Персональные данные: закон суров.

Федеральный закон «О персональных данных» от 27 июля 2006 года №152-ФЗ в полном объеме вступил в силу с 1 июля 2011 года.

Если вы делаете бизнес в России, вы должны постоянно отслеживать изменения законодательства. То, что еще вчера было нормальным и допустимым, сегодня может быть уже за гранью закона. Типичный пример новых жестких требований к бизнесу — нормы законодательства о персональных данных.

Важность этого закона безусловна: он касается каждого предпринимателя. Если в вашей организации есть хотя бы один работник или один клиент — физическое лицо, то законодательство о персональных данных налагает на вас серьезные обязательства.

Персональные данные — это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация [1].

Главное требование закона — соблюдение конфиденциальности при обработке любых персональных данных, позволяющих идентифицировать лицо, которому принадлежат эти данные. Как правило, для идентификации достаточно дополнения сведений о фамилии, имени и отчестве любой иной персональной информацией (дата рождения, адрес, номер телефона и др.). Например, такие сочетания данных как Ф.И.О. и дата рождения или Ф.И.О. и номер телефона являются персональными данными, позволяющими идентифицировать лицо. А вот сочетание даты рождения и номера телефона персональными данными являться не могут, поскольку их принадлежность к определенному лицу не установлена, и идентифицировать по этим данным конкретное лицо невозможно.

Если в вашей организации накапливаются, хранятся или каким-то образом используются в работе персональные данные, хотите вы этого или нет, с точки зрения закона вы признаетесь оператором персональных данных.

Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных [2].

1. Согласие физического лица на обработку персональных данных

Закон о персональных данных ввел новое и очень жесткое правило о том, что обработка персональных данных (фактически, любые операции с ними: получение, хранение, создание баз данных и т.п.) допускается только с согласия субъекта персональных данных (человека, данные которого обрабатываются).

Исключений из этого правила предусмотрено всего семь. Из них только одно применимо к обычной предпринимательской деятельности: обработка персональных данных возможна без получения согласия субъекта персональных данных, если такая обработка осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных (например, договор с потребителем).

Законодатель, казалось бы, преследовал благую цель — повысить уровень защиты данных о частной жизни человека, привести правила делового оборота в соответствие с европейскими стандартами (федеральный закон принят во исполнение Конвенции Совета Европы «О защите личности в связи с автоматической обработкой персональных данных»).

Но к сожалению, введение такого жесткого правила одномоментно, без учета специфики различных сфер бизнеса, сильно усложнило жизнь предпринимателей. Например, это ощутимо ударило по рекрутинговому бизнесу: кадровые агентства теперь формально не имеют права пользоваться открытыми базами данных в сети Интернет, поскольку потенциальный работник не давал им согласия на обработку персональных данных.

Закон дополнительно ограничил возможность обработки персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи. Ведение базы номеров телефонов и электронных адресов клиентов с целью проведения рекламных рассылок теперь допускается только при условии предварительного согласия клиентов. Причем предполагается, что такое согласие потребителей отсутствует, если оператор не докажет, что оно было получено. Законом также предусмотрено, что клиент в любой момент по своему усмотрению может отозвать ранее данное согласие на обработку персональных данных. И оператор обязан по требованию клиента немедленно прекратить обработку его персональных данных [3].

По общему правилу, согласие физического лица на обработку персональных данных не должно быть письменным. (Но есть несколько исключений которые мы рассмотрим ниже). Однако на случай проверки госоргана или судебного спора с субъектом персональных данных предприниматель должен быть готов доказать наличие этого согласия. Поэтому во избежание претензий со стороны проверяющих органов или физических лиц, информация о которых обрабатывалась, рекомендуется получать такое согласие именно в письменной форме. Для этих целей можно использовать специальные формы документов, подписываемые субъектами персональных данных, а также включать соответствующие условия в трудовые договоры с работниками и в договоры с клиентами.

