Персональные данные пациентов: оборотные штрафы и порядок в клинике

Персональные данные пациентов давно перестали быть формальностью для проверяющих: за повторную утечку теперь можно получить штраф, привязанный к годовой выручке. Я сам веду клиники и знаю, что данные уходят не к хакерам, а через обычную рабочую суету. Дальше разберу, где именно это происходит, как мы закрыли эти места и что можно сделать у себя без всяких систем.

Что изменилось: штраф теперь считается от выручки

С 30 мая 2025 года за утечки персональных данных действуют повышенные штрафы, а за повторную утечку предусмотрен оборотный штраф от 1 до 3 % годовой выручки. Это следует из Федерального закона от 30.11.2024 № 420-ФЗ и статьи 13.11 КоАП РФ.

Для владельца клиники тут две вещи.

• Штраф перестал быть «ценой вопроса». Раньше многие считали так: проверка приходит редко, сумма небольшая, можно не торопиться. Оборотный штраф устроен иначе. Чем больше клиника зарабатывает, тем больнее ошибка.
• Повторность бьёт по тем, кто «разобрался и забыл». Первая утечка может случиться у любого. Вопрос в том, что после неё изменилось в процессах. Если ничего, вторая история обойдётся намного дороже.

Я не юрист и закон пересказывать не стану. Покажу другое: как выглядит порядок в клинике, который не зависит от того, кто сегодня на ресепшене и в каком он настроении.

Где в клинике реально теряются данные

Говоря об утечках, все представляют взлом сервера. В частной клинике картина прозаичнее. Данные уходят там, где людям надо быстро работать, а удобный путь оказывается небезопасным.

Рабочие чаты

Администратор просит коллегу перезвонить пациенту и пересылает номер в общий чат. Через месяц в этом чате десяток людей, часть из них уже не работает в клинике, а история переписки лежит на личных телефонах. Это самый частый источник. Никто не хотел ничего нарушать, просто так быстрее.

Сайт

На странице врача публикуют больше, чем нужно: сканы дипломов, номера документов, протоколы. Кто-то добавил файл «для солидности» и забыл о нём. Хуже всего, когда ссылку со страницы убрали, а сам файл остался в открытой папке и находится поиском.

Заявки с сайта

Форма обратной связи отправляет имя, телефон и комментарий пациента по цепочке: на почту, в мессенджер, в таблицу, иногда ещё в пару сервисов. Каждое звено — отдельное место хранения чужих данных, и не все они стоят там, где требует закон.

Доступы

Пароли от кабинетов, логины, ключи доступа летают в личных сообщениях и записываются на стикерах. Сотрудник уволился, а доступ остался.

Каждая из этих дыр стоит денег двумя способами. Первый — прямой риск штрафа. Второй — время, которое уходит на «пожарные» разбирательства, когда пациент вдруг получил чужое сообщение или звонок от незнакомых людей.

Персональные данные пациентов: порядок должен держаться на системе, а не на памяти

Из моей практики: инструкция, которую сотрудники «должны помнить», не работает. Работают только ограничения, встроенные в сам процесс. Если нарушить правило технически нельзя, надеяться на дисциплину не приходится.

Поэтому порядок с персональными данными пациентов мы строим на трёх принципах.

1. Минимум. Каждый сотрудник видит только то, что нужно для его задачи. Не больше.
2. Проверка в момент действия. Не отчёт раз в квартал, а контроль на самой отправке сообщения или публикации страницы.
3. Понятный владелец решения. Исключения возможны, но только с явным согласием конкретного человека, владельца, а не «кто-нибудь разрешил в чате».

Как это выглядит на практике, расскажу дальше.

Как это устроено в клиниках, где работает система

Ниже четыре процесса, которые у нас закрывают самые частые места утечек. Для каждого указано, что мерится, кто решает и чего система не делает.

Телефон пациента не появляется в рабочих чатах

Полный номер телефона пациента в рабочих чатах не показывается никогда. В списках сотрудник видит маскированный хвост номера, полное имя и дату рождения. Чтобы понять, о каком пациенте речь, этого хватает, а переписать контакт к себе уже не получится.

Чтобы позвонить, сотрудник открывает карточку пациента в CRM и звонит оттуда. Проверка стоит на самой отправке сообщения: если в тексте окажется полный номер, сообщение не уйдёт.

• Что мерится: наличие полного номера в исходящем сообщении.
• Кто решает: правило задаёт владелец клиники, сотрудник его не отключает.
• Чего система не делает: не читает личную переписку сотрудников вне рабочих каналов и не принимает решений о пациентах.

О враче на сайте — только обязательный набор

На странице врача публикуется обязательный набор сведений и ни строчкой больше. Без номеров дипломов и протоколов. Сканы документов выкладываются только при отдельном согласии самого врача.

