---
title: "Готовое решение: Как медорганизации обеспечить защиту персональных данных пациентов"
status: действует
canonical: "https://bukva.ai/docs/gotovoe-reshenie-kak-medorganizatsii-obespechit"
---

## Готовое решение: Как медорганизации обеспечить защиту персональных данных пациентов

# Готовое решение: Как медорганизации обеспечить защиту персональных данных пациентов


<a id="p100001"></a>Как медорганизации обеспечить защиту персональных данных пациентов

<a id="p100002"></a>Медорганизация как оператор персональных данных должна обеспечить их конфиденциальность. Для этого нужно принять меры по защите таких данных.
<a id="p100003"></a>Разработайте пакет документов по вопросам обработки и защиты персональных данных, ознакомьте с ними работников. Определите места хранения данных и порядок доступа к ним, назначьте ответственных лиц. Применяйте технические средства защиты информации, которые соответствуют уровням потенциальных угроз. Осуществляйте внутренний контроль за тем, отвечают ли принимаемые меры установленным требованиям. Проводите мероприятия по повышению осведомленности работников в вопросе соблюдения этих требований.

<a id="p100004"></a>Оглавление:
1. [Какие меры нужно принять для защиты персональных данных пациентов](#p100005)
2. [Как организовать хранение персональных данных пациентов в бумажном виде](#p100020)
3. [Что нужно сделать для защиты персональных данных в информационных системах](#p100031)


## 1. <a id="p100005"></a>Какие меры нужно принять для защиты персональных данных пациентов

<a id="p100006"></a>Медорганизация как оператор персональных данных должна принимать меры по их защите. Этого требуют Закон о персональных данных и иные НПА, утвержденные в соответствии с ним.
<a id="p100007"></a>Чтобы обеспечить защиту персональных данных, сделайте, в частности, следующее (ч. 1, 2 ст. 18.1, ч. 1 ст. 19 Закона о персональных данных):
<a id="p100008"></a>назначьте лицо, ответственное за организацию обработки персональных данных, определите его обязанности. Назначьте также иных лиц, ответственных за реализацию мер по защите персональных данных в ваших структурных подразделениях. Установите в локальном документе порядок взаимодействия ответственных лиц между собой, с медицинскими и иными работниками;
<a id="p100009"></a>закрепите в локальных документах, в том числе в политике обработки персональных данных, цели их обработки, категории субъектов, чьи персональные данные вы обрабатываете, перечень данных и их категории, способы их обработки, сроки обработки и хранения, а также порядок уничтожения.
<a id="p100010"></a>Такие сведения можно указать в отдельном локальном акте, например положении об обработке и защите персональных данных пациентов, или включить в локальные акты, которые регулируют обработку персональных данных в целом;
<a id="p100011"></a>обеспечьте неограниченный доступ к политике обработки персональных данных и сведениям о мероприятиях по их защите. Например, вы вправе разместить такие документы и сведения на вашем сайте. Это можно сделать и в том случае, когда вы не собираете персональные данные с его помощью. Если сбор персональных данных на сайте есть, вы обязаны разместить политику и сведения по их защите;
<a id="p100012"></a>проведите оценку вреда, который может быть причинен пациентам. Руководствуйтесь Требованиями, утвержденными Приказом Роскомнадзора от 27.10.2022 N 178. Установите степень возможного вреда и зафиксируйте ее в акте оценки вреда. По результатам оценки определите меры по защите данных;
<a id="p100013"></a>примите локальные акты, которые устанавливают процедуры предотвращения, выявления нарушений требований к обработке персональных данных и устранения их последствий;
<a id="p100014"></a>примите правовые, организационные и технические меры, чтобы обеспечить безопасность персональных данных пациентов в информационных системах;
<a id="p100015"></a>определите медицинских и иных работников, которые обрабатывают персональные данные пациентов и (или) имеют к ним доступ. Оформите перечни таких работников в виде локальных актов;
<a id="p100016"></a>ознакомьте всех работников, которые обрабатывают персональные данные пациентов, с положениями законодательства РФ в этой области, вашей политикой обработки и иными локальными актами по данному вопросу.
<a id="p100017"></a>Рекомендуем провести обучение работников, ознакомив их, в частности, с обязанностями ответственного за обработку. Допустимо пригласить для этого сторонних экспертов. Зафиксируйте ознакомление (обучение) работников. Например, можно внести в специальный журнал информацию о проведении мероприятия по ознакомлению (обучению) и его участниках, попросить работников поставить подписи;
<a id="p100018"></a>проводите периодический внутренний контроль (аудит) соответствия обработки персональных данных пациентов установленным требованиям и локальным актам медорганизации.
<a id="p100019"></a>Вы сами определяете периодичность, порядок проведения контроля, перечень мероприятий и способ фиксации результатов. Так, вы можете установить, проводит проверку комиссия или сотрудник, ответственный за организацию обработки. Полагаем, что внутренний контроль (аудит) следует проводить не реже одного раза в год. Можно предусмотреть ежеквартальную периодичность проведения проверки по структурным подразделениям, которые обрабатывают персональные данные, или проводить ее один раз в полугодие. Это зависит от количества субъектов и категорий обрабатываемых данных.

