Бесплатная консультация юриста

+7 (800) -01-07-30

Реклама jurik.ru

С 1 марта 2025 года сфера здравоохранения в Луганской Народной Республике (ЛНР) полностью перешла под регулирование законодательства Российской Федерации. Ключевым документом‚ определяющим правила работы с персональными данными пациентов‚ стал Федеральный закон от № 152-ФЗ «О персональных данных» (в ред. Федерального закона «Об особенностях правового регулирования отношений в сферах охраны здоровья‚ обязательного медицинского страхования‚ обращения лекарственных средств и обращения медицинских изделий в связи с принятием в Российскую Федерацию ДНР‚ ЛНР‚ Запорожской и Херсонской областей»).

Для медицинских организаций ЛНР это означает необходимость полной перестройки процессов обработки‚ хранения и защиты информации о пациентах под строгие требования российского права. Нарушения грозят серьезными санкциями со стороны Роскомнадзора и ФСБ России‚ осуществляющих контроль в этой сфере.

Правовая база: что регулирует работу с данными в ЛНР сейчас

На сегодняшний день (август 2026 г.) нормативная база представляет собой иерархию актов:

152-ФЗ «О персональных данных» — основной закон‚ устанавливающий общие принципы‚ права субъектов и обязанности операторов.
Федеральный закон № 323-ФЗ «Об основах охраны здоровья граждан в РФ» (ст. 13 — «Медицинская тайна») — специальный закон‚ регулирующий режим конфиденциальности сведений о здоровье.
Закон ЛНР «Об основах охраны здоровья» (принят Народным Советом ЛНР) — региональный акт‚ приведенный в соответствие с федеральным уровнем.
Постановления Правительства РФ (в т.ч. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных») и приказы Минздрава/ФСТЭК/ФСБ.

Важно: Действие временных норм («период перехода») завершено. Медучреждения ЛНР обязаны соблюдать требования российского законодательства в полном объеме.

Какие данные защищаются: специальные категории и медицинская тайна

Медицинские организации работают с наиболее чувствительными видами информации. Закон выделяет их в специальные категории персональных данных (СПД):

Сведения о состоянии здоровья (диагнозы‚ истории болезни‚ результаты анализов).
Генетические персональные данные (информация о генетических характеристиках).
Биометрические персональные данные (фотографии‚ отпечатки пальцев‚ образцы голоса‚ изображения с камер видеонаблюдения в кабинетах).
Сведения о расовой/национальной принадлежности‚ политических взглядах‚ религиозных убеждениях (если содержатся в истории жизни больного).

Понятие «Медицинская тайна» (ст. 13 323-ФЗ) шире‚ чем просто ПДн. Она включает в себя:
— сведения о факте обращения за медпомощью;
— диагноз и иные сведения о состоянии здоровья;
— сведения о полученной медицинской помощи.
Разглашение медицинской тайны запрещено без согласия пациента‚ за исключением случаев‚ прямо предусмотренных законом.

Обработка СПД без согласия пациента: когда это законно

Одним из самых частых вопросов является необходимость получения письменного согласия. Статья 22 152-ФЗ и п. 6 ч. 2 ст. 8 152-ФЗ устанавливают исключения‚ когда согласие НЕ требуется для обработки специальных категорий данных (в т.ч. данных о здоровье):

Охрана жизни и здоровья: обработка необходима для защиты жизни‚ здоровья или иных жизненно важных интересов субъекта ПДн или других лиц‚ а получение согласия невозможно (неотложная помощь‚ бессознательное состояние).
Оказание медицинской помощи: обработка осуществляется работником медицинской организации‚ подлежащим соблюдению врачебной тайны‚ в целях организации оказания медицинской помощи (планируемая госпитализация‚ амбулаторное лечение‚ профилактика).
Эпидемиологический надзор: передача данных в Роспотребнадзор и иные уполномоченные органы в соответствии с законодательством.
Обязательное медицинское страхование (ОМС): передача данных страховщикам (ТФОМС) для оплаты случаев медицинской помощи.
Научные исследования: при условии обезличивания данных.

Практический вывод: Для рутинной работы поликлиники или стационара (запись на прием‚ ведение историй болезни‚ назначение лечения) отдельное письменное согласие на обработку ПДн не требуется‚ так как это входит в цель «организация оказания медицинской помощи». Согласие нужно для целей‚ НЕ связанных с лечением: маркетинг‚ передача данных третьим лицам (страховкам жизни‚ работодателям без основания)‚ научным центрам (без обезличивания) и т.д.

Обязательные меры защиты: правовые‚ организационные‚ технические

Согласно ст. 19 152-ФЗ и Постановлению № 1119‚ оператор (медучреждение) обязан принять комплекс мер. В ЛНР это контролируется особенно строго.

