Почему медицинская ИСПДн — особый класс
Три свойства отличают ИСПДн поликлиники или стационара от «обычной» системы персональных данных организации:
- Много подсистем. Медицинская информационная система, лаборатория, лучевая диагностика, регистратура, СКУД, биометрия, интеграции со страховыми компаниями и региональными сервисами — всё это части одного контура персональных данных.
- Третьи лица. Пациенты не подписывали соглашений о конфиденциальности: если их данные уйдут, отвечать будет клиника по полной программе. Плюс врачебная тайна как отдельный режим (323-ФЗ) поверх 152-ФЗ.
- Спецкатегория. Сведения о здоровье, диагнозах, назначениях — специальная категория персональных данных. Обработка требует согласий в письменной форме (или иного законного основания — например, медицинская деятельность), а утечка карается максимальными штрафами: до 15 млн ₽ для обычных данных в зависимости от масштаба, до 20 млн ₽ — для спецкатегорий и биометрии по ч. 13–14 ст. 13.11 КоАП; нормы введены законом от 30.11.2024 № 420-ФЗ.
Итог: уровень защищённости медицинской ИСПДн обычно выше, обследование глубже, а цена ошибки — не только штраф, но и репутация клиники.
Границы системы: что включать в ИСПДн поликлиники
| Подсистема | Данные | Особенность аттестации |
|---|---|---|
| МИС (ядро) | Паспортные, полисы, диагнозы, назначения | Основная ИСПДн; спецкатегория — согласия и режим доступа |
| Лаборатория (ЛИС) | Результаты анализов | Интеграция с ядром; результаты = спецкатегория |
| Лучевая диагностика (RIS/PACS) | Снимки, заключения | Большие объёмы; доступ врачей по ролям |
| Регистратура, портал записи | ФИО, контакты, талоны | Публичный контур; защита форм записи на сайте |
| СКУД, видеонаблюдение | График присутствия, видео | Проверка целей обработки; маскирование где возможно |
| Биометрия (распознавание лиц) | Биометрические ПДн | Отдельные письменные согласия; максимальные требования |
| Интеграции (страховые, региональные сервисы) | Передача данных вовне | Договоры, каналы, журналирование передач |
Частая ошибка — аттестовать только МИС: лаборатория и регистратура продолжают работать без подтверждённой защиты, и при инциденте формально не защищённой оказывается именно утечка.
Штрафная арифметика медицины
| Ситуация | Штраф для юрлица | Основание |
|---|---|---|
| Утечка спецкатегорий до 100 тыс. субъектов | 10–15 млн ₽ | ч. 13 ст. 13.11 КоАП |
| Утечка спецкатегорий свыше 100 тыс. субъектов | 15–20 млн ₽ | ч. 14 ст. 13.11 КоАП |
| Неуведомление РКН об утечке (24 ч) / итогов (72 ч) | 1–3 млн ₽ | ч. 12 ст. 13.11 КоАП |
| Повторная утечка | оборотный штраф 1–3% выручки | ч. 15 ст. 13.11 КоАП |
| Нарушение локализации баз спецкатегорий | до 6 млн ₽, повторно до 18 млн ₽ | ч. 8 ст. 13.11 КоАП |
Статус на август 2026: оборотные штрафы не применялись ни разу (данные РКН). Но база пациентов поликлиники легко попадает в диапазон «10–100 тыс. субъектов», а связка «спецкатегория + повторность» делает оборотный сценарий реальным для сетей клиник.
Мораторий и проверки: как обстоит практика
Мораторий на плановые проверки действует до 2030 года, однако Роскомнадзор за полтора года провёл 159,1 тыс. проверок сайтов — внеплановых, по инцидентам и жалобам, и нашёл нарушения примерно в 9 из 10 случаев. Для медицины это означает: проверка приходит не по графику, а за утечкой — и тогда оценивается вся система, включая актуальность аттестата и согласий.
Документы и порядок работ
- Определение границ ИСПДн и уровня защищённости (спецкатегории повышают требования).
- Обследование: как реально хранятся и передаются данные, включая интеграции со страховыми и региональными сервисами.
- Модель угроз: от фишинга регистратуры до компрометации каналов передачи снимков.
- Доработка защиты: доступы по ролям, журналирование, шифрование каналов, защита выгрузок.
- Комплект документов: приказы, инструкции, регламенты доступа и реагирования, согласия.
- Аттестационные испытания аккредитованной лаборатории (приказ № 77), аттестат соответствия.
- Сопровождение: ежегодный контроль, повторные испытания при изменениях (новые подсистемы, биометрия, интеграции).
Сроки и цены
Рыночные ориентиры (по открытым данным на 06.09.2026, цены могут отличаться): распределённая медицинская ИСПДн «под ключ» — от 350 тыс. ₽; обследование и документация без испытаний — от 100 тыс. ₽ по нижней границе рынка. Срок для поликлиники средней сложности — 8–10 недель: медицина требует больше времени на обследование подсистем и согласование доступа врачей.
Государственные клиники закупают аттестацию по 44-ФЗ: позиция КТРУ 71.20.19.115; малые закупки до 600 тыс. ₽ (базовый лимит для медицины), комплексы — через план-график.
Специфика: биометрия и интеграции
Биометрия. Распознавание лиц в регистратуре или на входе — отдельный режим: письменные согласия, максимальные требования, готовность к проверке законности обработки. Если биометрия не критична для процессов — иногда дешевле от неё отказаться, чем защищать.
Интеграции. Передача данных в страховые компании и региональные сервисы — часть контура: фиксируйте в договорах назначение передачи, защищайте каналы, журналируйте выгрузки. Аттестация не признаёт аргумент «это наша интеграция, не наша ответственность».
ИИ-подсистемы. Ассистенты врача и анализ снимков в контуре клиники попадают в границы ИСПДн: проверяйте у вендора место обработки данных и наличие регистрации медизделия для диагностических функций. Подробнее — в материале ИИ в здравоохранении 2027.
Чем помочь
Мы аттестуем ИСПДн медицинских организаций: обследование всех подсистем, модель угроз под медицинские сценарии, документация, испытания аккредитованной лабораторией, сопровождение после аттестата. Отдельно помогаем с биометрией (оценка необходимости и приведение в соответствие) и интеграциями (договоры и журналирование передач). Первый шаг — карта ваших систем с данными пациентов и вилка работ.