Медицинские организации оперируют наиболее чувствительными категориями персональных данных: сведениями о здоровье, диагнозах, результатах анализов и лечении. Любая ошибка в обращении с такими данными влечёт жёсткую реакцию регуляторов: совокупные штрафы могут достигать 2 миллионов рублей и выше.
При этом большинство нарушений — не злой умысел, а следствие системных пробелов: формальных документов, отсутствия обучения персонала, бесконтрольного использования мессенджеров и слабого разграничения доступа.
Ниже — топ ошибок, которые чаще всего приводят клинику к штрафам, и что нужно сделать, чтобы их избежать.
Ошибка 1. Нет корректного уведомления о работе с персональными данными
Во многих клиниках ситуация с уведомлением регулятора складывается по одному из следующих сценариев:
• уведомление не подавалось вовсе;
• данные в реестре давно устарели;
• указанные цели и состав ПДн не соответствуют реальной работе клиники.
Это самостоятельное нарушение, которое создаёт почву для штрафов уже на старте проверки.
Что делать
• Проверить наличие и актуальность записи о клинике в реестре операторов ПДн.
• Сравнить фактические процессы обработки с тем, что указано в уведомлении.
• При необходимости подать уведомление впервые или внести изменения.
Ошибка 2. Формальная политика по персональным данным, оторванная от реальности
Типичная картина: политика обработки персональных данных «лежит» на сайте и у юриста, но написана по шаблону, не отражает конкретики медорганизации, не содержит реального перечня систем и сроков хранения и давно не обновлялась — хотя клиника запустила новые сервисы и IT-решения. При проверке сразу видно, что политика существует отдельно, а реальные процессы — отдельно. Это воспринимается как системное нарушение.
Что делать
• Переписать политику под реальную структуру и процессы клиники.
• Синхронизировать её с другими локальными актами.
• Актуализировать документ при изменении процессов и внедрении новых сервисов.
Ошибка 3. Неверно оформленные согласия пациентов и сотрудников
Согласия — один из ключевых юридических инструментов, и здесь чаще всего допускают ошибки: используют устаревшие формы, «зашивают» в одно согласие слишком много целей, применяют слишком общие или юридически уязвимые формулировки, не привязывают согласия к конкретным видам услуг. В итоге при споре или проверке оказывается, что согласие формально есть, но его нельзя признать надлежащим основанием для обработки.
Что делать
• Провести ревизию всех действующих бланков согласий.
• Разделить согласия по целям.
• Обеспечить соответствие согласий реальным процессам обработки данных.
Ошибка 4. Отсутствие реального разграничения доступа к медицинской информации
На бумаге в клинике всё выглядит правильно: есть приказы, уровни доступа и назначенные ответственные. Но на практике сотрудники используют общий логин, пароли не меняются годами, доступ выдаётся «на всякий случай», а действия пользователей не анализируются. В такой системе практически невозможно установить источник утечки.
Что делать
• Настроить отдельные учётные записи.
• Регламентировать подключение и отключение доступа.
• Внедрить журналирование действий пользователей.
• Регулярно анализировать логи доступа.
Ошибка 5. Нет понятного порядка реагирования на инциденты и утечки
Даже при наличии хороших документов инциденты возможны. Проблемы возникают, когда сотрудники не понимают, что считать инцидентом, никто не знает порядок действий, отсутствует ответственный за реагирование, а о факте утечки узнают слишком поздно. Отсутствие алгоритма воспринимается как отсутствие организационных мер защиты.
Что делать
• Утвердить внутренний регламент реагирования.
• Обучить сотрудников на практических примерах.
• Назначить ответственных за обработку инцидентов.
Ошибка 6. Использование мессенджеров и личных телефонов без правил
Мессенджеры стали одним из главных источников нарушений: скриншоты с данными пациентов уходят в общие чаты, результаты анализов отправляются через личные аккаунты, фотографии документов хранятся на личных устройствах. Даже без злого умысла клиника фактически теряет контроль над персональными данными.
Что делать
• Закрепить правила использования мессенджеров в локальных актах.
• Запретить передачу чувствительных данных через незащищённые каналы.
• Внедрить контролируемые инструменты для рабочих коммуникаций.
Ошибка 7. Отсутствие системного обучения сотрудников
На уровне документов сотрудники «обязаны соблюдать правила», но фактически никто не объяснял, что именно нельзя делать, не разбирались реальные примеры нарушений, не отрабатывались сценарии общения с пациентами. Сотрудник, не понимающий границ допустимого, почти неизбежно допустит нарушение.
Что делать
• Внедрить регулярное обучение по персональным данным.
• Фиксировать прохождение обучения.
• Обновлять материалы с учётом изменений законодательства и практики.
Ошибка 8. Хаос в бумажной документации и медицинских картах
Даже при электронном документообороте бумажные документы создают серьёзные риски: карты пациентов хранятся в открытом доступе, архивы не закрываются, движение документов не контролируется, порядок уничтожения отсутствует. Даже одна потерянная медицинская карта может повлечь серьёзные претензии.
Что делать
• Организовать закрытое хранение документов.
• Регламентировать порядок выдачи и уничтожения.
• Проводить регулярные внутренние проверки.
Ошибка 9. Игнорирование роли подрядчиков и внешних сервисов
Многие клиники передают данные пациентов подрядчикам, не оценивая юридических последствий: колл-центр получает доступ к данным без строгих условий, IT-подрядчики работают без требований по ПДн в договоре, облачные сервисы не упомянуты в локальных актах. При инциденте ответственность перед пациентами и регуляторами несёт именно клиника.
Что делать
• Проверить договоры с подрядчиками.
• Включить положения о конфиденциальности и защите ПДн.
• Убедиться, что внешние сервисы соответствуют требованиям безопасности.
Ошибка 10. Отсутствие регулярного внутреннего аудита по персональным данным
Самая опасная системная ошибка — не проверять ничего, пока «всё работает». Именно так накапливаются десятки мелких нарушений, которые при проверке превращаются в серьёзные штрафы.
Зачем нужен внутренний аудит
Внутренний аудит позволяет:
• вовремя выявлять слабые места;
• понимать, где сотрудники работают «по привычке»;
• подготовиться к проверкам регуляторов;
• снизить риск крупных санкций.
Даже базовый чек-лист помогает увидеть реальные проблемы до прихода регулятора.
Как надёжно защитить клинику: документы и обучение вместо штрафов
Большинство рисков можно существенно снизить, выстроив системную работу с персональными данными. Для этого необходимо:
• привести в порядок документы по персональным данным;
• обучить сотрудников правилам работы с данными;
• внедрить внутренний контроль и аудит.
Самостоятельно выстроить такую систему сложно и долго — особенно без постоянного погружения в законодательство. Решением становится готовый комплект документов и обучение, адаптированные под медицинскую организацию.