Документы по информационной безопасности для медицинской организации в

Медицинская организация в живёт в двух контурах требований. Первый — это пациентские данные: сведения о здоровье относятся к специальной категории персональных данных, и ошибки здесь обходятся дороже, чем в обычном бизнесе. Второй — отраслевые требования: подключение к ЕГИСЗ, запросы от страховых компаний, контроль со стороны Минздрава и возможный статус субъекта критической информационной инфраструктуры. В результате перед руководителем и ответственным за ИБ встаёт вопрос: какие документы действительно обязательны, а какие — разумная практика? И как их подготовить без лишних затрат и без путаницы с лицензиями.

В этой статье разберём, какие документы по информационной безопасности и защите персональных данных нужны именно медицинской организации, кто их утверждает, что спрашивают при проверках и как выглядит комплект, который не стыдно предъявить Роскомнадзору или использовать при работе с ЕГИСЗ. Отдельно честно скажем, какую часть мы делаем под ключ, а где требуется партнёр-лицензиат ФСТЭК.

Какие документы по ИБ обязательны: медицинская организация

Для медицинской организации базовые требования задают два закона: 152-ФЗ «О персональных данных» (сведения о здоровье — специальная категория) и 323-ФЗ «Об основах охраны здоровья граждан в РФ» (врачебная тайна, ст. 13 — по имеющимся данным, текст в этой редакции не сверялся). К этому добавляются подзаконные акты: ПП 1119 для определения уровня защищённости ИСПДн, приказ ФСТЭК № 21 от 18.02.2013 (ред. 14.05.2020) для мер защиты, отраслевой перечень угроз Минздрава № 340н от 03.07.2023. Если клиника подпадает под признаки субъекта КИИ (сфера «здравоохранение» есть в 187-ФЗ), то применяются также требования по значимым объектам и Указ Президента № 250.

Важно: в 152-ФЗ нет единого закрытого перечня «обязательных документов». Состав мер оператор определяет сам, но названы прямо: политика, локальные акты по целям, назначение ответственного, внутренний контроль, оценка вреда, ознакомление работников. Ниже — таблица позиций, которые проверяют чаще всего.

Обратите внимание: отдельного штрафа «за отсутствие локальных актов по ПДн» в КоАП нет. Прямая санкция за документ — только за неопубликованную политику (ч. 3 ст. 13.11: юрлица 30–60 тыс. ₽). Однако отсутствие регламентов почти всегда приводит к тому, что обработка ведётся с нарушением требований, и тогда применяются другие составы — ч. 1 (незаконная обработка, 150–300 тыс. ₽), ч. 2 (без согласия, 300–700 тыс. ₽) и более серьёзные при утечках.

Состав комплекта для вашей организации

Ниже — типовой набор документов для частной медицинской организации, которая не является государственным учреждением и не признана субъектом КИИ (если признана — набор технической части меняется, об этом дальше). Мы готовим правовой и организационный контур; техническую часть по ИСПДн сопровождаем методически или через партнёра-лицензиата.

Кто проверяет и что смотрят

Основной контролирующий орган для частной медицинской организации по персональным данным — Роскомнадзор. ФСТЭК проверяет медицинские организации только в двух случаях: если они являются субъектами КИИ (сфера «здравоохранение») или если организация — государственное/муниципальное учреждение (ГИС, приказ 117). ЦБ для клиник неприменим. Росздравнадзор следит за соблюдением лицензионных требований, которые тоже затрагивают ведение документации, но напрямую ИБ не проверяет.

Типовые вопросы и запросы при проверке РКН:

• Где опубликована политика обработки ПДн? Соответствует ли она реальным целям сбора данных на сайте и в регистратуре?
• Кто назначен ответственным за организацию обработки ПДн? Есть ли приказ и должностные обязанности?
• Как оформляются согласия пациентов? Не являются ли они пунктом в договоре или анкете?
• Какие локальные акты описывают обработку для каждой цели (запись на приём, ведение медкарты, передача в страховую, лаборатория)?
• Есть ли акт оценки вреда и документы о порядке уничтожения ПДн?
• Заключены ли поручения с подрядчиками (лаборатории, МИС, колл-центр), если они обрабатывают ПДн по вашему заданию?

Если клиника — субъект КИИ, то ФСТЭК дополнительно проверит наличие заместителя руководителя по ИБ, положение о подразделении ИБ, и если есть значимые объекты — ОРД по приказам 235/239 и план реагирования на инциденты. Такие работы выполняются только лицензиатом.

Как мы готовим комплект

Мы работаем дистанционно по всей России, поэтому для клиники в не нужно ехать в офис — достаточно заполнить опросный лист и при необходимости созвониться. Документы не шаблонные: специалист адаптирует их под ваши процессы, количество сотрудников, наличие МИС и подрядчиков. Утверждает готовый комплект руководитель организации.

Если клиника — субъект КИИ или имеет значимые объекты: техническую часть (модель угроз, план реагирования, ОРД по 235/239) мы не делаем самостоятельно, потому что по Указу № 250 такие работы для субъектов КИИ могут выполнять только организации с лицензией ФСТЭК на ТЗКИ. В этом случае мы подключаем партнёра-лицензиата, который берёт технический контур, а мы помогаем с правовой частью (ПДн, врачебная тайна, организационная подготовка).