Обязательное письменное согласие от физического лица требуется для обработки так называемых специальных персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

Обязательное письменное согласие также требуется для опубликования информации о физическом лице (Ф.И.О., год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные). Это требование создает дополнительные ограничения для включения персональных данных в общедоступные источники (справочники, адресные книги, деловые базы данных и т.п.). Но даже при наличии письменного согласия сведения о субъекте персональных данных могут быть удалены из общедоступных источников по решению суда или иных уполномоченных государственных органов, а также по требованию самого субъекта персональных данных.

Еще одно принципиальное правило состоит в том, что оператор обязан использовать персональные данные только в соответствии с теми целями, для которых он их получил, использование информации в иных целях незаконно.

2. Безопасность обработки персональных данных

Любой оператор персональных данных теперь должен принимать «необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий» (п.1 ст.19 Федерального закона «О персональных данных»). Это требование является еще более сложным с организационной и финансовой точки зрения, чем рассмотренное выше.

Правительством РФ было принято Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных [4]. Во исполнение этого документа было разработано также Положение о методах и способах защиты информации в информационных системах персональных данных [5], которое устанавливает организационно-технические меры по защите информации в информационных системах.

При этом выбор и реализация конкретных методов и способов защиты информации в информационной системе определенной организации осуществляются на основе выявленных оператором угроз безопасности персональных данных (модели угроз) и в зависимости от класса информационной системы [6].

Указанные нормативные акты предусматривают следующие организационные и технические мероприятия по защите персональных данных:

• Уведомление уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор [7]) о намерении осуществлять обработку персональных данных. На основании такого уведомления лицо включается в реестр операторов персональных данных, находящемся в общем доступе на сайте Роскомнадзора.
• Разработка документов, регламентирующих обработку персональных данных в организации: положение по обработке персональных данных, регламенты, положения по защите персональных данных. Эти документы должны быть направлены на создание условий, обеспечивающих реализацию технических мер защиты конфиденциальной информации.
• Контроль действий персонала в защищенных информационных системах.
• Определение порядка финансирования деятельности системы обеспечения информационной безопасности.
• Создание системы защиты персональных данных, в том числе, выполнение требований по инженерно-технической защите помещений.
• Повышение квалификации сотрудников в области защиты персональных данных.
• Использование технических, программных, криптографических и аппаратных средств для защиты информации от несанкционированного доступа, копирования, модификации или уничтожения.

Даже на первый взгляд описанная система выглядит громоздкой и чрезмерно усложненной. А отдельные ее положения являются откровенно не нужными ни государству, ни даже самим физическим лицам (субъектам персональных данных). Например, с учетом того, что обработку персональных данных осуществляет фактически любая организация, неясен смысл «письменного уведомления уполномоченного органа о своем намерении осуществлять обработку персональных данных», а также «включение в реестр операторов персональных данных». При этом ответственность за неуведомление уполномоченного органа законодательством не установлена.

Еще более абсурдна предусмотренная пп.4, 5 ст.21 Федерального закона «О персональных данных» обязанность оператора «уведомлять субъекта персональных данных о прекращении обработки и об уничтожении персональных данных».

Вряд ли такая громоздкая и излишне бюрократизированная система охраны персональных данных в полном объеме будет работать даже на больших государственных предприятиях. А между тем в дополнение к многочисленным административным барьерам и налоговому бремени на бизнес возложили еще и обязанность по внедрению этой системы. Для ее реализации явно нужны специальные ресурсы и дополнительные финансовые вложения. Показательно, что рынок «консультантов в области защиты персональных данных» уже полон предложениями «обеспечить защиту персональных данных в соответствии со всеми требованиями закона». Естественно — за соответствующее вознаграждение.

3. Ответственность за нарушение требований законодательства о персональных данных

Установив требования к защите персональных данных, государство предусмотрело и ответственность за их несоблюдение. Правда, несмотря на оговорку в законе о возможности привлечения к «гражданской, уголовной, административной, дисциплинарной и иной предусмотренной законодательством РФ ответственности» (ст.24 Федерального закона «О персональных данных»), фактически законодательно установлена только административная ответственность.

