Статья: Реагирование на утечки медицинских персональных данных

(Березинский В.С.)

(Подготовлен для системы КонсультантПлюс, 2025)

Березинский Вадим Сергеевич, юрист.

Введение

Утечки персональных данных из медицинских организаций в последние годы стали одной из наиболее острых проблем в сфере информационной безопасности здравоохранения. Распространение цифровых сервисов, электронных медицинских карт и телемедицинских технологий сопровождается накоплением значительных массивов информации о состоянии здоровья граждан, доступ к которой представляет высокую ценность для злоумышленников. Только за последние пять лет в России зафиксированы крупные инциденты, связанные с компрометацией данных пациентов, что свидетельствует о системных рисках в сфере обработки медицинских персональных данных.

В этих условиях обеспечение защищенности таких данных и выработка эффективных мер реагирования на инциденты приобретают особое значение. Для медицинских организаций вопрос своевременного обнаружения и устранения последствий утечки становится не только технической, но и правовой обязанностью, напрямую влияющей на соблюдение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и поддержание доверия пациентов к системе здравоохранения.

1. Обязанность медицинской организации реагировать на утечки персональных данных

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) не дает правового определения утечке персональных данных, однако из смысла ч. 3.1 ст. 21 можно заключить, что под утечкой понимается факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных.

Предоставление и распространение персональных данных относятся к действиям оператора по раскрытию персональных данных либо определенному лицу (кругу лиц), либо неопределенному кругу лиц (п. п. 5, 6 ст. 3 Закона о персональных данных). Доступ к персональным данным может быть получен и в результате действий третьих лиц, в том числе неправомерных.

Исходя из этого медицинская организация может допустить утечку персональных данных, если неправомерно или случайно предоставит или распространит данные, а также если не предпримет необходимых и достаточных мер защиты от неправомерного или случайного доступа третьих лиц к данным.

Стоит обратить внимание, что случайная утечка данных также требует принятия мер информационной безопасности.

Важно также, что утечку может выявить как сама медицинская организация, так и Роскомнадзор, а также иное заинтересованное лицо (ч. 3.1 ст. 21 Закона о персональных данных). Например, база данных пациентов может появиться в даркнете без ведома клиники, и об этом станет известно в Роскомнадзоре.

2. Первый этап реагирования — 24 часа с момента выявления инцидента

По факту утечки персональных данных медицинская организация обязана:

1. Собрать сведения о произошедшем инциденте:

• дата и время выявления инцидента;
• характеристики персональных данных, содержание скомпрометированной базы данных, количество содержащихся в ней записей;
• информация об актуальности скомпрометированной базы данных и о периоде, в течение которого собраны персональные данные (п. 2.1 Приказа Роскомнадзора от 14.11.2022 № 187).

2. Собрать сведения о предполагаемых предварительных причинах, повлекших нарушение прав субъектов персональных данных.

3. Провести предварительную оценку вреда, который может быть нанесен субъектам персональных данных в связи с неправомерным распространением персональных данных, а также последствий такого вреда в соответствии с Требованиями к оценке вреда, утвержденными Приказом Роскомнадзора от 27.10.2022 № 178. Так, например, утечка специальных категорий персональных данных, касающихся состояния здоровья, отнесена к высокой степени вреда (см. п. 2.1 Требований). Результаты оценки вреда оформляются актом оценки вреда (п. 3 Требований).

4. Принять организационные и технические меры по устранению последствий утечки персональных данных в соответствии со ст. ст. 18.1, 19 Закона о персональных данных. Принятые меры необходимо документально оформить в целях подтверждения для Роскомнадзора.

5. Определить лицо, уполномоченное от имени медицинской организации на взаимодействие с Роскомнадзором по вопросам, связанным с выявленным инцидентом.

6. Заполнить и направить в Роскомнадзор первичное уведомление о произошедшем инциденте в соответствии с Приказом Роскомнадзора от 14.11.2022 № 187. Уведомление заполняется в электронной форме, размещенной на сайте Роскомнадзора по ссылке https://pd.rkn.gov.ru/incidents/form/, после прохождения процедуры идентификации и аутентификации посредством ЕСИА и подписывается электронной подписью. Уведомление также допускается заполнить в виде документа на бумажном носителе и направить по адресу Роскомнадзора (п. 6 Приказа Роскомнадзора от 14.11.2022 № 187).

В уведомлении потребуется указать сведения о медицинской организации и собранные сведения об инциденте, его предполагаемых причинах, предварительной оценке вреда, принятых мерах по устранению последствий и о контактном лице (п. 1 ч. 3.1 ст. 21 Закона о персональных данных).

Важно понимать, что уведомлению Роскомнадзора, несмотря на его предварительный характер, должна предшествовать работа по сбору сведений, оценке вреда и принятию мер и при этом само уведомление должно быть направлено в течение двадцати четырех часов с момента выявления инцидента.

Стоит обратить внимание, что срок установлен не в рабочих днях, а в часах, то есть выявление утечки данных в нерабочее время не продлевает срок для принятия мер и уведомления Роскомнадзора.

Согласно ч. 11 ст. 13.11 КоАП РФ невыполнение или несвоевременное выполнение оператором обязанности по уведомлению Роскомнадзора в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц — от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц — от одного миллиона до трех миллионов рублей.

