Спецкатегория ПДн пациентов по ст. 10 152-ФЗ

Статья 10 ФЗ-152 относит к специальным категориям сведения о состоянии здоровья, диагнозе, назначенном лечении, а также данные, раскрывающие расовую и национальную принадлежность, политические взгляды, религиозные убеждения и сведения об интимной жизни. Для медицинской организации практически значимы: диагнозы по МКБ, результаты анализов, сведения об операциях и процедурах, психиатрические и наркологические данные, данные ВИЧ-статуса.

Запросите у вендора МИС список полей базы данных с классификацией по типу ПДн. Поля с диагнозами, назначениями, историями болезни, результатами лабораторных и инструментальных исследований — автоматически спецкатегория. Общие поля (ФИО, контакт, дата рождения, СНИЛС) — обычные ПДн, но они сопровождают медицинскую запись и тем самым попадают в одну обрабатываемую единицу вместе со спецкатегорией.

Зафиксируйте перечень в акте классификации информационной системы — он понадобится при определении уровня защищённости по ПП РФ №1119.

Для спецкатегорий действует закрытый перечень оснований по ч. 2 ст. 10 ФЗ-152. В медицинской деятельности применяются три из них. Первое — письменное согласие субъекта. Второе — обработка необходима для защиты жизни и здоровья, когда субъект физически или юридически не способен дать согласие. Третье — обработка осуществляется в целях медицинской профилактики, установления медицинского диагноза, оказания медицинских услуг по договору с медицинским работником, обязанным хранить врачебную тайну по ст. 13 ФЗ-323.

Составьте матрицу: цель обработки — правовое основание — категория данных. Пример: «хранение истории болезни для лечащего врача» — ч. 2 п. 4 ст. 10 ФЗ-152 + ст. 13 ФЗ-323. «Передача данных в СМС-сервис для напоминания о приёме» — согласие на ПДн по ст. 9 ФЗ-152 (спецкатегория здесь не передаётся, если правильно разграничить поля). «Передача истории болезни в ЕГИСЗ» — ФЗ-323 и постановления Правительства об информационных системах здравоохранения.

С 01.09.2025 согласие на обработку ПДн оформляется отдельным документом — не встраивается в договор оказания медицинских услуг, не объединяется с информированным добровольным согласием на медицинское вмешательство (ИДС). Это изменение введено ФЗ-156 от 24.06.2025. Ранее выданные согласия переоформлять не требуется — закон обратной силы не имеет, но новые договоры с 01.09.2025 должны содержать отдельный документ на ПДн.

Обязательные реквизиты согласия по ст. 9 ФЗ-152: ФИО пациента и контактные данные, наименование и адрес оператора, цель обработки, перечень данных (включая спецкатегорию с указанием конкретных полей), перечень действий с данными, срок действия согласия, способ отзыва. Для спецкатегории — только письменная форма.

Отдельно хранятся: ИДС на медицинское вмешательство по ст. 20 ФЗ-323 и согласие на обработку ПДн по ст. 9 ФЗ-152. Путать их — типовая ошибка клиник, которую РКН фиксирует при внеплановых проверках по индикаторам риска.

Интеграция МИС с ЕГИСЗ (Единой государственной информационной системой в сфере здравоохранения) — обязанность медицинских организаций по ФЗ-323 и постановлениям Правительства. Передача сведений в ЕГИСЗ основана не на согласии пациента, а на прямом указании федерального закона — это отдельное основание по ч. 2 п. 2 ст. 10 ФЗ-152 (обработка предусмотрена законодательством РФ). Отдельное согласие пациента для передачи в ЕГИСЗ не требуется.

Риск возникает, когда медицинская организация передаёт в ЕГИСЗ больше данных, чем предусмотрено регламентом интеграции. Проверьте состав полей выгрузки: должности, домашние адреса, номера полисов ОМС в сочетании с детальными диагнозами — избыточная передача нарушает принцип минимизации данных по ст. 5 ФЗ-152.

Локализация обязательна: по ч. 5 ст. 18 ФЗ-152 первичные базы данных пациентов-граждан РФ должны находиться в России. Облачный МИС с хранением на зарубежных серверах — нарушение, штраф по ч. 8 ст. 13.11 КоАП от 1 до 6 млн ₽.

Информационная система, обрабатывающая специальные категории ПДн пациентов, классифицируется по ПП РФ №1119 от 01.11.2012. Для медицинских данных (спецкатегория) при актуальности угроз 2-го типа и числе субъектов более 100 000 — УЗ-1 (высший уровень). При меньшем числе субъектов и угрозах 3-го типа — УЗ-3.

Минимальный набор технических мер для МИС при спецкатегории: идентификация и аутентификация пользователей МИС (ИАФ), управление доступом (УПД — разграничение по ролям: лечащий врач видит только своих пациентов), регистрация событий в журнале (РСБ), антивирусная защита (АВЗ), защита сетевого взаимодействия (ЗИС). Состав формализуется в документе «Модель угроз» и «Технический паспорт ИСПДн».

По ч. 3.1 ст. 21 ФЗ-152 при обнаружении утечки оператор обязан уведомить РКН в течение 24 часов. Через 72 часа — направить отчёт о результатах внутреннего расследования по Приказу РКН №187 от 14.11.2022. Для медицинской организации срок не продлевается и не восстанавливается.

Утечка медицинских данных — это одновременно нарушение ФЗ-152 (спецкатегория) и нарушение врачебной тайны по ст. 13 ФЗ-323. Это два параллельных риска: административный (ст. 13.11 КоАП) и гражданско-правовой (иски пациентов о компенсации морального вреда).

Разработайте в клинике: регламент реагирования на инцидент с ПДн, назначьте ответственного за передачу уведомления в РКН, определите перечень лиц, принимающих решение о признании события утечкой. При утечке медицинских данных более 1 000 пациентов штраф по ч. 12 ст. 13.11 КоАП составит от 3 до 5 млн ₽. Утечка более 100 000 — от 10 до 15 млн ₽ по ч. 14.

Для медицинской организации как оператора ПДн обязателен полный пакет ОРД по ст. 18.1 ФЗ-152. Ключевые документы: политика обработки ПДн (публикуется на сайте и должна быть размещена в регистратуре), приказ о назначении ответственного за обработку ПДн по ст. 22.1 ФЗ-152, согласия пациентов (отдельный документ с 01.09.2025), договор-поручение с вендором МИС, регламент реагирования на инцидент, журнал обращений субъектов ПДн.

Отсутствие опубликованной политики — штраф по ч. 3 ст. 13.11 КоАП от 30 до 60 тыс. ₽. Отсутствие договора-поручения с вендором МИС — нарушение п. 3 ст. 6 ФЗ-152 и основание для предписания по итогам проверки.