За нарушение «установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)» статья 13.11 Кодекса РФ об административных правонарушениях предусматривает наказание в форме предупреждения или административного штрафа в размере от 500 до 1 000 рублей (для должностных лиц организации), от 5 000 до 10 000 рублей (для юридических лиц).

Столь небольшой размер ответственности, с одной стороны, и организационная сложность системы охраны персональных данных, с другой, позволяют прогнозировать, что ситуация будет развиваться в соответствии со старой отечественной традицией: «Суровость российских законов смягчается необязательностью их исполнения».

Но нельзя забывать о другом негативном для бизнеса аспекте: к длинному списку «уполномоченных государственных органов», которые вправе проверять бизнес, теперь нужно добавить еще один — Роскомнадзор. Именно это ведомство уполномочено осуществлять контроль за соблюдением законодательства о персональных данных. Поэтому проверок Роскомнадзора не избежать, которые, кстати, должны проводиться с соблюдением требований и ограничений, установленных Федеральным законом «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» от 26 декабря 2008 г. №294-ФЗ.

Административная ответственность за нарушение требований законодательства о персональных данных (ст.13.11 КоАП РФ)

Правонарушение: нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных).

Наказание: предупреждение или административный штраф от 500 до 1000 рублей (для должностных лиц организаций), от 5 000 до 10 000 рублей (для юридический лиц).

Статья опубликована в журнале «ИНТЕЛЛЕКТ-ПРЕСС» (№18/2011)

[1] Статья 3 Федерального закона «О персональных данных» от 27 июля 2006 года №152-ФЗ.

[3] Необходимо отметить, что СМС-рассылки и рекламные объявления с использованием иных средств связи («спам») без согласия абонента были запрещены законом и раньше (ст.18 Федерального закона «О рекламе» от 13 марта 2006 года №38-ФЗ).

[4] Утв. Постановлением Правительства РФ от 17 ноября 2007 г. №781.

[5] Утв. Приказом Федеральной службы по техническому и экспортному контролю от 5 февраля 2010 г. №58.

[6] Класс информационной системы определяется в соответствии с Порядком проведения классификации информационных систем персональных данных, утвержденным Приказом Федеральной службы по техническому и экспортному контролю России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. №55/86/20.

[7] Полное наименование — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций.

www.intellectpro.ru

Персональные данные пациентов в медицинских организациях: требования к обработке и ответственность

Медицинские организации в силу законодательства являются операторами персональных данных своих пациентов. Они принимают непосредственное участие в сборе, систематизации, накоплении, хранении, уточнении, обновлении, изменении, распространении и уничтожении такой информации. Разберемся, какие требования предъявляет законодательство к медицинской организации в качестве оператора персональных данных и какие виды ответственности предусмотрены за их нарушение.

Персональные данные представляют собой любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ)).

Медицинская организация, получая персональные данные от пациента (субъекта персональных данных), например, при его первоначальном поступлении или заключении договора на оказание медицинских услуг, а также в процессе лечения, приобретает статус оператора. У нее возникают определенные обязанности в части работы с полученными персональными данными.

Данные обязанности регулируются следующими нормативными актами:
– Конституция РФ;
– КоАП РФ, УК РФ, ГПК РФ;
– упомянутый выше Закон № 152-ФЗ;
– Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
– Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ» (далее — Закон № 323-ФЗ);
– другие положения и нормативно-правовые акты.

Важно!
Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (ст. 3 Закона № 152-ФЗ).

Персональные данные пациента и врачебная тайна

Сразу отметим, что информация о состоянии здоровья пациента относится к специальным категориям персональных данных, обработка которых не допускается, за исключением случаев, когда (ст. 10 Закона № 152-ФЗ):
– пациент дал согласие в письменной форме на обработку своих персональных данных;
– пациент сам сделал персональные данные общедоступными;
– обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов пациента либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия пациента невозможно;
– обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством РФ сохранять врачебную тайну.