Особенности, о которых забывают

• ✓ Спецкатегория ПДн. Сведения о здоровье — специальная категория (ст. 10 152-ФЗ, по имеющимся данным не открывалась, но практика однозначна). Это влияет на уровень защищённости ИСПДн (УЗ не ниже 1–3) и на штрафы при утечках (ч. 16 ст. 13.11 — юрлица 10–15 млн ₽).
• ✓ ЕГИСЗ. Даже частная клиника, передающая сведения в ЕГИСЗ, обязана обеспечить защиту при обмене. Проверяют не только наличие документов, но и их соответствие реальным процессам: как подключается МИС, кто имеет доступ, куда отправляются данные.
• ✓ КИИ-статус клиники. Здравоохранение входит в перечень сфер КИИ (187-ФЗ). Не все клиники автоматически субъекты, но если в клинике есть ИС, подпадающие под типовые объекты из распоряжения 360-р (например, МИС, интеграция с ЕГИСЗ, оборудование лучевой диагностики), то статус вполне возможен. Рекомендуем проверить до начала работ.
• ✓ Согласие на медвмешательство ≠ согласие на обработку ПДн. Это два разных документа. С 01.09.2025 согласие на обработку ПДн оформляется отдельно от любых иных документов.
• ✓ Бумажные носители. Даже если всё в МИС, бумажные карты, договоры, копии паспортов требуют организации мест хранения и перечня лиц с доступом (ПП 687, практика).

Разбор на примере: частная клиника

Как работали:

Что будет без документов

Прямого штрафа «за отсутствие комплекта документов по ИБ» в КоАП РФ нет. Но отсутствие документов приводит к тому, что обработка ПДн ведётся с нарушениями, и тогда применяются конкретные составы.

• Неопубликованная политика ПДн — ч. 3 ст. 13.11: юрлица 30–60 тыс. ₽.
• Обработка без правовых оснований — ч. 1 ст. 13.11: юрлица 150–300 тыс. ₽ (повторно 300–500 тыс.).
• Отсутствие письменного согласия или оформление с нарушением — ч. 2 ст. 13.11: юрлица 300–700 тыс. ₽.
• Неуведомление РКН об обработке — ч. 10 ст. 13.11: юрлица 100–300 тыс. ₽; об инциденте — ч. 11: 1–3 млн ₽.
• Утечка специальной категории данных (здоровье) — ч. 16 ст. 13.11: юрлица 10–15 млн ₽, повторно — оборотный штраф до 3% выручки, но не менее 20 млн и не более 500 млн ₽.
• Разглашение врачебной тайны работником — дисциплинарное взыскание, вплоть до увольнения по п. 6 «в» ст. 81 ТК РФ, если сведения относятся к охраняемой законом тайне и это доказано документами (положение о тайне, перечень, роспись).

Кроме штрафов, практические последствия: страховая компания или ЕГИСЗ может отказать в подключении или запросить документы; при утечке трудно доказать, что организация приняла меры, и это отягчает вину. В суде с работником, разгласившим данные, без локальных актов почти невозможно выиграть.

Чем поможем и сколько это стоит

Для негосударственной клиники, которая не является субъектом КИИ, мы готовим под ключ правовой и организационный пакет документов:

• Политика обработки ПДн (для сайта и внутренняя)
• Положение об обработке и защите ПДн (по каждой цели)
• Положение о ПДн работников
• Приказ об ответственном за организацию обработки ПДн
• Формы согласий пациентов отдельными документами
• Поручения на обработку ПДн для подрядчиков
• Регламент ответов на запросы субъектов
• Порядок и акт уничтожения ПДн
• Акт оценки вреда
• Регламент реагирования на инциденты и уведомления РКН
• Политика ИБ и правила использования ИТ (для внутреннего пользования)

Техническую часть по ИСПДн (модель угроз, акт определения уровня защищённости, инструкции по СЗИ) мы сопровождаем методически: даём шаблон, консультируем, проверяем результат. Если нужна полноценная разработка модели угроз «под ключ» для ИСПДн — это делает специалист заказчика по нашим указаниям, либо мы передаём партнёру-лицензиату (для ГИС, КИИ — только через лицензиата).

Почему у нас дешевле: мы работаем дистанционно и используем отработанные типовые решения под конкретные процессы клиники, не раздувая смету на выезды и «экспертные» часы. Комплект готовит специалист, а не безликий сервис, поэтому документы соответствуют вашей деятельности, а не скачаны из интернета.

Частые вопросы

Если вы только начинаете выстраивать документацию или хотите проверить текущий комплект, посмотрите нашу услугу по документам ИБ, а также документы по персональным данным и политику обработки ПДн. Для клиник, которые уже имеют техническую часть, но хотят усилить правовой контур, подойдёт положение о защите ПДн. Поможем собрать комплект, который пройдёт проверку и будет работать на вашу организацию.