
| Форма согласия пациента на обработку ПДн | ст. 9 152-ФЗ |
| Обязательство о неразглашении врачебной тайны (персонал) | ст. 13 323-ФЗ |
| Договор поручения при передаче данных подрядчикам | ст. 6 152-ФЗ |
| Перечень лиц, имеющих доступ к ПДн | ст. 18.1 152-ФЗ |
Политика конфиденциальности на сайте клиники
Если у клиники есть сайт с формой записи на приём, обратным звонком, онлайн-консультацией или личным кабинетом — публичная политика обработки ПДн обязательна, а ссылка на неё должна стоять рядом с каждой формой сбора данных. По нашим сканам сайтов, 69% сайтов собирают данные через формы без корректно оформленного согласия — а для медорганизации такой дефект стоит несопоставимо дороже из-за спецкатегории. Подробный разбор по клиникам — в материале что обязано быть на сайте медклиники.Данные ScanBase, 602 сайта, июнь 2026
Передача данных пациентов третьим лицам
Один из самых частых источников нарушений в медицине.
Когда передача законна без согласия
Исчерпывающий перечень случаев — в ч. 4 ст. 13 323-ФЗ. Ключевые: оказание медпомощи пациенту, который не способен дать согласие; угроза распространения инфекционных заболеваний; запрос органов дознания, следствия и суда; цели обязательного медицинского страхования; поступление пациента с признаками насильственных действий. За пределами этого перечня передача без согласия незаконна.
Подрядчики и медицинские информационные системы
МИС, лабораторные системы, облачные и телемедицинские сервисы — это поручители по ст. 6 152-ФЗ. С каждым нужен договор поручения на обработку ПДн, где закреплены перечень действий, запрет обрабатывать данные в иных целях и требования к безопасности. Поручитель не становится самостоятельным оператором — ответственность остаётся на клинике.
Технические меры и локализация
Уровень защищённости ИСПДн
Требования к техническим мерам задают Постановление Правительства № 1119 (уровни защищённости) и Приказ ФСТЭК № 21. Медданные — специальная категория, поэтому для большинства клиник актуален УЗ-3 или УЗ-4 в зависимости от типа угроз и числа субъектов. Конкретный уровень определяется классификацией ИСПДн, которую проводит сама организация.
Минимальный набор мер: назначенный ответственный за безопасность, разграничение прав доступа в МИС, антивирусная защита, резервное копирование, журналирование событий, шифрование при передаче по открытым каналам, ежегодный инструктаж персонала.
Локализация данных
По ч. 5 ст. 18 152-ФЗ первичный сбор и хранение данных граждан РФ должны вестись на серверах в России. Для медицины это критично при использовании зарубежных облачных и телемедицинских платформ: нужно проверить, где физически находятся серверы вашей МИС и лабораторной системы.
Права пациентов как субъектов ПДн
Пациент вправе знать, какие его данные обрабатываются и с какой целью, получить их копию, потребовать уточнения или удаления, отозвать согласие и обжаловать действия оператора в РКН или суде. На запрос об обрабатываемых данных оператор отвечает в срок, установленный ст. 20 152-ФЗ (по общему правилу 10 рабочих дней, с возможностью продления).
Штрафы и ответственность
С 30 мая 2025 года санкции по 152-ФЗ выросли многократно (ФЗ № 420-ФЗ, поправки в КоАП). Для медицины, где обрабатывается специальная категория, риски максимальные.
| Нарушение | Ст. 13.11 КоАП | Штраф для юрлица |
|---|---|---|
| Обработка ПДн без согласия | ч. 2 (повтор — ч. 2.1) | 300 000–700 000 ₽ (повтор 1–1,5 млн) |
| Обработка без законных оснований | ч. 1 | 150 000–300 000 ₽ |
| Нет политики обработки ПДн на сайте | ч. 3 | 30 000–60 000 ₽ |
| Нарушение локализации (хранение в РФ) | ч. 8 (повтор — ч. 9) | 1–6 млн (повтор 6–18 млн) |
| Утечка данных (1–10 тыс. / 10–100 тыс. / свыше 100 тыс. субъектов) | ч. 12–14 | 3–5 / 5–10 / 10–15 млн |
| Утечка специальных категорий (данные о здоровье) | ч. 16 | 10–15 млн |
| Повторная крупная утечка (оборотный штраф) | ч. 15, ч. 18 | 1–3% годовой выручки (25–500 млн) |
Отдельно — за разглашение врачебной тайны
Разглашение сведений ограниченного доступа наказывается по ст. 13.14 КоАП: граждане 5 000–10 000 ₽, должностные лица 40 000–50 000 ₽ (или дисквалификация до 3 лет), юридические лица 100 000–200 000 ₽. При отягчающих обстоятельствах наступает уголовная ответственность по ст. 137 УК РФ (нарушение неприкосновенности частной жизни) — вплоть до 5 лет лишения свободы. Санкции за утечку ПДн (ст. 13.11 КоАП) и за разглашение врачебной тайны применяются независимо друг от друга.