2. <a id="p100020"></a>Как организовать хранение персональных данных пациентов в бумажном виде
<a id="p100021"></a>Хранить медицинскую документацию и иные документы, содержащие персональные данные пациентов, в бумажном виде нужно так, чтобы исключить несанкционированный доступ к ним. Если вы обрабатываете персональные данные в разных целях, храните раздельно их материальные носители.
<a id="p100022"></a>Чтобы выполнить эти требования, сделайте следующее:
<a id="p100023"></a>определите места хранения персональных данных, в том числе места архивного хранения. Например, это могут быть помещения, запираемые шкафы или специальные сейфы;
<a id="p100024"></a>установите перечень медицинских и (или) иных работников, которые могут обрабатывать такие данные либо имеют доступ к ним;
<a id="p100025"></a>разработайте правила доступа в помещения, в которых хранятся документы, и нахождения в них, правила хранения документов в пределах установленных сроков.
<a id="p100026"></a>Зафиксируйте все это в локальных актах медорганизации по вопросам обработки персональных данных (п. 2 ч. 1 ст. 18.1 Закона о персональных данных, разд. III Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 N 687).
<a id="p100027"></a>Особое внимание уделите организации деятельности регистратуры. Одна из ее функций - систематизированное хранение медицинской документации, ее подбор и доставка в кабинеты для приема пациентов. Отдельным медорганизациям рекомендовано организовать специальное картохранилище - помещение или закрытую зону регистратуры с ограниченным доступом (п. 12 Правил, утвержденных Приказом Минздрава России от 14.04.2025 N 202н). Полагаем, что такой подход применим и к деятельности частных медорганизаций.
<a id="p100028"></a>Хранение медицинских карт пациентов в регистратуре, их подготовку для доставки в кабинеты и временное нахождение в них организуйте таким образом, чтобы другие пациенты или посетители медорганизации не могли прочитать сведения о пациенте или получить доступ к ним.
<a id="p100029"></a>Например, не следует размещать медкарты, подготовленные для передачи, непосредственно в зоне обслуживания пациентов либо оставлять их в местах, доступных иным лицам. Если хранение медкарт и прием пациентов организованы на первом этаже, с улицы не должно быть видно содержание медкарт, расположенных на стеллажах или временно находящихся в кабинетах. Не нужно хранить документы на подоконниках с незанавешенными окнами.
<a id="p100030"></a>Предупредите работников, что нельзя повторно использовать испорченные документы с персональными данными (талоны на прием, бланки, направления и др.) для печати новых документов или записи информации для других пациентов. Это нарушает конфиденциальность данных.

3. <a id="p100031"></a>Что нужно сделать для защиты персональных данных в информационных системах
<a id="p100032"></a>Совокупность информационных технологий (технических средств) и персональных данных, содержащихся в базах данных, образуют информационную систему персональных данных (ИСПДн).
<a id="p100033"></a>Вы должны исключить возможность несанкционированного доступа к персональным данным при их обработке в указанной системе и не допустить их неправомерного уничтожения, изменения, копирования, распространения и др.
<a id="p100034"></a>Чтобы обеспечить защиту данных пациентов в ИСПДн, примите меры правового, организационного и технического характера, в частности (п. 10 ст. 3, ч. 1, п. п. 7, 8 ч. 2 ст. 19 Закона о персональных данных):
<a id="p100035"></a>разработайте и введите в действие локальные акты, которые устанавливают перечни таких информационных систем, состав сведений в них, цели и правила обработки персональных данных, перечни работников, которые взаимодействуют с ними или имеют к ним доступ;
<a id="p100036"></a>используйте технические средства защиты информации, которые позволяют отслеживать и записывать действия пользователей, а также противодействовать несанкционированному доступу;
<a id="p100037"></a>обеспечьте резервное копирование данных, чтобы иметь возможность восстановить их.

