Утечка медицинских данных: как клинике снизить риски

Утечка персональных данных пациента — это не абстрактный ИТ-риск где-то на периферии, а конкретная операционная и юридическая угроза, которая реализуется у рядовых клиник каждый месяц: через слабую МИС, незащищённый личный кабинет или сотрудника, переславшего выписку не туда. Разбираемся, откуда берутся такие инциденты и что клинике внедрить уже в этом квартале, чтобы не оказаться следующей в сводке Роскомнадзора.

Коротко: большинство утечек в клиниках происходит не из-за хакеров-одиночек, а из-за разрозненных точек риска — устаревшего ПО, мобильных приложений без контроля доступа и персонала без обучения. Закрыть основной объём риска можно без капитального ремонта ИТ-инфраструктуры: разграничение доступа по ролям, шифрование данных, журналирование действий и регламент на случай инцидента дают основной эффект уже в первые недели внедрения.

Что считается утечкой персональных данных пациента по закону?

С точки зрения 152-ФЗ «О персональных данных» утечкой считается любое неправомерное или случайное раскрытие, распространение, уничтожение или блокирование персональных данных без законного основания — независимо от того, произошло это из-за взлома, ошибки сотрудника или потери носителя. Данные о здоровье пациента относятся к специальной категории персональных данных: закон требует для их обработки письменного согласия и повышенных мер защиты. Параллельно действует 323-ФЗ «Об основах охраны здоровья граждан» — он формирует понятие врачебной тайны и ограничивает круг лиц, которым вообще можно раскрывать сведения о диагнозе, факте обращения и ходе лечения.

Разглашение без согласия пациента допустимо только в узком перечне случаев: по запросу следственных органов и суда, при угрозе распространения заболеваний, представляющих опасность для окружающих, при обмене информацией между медицинскими организациями в рамках оказания помощи самому пациенту и в ещё нескольких строго определённых законом ситуациях. Во всех остальных случаях — включая маркетинговые рассылки, передачу данных подрядчикам без договора о конфиденциальности или публикацию кейсов с узнаваемыми деталями — требуется отдельное согласие.

Откуда на самом деле берутся утечки в клинике

На практике утечка — почти никогда не результат целенаправленной хакерской атаки на конкретную клинику. Куда чаще это накопленный эффект мелких недоработок, которые годами никто не считал критичными.

Технические уязвимости

Устаревшее ПО без обновлений безопасности, медицинское оборудование с заводскими паролями, слабо защищённая МИС или CRM с общим логином на всю регистратуру — классический набор точек входа. Отдельная и часто недооценённая категория — мобильные приложения и личные кабинеты пациентов: если в них не продуман контроль доступа на уровне архитектуры, приложение превращается в готовый канал утечки, даже если сам сервер клиники защищён хорошо.

Человеческий фактор

Сотрудник, переславший выписку на личную почту «чтобы было под рукой», администратор, оставивший сессию МИС открытой на ресепшене, или новый врач, не подписавший соглашение о неразглашении, — всё это создаёт риск, который не закрывается никаким антивирусом. По данным отраслевых разборов инцидентов, человеческий фактор фигурирует в большинстве случаев утечек в медицинских организациях наравне с техническими причинами, а не как второстепенный фон.

Чем это грозит клинике — ответственность и штрафы в 2026 году

Ответственность за утечку персональных данных пациентов в России многоуровневая. Административная ответственность по ст. 13.11 КоАП РФ предусматривает штрафы для юридических лиц, которые с учётом ужесточений последних лет измеряются миллионами рублей за один эпизод, а при повторном нарушении — кратно выше. Гражданская ответственность означает иски от самих пациентов о компенсации морального вреда — и суды всё чаще встают на их сторону, если клиника не может подтвердить, что приняла разумные меры защиты. Уголовная ответственность по ст. 137 УК РФ («Нарушение неприкосновенности частной жизни») применяется реже, но становится реальной перспективой, если доказан умысел или грубая халатность должностного лица.

Типичный сценарий после инцидента выглядит так: клиника узнаёт об утечке не от своей ИТ-службы, а из жалобы пациента или запроса Роскомнадзора; начинается проверка, в ходе которой выясняется, что согласия на обработку данных оформлены формально, а логи доступа к МИС не велись вовсе. Дальше — предписание, штраф, и репутационный удар, который по стоимости для клиники обычно выше самого штрафа: пациенты уходят к конкурентам, у которых такой истории не было.

Технические меры защиты, которые реально работают

Полностью исключить риск нельзя, но его можно снизить до управляемого уровня несколькими мерами, которые окупаются уже на горизонте года.

• Разграничение доступа по ролям. Врач видит карты своих пациентов, регистратор — расписание и контактные данные, администратор — настройки системы. Общий логин «на всю смену» — один из самых частых и самых дешёвых в устранении источников риска.
• Шифрование при передаче и хранении. Данные должны быть зашифрованы и в момент передачи между сайтом/приложением и сервером, и в состоянии покоя — в самой базе данных.
• Сертифицированные СЗИ. Средства защиты информации, прошедшие сертификацию ФСТЭК, — не формальность для галочки, а гарантия, что решение прошло независимую проверку на типовые классы уязвимостей.
• Хранение данных на серверах в РФ и соответствие требованиям ЕГИСЗ там, где клиника интегрируется с государственными медицинскими системами.

