Утечка данных пациентов теперь стоит клинике миллионы. А дыры — там, где вы не смотрите

Что именно поменялось
Раньше штраф за нарушение работы с персональными данными был из разряда «неприятно, но переживём» — десятки тысяч рублей. Теперь за утечку введены оборотные и повышенные штрафы, а для специальной категории данных суммы измеряются миллионами: вилка доходит до 10–15 млн рублей. За повторное нарушение штраф привязан к проценту от годовой выручки — второй инцидент бьёт по обороту бизнеса.
Ключевой момент, который многие пропускают: данные о здоровье — это специальная категория персональных данных, самая защищаемая законом. Почти вся работа клиники с пациентами — работа именно с ней. И записи телефонных разговоров, где обсуждается диагноз или приём, — тоже персональные данные, которые надо где-то хранить по правилам.
Где на самом деле дыры
Утечка обычно происходит не через «взлом сервера», а через бытовые вещи, которые никто не считает риском. Личные мессенджеры сотрудников: администратор переписывается с пациентом со своего аккаунта, пересылает данные, скидывает фото направления — переписка живёт на личном телефоне вне контроля клиники, а уволился сотрудник — база ушла с ним. Общие пароли: один логин на всех, и кто смотрел карту пациента, установить невозможно. Записи звонков без правил хранения: пишутся «чтобы было», лежат годами в случайной папке, доступ у всех.
Ни одна из этих дыр не выглядит как «нарушение закона». Все выглядят как «мы просто так работаем». Именно поэтому они и опасны.
Что делать без паники
Большинство дыр закрывается не покупкой дорогой защиты, а порядком в том, как данные ходят внутри клиники. Честно ответьте себе: через какие каналы приходят обращения пациентов и где физически лежит эта переписка; кто и под каким доступом видит данные; где хранятся записи звонков и есть ли правило, сколько вы их держите.
Отдельно про обращения и звонки. Когда первую линию общения берёт на себя отдельный сервис, переписка перестаёт жить на личных аккаунтах сотрудников и собирается в одном контуре — это как раз то, ради чего мы делаем МедЧат (medchat.tech): он отвечает пациентам и помогает с записью и одновременно снимает часть вопроса «где вообще лежит эта переписка». Это не заменяет полноценную работу с 152-ФЗ, но убирает один из самых типичных источников утечки.
С 30 мая это статья расходов, которая при плохом сценарии сопоставима с серьёзным ЧП для бизнеса. И, в отличие от многих рисков, этот вы можете уменьшить уже на этой неделе — просто честно посмотрев, где хранится то, что закон считает самым чувствительным.