С 30 мая 2025 года вступает в силу поправки к КоАП, вводящие оборотные штрафы за утечку персональных данных. Медицинские сведения отнесены к специальным категориям высшего уровня риска, а требования по защите резко усилились: обязательно шифрование каналов связи на уровне алгоритма AES-256, аутентификация персонала через ЕСИА и биометрию, полное соответствие ГОСТ. Рассказываем, как частной клинике избежать штрафов до 3% годовой выручки.
Оборотные штрафы за утечки: что изменилось
До 2025 года ответственность за утечку персональных данных (ПДн) носила преимущественно фиксированный характер — штрафы для юридических лиц редко превышали 100 000 рублей. Ситуация кардинально изменилась с введением оборотных штрафов: теперь санкции привязаны к выручке организации и могут достигать 3% от годового оборота. Для частной клиники с выручкой, например, 300 млн рублей это означает потенциальный штраф до 9 млн рублей за один инцидент, а при повторных утечках сумма возрастает.
Медицинские организации попадают в зону максимального риска, поскольку обрабатывают специальные категории ПДн (данные о состоянии здоровья), прямо перечисленные в ч. 1 ст. 10 Федерального закона № 152-ФЗ. По информации РБК, утечки таких данных с 2025 года приравниваются к инцидентам высшей категории рисков, что автоматически запускает механизм максимальной ответственности. Для частной клиники это значит, что риск блокировки деятельности и репутационных потерь умножается на финансовые санкции.
Специальные категории ПДн — высший уровень угроз
Законодатель явно выделил медицинские сведения в отдельный контур усиленной защиты. Любая утечка — будь то результаты анализов, диагнозы, снимки или даже сам факт обращения пациента в клинику — теперь классифицируется по верхней планке угроз. Это означает, что регуляторы (Роскомнадзор, ФСТЭК) будут оценивать инцидент с позиции максимального потенциального вреда субъектам.
Для владельцев клиник практическое следствие: больше нельзя ограничиваться базовым комплектом мер, рассчитанным на «обычные» ПДн. Требуется внедрение систем мониторинга, средств криптографической защиты и многофакторной аутентификации, соответствующих наивысшему уровню защищённости. Проверочные листы надзорных органов теперь по умолчанию включают пункты о наличии таких средств для спецкатегорий. Внутренний аудит должен подтвердить, что все процессы обработки данных о здоровье изолированы от общих массивов и защищены отдельно.
Шифрование каналов: обязательный уровень защиты не ниже AES-256
Одно из ключевых технических требований — криптографическая защита каналов связи, по которым передаются медицинские данные. Публикация РБК прямо указывает на алгоритм симметричного шифрования AES‑256 (Advanced Encryption Standard с ключом 256 бит) как на ориентир. В российской практике это чаще реализуется через сертифицированные ФСБ средства, использующие ГОСТ 34.10‑2018, ГОСТ 34.11‑2018 и другие национальные стандарты, однако стойкость шифрования должна быть не ниже уровня, обеспечиваемого AES‑256.
Это затрагивает любые каналы: обмен данными между медицинской информационной системой (МИС) и лабораторными сервисами, передача в Единую государственную информационную систему в сфере здравоохранения (ЕГИСЗ), доступ врачей к электронным картам извне через интернет, а также интеграции с внешними сервисами — телемедициной, системами лояльности, онлайн-записью. Клиникам необходимо убедиться, что все сетевые взаимодействия, где фигурируют спецкатегории ПДн, зашифрованы с применением алгоритмов, одобренных ФСБ, и защищены от перехвата. Даже внутренняя сеть между корпусами клиники должна использовать защищённые протоколы.
ЕСИА и биометрия: новые стандарты доступа к данным
Аутентификация пользователей, работающих с медицинскими данными, также выходит на обязательный уровень. Источник указывает на использование Единой системы идентификации и аутентификации (ЕСИА, портал «Госуслуги») и биометрических факторов. Практическое воплощение: вход в МИС и другие рабочие системы должен осуществляться не по локальной учётной записи, а через подтверждённую учётку ЕСИА. Это снижает риск компрометации паролей, упрощает контроль доступа и даёт чёткий цифровой след каждого действия медработника.
Биометрия, согласно новым требованиям, становится допустимым и поощряемым способом усиления аутентификации. Речь идёт о Единой биометрической системе, которая может использоваться как второй фактор при входе в МИС или при подписании медицинских документов. Для частной клиники это означает необходимость технической интеграции с ЕСИА и, потенциально, с биометрической платформой, а также пересмотр внутренних регламентов по управлению учётными записями персонала. Внедрение не обязательно должно быть мгновенным, но отсутствие плана такого перехода станет отягчающим обстоятельством при проверках.
