10 лет приводим организации по всей России в соответствие с Федеральным законом № 152-ФЗ «О персональных данных»
Клинику и главврача оштрафовали на 150 000 ₽: политика на сайте, согласие и SMS про акции
Прокуратура проверила небольшую московскую клинику: политику на сайте, согласия пациентов, рассылки и архив. Итог: три постановления мирового судьи и 150 000 ₽ штрафов, половина из них главному врачу. Разбираем, что нашли и что проверить у себя.
АвторАлександр Келлерманн Рубрикаразбор дела Опубликовано11 ноября 2026 Время чтения5 минут Просмотры СвереноНормы этой статьи сверены по тексту закона, а не по обзорам. Сверял А. М. Келлерманн Одна проверка, три постановления
Небольшая московская клиника, микропредприятие, к ответственности раньше не привлекалась. В 2026 году её проверила прокуратура округа, а не Роскомнадзор: изучила сайт и документы, вышла на место. В сентябре мировой судья вынес по итогам проверки три постановления: одно в отношении клиники и два в отношении главного врача.
Название организации и имена не приводим. Размер штрафа определяется с учётом обстоятельств дела.
Что нашла прокуратура
Политика на сайте. Цели обработки в ней перечислены. Но для каждой цели не расписано, какие данные и чьи обрабатываются, как, сколько хранятся и как уничтожаются. Этого требует п. 2 ч. 1 ст. 18.1 152-ФЗ. В политике не было способа отозвать согласие и перечня тех, у кого есть доступ к данным пациентов.
Рассылки. Среди целей в политике значилось информирование об акциях по SMS, почте и в мессенджерах. Отдельного согласия на рассылки клиника не брала, и отказаться от них пациенту было негде. Суд сослался на ч. 1 ст. 9 152-ФЗ и п. 1 ст. 44.1 закона «О связи»: SMS-рассылка допустима только с предварительного согласия абонента.
Согласие пациента. В нём не были названы третьи лица, у которых есть доступ к данным. Пациентов клиника ведёт в облачной медицинской программе стороннего разработчика. По постановлению в отношении главного врача, у разработчика с мая 2019 года есть доступ к базе и возможность её выгрузить. Выгрузка, которую он предоставил, содержала данные 13 311 человек: ФИО, паспорт, телефон, адрес. Нарушения в согласиях суд установил у 13 309 пациентов.
Бумага. В согласии срок хранения данных 5 лет, а само согласие действует бессрочно. Согласия с 2017 года не уничтожены. На месте нашли неподписанные договоры на медицинские услуги и согласия, документы с данными хранились ненадлежащим образом.
Вот постановление по делу клиники. Название организации, сайт, адрес, реквизиты и фамилии скрыты. Нажмите на него, чтобы открыть все девять страниц.
Что решил суд по делу клиники
Клинику признали виновной по ч. 1 ст. 13.11 КоАП: обработка данных в случаях, не предусмотренных законом. Для организаций по этой части штраф от 150 000 до 300 000 ₽. Клиника числится в реестре МСП как микропредприятие, поэтому суд применил ст. 4.1.2 КоАП и назначил половину минимума: 75 000 ₽.
Клиника признала вину и просила заменить штраф предупреждением. Суд отказал: совокупности условий для замены по ч. 2 ст. 3.4 и ст. 4.1.1 КоАП он не нашёл. Довод о том, что умысла не было, суд тоже отклонил. Организация виновна, если могла соблюсти правила, но не приняла всех зависящих от неё мер (ч. 2 ст. 2.1 КоАП).
Размер штрафа определяется с учётом обстоятельств дела.
Почему главный врач заплатил дважды
Приказом главный врач был назначен ответственным за организацию обработки персональных данных, позже и за их безопасность в информационных системах. Суд рассмотрел его дела отдельно от дела клиники: он отвечал как должностное лицо.
Ему вынесли два постановления. По ч. 1 ст. 13.11 за те же нарушения, что у клиники: 25 000 ₽. По ч. 2 за согласие пациента без сведений о разработчике программы: 50 000 ₽. Оба штрафа суд назначил в половину минимального размера для должностного лица. Всего по трём делам 150 000 ₽. Размер штрафа определяется с учётом обстоятельств дела.
Что проверить у себя
Если ответственным за персональные данные приказом назначили вас, этот список в первую очередь ваш.
Разбор эксперта
Политика с целями, но без сроков и порядка уничтожения, согласие без подрядчика с доступом к базе, SMS про акции без отдельного согласия: мы часто видим это у небольших организаций. Обратите внимание и на ответственного. В этом деле главный врач, назначенный приказом, отвечал как должностное лицо, отдельно от клиники.
Поэтому документы мы начинаем с карты: какие программы и подрядчики видят данные и на каком основании. Каждое заключение я подписываю лично.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте
Частые вопросы
Да. Прокурор надзирает за исполнением законов и вправе возбудить дело о любом административном правонарушении из КоАП (ч. 1 ст. 28.4 КоАП). В этом деле проверку провела и дело возбудила прокуратура округа, а рассмотрел мировой судья.
Заменить штраф предупреждением по ст. 4.1.1 КоАП можно малому бизнесу за первое нарушение, если нет вреда и угрозы вреда жизни и здоровью людей, безопасности государства, нет имущественного ущерба и других последствий из ч. 2 ст. 3.4 КоАП. Нужна совокупность всех условий. В этом деле суд её не нашёл, а причины подробно не расписал.
Да. Постановление опубликовано на портале мировых судей Москвы, его находит поиск по номеру дела 05-1066/66/2026 на странице судебного участка № 66. Копия на сайте суда обезличена не полностью, поэтому в статье мы дополнительно скрыли название организации, сайт, адрес, реквизиты и фамилии.
Спасибо, ответ учли.