В 2026 году контроль за обработкой персональных данных стал жёстче: проверок больше, требования строже, а штрафы — ощутимее. Особенно это касается медицинских организаций, работающих с чувствительной информацией о здоровье пациентов.
Что считается персональными данными?
По закону № 152-ФЗ, это любая информация, позволяющая прямо или косвенно идентифицировать человека. Основные категории:
- Общие данные — ФИО, дата рождения, адрес, телефон, ИНН, СНИЛС, паспортные данные, место работы.
- Специальные данные — сведения о здоровье, национальность, политические взгляды, судимость.
- Биометрия — фото, рост, отпечатки, иные уникальные признаки.
- Дополнительные данные — например, стаж, соцстатус и др.
Обязательное уведомление Роскомнадзора
Перед началом обработки персональных данных организация обязана уведомить Роскомнадзор. Уведомление рассматривается в течение 30 дней, после чего вы вноситесь в реестр операторов. Отсутствие уведомления — основание для штрафа до 300 000 ₽.
Кто контролирует?
Проверки проводят Роскомнадзор, прокуратура, трудовые и профильные ведомства. Возможны как плановые, так и внеплановые визиты.
Особенности для медицинских организаций
Клиники обрабатывают специальные категории данных — в первую очередь, информацию о здоровье. Это требует повышенного уровня защиты. Необходимы:
- Полный пакет документов.
- Техническая защита информационных систем.
- Настроенные регламенты на случай инцидента.
- Обучение сотрудников.
В 2024 году в открытый доступ попали 680 млн записей. Более 4,6 млн ₽ — сумма штрафов только по медорганизациям в 2023 году.
Типовые нарушения и штрафы
Организации штрафуют не только за утечки, но и за формальный подход к документообороту. Основные риски:
- Отсутствие или устаревшие политики обработки данных.
- Подписи «для галочки» без объяснения сути согласий.
- Неведение журналов, отсутствие назначенных ответственных.
- Слабая техническая защита и непонимание процедур реагирования.
Штрафы:
- Первое нарушение — до 700 000 ₽
- Повторное — до 1,5 млн ₽
В некоторых случаях возможно гражданское или уголовное преследование.
Как минимизировать риски?
- Обновите документацию — все положения, согласия и приказы должны быть актуальны.
- Обучите персонал — сотрудники должны понимать, за что они отвечают.
- Настройте внутренний аудит — контроль поможет выявить слабые места.
- Разработайте план реагирования — что делать в случае утечки или жалобы.
Что должно быть в наличии?
- Политика обработки персональных данных.
- Формы согласий — отдельно для сайта, пациентов, сотрудников.
- Приказы и акты: о назначении ответственных, инструктажи, журналы.
- Инструкции по допуску, защите и удалению данных.
- Уведомление Роскомнадзора (с подтверждением из реестра).