Информация, являющаяся врачебной тайной, — это отдельный подвид персональных данных. Она представляет собой сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья, диагнозе и иные сведения, полученные при его медицинском обследовании и лечении (п. 1 ст. 13 Закона № 323-ФЗ). Ее разглашение не допускается (п. 2 ст. 13 Закона № 323-ФЗ), за исключением отдельных случаев, о которых мы расскажем ниже.

Обработка персональных данных

Обработка персональных данных — это любое действие (операция) или совокупность действий (операций), совершаемых с использованием или без использования средств автоматизации, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение (ст. 3 Закона № 152-ФЗ).

Как было сказано выше, перед получением от пациента информации медицинская организация должна запросить у него согласие на обработку персональных данных (ст. 6, ст. 10 Закона № 152-ФЗ).

Пациент вправе полностью или частично отказаться от предоставления согласия на обработку персональных данных. Поэтому медицинской организации следует правильно подходить к виду и объему запрашиваемой информации. В обработку нужно запрашивать только те сведения, которые отвечают ее целям. Сведения не должны быть избыточными (ст. 5 Закона № 152-ФЗ).

При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе следующую информацию:
– подтверждение факта обработки персональных данных;
– правовые основания и цели обработки;
– цели и применяемые способы обработки;
– наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании положений законодательства;
– обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен положениями законодательства;
– сроки обработки персональных данных, в том числе сроки их хранения;
– порядок осуществления субъектом персональных данных прав, предусмотренных Законом № 152-ФЗ;
– информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
– наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
– иные сведения, предусмотренные Законом № 152-ФЗ или другими федеральными законами.

Согласие на обработку персональных данных может быть получено в электронной либо в письменной форме.

При этом согласие на обработку биометрических данных необходимо получить от пациента именно в письменной форме (ст. 11 Закона № 152-ФЗ), так как они представляют собой сведения, которые характеризуют физиологические и биологические особенности на основании которых можно установить личность.

Бумажный документ должен содержать следующие реквизиты (п. 4 ст. 9 Закона № 152-ФЗ):
– фамилию, имя, отчество, адрес пациента, номер основного документа, удостоверяющего его личность, сведения о дате выдачи этого документа и выдавшем его органе;
– Ф.И.О., адрес представителя пациента, номер основного документа, удостоверяющего его личность, сведения о дате выдачи этого документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия представителя пациента (при получении согласия от него);
– наименование медицинской организации;
– цель обработки персональных данных;
– перечень персональных данных, на обработку которых пациент дает согласие;
– наименование или Ф.И.О. и адрес лица, осуществляющего обработку персональных данных по поручению медицинской организации, если обработка будет поручена такому лицу;
– перечень действий с персональными данными, на совершение которых дается согласие, и общее описание используемых способов обработки персональных данных;
– срок, в течение которого действует согласие пациента, а также способ отзыва такого согласия, если иное не установлено законодательством;
– подпись пациента.

Также обратите внимание, что при заключении договора с пациентом медицинская организация обязана предоставить ему информацию о номере своей лицензии, сроке ее действия и выдавшем ее органе. Такую информацию можно включить непосредственно в договор либо прописать в нем ссылку на источник откуда можно получить информацию.

При заключении договора на сложные и дорогостоящие услуги пациенту следует предложить под роспись ознакомиться с описанием этих услуг, способами их оказания, возможными последствиями и т. д.

От пациента обязательно потребуется получить информированное добровольное согласие на медицинское вмешательство (на анестезиологическое обеспечение медицинского вмешательства, на оперативное вмешательство, в том числе переливание крови и ее компонентов, и т. д.). Его следует оформить в письменном виде – записью в истории болезни, заверенной подписью самого пациента (его законного представителя) либо его отдельной распиской или заявлением. С 1 января 2018 года согласие также можно оформить в виде электронного документа, подписанного усиленной квалифицированной или простой электронной подписью пациента (его законного представителя) и электронной подписью медицинского работника.

