В условиях тотальной цифровизации сферы здравоохранения и образования вопросы обработки персональных данных (ПДн) выходят на первый план. Если ранее фокус внимания был сконцентрирован преимущественно на защите данных пациентов и обучающихся, то сегодня регулятор (Роскомнадзор) и судебная практика все чаще обращают внимание на правовой режим персональных данных работников — врачей, медсестер, учителей и педагогов. Статья посвящена анализу ключевых правовых рисков, специфике нормативного регулирования и практике применения законодательства на 2024–2026 годы.

Нормативная база: двойной контур регулирования

Обработка персональных данных в России регулируется в первую очередь Федеральным законом от № 152-ФЗ «О персональных данных». Однако для медицинских и образовательных организаций действуют специальные отраслевые нормативные акты, создающие «двойной контур» правового регулирования.

Сфера здравоохранения: Врачебная тайна vs 152-ФЗ

Ключевая специфика медицины, соотношение режима персональных данных и режима врачебной тайны (ст. 13 ФЗ-323 «Об основах охраны здоровья граждан в РФ»).

• Приоритет врачебной тайны: Как отмечал Конституционный Суд РФ (Определения от № 1176-О, от № 1275-О), хранение информации о состоянии здоровья граждан допускается исключительно в целях реализации их права на охрану здоровья и медицинскую помощь. Конфиденциальность здесь обеспечивается именно врачебной тайной, которая устанавливает более строгий режим, чем общий режим ПДн.
• Памятка Роскомнадзора: Ведомство регулярно обновляет разъяснения по применению 152-ФЗ в медорганизациях, подчеркивая необходимость разделения потоков данных: данные пациентов (особый режим/врачебная тайна) и данные сотрудников (общий режим 152-ФЗ, но с учетом трудового права).
• Национальные проекты и ЕГИСЗ: Внедрение Единой государственной информационной системы здравоохранения (ЕГИСЗ) и проектов «Цифровая медицина» накладывает дополнительные требования к информационной безопасности (категорирование объектов КИИ, защита от НСД).

Сфера образования: ФЗ-273 и защита данных несовершеннолетних

В образовании ключевую роль играет Федеральный закон от № 273-ФЗ «Об образовании в Российской Федерации» (ст. 48, 51) и Методические рекомендации по защите ПДн обучающихся.

• Категориальная защита: Основной массив данных в школах и вузах, это данные несовершеннолетних (детей), что относится к особым категориям ПДн (раса, национальность, здоровье и т.д.). Их обработка требует письменного согласия родителей/законных представителей (ч. 1 ст. 10 152-ФЗ).
• Трансграничные риски: Использование глобальных сервисов (Google Workspace, Microsoft 365, Zoom и др.) для дистанционного обучения создает риски трансграничной передачи ПДн на территории иностранных государств, не обеспечивающих адекватной защиты (ч. 2 ст. 12 152-ФЗ). Это один из самых частых оснований для предписаний Роскомнадзора.
• Данные педагогов: Персональные данные учителей (КД, личные карточки, аттестационные листы, данные о зарплате) обрабатываются по общим основаниям (исполнение трудового договора, ст. 85-90 ТК РФ), но требуют неменее тщательной защиты.

Специфика персональных данных работников: Врачи и Учителя

Часто возникает заблуждение, что данные сотрудников — это «внутреннее дело» организации. На практике же это полноценные субъекты ПДн, обладающие всеми правами (ст. 14 152-ФЗ: доступ, исправление, блокирование, удаление).

Публичность данных врачей: Реестры и агрегаторы

Один из самых острых споров последних лет — публикация данных врачей в открытых реестрах (ФРМР — Федеральный реестр медицинских работников) и на сайтах-агрегаторах (ProDoctorov, НаПоправку, сайты клиник).

Позиция регулятора и судов: Суды (в т.ч. по делу, рассматриваемому ГАРАНТ.РУ в 2021 г.) исходят из того, что согласие медработника на публикацию его ПДн не требуется, если данные ранее стали общедоступными по его воле или представляют публичный интерес (информация об образовании, сертификатах, специализации для выбора пациентом врача).

Однако, как отмечал эксперт Сергей Федосов («Медвестник»): «Тезис, что персональные данные врачей должны быть приватными, звучит странно», — тем не менее, публикация контактных телефонов, домашних адресов, данных о членах семьи недопустима и влечет ответственность.

Данные педагогов: Открытость vs Приватность

Сайты образовательных организаций обязаны публиковать сведения о педагогических работниках (ФИО, квалификация, стаж, программы) в соответствии с требованиями Минпросвещения (Приказ № 831). Это законное основание (ст. 6 152-ФЗ, исполнение законодательства).

Риск: Часто на сайты школ попадают избыточные данные: фото высокого разрешения, копии дипломов с регистрационными номерами, личные телефоны для связи с родителями. Это создает вектор для социальной инженерии, фишинга и дохинга.

Основные правовые риски и санкции (2024–2026 гг.)

Судебная практика и тренды enforcement’а

Дело о публикации данных врача (Ссылка на ГАРАНТ.РУ, 2021, актуально на 2026 г.)

Практика Роскомнадзора по школам (2023–2025 гг.)

• Массовые проверки использования иностранного ПО (Microsoft Teams, Google Classroom) в 2022–2023 гг. привели к волне предписаний о прекращении трансграничной передачи.
• Фокус сместился на видеонаблюдение (биометрия лица учеников/учителей) и СКУД — требование проведения ОПД (оценки воздействия на ПДн) перед внедрением.
• Штрафы за публикацию списков классов с ФИО и адресами детей на порталах «Госуслуги.Школа» / региональных ЭЖД без должной анонимизации.

