Люблинский районный суд Москвы обязал ООО «Медицинская клиника «НАКФФ» заплатить штраф по ч. 16 ст. 13.11 КоАП РФ — от 10 до 15 млн рублей — за неправомерное распространение персональных данных 6341 пациента, включая сведения о состоянии здоровья. Об этом сообщает отраслевое издание Vademecum; детали процесса подтверждает и SecurityPost.
Что произошло
По материалам дела, неустановленные третьи лица совершили намеренные действия, направленные на уничтожение или обход средств защиты персональной информации в медицинских информационных системах клиники — «Медиалог» и «1С: Зарплата и управление персоналом». В результате атаки утекли данные 6341 человека. Клиника выявила инцидент собственными силами, в тот же день уведомила Роспотребнадзор и обратилась в полицию с заявлением о преступлении.
Почему ссылка на кибератаку не освободила от штрафа
Суд не принял факт внешней атаки как основание для освобождения от ответственности и отказался заменить штраф предупреждением. Позиция суда прямая: обязанность защищать персональные данные пациентов лежит на операторе данных независимо от того, кто и как эти данные похитил, — атака третьих лиц не снимает ответственности с клиники, если защита оказалась недостаточной.
Для оператора медицинских данных «нас взломали» — не оправдание перед Роспотребнадзором, а повод объяснить, почему защита не выдержала.
Что это значит для клиник и разработчиков МИС
Дело НАКФФ — не единичный случай: по данным той же отрасли, Россия входит в число стран с наибольшим числом утечек в медицине, а особые категории персональных данных (сведения о здоровье) требуют повышенного уровня защиты по 152-ФЗ. Для клиник это означает три практических вывода: регулярный аудит доступа к МИС и смежным системам (включая бухгалтерские и кадровые, как в случае НАКФФ), раздельное хранение и шифрование чувствительных полей, и готовый план уведомления Роспотребнадзора в течение суток — промедление увеличивает риски при любом разборе инцидента.
Если в клинике нет независимой оценки защищённости МИС и смежных систем, с этой задачей как раз работает команда YUSMP Group — прежде чем регулятор найдёт слабое место за вас.