Правовые меры (документирование):

Локальные нормативные акты (ЛНА): Политика по обработке ПДн‚ Положение о медицинской тайне‚ Инструкция по защите ПДн‚ Журналы учета доступа/носителей.
Договоры (поручения) на обработку: С каждым сотрудником (врачом‚ медсестрой‚ регистратором‚ сисадмином) должно быть заключено поручение на обработку ПДн с указанием перечня действий‚ целей и обязанности соблюдать конфиденциальность (ст. 22.1 152-ФЗ).
Договоры с подрядчиками: Если обработку осуществляет третья сторона (IT-аутсорс‚ колл-центр‚ МИС-провайдер) — обязателен договор-поручение с пропиской мер защиты и ответственности.

Организационные меры:

Назначение ответственного за защиту ПДн (часто — зам. главврача по ИТ или старший системный администратор).
Разграничение доступа: принцип «минимально необходимых прав» (врач видит своих пациентов‚ регистратор — только ФИО/талоны‚ бухгалтер — только оплаченные услуги без диагнозов).
Инструктажи персонала (первичные‚ повторные‚ внеплановые) с росписью в журнале.
Учет носителей ПДн (бумажные историй болезни‚ флешки‚ жесткие диски‚ бланки рецептов).

Технические меры (СЗИ — средства защиты информации):

Идентификация и аутентификация: уникальные логины/пароли для каждого сотрудника (запрет общих учетных записей «doctor1»‚ «registrar»). Двухфакторная аутентификация для удаленного доступа.
Антивирусная защита и средства обнаружения вторжений (IDS/IPS).
Шифрование: передача данных по открытым каналам (ЕМИАС‚ почта‚ порталы ОМС) — только по защищенным протоколам (TLS/VPN/GOST-шифрование). Шифрование жестких дисков ноутбуков врачей.
Резервное копирование с проверкой восстановления и хранением копий в защищенном месте.
Защита от утечек (DLP-системы): контроль печати‚ копирования на флешки‚ отправки по почте медицинских документов.
Журналирование (логирование): сохранение событий входа‚ доступа к БД‚ изменений записей минимум за 3 года (требование ФСТЭК/ФСБ для критических объектов).

Особенности работы в ЛНР: ЕМИАС‚ телемедицина и переданные территории

Интеграция в российскую цифровую экосистему накладает специфические обязательства:

ЕМИАС / Региональные МИС: Работа через единую медицинскую информационно-аналитическую систему требует соответствия профилям защиты ФСТЭК (как минимум 3-й класс защищенности для ИСПДн‚ часто 2-й или 1-й для крупных ЦРБ/областных больниц).
Телемедицина: Видеоконсультации — это обработка биометрических данных (лицо‚ голос) и данных о здоровье. Требуется сертифицированное СЗИ для видеоканала и запись факта консультации в ЕМИАС.
Электронные рецепты и больничные: Полный переход на ЭЛН (электронные листы нетрудоспособности) и электронные рецепты через ЕРП (Единую рецептурную систему) исключает бумажный документооборот‚ но повышает требования к ЭЦП врачей и защите ключей ЭП.
Локализация данных: Базы данных с ПДн пациентов ЛНР обязаны находиться на территории РФ (серверы в ЛНР‚ ДНР‚ Ростовской области‚ Москве и т.д.). Использование облаков за рубежом (Google Drive‚ Dropbox‚ зарубежные VPS) для хранения историй болезни — прямое нарушение ст. 18 152-ФЗ и оснований для блокировки ресурса Роскомнадзором.

Контроль и ответственность: что грозит за нарушения

Надзор за соблюдением законодательства о ПДн в ЛНР осуществляют:

Роскомнадзор (Управление по ДНР‚ ЛНР‚ Запорожской и Херсонской областям): проверки (плановые/внеплановые)‚ рассмотрение жалоб пациентов‚ вынесение предписаний‚ протоколов об административных правонарушениях.
ФСБ России (Управление по ЛНР): контроль использования криптографических средств‚ защита гостайны и критической информационной инфраструктуры (КИИ)‚ лицензирование деятельности по технической защите конфиденциальной информации.
Прокуратура ЛНР: общее надзорное производство.