Тренд: Персональные данные сотрудников как объект защиты от инсайдеров

Утечки баз КД (кадровые отделы) — частая причина крупных утечек (Comss, DeviceLock отчеты). Данные врачей и учителей (СНИЛС, ИНН, паспорт, банковские реквизиты) используются для оформления микрозаймов, фишинга по корпоративной почте (BEC-атаки).

Чек-лист соответствия (Compliance) для руководителя и ДСПП (Ответственного за ПДн)

1. Инвентаризация и карта потоков ПДн (Data Map):
   • Разделены ли потоки: Пациенты/Обучающиеся (Особые категории/Врачебная тайна) vs Сотрудники (Общие/Особые категории — медосмотры)?
   • Определены ли операторы (внешние: биллинг, ЭДО, СЭД, агрегаторы отзывов, платформы обучения)?
2. Локальные нормативные акты (ЛНА):
   • Политика обработки ПДн (опубликована на сайте).
   • Положение об ОПД (организационно-технических мерах) — согласно Постановлению № 1119.
   • Инструкции для сотрудников (врачей/учителей) по работе с ПДн в ИС (ЭМК, ЭЖД, 1С).
   • Регламент реагирования на инциденты (утечки).
3. Правовые основания для каждой операции:
   • Сотрудники: Исполнение ТД (ст. 6, 11 152-ФЗ) — согласие не нужно для базовых HR-процессов (зарплата, налоги, медосмотры). Согласие нужно только для избыточных целей (фото на сайте, корпоративный портал, рассылки).
   • Пациенты/Ученики: Согласие родителей (особые категории) + законодательство (врачебная тайна / ФЗ-273).
4. Технические меры (ФСТЭК Приказ № 17 / № 239):
   • Средства защиты от НСД (СЗНСД), антивирусы, контроль целостности, учет доступа (РБАК), шифрование (КриптоПро/КриптоАРМ) при передаче.
   • Запрет использования личных мессенджеров/почты для служебных ПДн (политика BYOD).
5. Работа с подрядчиками (Договоры поручения ст. 24.2 152-ФЗ):
   • Обязательны с каждым внешним оператором: ИС ЭМК, колл-центры, сервисы SMS-рассылок, платформы вебинаров, аутсорсинг КД.
   • Проверка подрядчиков на соответствие 152-ФЗ (аудит).
6. Оценка воздействия на ПДн (ОПД / DPIA):
   • Обязательна при внедрении новых ИС (телемедицина, ИИ-диагностика, биометрия СКУД, проctoring на экзаменах).
   • Результаты ОПД направляются в Роскомнадзор до начала обработки (если высокий риск).
7. Обучение персонала:
   • Ежегодное обучение всех имеющих доступ к ПДн (врачи, медсестры, учителя, админы, бухгалтеры).
   • Документирование (журналы, протоколы тестирования).
   • Повышение квалификации ДСПП (ЦНИИОИЗ Минздрава, лицензиатные УЦ) — раз в 3-5 лет.
8. Учет и уведомление Роскомнадзора:
   • Уведомление о начале обработки (если не исключение ст. 22 152-ФЗ).
   • Актуальность реестра обработки ПДн.

Перспективы: Что ждать в 2026–2027 годах?

• Ужесточение ответственности за утечки биометрии: Законопроекты о введении уголовной ответственности за несанкционированный доступ к биометрическим системам (ЕБС) и штрафы до 5% выручки.
• Регулирование ИИ в медицине и образовании: Требования к прозрачности алгоритмов, принимающих решения о диагнозах или траекториях обучения (прозрачность, объяснимость, запрет на автоматическое принятие решений без участия человека — ст. 18.1 152-ФЗ).
• Цифровые профили врачей/учителей: Развитие ФРМР и ФРДО (Федеральный реестр данных об образовании) приведет к централизованному хранению данных о квалификации. Риск — единая точка отказа и массивная утечка.
• Международный обмен данными: Вопросы передачи данных врачей/учителей при академической мобильности, телемедицине через границу (СНГ, БРИКС), необходимость стандартных договорных условий (СДУ) и решения о адекватности защиты.

Защита персональных данных врачей и учителей — это не просто «галочка» для инспектора Роскомнадзора, а вопрос кибербезопасности организации, репутации и безопасности личности сотрудников. Ключевая ошибка — попытка применить единый шаблон «для всех» без учета специфики: врачебной тайны в медицине и приоритета защиты прав детей в образовании.

Главное правило: Строить систему защиты на основе инвентаризации активов и управления рисками, а не на заполнении бумажек «для отчета». Инвестиции в грамотного ДСПП, современные средства защиты (DLP, SIEM, PAM) и регулярное обучение персонала стоят на порядки дешевле штрафов, судебных издержек и восстановления репутации после инцидента.

Данная статья подготовлена на основе актуального на г. законодательства (152-ФЗ, ФЗ-323, ФЗ-273, ТК РФ, КоАП РФ), разъяснений Роскомнадзора, ФСТЭК, судебной практики и открытых аналитических материалов (КонсультантПлюс, ГАРАНТ, ilex, Медвестник, профильные блоги ИБ). Не является правовым консультированием. Для решения конкретных вопросов обратитесь к юристу по защите ПДн.