Отдельный практический узел — интеграция с МИС и кассовым ПО: именно на стыке систем чаще всего теряется контроль над тем, кто и зачем получил доступ к данным пациента. Если вы выстраиваете или пересматриваете архитектуру таких интеграций, разумно сразу закладывать контроль доступа и журналирование как часть интеграции сайта и МИС с кассовыми и учётными системами клиники, а не добавлять их постфактум, когда система уже работает в проде.

Почему мобильное приложение клиники — отдельная зона риска

Личный кабинет пациента, push-уведомления о приёме, онлайн-запись, хранение истории обращений в приложении — каждая из этих точек хранит или передаёт персональные данные, и каждая из них может стать источником утечки, если не продумана на старте. Распространённая ошибка — спроектировать приложение «как у всех», а контроль доступа, шифрование токенов сессии и разграничение ролей пристроить уже после релиза, когда это кратно дороже и рискованнее.

Правильная модель — закладывать защиту данных в архитектуру приложения на этапе проектирования, а не латать её патчами. Если задача стоит именно так, разумно обращаться к команде, которая проектирует мобильные приложения клиники с учётом защиты персональных данных пациентов — это касается и структуры API, и хранения токенов, и логики доступа к медкартам внутри самого приложения, а не только «обёртки» в виде красивого интерфейса.

Организационные меры: что должен делать персонал

Техника закрывает только часть риска — остальное решают процедуры и дисциплина персонала.

• NDA с каждым сотрудником, имеющим доступ к данным пациентов, — не формальная бумага, а реальный инструмент ответственности с понятными последствиями при нарушении.
• Регулярное обучение персонала базовым правилам цифровой гигиены: не пересылать данные пациентов через личные мессенджеры, не оставлять сессии МИС открытыми, сообщать о подозрительной активности сразу, а не «когда будет время».
• Регламент реагирования на инцидент — короткий понятный документ, где прописано, кто первым получает сигнал об утечке, в какие сроки уведомляется Роскомнадзор (закон требует сделать это оперативно) и кто координирует коммуникацию с пациентами.

Как клинике быстро проверить себя — чек-лист на 30 минут

Это не замена полноценному аудиту безопасности, но быстрый способ понять, где именно у клиники открыты самые очевидные дыры.

• Есть ли в МИС персональные логины у каждого сотрудника — или используется один общий?
• Шифруются ли данные при передаче между сайтом/приложением и сервером (проверяется протоколом HTTPS и настройками API)?
• Ведётся ли журналирование — кто и когда открывал карту конкретного пациента?
• Если у клиники есть мобильное приложение — продуман ли в нём контроль доступа к личному кабинету и истории обращений, а не только пароль на вход?
• Подписаны ли NDA со всеми сотрудниками и подрядчиками, имеющими доступ к данным пациентов?
• Есть ли письменный регламент действий на первые 24 часа после обнаружения утечки?
• Когда в последний раз пересматривался список людей с доступом к МИС — не остались ли права у уволенных сотрудников?

Если на два и более пункта ответ «нет» или «не знаю» — это сигнал, что защита данных в клинике держится на случайности, а не на системе.

Часто задаваемые вопросы

Нужно ли согласие пациента на обработку персональных данных при обращении за помощью?
Да, согласие требуется практически всегда, за исключением узкого перечня случаев из 323-ФЗ (экстренная помощь при угрозе жизни, когда пациент не может выразить волю, запросы суда и следствия и ещё несколько строго определённых ситуаций). На практике согласие оформляется при первом визите или регистрации в приложении клиники.

Что делать клинике в первые 24 часа после обнаружения утечки?
Зафиксировать факт и масштаб утечки, ограничить дальнейшее распространение (отключить скомпрометированный доступ, сменить пароли), подготовить уведомление в Роскомнадзор в установленный законом срок и начать внутреннее расследование причины — без расследования следующая утечка почти гарантирована.

Кто несёт ответственность — клиника или подрядчик, который разрабатывал МИС или сайт?
Перед пациентом и регулятором отвечает клиника как оператор персональных данных — именно она указана в согласиях на обработку. Ответственность подрядчика регулируется отдельным договором между ним и клиникой и не освобождает клинику от обязанностей перед законом.

Как часто нужно пересматривать меры защиты данных?
Минимум раз в год — плюс внепланово при любом значимом изменении: смене МИС, запуске нового приложения, расширении штата сотрудников с доступом к данным пациентов или после любого, даже незначительного, инцидента.

Снижение риска утечки — это не разовый проект, а системная работа на стыке технической архитектуры и внутренних регламентов клиники. Начать стоит с честного ответа на вопросы из чек-листа выше: там, как правило, и находится самая дешёвая и самая срочная точка роста.