Медицинские данные защищены сразу двумя законами: 152-ФЗ — как специальная категория персональных данных, 323-ФЗ — как врачебная тайна. Оба действуют параллельно, и медорганизация обязана соблюдать оба режима одновременно.
Два закона, один тип данных
Состояние здоровья, диагнозы, факт обращения за медицинской помощью — это данные, которые регулируются сразу двумя федеральными законами. С одной стороны, они входят в перечень специальных категорий по ст. 10 152-ФЗ, и их обработка запрещена, кроме строго оговорённых случаев. С другой стороны, ст. 13 Федерального закона № 323-ФЗ защищает их как врачебную тайну, запрещая разглашение.
Эти два режима не заменяют друг друга, а дополняют. Например, оператор, получив согласие на обработку данных о здоровье по 152-ФЗ, всё равно не вправе разглашать их третьим лицам без отдельного основания, предусмотренного 323-ФЗ. Нарушение любого из законов — самостоятельное правонарушение.
Что такое врачебная тайна по 323-ФЗ
Часть 1 ст. 13 323-ФЗ даёт чёткое определение: врачебную тайну составляют сведения о факте обращения за медицинской помощью, о состоянии здоровья человека, его диагнозе, а также иные данные, полученные при его медицинском обследовании и лечении.
Ключевое отличие от подхода 152-ФЗ в том, что врачебная тайна защищает не только сами данные, но и сам факт обращения к врачу. Даже если диагноз не раскрыт, но стало известно, что человек посещал конкретную клинику, — это уже сведения, составляющие врачебную тайну.
Запрет разглашения
Часть 2 ст. 13 323-ФЗ прямо запрещает разглашение сведений, составляющих врачебную тайну. Это касается не только врачей, но и любых лиц, которым такие сведения стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей. Запрет действует даже после смерти человека — тайна не снимается.
Иными словами, если администратор в медицинском центре, бухгалтер или программист, обслуживающий информационную систему, узнал диагноз пациента, он также связан запретом на разглашение. Распространяется это и на организации-подрядчики, которые обрабатывают медицинские данные по поручению клиники.
Разглашение может быть как умышленным, так и случайным: например, оставленный на столе журнал с записями, переписка в мессенджере без шифрования или передача сведений по телефону без проверки личности запрашивающего.
Оба режима применяются одновременно
Для медицинской организации это означает двойную ответственность. Нужно одновременно соблюдать:
- ст. 10 152-ФЗ — получать письменное согласие на обработку специальных категорий (или использовать одно из исключений, например, для защиты жизни);
- ст. 13 323-ФЗ — обеспечить неразглашение врачебной тайны, ограничить доступ к сведениям, вести учёт лиц, имеющих доступ;
- ст. 10.1 152-ФЗ — если планируется публикация или передача данных, нужно отдельное разрешение субъекта на их распространение;
- общие требования 152-ФЗ — к защите, срокам хранения, уничтожению, уведомлению Роскомнадзора (если требуется).
При этом согласие по 152-ФЗ не снимает запрета на разглашение врачебной тайны. Например, пациент подписал согласие на обработку его медицинских данных для научного исследования. Это не даёт клинике права передавать его диагноз в открытую рассылку или обсуждать в присутствии посторонних. Для любой передачи данных третьим лицам нужно дополнительное основание — либо письменное согласие самого пациента на раскрытие конкретным лицам, либо прямое указание закона (например, запрос суда или прокуратуры).
Таблица: 152-ФЗ и 323-ФЗ — сравнение требований
| Аспект | 152-ФЗ (спецкатегории) | 323-ФЗ (врачебная тайна) |
|---|---|---|
| Что регулирует | Обработка данных о здоровье как спецкатегории | Факт обращения, диагноз, иные сведения от обследования и лечения |
| Согласие | Письменное согласие или иное основание по ч. 2 ст. 10 | Отдельное согласие на разглашение, если иное не установлено законом |
| Запрет разглашения | Ограничение доступа как часть мер защиты | Прямой запрет, действующий даже после смерти |
| Ответственные лица | Оператор (медорганизация) | Все, кому данные стали известны по работе/обучению |
Что нужно сделать медицинской организации
На практике для соблюдения обоих законов важно выстроить систему, которая покрывает и обработку спецкатегорий, и защиту врачебной тайны:
- разработать отдельные формы согласий на обработку данных о здоровье, на их распространение (по ст. 10.1) и на разглашение врачебной тайны (если требуется);
- разграничить доступ к медицинским данным: врачи видят полную информацию, администрация — только необходимый минимум;
- фиксировать все действия с медицинскими данными в журналах событий (кто, когда, зачем обращался);
- обучать сотрудников правилам работы с врачебной тайной и ответственности за её разглашение;
- шифровать медицинские данные при передаче по сети и хранении, особенно в облачных и мобильных системах;
- обеспечить уничтожение данных после истечения сроков хранения, установленных законодательством.
Более подробно о том, как работать с данными о здоровье в рамках трудовых отношений, — в статье данные о здоровье работника. А общие правила обращения со специальными категориями, включая согласие и исключения, — в материале специальные категории данных.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про медицинские данные и врачебную тайну
Чем врачебная тайна отличается от специальных категорий персональных данных по 152-ФЗ?
Врачебная тайна по 323-ФЗ защищает не только диагноз и состояние здоровья, но и сам факт обращения к врачу, а также действует после смерти человека. 152-ФЗ регулирует обработку данных о здоровье как специальной категории, но не охватывает факт обращения как тайну.
Нужно ли согласие пациента на передачу его медицинских данных в страховую компанию?
Да, если такая передача не прямо предусмотрена законом. По ч. 2 ст. 10 152-ФЗ требуется письменное согласие на обработку специальных категорий, а по 323-ФЗ — отдельное основание для разглашения врачебной тайны.
Может ли врач разгласить диагноз родственникам пациента?
По общему правилу — нет, если пациент не дал на это согласия. Врачебная тайна охраняется законом, и разглашение третьим лицам, включая родственников, не допускается, кроме случаев, прямо установленных законом.
Что делать, если медицинские данные утекли из клиники?
Нужно одновременно руководствоваться 152-ФЗ (уведомление Роскомнадзора об утечке, если это предусмотрено, оценка вреда) и учитывать требования 323-ФЗ о защите врачебной тайны. Конкретный порядок действий зависит от обстоятельств и требует юридической оценки.
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 10 — специальные категории данных — consultant.ru
- Федеральный закон от 21.11.2011 № 323-ФЗ, ст. 13 — соблюдение врачебной тайны — base.garant.ru
Нормы приведены дословно по текстам 152-ФЗ и 323-ФЗ, сверено 23.07.2026.