<a id="p100038"></a>Какие меры обеспечивают безопасность персональных данных при их обработке в ИСПДн
<a id="p100039"></a>Чтобы выполнить требования к защите персональных данных, которые вы обрабатываете в информационных системах, в зависимости от необходимого уровня защищенности таких данных сделайте, в частности, следующее (ст. 19 Закона о персональных данных, п. п. 6 - 12 Требований, утвержденных Постановлением Правительства РФ от 01.11.2012 N 1119):
<a id="p100040"></a>определите угрозы безопасности персональных данных и необходимый уровень их защищенности. Последний зависит от категории персональных данных, обрабатываемых в ИСПДн, количества пациентов, персональные данные которых в нее внесены, и угроз безопасности. При определении угроз учтите положения Приказа Минздрава России от 03.07.2023 N 340н;
<a id="p100041"></a>обеспечьте выполнение требований к защите персональных данных для соответствующего уровня их защищенности;
<a id="p100042"></a>периодически контролируйте уровень защищенности персональных данных и соответствие мер по обеспечению их безопасности установленным требованиям, оценивайте эффективность этих мер;
<a id="p100043"></a>применяйте только те средства защиты информации, которые прошли процедуру оценки их соответствия;
<a id="p100044"></a>установите правила доступа к персональным данным пациентов, регистрируйте и учитывайте все действия с ними;
<a id="p100045"></a>внедрите программные средства обнаружения фактов несанкционированного доступа в ИСПДн и восстановления персональных данных, измененных или уничтоженных из-за такого доступа;
<a id="p100046"></a>обеспечьте обнаружение, предупреждение компьютерных атак на информационную систему и ликвидацию их последствий, а также взаимодействие с ГосСОПКА;
<a id="p100047"></a>ведите учет всех машинных носителей персональных данных, включая съемные;
<a id="p100048"></a>обеспечьте выполнение Требований к материальным носителям биометрических персональных данных и их хранению вне информационной системы (в случае их обработки).

<a id="p100049"></a>Состав и содержание мер по защите персональных данных в ИСПДн определите в соответствии с Приказами ФСТЭК России от 18.02.2013 N 21 и ФСБ России от 10.07.2014 N 378 с учетом актуальных угроз безопасности и необходимого уровня защищенности персональных данных.
<a id="p100050"></a>Для отдельных информационных систем (например, МИС государственных медучреждений) в ряде случаев применяйте средства криптографической защиты информации (СКЗИ) необходимого класса, сертифицированные ФСБ России (п. п. 1, 3 - 4 Требований, утвержденных Приказом ФСБ России от 22.08.2026 N 321). Учтите также Требования, утвержденные Приказом ФСТЭК России от 11.04.2025 N 117.
<a id="p100051"></a>Если ИСПДн отнесена к значимым объектам критической информационной инфраструктуры, для защиты данных выполняйте Требования, установленные Приказом ФСТЭК России от 25.12.2017 N 239, и иные специальные требования.