Если состояние пациента не позволяет ему выразить свою волю, а медицинское вмешательство неотложно, вопрос о его проведении решают консилиум или лечащий врач.

Медицинское вмешательство без информированного добровольного согласия также возможно в отношении пациентов:
– страдающих заболеваниями, представляющими опасность для окружающих;
– страдающих тяжелыми психическими расстройствами;
– совершивших общественно опасные деяния (преступления);
– направленных на судебно-медицинскую и (или) судебно-психиатрическую экспертизы.

Предоставление персональных пациента данных третьим лицам

Законодательство запрещает предоставлять третьим лицам и распространять персональные данные без согласия пациента (ст. 7 Закона № 152-ФЗ).

Под предоставлением в данном случае понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц, а под распространением — действия, направленные на раскрытие персональных данных неопределенному кругу лиц (ст. 2 Закона № 152-ФЗ).

Вместе с тем, Закон № 323-ФЗ допускает разглашение сведений, составляющих врачебную тайну, с письменного согласия пациента или его законного представителя другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях, использования в учебном процессе и в иных целях (п. 2 ст. 13 Закона № 323-ФЗ).

Кроме того, предоставление сведений, составляющих врачебную тайну, без согласия пациента или его законного представителя возможно (п. 3 ст. 13 Закона № 323-ФЗ):
– в целях проведения медицинского обследования и лечения пациента, который в результате своего состояния не способен выразить свою волю;
– при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;
– по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органов прокуратуры в связи с осуществлением прокурорского надзора, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля;
– в целях осуществления уполномоченными федеральными органами исполнительной власти контроля за исполнением лицами, признанными больными наркоманией либо потребляющими наркотические средства или психотропные вещества без назначения врача либо новые потенциально опасные психоактивные вещества, возложенной на них при назначении административного наказания судом обязанности пройти лечение от наркомании, диагностику, профилактические мероприятия и (или) медицинскую реабилитацию;
– в случае оказания медицинской помощи несовершеннолетнему для информирования одного из его родителей или иного законного представителя;
– в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинен в результате противоправных действий;
– в целях проведения военно-врачебной экспертизы по запросам военных комиссариатов, кадровых служб и военно-врачебных (врачебно-летных) комиссий;
– при обмене информацией между медицинскими организациями, в том числе размещенной в медицинских информационных системах, в целях оказания медицинской помощи с учетом требований законодательства РФ о персональных данных;
– в целях осуществления учета и контроля в системе обязательного социального страхования.

Предоставление персональных данных пациенту или его законному представителю

Медицинская организация обязана сообщить пациенту или его законному представителю информацию о наличии персональных данных и предоставить возможность для ознакомления с ними в течение 30 дней с даты получения соответствующего запроса от пациента или его представителя (ст. 14, ст. 20 Закона № 152-ФЗ).
Согласно Закону № 323-ФЗ пациент или его законный представитель имеют право на основании письменного заявления получать отражающие состояние здоровья медицинские документы, их копии и выписки из медицинских документов (п. 5 ст. 22 Закона № 323-ФЗ) в порядке утвержденном приказом Минздравсоцразвития РФ от 02.05.2012 № 441н, а также непосредственно знакомиться с медицинской документацией, отражающей состояние здоровья в порядке, утвержденном приказом Министерства здравоохранения РФ от 29.06.2016 № 425н.

Ответственность за нарушение правил работы с персональными данными

Административная ответственность за нарушения в области защиты персональных данных установлена статьей 13.11 КоАП РФ. Перечислим за что могут оштрафовать медицинскую организацию.

