Срок хранения по нормативам Минздрава

Медицинская организация работает с несколькими категориями документов, для каждой из которых Минздрав установил собственный срок. Приказ Минздрава России № 834н от 15.12.2014 регулирует формы первичной медицинской документации амбулаторного звена. Для стационарных карт применяется более ранний нормативный акт Минздрава СССР (1988 год), действие которого в части сроков хранения сохраняется на основании ст. 4 ФЗ-323. Перечень типовых управленческих архивных документов, утверждённый Росархивом, дополнительно регулирует административную документацию клиники.

Ключевые сроки хранения медицинской документации по нормативам Минздрава:

• Медицинская карта амбулаторного больного (форма № 025/у) — 5 лет с момента последнего обращения
• История болезни стационарного больного (форма № 003/у) — 25 лет
• Медицинская карта ребёнка (форма № 026/у) — 15 лет после окончания наблюдения
• Результаты инструментальных и лабораторных исследований — как правило, совпадают со сроком хранения основной карты
• Информированное добровольное согласие на медицинское вмешательство (ИДС) — 25 лет (хранится в составе истории болезни)
• Согласие на обработку персональных данных (отдельный документ по ст. 9 152-ФЗ) — в течение срока обработки ПДн плюс 3 года после его окончания (общий подход судебной практики)

Обратите внимание: срок хранения ИДС и срок хранения согласия на ПДн — разные документы с разными сроками и разными правовыми основаниями. Их нельзя объединять в один бланк после 01.09.2025 (ФЗ-156 от 24.06.2025 ввёл требование отдельного документа для согласия по ст. 9 ФЗ-152).

Большинство медицинских информационных систем (МИС) содержат встроенный механизм архивирования, но он настроен под операционные нужды, а не под требования Минздрава и 152-ФЗ одновременно. Главный врач обязан убедиться, что срок автоматического удаления или архивирования в МИС соответствует нормативному.

Типичные расхождения, которые выявляет аудит:

• МИС удаляет карты через 3 года неактивности — при нормативном сроке 25 лет для стационара
• Данные переносятся в «холодный» архив без сохранения прав доступа и журнала обращений
• Резервные копии МИС хранятся дольше основной базы, что создаёт несанкционированный доступ к данным
• При подключении к ЕГИСЗ данные реплицируются в федеральную систему, но срок хранения в ЕГИСЗ не совпадает с внутренним регламентом клиники

Если МИС работает на серверах иностранного провайдера или данные реплицируются за рубеж, клиника нарушает требование локализации. Штраф по ч. 8 ст. 13.11 КоАП — 1–6 млн ₽, при повторном нарушении — 6–18 млн ₽.

Хранение медицинской карты после завершения лечения — это обработка персональных данных без активного согласия пациента. 152-ФЗ допускает такую обработку при наличии законного основания. Для медицинских организаций применяются два основных:

• Исполнение обязанностей, возложенных законодательством (п. 2 ч. 1 ст. 6 ФЗ-152) — хранение документации предписано нормативами Минздрава и ст. 79 ФЗ-323
• Защита жизни и здоровья субъекта или третьих лиц (п. 4 ч. 1 ст. 6 ФЗ-152) — применяется при экстренном лечении

Врачебная тайна и режим специальных категорий ПДн по ст. 10 ФЗ-152 — это параллельные правовые конструкции. Нарушение врачебной тайны влечёт ответственность по ст. 13.14 КоАП и ст. 137 УК РФ, а нарушение 152-ФЗ — по ст. 13.11 КоАП. При утечке медицинских ПДн обе нормы могут применяться одновременно.

Согласие пациента на обработку ПДн (по ст. 9 ФЗ-152) требуется отдельно от информированного добровольного согласия на медицинское вмешательство (по ст. 20 ФЗ-323). Это разные документы, регулируемые разными законами. Объединение их в один бланк с 01.09.2025 — нарушение ФЗ-156.

Медицинская информационная система обрабатывает специальные категории ПДн — данные о состоянии здоровья. По правилам ПП РФ № 1119 от 01.11.2012 это автоматически исключает нижние уровни защищённости. Уровень определяется пересечением трёх параметров: категория ПДн, тип угроз и число субъектов.

• Специальные ПДн + угрозы 3-го типа (только внутренние нарушители) + более 100 000 субъектов — УЗ-2
• Специальные ПДн + угрозы 2-го типа (уязвимости прикладного ПО) — УЗ-1 независимо от числа субъектов
• Специальные ПДн + угрозы 3-го типа + менее 100 000 субъектов — УЗ-3

Клиника с МИС, подключённой к ЕГИСЗ, обрабатывает данные более 100 000 пациентов. Для неё минимальный уровень защищённости — УЗ-2, что требует ряда технических мер: многофакторная аутентификация, шифрование каналов передачи, защита от внешних угроз, регулярный контроль защищённости. Документальное подтверждение выбранного уровня защищённости — часть пакета ОРД, который проверяет РКН при плановой и внеплановой проверке.

152-ФЗ требует уничтожения или обезличивания персональных данных при достижении целей обработки (ст. 5, принцип 7). Для медицинской организации это означает: по истечении нормативного срока хранения медицинской карты клиника обязана уничтожить содержащиеся в ней ПДн в порядке, исключающем восстановление.

Регламент уничтожения должен охватывать:

• Бумажные носители — шредирование с составлением акта, подписанного комиссией
• Электронные записи в МИС — безвозвратное удаление из основной базы
• Резервные копии МИС — удаление из всех хранилищ резервного копирования с подтверждением
• Данные в ЕГИСЗ — уточнение у оператора ЕГИСЗ порядка прекращения обработки
• Данные у подрядчиков (лаборатории, телемедицинские платформы) — условие в договоре поручения обработки (п. 3 ст. 6 ФЗ-152)

Акт об уничтожении ПДн — обязательный документ в пакете ОРД. При проверке РКН его отсутствие фиксируется как самостоятельное нарушение по ч. 1 ст. 13.11 КоАП (штраф 150–300 тыс. ₽).

Пакет организационно-распорядительной документации медицинской организации охватывает несколько нормативных источников одновременно: ФЗ-152, ФЗ-323, нормативы Минздрава и приказы ФСТЭК. ОРД должна отражать все сроки и основания хранения, а не только один из источников.

Отдельного внимания требует телемедицина. При дистанционном консультировании данные пациента передаются через платформу третьей стороны. Это обработка по поручению (п. 3 ст. 6 ФЗ-152), которая требует письменного договора с телемедицинской платформой, определяющего цели, состав данных, сроки и порядок уничтожения. Если платформа расположена за рубежом — обязательно уведомление РКН о трансграничной передаче до начала обработки (ст. 12 ФЗ-152).