<a id="p100052"></a>Примерный перечень документов по обработке и защите персональных данных
<a id="p100053"></a>Законодательством в области персональных данных требования к перечню документов (локальных актов), которые должны быть разработаны и приняты оператором, и количеству таких актов не установлены. Вы сами должны сформировать этот перечень с учетом специфики вашей деятельности и обязанностей оператора (ст. 4, ч. 1 ст. 18.1, ст. 19 Закона о персональных данных).
<a id="p100054"></a>Если нет требований к структуре таких документов, их содержанию и названиям, определите их самостоятельно.
<a id="p100055"></a>Основные документы следующие:
<a id="p100056"></a>приказ о назначении лица, ответственного за организацию обработки персональных данных, его инструкция (регламент) (п. 1 ч. 1 ст. 18.1, ч. 1, 4 ст. 22.1 Закона о персональных данных);
<a id="p100057"></a>политика обработки персональных данных (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);
<a id="p100058"></a>положение (иной документ) об обработке персональных данных (пациентов, работников, пользователей сайта или мобильного приложения и др.) (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);
<a id="p100059"></a>положение (иной документ) об обеспечении безопасности персональных данных, о выявлении и предупреждении нарушений, устранении их последствий (п. 2 ч. 1 ст. 18.1, п. 8 ч. 2 ст. 19 Закона о персональных данных);
<a id="p100060"></a>положение (иной документ) об организации системы видеонаблюдения, если оно организовано (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);
<a id="p100061"></a>положение (иной документ) о внутреннем контроле (аудите) соответствия обработки персональных данных установленным требованиям (п. 4 ч. 1 ст. 18.1 Закона о персональных данных);
<a id="p100062"></a>акт (иной документ) по результатам внутреннего контроля (п. 4 ч. 1 ст. 18.1 Закона о персональных данных);
<a id="p100063"></a>акты уничтожения персональных данных (ч. 7 ст. 21 Закона о персональных данных, п. 3 Требований, утвержденных Приказом Роскомнадзора от 28.10.2022 N 179);
<a id="p100064"></a>акты оценки вреда, который может быть причинен субъектам персональных данных (п. 5 ч. 1 ст. 18.1 Закона о персональных данных, п. 4 Требований N 178);
<a id="p100065"></a>журнал (иной документ) ознакомления (обучения) работников, осуществляющих обработку персональных данных, с положениями законодательства РФ в этой области, требованиями к защите таких данных, политикой их обработки и иными локальными актами по данному вопросу (п. 6 ч. 1 ст. 18.1 Закона о персональных данных);
<a id="p100066"></a>порядок (иной документ) рассмотрения и учета запросов (обращений) субъектов персональных данных (ч. 1 ст. 14, ч. 1 - 3 ст. 20 Закона о персональных данных);
<a id="p100067"></a>типовые формы согласий на обработку персональных данных для случаев, когда нет иных оснований для их обработки (п. 1 ч. 1, ч. 3 ст. 6, ч. 4, 6, 7 ст. 9, п. 1 ч. 2 ст. 10, ч. 1 ст. 10.1, ч. 1 ст. 11, ч. 1 ст. 15 Закона о персональных данных);
<a id="p100068"></a>обязательство (иной документ) о неразглашении персональных данных (ст. 7, ч. 1 ст. 24 Закона о персональных данных);
<a id="p100069"></a>инструкции (внутренние регламенты, чек-листы) по действиям работников в случае, если к ним обратятся субъекты персональных данных по вопросам обработки этих данных или выявится их неправомерная обработка, а также по взаимодействию с лицом, ответственным за организацию обработки, или иными ответственными лицами (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);
<a id="p100070"></a>уведомление (иной документ) медорганизацией работников о том, что они осуществляют неавтоматизированную обработку персональных данных, и правилах такой обработки (п. 6 Положения N 687);
<a id="p100071"></a>типовые формы документов, в которые вносятся персональные данные (п. 7 Положения N 687);
<a id="p100072"></a>приказ (иной документ), который определяет порядок прохода на территорию медорганизации и порядок внесения персональных данных в журнал (книгу, реестр) учета посетителей (если учет ведется) (п. 8 Положения N 687);
<a id="p100073"></a>приказ, определяющий места хранения персональных данных, обрабатываемых неавтоматизированным способом, и перечень лиц, которые осуществляют их обработку либо имеют доступ к ним (п. 13 Положения N 687);
<a id="p100074"></a>приказ об утверждении перечня мер по обеспечению сохранности персональных данных и исключению несанкционированного доступа к ним (п. 15 Положения N 687);
<a id="p100075"></a>приказ о назначении лиц, ответственных за сохранность персональных данных и исключение несанкционированного доступа к ним (п. 15 Положения N 687);
<a id="p100076"></a>модель угроз безопасности персональных данных (п. 1 ч. 2 ст. 19 Закона о персональных данных, п. 2.12 Методики, утвержденной ФСТЭК России 05.02.2021);
<a id="p100077"></a>акт (иной документ) об определении уровня защищенности персональных данных в ИСПДн (п. 2 ч. 2 ст. 19 Закона о персональных данных);
<a id="p100078"></a>перечень ИСПДн (п. 1 ч. 2 ст. 19 Закона о персональных данных);
<a id="p100079"></a>перечень помещений, в которых размещены ИСПДн (п. 8 ч. 2 ст. 19 Закона о персональных данных, пп. "а" п. 13 Требований N 1119);
<a id="p100080"></a>перечень лиц, имеющих доступ к ИСПДн (обрабатывающих персональные данные) в связи с трудовыми (служебными) обязанностями (п. 8 ч. 2 ст. 19 Закона о персональных данных, пп. "в" п. 13 Требований N 1119);
<a id="p100081"></a>приказ о назначении лица, ответственного за обеспечение безопасности персональных данных в ИСПДн, его инструкция (регламент) (п. 14 Требований N 1119);
<a id="p100082"></a>правила доступа к персональным данным в ИСПДн (п. 8 ч. 2 ст. 19 Закона о персональных данных);
<a id="p100083"></a>журнал (иной документ) учета машинных носителей персональных данных (п. 5 ч. 2 ст. 19 Закона о персональных данных);
<a id="p100084"></a>иные документы в зависимости от принимаемых мер (с учетом угроз безопасности и необходимого уровня защищенности).



<a id="p100085"></a>

---