Обработка персональных данных в случаях, не предусмотренных законодательством РФ в области персональных данных, либо обработка персональных данных, несовместимая с целями их сбора влечет предупреждение или наложение штрафа:
– на граждан в размере от 1000 до 3000 рублей;
– на должностных лиц – от 5000 до 10 000 рублей;
– на юридических лиц – от 30 000 до 50 000 рублей.

Обработка персональных данных без согласия в письменной форме в случаях, когда оно должно быть получено в соответствии с законодательством РФ в области персональных данных (если эти действия не содержат уголовно наказуемого деяния), либо обработка персональных данных с нарушением установленных законодательством РФ в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме влечет:
– наложение административного штрафа на граждан в размере от 3000 до 5000 рублей;
– на должностных лиц – от 10 000 до 20 000 рублей;
– на юридических лиц – от 15 000 до 75 000 рублей.

Невыполнение предусмотренной законодательством РФ в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся их обработки, влечет предупреждение или наложение штрафа:
– на граждан в размере от 1000 до 2000 рублей;
– на должностных лиц – от 4000 до 6000 рублей;
– на юридических лиц – от 20 000 до 40 000 рублей.

Несоблюдение сроков выполнения требований по защите прав субъектов персональных данных об их уточнении, блокировании или уничтожении, когда данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, влечет предупреждение или наложение административного штрафа:
– на граждан в размере от 1000 до 2000 рублей;
– на должностных лиц – от 4000 до 10 000 рублей;
– на юридических лиц – от 25 000 до 45 000 рублей.

Невыполнение требований по сохранности персональных данных при их обработке без использования средств автоматизации, если это повлекло неправомерный или случайный доступ к данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении данных, при отсутствии признаков уголовно наказуемого деяния влечет наложение штрафа:
– на граждан в размере от 700 до 2000 рублей;
– на должностных лиц – от 4000 до 10 000 рублей;
– на юридических лиц – от 25 000 до 50 000 рублей.

Невыполнение оператором, являющимся государственным или муниципальным органом, обязанности по обезличиванию персональных данных либо несоблюдение установленных для этого требований или методов влечет предупреждение или наложение штрафа на должностных лиц в размере от 3000 до 6000 рублей.

Уголовная ответственность предусмотрена за следующие правонарушения.

Незаконное собирание или распространение с использованием служебного положения сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ может повлечь (ст. 137 УК РФ):
– штраф в размере от 100 000 до 300 000 рублей;
– лишение права занимать определенные должности на срок от двух до пяти лет;
– принудительные работы на срок до четырех лет (с лишением права занимать определенные должности на срок до пяти лет или без такового);
– арест на срок до шести месяцев;
– лишение свободы на срок до четырех лет (с лишением права занимать определенные должности на срок до пяти лет).

За неправомерный отказ должностного лица в предоставлении документов и материалов, непосредственно затрагивающих права и свободы пациента, либо предоставление ему неполной или заведомо ложной информации, если это причинило вред правам и законным интересам пациента медицинской организации грозит (ст. 140 УК РФ):
– штраф до 200 000 рублей;
– лишение права занимать определенные должности на срок от двух до пяти лет.

Неправомерный доступ к охраняемой законом компьютерной информации, если это повлекло ее уничтожение, блокирование, модификацию либо копирование предусматривает:
– штраф до 200 000 рублей;
– исправительные работы на срок до одного года;
– ограничение свободы на срок до двух лет;
– принудительные работы на срок до двух лет;
– лишение свободы на тот же срок.

Кроме того, медицинскую организацию могут привлечь к гражданско-правовой ответственности за причинение пациенту морального вреда (нравственных страданий) вследствие нарушения правил обработки персональных данных (ст. 24 Закона № 152-ФЗ; ст. 151 ГК РФ). Ответственность предусматривает компенсацию морального вреда (независимо от возмещения имущественного вреда и понесенных субъектом убытков).

Также читайте:

Свежие новости цифровой экономики на нашем канале в Телеграм

www.garantexpress.ru