Виды ответственности (актуальные суммы штрафов на 2026 год):

Нарушение	Статья КоАП РФ	Штраф для юрлиц (медучреждений)	Доп. меры
Нарушение прав субъектов ПДн (отказ в доступе‚ неисполнение требований удаления)	13.11 ч. 1	15 000 – 75 000 руб. (повторно: 300 000 – 500 000 руб.)	Предписание об устранении нарушений
Несоблюдение мер защиты ПДн (отсутствие ЛНА‚ СЗИ‚ поручений)	13.11 ч. 2	30 000 – 100 000 руб. (повторно: 500 000 – 1 000 000 руб.)	Приостановка обработки ПДн до устранения (до 6 мес.)
Незаконное получение/распространение ПДн (утечка базы пациентов)	13.11 ч. 3	100 000 – 500 000 руб. (повторно: 1 000 000 – 3 000 000 руб.)	Конфискация носителей‚ блокировка сайта/ИС
Разглашение медицинской тайны	13.14 КоАП РФ / 137 УК РФ	До 200 000 руб. (КоАП) или уголовная ответственность (штраф до 200 тыс. руб. или до 2 лет лишения свободы, ст. 137 УК РФ)	Дисквалификация должностных лиц (ст. 13.14 КоАП)

Репутационные риски: Публикация в реестре нарушителей Роскомнадзора‚ потеря доверия пациентов‚ проблемы с аккредитацией и заключением договоров ОМС/ДМС;

Чек-лист: пошаговый алгоритм приведения в соответствие (Roadmap для ЛНР)

Инвентаризация: Составьте реестр всех ИСПДн (МИС‚ сайт‚ 1С‚ Excel-базы‚ бумажные архивы‚ видеонаблюдение‚ СКУД). Определите категории ПДн и угрозы.
Оценка класса защищенности (КЗ): Рассчитайте КЗ для каждой ИСПДн по методике ФСТЭК (Приказ ФСТЭК № 239). Для медучреждений чаще всего это 3-й или 2-й класс.
Разработка документации (ЛНА): Политика конфиденциальности (на сайте и в стене)‚ Положение о мед. тайне‚ Поручения сотрудникам‚ Модель угроз‚ Перечень мер защиты.
Внедрение технических СЗИ: Установите сертифицированные антивирусы (КСЗ ФСТЭК)‚ настройте контроль целостности‚ шифрование‚ DLP‚ журналирование. Получите заключение ФСТЭК/ФСБ при необходимости (для КИИ или гостайны).
Обучение персонала: Проведите инструктаж ВСЕХ сотрудников с доступом к ПДн (в т.ч. уборщицы‚ охрана‚ если есть доступ к зонам хранения историй). Оформите журналы.
Уведомление Роскомнадзора: При обработке ПДн без согласия (на основании ст. 6‚ 22 152-ФЗ для медпомощи) уведомление не требуется. Но если есть цели‚ требующие согласия (маркетинг‚ сайт с записью онлайн) — уведомление обязательно.
Аудит и мониторинг: Внутренний аудит раз в год / после инцидентов. Проверка актуальности версий ПО‚ своевременность установки обновлений безопасности.

Типичные ошибки медучреждений ЛНР (на практике 2025-2026 гг.)

«У нас есть МИС‚ значит мы защищены»: МИС — это просто инструмент. Ответственность за настройку прав доступа‚ паролей‚ резервного копирования и обучение врачей лежит на самой больнице.
Общие учетные записи: Врачи работают под одним логином «Врач_терапевт». Это делает невозможным расследование инцидентов и нарушает требование идентификации субъекта доступа.
Хранение баз на личных ноутбуках/Google Дисках: Врачи выгружают базы пациентов домой для отчетов. Грубое нарушение ст. 18 152-ФЗ (трансграничная передача) и требований физической безопасности.
Игнорирование биометрии: Камеры видеонаблюдения в коридорах/кабинетах фиксируют лица пациентов (биометрия). Если нет ЛНА по биометрии и настройки хранения записей — это нарушение.
Отсутствие поручений у аутсорсеров: Сисадмин из сторонней фирмы имеет полный доступ к серверу БД без подписанного поручения на обработку ПДн.

Соблюдение конфиденциальности медицинских данных в ЛНР сегодня — это не просто «бумажная работа» для галочки‚ а условие легальной работы медицинской организации в правовом поле РФ. Ключ к успеху, системный подход: документированные процессы + сертифицированные технические средства + обученный персонал + регулярный аудит.

Инвестиции в защиту информации (СЗИ‚ аудит‚ обучение) стоят на порядки дешевле штрафов Роскомнадзора‚ расходов на расследование утечек ФСБ и потери репутации‚ которая в медицине восстанавливается годами. Начните с инвентаризации ИСПДн и назначения ответственного за защиту ПДн, это первый шаг к полноценному соответствию закону.

Данная статья носит информационный характер и не является правовым консультированием. Для решения конкретных вопросов по внедрению СЗИ‚ аттестации объектов или взаимодействию с надзорными органами рекомендуется обратиться к специализированным юристам и лицензированным организациям по технической защите информации.