3. Второй этап реагирования — 72 часа с момента выявления инцидента

По факту утечки персональных данных медицинская организация обязана:

1. Провести внутреннее расследование инцидента. При этом потребуется издать приказ о проведении внутреннего расследования, а результаты оформить актом, в котором указать выявленные причины, повлекшие нарушение прав субъектов персональных данных; вред, нанесенный правам субъектов персональных данных; рекомендации о принятии дополнительных мер по устранению последствий инцидента.

Если факт утечки данных выявлен не медицинской организацией, а Роскомнадзором, то внутреннее расследование проводится по требованию ведомства. В этом случае результатом расследования также может быть неподтверждение оператором факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных и (или) неустановление принадлежности скомпрометированной базы данных (п. 16 Приказа Роскомнадзора от 14.11.2022 № 187).

2. Установить причастных к инциденту лиц. Если причиной инцидента стали действия сотрудника медицинской организации, то потребуется указать его фамилию, имя, отчество (при наличии) и должность. Если причиной инцидента стали действия посторонних лиц, то необходимо зафиксировать IP-адрес компьютера или устройства, предполагаемое местонахождение таких лиц и (или) устройств (п. 3 Приказа Роскомнадзора от 14.11.2022 № 187).

3. Заполнить и направить в Роскомнадзор дополнительное уведомление о результатах внутреннего расследования выявленного инцидента, а также представить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии). Уведомление заполняется в электронной форме, размещенной на сайте Роскомнадзора по ссылке https://pd.rkn.gov.ru/incidents/form/, после прохождения процедуры идентификации и аутентификации посредством ЕСИА и подписывается электронной подписью. Уведомление также допускается заполнить в виде документа на бумажном носителе и направить по адресу Роскомнадзора (п. 6 Приказа Роскомнадзора от 14.11.2022 № 187).

При направлении дополнительного уведомления оператор должен указать номер и ключ предварительного уведомления (п. 9 Приказа Роскомнадзора от 14.11.2022 № 187).

Если медицинская организация пропустит срок направления дополнительного уведомления, то Роскомнадзор направит требование о необходимости представить сведения о результатах внутреннего расследования выявленного инцидента, на которое необходимо ответить в течение одного рабочего дня со дня получения такого требования (п. п. 12 — 13 Приказа Роскомнадзора от 14.11.2022 № 187).

Согласно ч. 16 ст. 13.11 КоАП РФ действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей специальную категорию персональных данных, влекут наложение административного штрафа на граждан в размере от трехсот тысяч до четырехсот тысяч рублей; на должностных лиц — от одного миллиона до одного миллиона трехсот тысяч рублей; на юридических лиц — от десяти миллионов до пятнадцати миллионов рублей.

4. Особенности реагирования на компьютерные инциденты с утечкой персональных данных

Согласно ч. 11 ст. 23 Закона о персональных данных информация о компьютерных инцидентах, повлекших неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, передается в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, — ФСБ России.

Порядок взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных, утвержден Приказом ФСБ России от 13.02.2023 № 77 (далее — Порядок № 77).

Если информационные системы, используемые медицинской организацией, отнесены к значимым объектам критической информационной инфраструктуры, то она обязана проинформировать ФСБ России о компьютерном инциденте через Национальный координационный центр по компьютерным инцидентам — НКЦКИ (п. 1 Порядка № 77).

Перечень типовых отраслевых объектов критической информационной инфраструктуры, функционирующих в сфере здравоохранения, утвержденный Минздравом России 01.07.2024, включает в том числе медицинские информационные системы, системы автоматизации медицинской деятельности и информационно-телекоммуникационную инфраструктуру, обеспечивающую осуществление медицинской деятельности.

В этом случае информация о компьютерном инциденте, повлекшем неправомерную передачу (предоставление, распространение, доступ) персональных данных, направляется в соответствии с определенными НКЦКИ форматами представления информации в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) с использованием каналов информационного взаимодействия в течение 24 часов с момента обнаружения компьютерного инцидента (п. 2 Порядка № 77).

Если информационные системы, используемые медицинской организацией, не отнесены к значимым объектам критической информационной инфраструктуры, то информация о компьютерном инциденте направляется в Роскомнадзор в общем порядке (п. 3 Порядка № 77).

Медицинская организация, пострадавшая от компьютерных атак, вправе обратиться в Национальный координационный центр по компьютерным инцидентам для оказания ей содействия в реагировании на выявленный компьютерный инцидент и привлечения сил ГосСОПКА (п. 5 Порядка № 77).

Заключение

Таким образом, реагирование на инциденты, связанные с утечкой медицинских персональных данных, представляет собой не формальную, а ключевую обязанность медицинской организации, обеспечивающую реализацию права граждан на защиту частной жизни и сохранение врачебной тайны. Соблюдение установленных законом процедур уведомления, проведения внутреннего расследования и устранения последствий утечки позволяет минимизировать ущерб субъектам персональных данных, снизить юридические риски и укрепить доверие пациентов к медицинской системе. Последовательное выполнение этих мер свидетельствует о надлежащем уровне организации обработки персональных данных и формирует доказательственную базу добросовестности оператора при проверках Роскомнадзора и иных уполномоченных органов.

---