ПДн пациента в страховой компании ОМС

Медицинская организация вправе передавать сведения о пациенте страховщику ОМС без его согласия только в случаях, прямо предусмотренных законом. Статья 13 Федерального закона № 323-ФЗ допускает раскрытие врачебной тайны без согласия пациента при проведении медицинской экспертизы, контроле качества медицинской помощи и расчётах за оказанные услуги в системе ОМС.

Статья 6 ФЗ-152 устанавливает одиннадцать оснований для обработки ПДн. Передача данных страховщику при расчётах за медицинскую помощь подпадает под исполнение обязательства, предусмотренного законом (п. 2 ч. 1 ст. 6 ФЗ-152), а не под согласие пациента. Однако это исключение работает строго в пределах целей: только те данные и только для той функции, которая закреплена в законе об ОМС.

Убедитесь, что в договоре с ТФОМС или страховщиком прямо указаны: цели обработки, перечень передаваемых категорий ПДн и получатель. Отсутствие этого условия — самостоятельное нарушение по ч. 1 ст. 13.11 КоАП (150–300 тыс. ₽ для юридического лица в редакции с 30.05.2025).

Информированное добровольное согласие (ИДС) на медицинское вмешательство по ст. 20 Федерального закона № 323-ФЗ и согласие на обработку персональных данных по ст. 9 ФЗ-152 — два разных документа с разными реквизитами. Смешивать их в одной форме с 01.09.2025 запрещено: ФЗ-156 от 24.06.2025 обязал оформлять согласие на ПДн отдельным документом.

Согласие на обработку ПДн пациента должно содержать: полное наименование оператора (медорганизации), цель обработки, перечень обрабатываемых данных с указанием категорий (включая сведения о состоянии здоровья как специальную категорию), перечень действий с данными, срок действия согласия и способ его отзыва. Согласие, включённое в текст договора об оказании платных услуг или напечатанное на обороте ИДС, не соответствует требованиям с 01.09.2025.

Проверьте действующие формы ИДС и первичной документации: если согласие на ПДн встроено в медицинскую форму — это нарушение ч. 2 ст. 13.11 КоАП, штраф для юрлица 300–700 тыс. ₽. Переработайте формы до первой проверки РКН.

Медицинская информационная система (МИС) является информационной системой персональных данных (ИСПДн) и должна соответствовать одному из уровней защищённости по ПП РФ № 1119 от 01.11.2012. Сведения о здоровье — специальная категория; при числе субъектов свыше 100 000 применяется УЗ-2, при меньшем — УЗ-3 как минимум. Конкретный уровень определяется типом актуальных угроз.

Передача данных из МИС в ЕГИСЗ и страховщику технически реализуется через защищённые каналы (шифрование, аутентификация). Состав технических мер определён в Приказе ФСТЭК № 21 от 18.02.2013: для специальных категорий ПДн обязательны меры по идентификации и аутентификации (ИАФ), управлению правами доступа (УПД), регистрации событий (РСБ), обеспечению целостности (ОЦЛ) и защите информационной системы (ЗИС).

Проверьте техническую документацию МИС у поставщика: он обязан предоставить аттестат соответствия или иной документ, подтверждающий выполнение требований ФСТЭК. Отсутствие организационно-технических мер по ст. 19 ФЗ-152 при последующей утечке через МИС лишает возможности применить смягчающие обстоятельства в арбитражном споре.

Страховая медицинская организация в системе ОМС выступает самостоятельным оператором ПДн застрахованных, а не обработчиком по поручению клиники. Это означает: договор об информационном взаимодействии должен разграничивать роли и ответственность. Если клиника передаёт данные страховщику по его запросу для экспертизы качества медицинской помощи — это самостоятельная обработка двух операторов, а не поручение.

Однако если страховщик привлекает третьих лиц для обработки переданных сведений — это уже поручение по ч. 3 ст. 6 ФЗ-152, которое требует отдельного договора с перечнем разрешённых действий, обязанностью соблюдения конфиденциальности и условием уничтожения ПДн по окончании обработки.

Практика показывает: при проверках РКН медицинских организаций отсутствие чёткого разграничения ролей в договоре со страховщиком фиксируется как нарушение ст. 18.1 ФЗ-152 (отсутствие мер по обеспечению исполнения оператором обязанностей). Включите в договор с ТФОМС и страховщиком отдельный раздел об обработке ПДн.

Медицинская организация обязана уведомить РКН о намерении обрабатывать ПДн до начала обработки (ст. 22 ФЗ-152). Уведомление подаётся через портал pd.rkn.gov.ru с использованием УКЭП или через ЕСИА. Форма утверждена Приказом РКН № 180 от 28.10.2022.

В уведомлении необходимо указать специальные категории ПДн как отдельный вид обрабатываемых данных, цели обработки (в том числе расчёты с ТФОМС, экспертиза качества медицинской помощи, ведение МИС), правовые основания и получателей — включая страховую медицинскую организацию и ЕГИСЗ. Неполное уведомление при последующей проверке приравнивается к ненадлежащему.

Неуведомление РКН о намерении обрабатывать ПДн — штраф по ч. 10 ст. 13.11 КоАП: 100–300 тыс. ₽ для юрлица. Если уведомление подано, но сведения в реестре не обновлены после изменения состава обработки — это отдельное нарушение.

По ч. 3.1 ст. 21 ФЗ-152 при выявлении неправомерной или случайной передачи ПДн оператор обязан уведомить РКН в течение 24 часов с момента обнаружения. Через 72 часа — направить отчёт о результатах внутреннего расследования по Приказу РКН № 187 от 14.11.2022. Оба срока не восстанавливаются.

Для медицинской организации утечка через МИС означает компрометацию специальных категорий ПДн: сведений о диагнозах, назначениях, лабораторных данных. Штраф по ч. 12 ст. 13.11 КоАП при утечке от 1 000 до 10 000 субъектов — 3–5 млн ₽; при 10 000–100 000 субъектов — 5–10 млн ₽ по ч. 13. Неуведомление РКН об утечке в установленный срок — дополнительный штраф 1–3 млн ₽ по ч. 11 ст. 13.11 КоАП.

Включите процедуру реагирования на инциденты в регламент обработки ПДн: кто фиксирует факт, кто направляет уведомление в РКН, кто готовит отчёт. Ответственного за обработку назначьте приказом по ст. 22.1 ФЗ-152 — он координирует реагирование.

Телемедицинские консультации добавляют третью сторону обработки данных — платформу или сервис. Платформа выступает обработчиком по поручению медорганизации (ч. 3 ст. 6 ФЗ-152). Договор поручения обработки ПДн с платформой обязателен: он должен запрещать использование данных пациентов в иных целях, устанавливать требования к защите и предусматривать уничтожение данных по истечении договора.

Если телемедицинская платформа расположена за рубежом — передача данных требует предварительного уведомления РКН по ст. 12 ФЗ-152. Данные российских граждан первично должны собираться и храниться в базах на территории РФ (ч. 5 ст. 18 ФЗ-152). Передача за рубеж без уведомления РКН при наличии интегрированной зарубежной платформы — нарушение ч. 8 ст. 13.11 КоАП, штраф 1–6 млн ₽.

Для страховой компании ОМС аналогичная логика применяется при передаче данных застрахованных в любую аналитическую систему — требуется проверить, является ли это трансграничной передачей, и направить уведомление при необходимости.