Что проверяет Роскомнадзор в клиниках
Типичные нарушения из практики проверок: нет политики обработки ПДн на сайте; форма онлайн-записи без ссылки на политику и без чекбокса согласия; данные хранятся на зарубежных серверах; нет договора поручения с МИС; персонал не ознакомлен с требованиями под подпись.
Чек-лист готовности к проверке
Отметьте выполненные пункты. Каждый невыполненный — потенциальный штраф.
Документы
Выполнено: 0/6
- ✓Уведомление в Роскомнадзор подано и актуально
- ✓Политика обработки ПДн опубликована на сайте, ссылка стоит у каждой формы
- ✓Положение об обработке ПДн утверждено приказом
- ✓Назначен ответственный за организацию обработки ПДн
- ✓Форма согласия пациента содержит цели, перечень данных, срок и порядок отзыва
- ✓С каждой МИС и лабораторией заключён договор поручения на обработку ПДн
Технические меры
Выполнено: 0/4
- ✓Определён уровень защищённости ИСПДн (классификация проведена)
- ✓Настроено разграничение прав доступа к данным в МИС
- ✓Резервное копирование и журналирование событий безопасности работают
- ✓Данные граждан РФ хранятся на серверах в России (проверены серверы МИС и лабораторий)
Персонал и процессы
Выполнено: 0/4
- ✓Сотрудники ознакомлены с требованиями под подпись, подписаны обязательства о неразглашении
- ✓Проведён инструктаж по врачебной тайне (не реже раза в год)
- ✓Ведётся журнал учёта обращений субъектов ПДн, описана процедура ответа
- ✓Задокументирован порядок действий при утечке (уведомление РКН в течение 24 часов)
Проверьте сайт клиники на соответствие 152-ФЗ
ScanBase за минуту покажет, собирают ли формы данные без согласия, есть ли политика и её ссылки, какие трекеры срабатывают и куда уходят данные. Документальную часть закроете по чек-листу выше
Запустить бесплатную проверку →Частые вопросы
Врачебная тайна (ст. 13 323-ФЗ) шире: она охватывает даже сам факт обращения за медпомощью, когда человек здоров. Персональные данные о здоровье (ст. 10 152-ФЗ) — специальная категория с усиленным режимом. Понятия пересекаются, но не идентичны.
Да. Согласие на медицинское вмешательство (ст. 20 323-ФЗ) не заменяет согласие на обработку персональных данных (ст. 9 152-ФЗ). Это два разных документа, и с 1 сентября 2025 года объединять их в один бланк нельзя: согласие на обработку персональных данных оформляется отдельно от иных подписываемых пациентом документов (ч. 1 ст. 9 152-ФЗ).
Нет. Отзыв согласия не влечёт удаления медицинской документации. По Приказу Минздрава № 408 от 03.08.2023 медкарта стационарного больного хранится 25 лет на бумаге (или 50 лет в МИС) — это самостоятельное законное основание для хранения.
Да. Поскольку клиника обрабатывает специальную категорию (данные о здоровье), освобождения из ч. 2 ст. 22 152-ФЗ фактически не применяются. Уведомление подаётся через портал РКН до начала обработки.
Да, в рамках обязательного медицинского страхования — это прямо предусмотрено 152-ФЗ (ст. 10) и ст. 13 323-ФЗ. Передача данных в целях ОМС (ФОМС, страховые медицинские организации) отдельного согласия пациента не требует.
По ст. 13.14 КоАП: граждане 5 000–10 000 ₽, должностные лица 40 000–50 000 ₽, юрлица 100 000–200 000 ₽. При отягчающих обстоятельствах — уголовная ответственность по ст. 137 УК РФ, вплоть до 5 лет лишения свободы. Отдельно клиника отвечает за утечку ПДн по ст. 13.11 КоАП (при утечке спецкатегории — 10–15 млн ₽).
Как правило, УЗ-3 или УЗ-4 — зависит от типа актуальных угроз и числа субъектов. Конкретный уровень определяется классификацией ИСПДн, которую проводит сама организация по ПП № 1119 и Приказу ФСТЭК № 21.
Да, это обязанность по п. 2 ст. 18.1 152-ФЗ. Если на сайте есть любая форма сбора данных (запись на приём, обратный звонок, личный кабинет), нужно опубликовать политику, разместить ссылку на неё у каждой формы и получать явное согласие (непредзаполненный чекбокс) до отправки.
Нормативная база
- Федеральный закон № 152-ФЗ «О персональных данных»: ст. 3, 6, 9, 10, 18, 18.1, 20, 22, 22.1
- Федеральный закон № 323-ФЗ «Об основах охраны здоровья граждан»: ст. 13, 20
- КоАП РФ: ст. 13.11, ст. 13.14; ФЗ № 420-ФЗ (поправки в силе с 30.05.2025)
- УК РФ: ст. 137
- Постановление Правительства № 1119; Приказ ФСТЭК № 21
- Приказ Минздрава России № 408 от 03.08.2023 (сроки хранения медицинской документации)
Соблюдение 152-ФЗ в медицине — это непрерывный процесс, а не разовая задача. Главные точки риска: онлайн-формы на сайте, договоры с подрядчиками и хранение данных на зарубежных платформах. С технической проверки сайта удобно начать: базовый разбор закона — в статье 152-ФЗ простыми словами.