Штраф за утечку специальной категории персональных данных — 10–15 млн рублей, за повторную наказывают процентом от годовой выручки. Показываю, почему для клиники это не абстракция и где я чаще всего нахожу дыры.
Пока читаете — заберите разбор своих звонков бесплатно. Мы возьмём до 100 реальных разговоров ваших администраторов, разметим по медицинскому чек-листу и покажем в АБ-отчёте, где теряются записи и сколько это стоит вам в рублях. Плюс 30 минут разбора со мной. Без оплаты, карты и договора — оставить заявку.
Шкала действует с 30 мая 2025 года — её ввёл Федеральный закон от 30.11.2024 № 420-ФЗ. К августу 2026 года она отработала больше года, и главное, что стоит знать руководителю клиники: медицинские данные наказываются не по общему составу, а по усиленному.
Действующие суммы
Общий состав по статье 13.11 КоАП для организаций — от 150 000 до 300 000 ₽, при повторном нарушении от 300 000 до 500 000 ₽. Но клиники интересует не он.
Специальные составы за утечку выглядят так:
- Утечка данных 1 000–10 000 субъектов — 3–5 млн ₽
- Утечка данных 10 000–100 000 субъектов — 5–10 млн ₽
- Утечка данных более 100 000 субъектов — 10–15 млн ₽
- Утечка специальной категории данных — 10–15 млн ₽
- Утечка биометрии — 15–20 млн ₽
- Неуведомление об утечке — 1–3 млн ₽
- Неуведомление о намерении обрабатывать персданные — 100–300 тыс. ₽
- Повторная утечка — от 1 до 3 % годовой выручки, не меньше 20–25 млн и не больше 500 млн ₽
Обратите внимание на четвёртую строку. Для спецкатегории размер штрафа не зависит от числа пострадавших: там сразу верхняя вилка. Утекли данные десяти пациентов или десяти тысяч — состав один.
Почему это касается любой клиники
Сведения о состоянии здоровья закон относит к специальной категории персональных данных. На практике это значит, что под усиленный состав попадает почти всё, с чем клиника работает ежедневно:
- медицинская карта и любые записи о диагнозе;
- запись на приём с указанием специальности врача — потому что «пациент записан к онкологу» само по себе говорит о здоровье;
- переписка администратора с пациентом в мессенджере;
- записи телефонных разговоров, где пациент называет жалобу.
Последний пункт руководители недооценивают чаще всего. Клиника ставит запись разговоров ради качества обслуживания и не всегда учитывает, что созданный архив — это хранилище специальной категории персданных со всеми вытекающими обязанностями.
Скидки больше нет
Отдельное изменение, которое легко пропустить: к штрафам по статье 13.11 не применяется правило о 50-процентной скидке за быструю уплату. Раньше значительная часть административных штрафов гасилась вдвое, если заплатить в короткий срок. Здесь этот механизм отключён — сумма из постановления и есть сумма к уплате.
Плюс появились отдельные составы за нарушения при обработке биометрических данных (статья 13.11.3 КоАП).
Где у клиник обычно дыры
За годы работы с клиниками я почти не видел уязвимостей, которые выглядели бы как «взлом». Они выглядят как обычная рабочая практика, которую никто не пересматривал:
Личные мессенджеры сотрудников. Администратор пересылает фото направления в свой личный чат, чтобы «не потерять». Формально данные уже покинули контур клиники.
Общие пароли и общий доступ. Один логин в МИС на смену — и определить, кто выгрузил базу, невозможно в принципе.
Записи разговоров без правил хранения. Архив есть, срок хранения не определён, доступ имеет любой, кто знает адрес папки.
Уволенные сотрудники. Доступы отключаются не в день увольнения, а «когда дойдут руки».
Подрядчики. Маркетолог на аутсорсе получил выгрузку контактов для рассылки — и в договоре с ним ничего про обработку персданных не сказано.
Мой тест на одну минуту
Мы приходим в клиники ради качества обслуживания, но почти всегда первым делом упираемся в вопрос, как устроено хранение записей разговоров. И это правильный порядок: прежде чем анализировать разговоры, надо понимать, на каком основании они у вас лежат и кто имеет к ним доступ.
Тест простой. Спросите у своих, сколько человек в клинике прямо сейчас может скачать архив звонков за прошлый месяц. Если в ответе прозвучало «ну, айтишник и, наверное, старший администратор» — вот это и есть ваш реальный периметр. Не тот, что описан в положении об обработке персданных.
Что проверить на этой неделе
Минимальный аудит, который не требует бюджета и делается силами клиники:
- Уведомление в Роскомнадзор о намерении обрабатывать персданные — подано ли вообще. Неуведомление это отдельный состав.
- Перечень мест, где физически лежат данные пациентов: МИС, телефония, CRM, мессенджеры, диски, бумажные карты.
- Список тех, у кого есть доступ к каждому из этих мест, — поимённо, а не по должностям.
- Согласия пациентов на обработку и на запись разговоров: где хранятся, кем собираются, что в них написано.
- Договоры с подрядчиками, которые видят данные пациентов, — есть ли в них поручение на обработку.
- Срок хранения записей разговоров и порядок их удаления. Если система контроля 100 % звонков уже работает, правила хранения должны быть частью её регламента, а не отдельной устной договорённостью.
Коротко
Медицинские данные попадают в специальную категорию, и штраф за их утечку составляет 10–15 млн ₽ независимо от числа пострадавших. Повторная утечка считается процентом от годовой выручки с нижней границей в 20–25 млн ₽. Скидка за быструю уплату к этим штрафам не применяется, а отдельное наказание предусмотрено просто за то, что об утечке не сообщили.
Хорошая новость в том, что большинство типовых дыр закрывается организационно: разграничением доступа, письменными правилами хранения и порядком отключения уволенных. Это не требует денег — только решения собственника.
Начните с того, что у вас уже записано
Архив разговоров есть почти в каждой клинике, и почти никогда никто не смотрел, что в нём лежит и кто его слушает. Разбор — самый простой способ увидеть обе стороны сразу: и содержание разговоров, и то, как с ними обращаются.
Мы возьмём до 100 ваших реальных звонков, разметим по медицинскому чек-листу и покажем в АБ-отчёте, где теряются записи и сколько это стоит в рублях. Тридцать минут разбора со мной, без оплаты, карты и договора.
Оставить заявку на бесплатный разбор звонков
Материал носит информационный характер и не заменяет юридическую консультацию. Размеры штрафов приведены по действующей редакции КоАП — сверяйтесь с актуальной.