Есть деталь, которую забывают чаще всего: если материал решено убрать, удалить ссылку мало. Файл выносится из публичной папки, а потом проверяется, что по прежнему адресу он не открывается. Иначе «удалённый» документ ещё долго остаётся доступным.

• Что мерится: открывается ли файл по старому адресу после удаления.
• Кто решает: о публикации скана решает сам врач, письменным согласием.
• Чего система не делает: не размещает сведения «на всякий случай» и не добавляет ничего сверх обязательного набора.

Заявка с сайта: полные данные в одном месте

Полная заявка уходит письмом на почтовый сервер, расположенный в России. Дело в том, что персональные данные граждан России должны записываться и храниться в базах на территории России, это сказано в законе о персональных данных. А если клиника всё же передаёт данные за границу, оператор должен заранее уведомить об этом Роскомнадзор.

В рабочий мессенджер приходит только номер заявки и текст обращения, без имени, телефона и ссылки на данные. Администратор видит, что поступила заявка, и открывает её уже в защищённом месте.

• Что мерится: куда именно ушли данные и нет ли их в сторонних каналах.
• Кто решает: что считать допустимым каналом, решает владелец клиники.
• Чего система не делает: не дублирует заявки в посторонние сервисы и не отправляет данные за границу.

Пароли и ключи доступа

Пароли, логины и ключи доступа не передаются никуда без явного согласия владельца. Ни в чат, ни в письмо, ни подрядчику. Если доступ нужен, владелец сам решает, кому, на какой срок и в каком объёме.

• Что мерится: наличие учётных данных в исходящих сообщениях и документах.
• Кто решает: только владелец.
• Чего система не делает: не хранит чужие пароли «для удобства» и не раздаёт их по запросу.

Что сделать завтра, даже без нашей системы

Для порядка с данными большой проект не нужен. Начать можно с одного рабочего дня и обычного блокнота.

1. Просмотрите рабочие чаты. Найдите, где лежат полные телефоны пациентов. Договоритесь, что в чатах пишут имя и дату рождения, а звонят из карточки пациента. Старые сообщения с номерами очистите.
2. Откройте сайт глазами постороннего. Пройдите по страницам врачей. Всё, что выходит за обязательный набор сведений, уберите. Сканы документов оставляйте только при письменном согласии врача.
3. Проверьте, что удалённое действительно удалено. Возьмите старый адрес файла и откройте его в окне, где вы не авторизованы. Открылся — значит, файл всё ещё публичный.
4. Проследите путь заявки. Отправьте тестовую заявку с сайта и посмотрите, по скольким адресам она разошлась. Каждое место хранения нужно либо обосновать, либо убрать. Заодно выясните, где физически находятся почта и база, куда падают данные.
5. Наведите порядок с доступами. Составьте список: кто, куда и какой пароль знает. Уволенным закройте всё сразу. Договоритесь, что пароли не передаются в мессенджерах.
6. Назначьте ответственного. Не «всех», а конкретного человека, который знает, что делать при подозрении на утечку.

Эти шесть шагов не требуют закупок. Нужны внимание руководителя и пара часов.

Если утечка всё-таки произошла: первые сутки

Инцидент может случиться в любой клинике: потерян телефон, письмо ушло не тому адресату, сотрудник выгрузил базу. Сроки на этот случай закон задаёт жёсткие. Об утечке персональных данных оператор обязан уведомить Роскомнадзор в течение 24 часов, а результаты расследования передать в течение 72 часов.

Получается, что план действий нужен заранее, а не в момент кризиса. Хватит короткой памятки на одну страницу:

• Кому сотрудник сообщает о подозрении и как быстро;
• Кто принимает решение об уведомлении надзорного органа;
• Кто собирает факты: что ушло, к кому, по какому каналу, когда;
• Кто готовит итоговые материалы расследования;
• Что делается с доступами и каналами, через которые произошла утечка.

Если причины и каналы известны заранее (чаты, сайт, заявки, доступы), расследование идёт быстрее. Так что порядок, о котором мы говорили выше, помогает вдвойне: снижает вероятность утечки и сокращает время на разбор, если она всё же случилась.

Границы и спокойный вывод

Никакая система не заменяет решений человека. Она не определяет, кому из врачей публиковать скан диплома, не решает, передавать ли данные подрядчику, и не отвечает за юридическую оценку каждой ситуации. Её дело — сделать так, чтобы очевидные ошибки нельзя было совершить по невнимательности.

Для владельцев клиник в Москве, Подмосковье, Твери и Тверской области ситуация в целом одинакова: проверки и ответственность не зависят от размера города, а привычки сотрудников везде похожи. Клиника с понятными правилами и несколькими простыми блокировками спокойнее переносит и проверку, и неудачный день.

Порядок с данными не стоит бояться. Его достаточно один раз выстроить и дальше просто не давать ему разрушаться.

Начните с чатов и сайта: именно там чаще всего находятся первые проблемы. А дальше решайте, что из этого вы готовы закрепить в процессе, а не держать в голове у администратора.