ГОСТ и комплаенс: как подготовиться клинике
Помимо точечных технических мер, регулятор ожидает системного подхода, закреплённого в национальных стандартах. РБК упоминает обязательность соответствия ГОСТ — в контексте медицинских данных это прежде всего серия стандартов по безопасности финансовых операций, методически применимая и к обработке спецкатегорий, а также ГОСТ Р ИСО/МЭК 27001 и отраслевые документы ФСТЭК.
Для приведения клиники в соответствие новым требованиям можно выделить несколько шагов:
- Провести инвентаризацию всех информационных систем, где хранятся и обрабатываются данные о здоровье, классифицировав их по уровням защищённости.
- Внедрить или обновить средства криптографической защиты каналов связи с подтверждением стойкости не ниже AES‑256.
- Настроить аутентификацию сотрудников через ЕСИА, при необходимости добавив биометрический фактор.
- Разработать и утвердить регламент реагирования на инциденты утечки спецкатегорий ПДн с обязательным уведомлением Роскомнадзора в течение 24 часов.
- Провести внутренний аудит на соответствие требованиям ГОСТ и устранить выявленные несоответствия до первой внешней проверки.
- Обучить персонал работе с обновлёнными системами и правилам обращения с данными, включая запрет на нешифрованные коммуникации и пересылку снимков через общедоступные мессенджеры.
Комплаенс-план должен быть зафиксирован документально, а все изменения согласованы с отделом информационной безопасности или привлечённым консультантом.
Применимость для РФ и практические особенности
Поскольку источником являются российские нормативно-аналитические материалы, все описанные требования — оборотные штрафы, стандарты шифрования, обязательность ЕСИА и биометрии, привязка к ГОСТ — прямо применимы к частным клиникам, работающим на территории РФ. Они уже закреплены в 152‑ФЗ с поправками 2025 года и подзаконных актах ФСТЭК и ФСБ.
Особенность внедрения в российском контексте — необходимость работы исключительно с сертифицированными средствами защиты информации. Клиника не может просто развернуть зарубежное программное обеспечение с AES‑256; шифрование должно опираться на криптографическое ядро, одобренное ФСБ, и быть аттестованным по требованиям законодательства. Аналогично интеграция с ЕГИСЗ требует соблюдения форматов обмена и единых регистров. Выбор поставщика МИС следует начинать с проверки наличия сертификатов ФСТЭК и готового модуля подключения к ЕСИА и биометрической системе — это сократит время и расходы на внедрение.
Практический шаг для руководителя клиники — запросить у вендора МИС дорожную карту обновлений, подтверждающую, что текущая версия системы соответствует последним требованиям. При отсутствии такой карты или несоответствии критическим пунктам (например, шифрование ниже AES‑256) стоит рассмотреть смену решения, иначе риски штрафов лягут непосредственно на медицинскую организацию, а не на разработчика программного обеспечения.
---
Часто задаваемые вопросы
Какие данные о пациентах относятся к специальным категориям ПДн?
Согласно ч. 1 ст. 10 Федерального закона № 152‑ФЗ, специальными категориями являются данные, касающиеся состояния здоровья, диагнозов, результатов анализов, генетических особенностей, а также любые сведения, которые прямо или косвенно могут раскрыть факт обращения за медицинской помощью. Именно за утечку таких данных с 2025 года действуют максимальные оборотные штрафы.
Какой штраф грозит клинике за утечку медицинских данных в 2025 году?
Размер штрафа для юридического лица может достигать 3% от совокупного годового оборота компании, но не менее 15 млн рублей за первый инцидент и не менее 20 млн рублей за повторный. Точная сумма зависит от объёма утекших записей и обстоятельств.
Какое шифрование обязательно для каналов связи в клинике?
Нормативный ориентир — алгоритм симметричного шифрования AES‑256. В российской юрисдикции это, как правило, реализуется через сертифицированные средства криптозащиты, использующие ГОСТ‑алгоритмы (ГОСТ 34.10‑2018, ГОСТ 34.11‑2018), но итоговая стойкость к взлому должна быть не ниже, чем обеспечивает AES‑256. Проверка проводится ФСТЭК и ФСБ.
Когда частная клиника обязана подключить авторизацию через ЕСИА и биометрию?
Переход на использование ЕСИА для аутентификации персонала, работающего со специальными категориями ПДн, стал обязательным с мая 2025 года одновременно с введением оборотных штрафов. Биометрия как второй фактор рекомендуется к внедрению в течение 2025 года и станет фактически обязательной для всех клиник, подключённых к Единой биометрической системе, в рамках новых требований.
С чего начать подготовку к проверке на соответствие требованиям?
Рекомендуется начать с внутреннего аудита всех информационных систем, в которых хранятся медицинские данные. Затем внедрить шифрование каналов, настроить вход сотрудников через ЕСИА, обновить регламенты реагирования на инциденты и обучить персонал. Желательно привлечь лицензированного консультанта по защите информации, чтобы избежать типовых ошибок при прохождении проверок.