# Кейс: медицинская клиника

Source: https://conformitate.md/ru/kejsy/medicinskaya-klinika
Updated: 2026-10-17

Кейс Иллюстративный пример

Данные о состоянии здоровья пациентов относятся к особым категориям персональных данных (ст. 9). Клиника должна защищать их от несанкционированного доступа соответствующими риску техническими и организационными мерами (ст. 5 и ст. 32), а поскольку она обрабатывает такие данные, — вести учет деятельности по обработке (ст. 30). В этом иллюстративном примере ни одно из этих требований не выполнялось.

## Ситуация

Стоматологическая клиника в Кишиневе, три кабинета. У всех сотрудников, включая регистратуру, был доступ ко всем картам пациентов, результаты обследований отправляли пациентам в Viber, а учет деятельности по обработке клиника не вела. При первом визите пациенты заполняли анкету с контактными данными и историей болезней, но никто не сообщал им, кто и с какой целью обрабатывает эти данные.

## Чего не хватало

1.  Регистратура видела диагнозы и планы лечения, хотя для записи на прием и расчетов ей нужны только контактные данные и график визитов. Данные не ограничивались тем, что необходимо для каждой роли, и по умолчанию были доступны всему персоналу. [ст. 5](https://conformitate.md/ru/zakon-195-2024/statya-5 "Принципы обработки") [ст. 25](https://conformitate.md/ru/zakon-195-2024/statya-25 "Обеспечение защиты данных с момента создания и по умолчанию")
2.  Результаты обследований, то есть данные о состоянии здоровья, уходили через мессенджер на номера, введенные вручную, без проверки получателя и без оценки риска этого канала. [ст. 9](https://conformitate.md/ru/zakon-195-2024/statya-9 "Обработка особых категорий персональных данных") [ст. 32](https://conformitate.md/ru/zakon-195-2024/statya-32 "Безопасность обработки")
3.  Клиника не вела учет деятельности по обработке. Исключение для предприятий с численностью менее 250 работников к ней не применялось, поскольку обработка включает данные о состоянии здоровья и не является случайной. [ст. 30](https://conformitate.md/ru/zakon-195-2024/statya-30 "Учет деятельности по обработке")
4.  При сборе данных пациенты не получали информацию, которую требует закон: кто такая клиника, цели и правовое основание обработки, получатели, срок хранения, их права и право подать жалобу в Национальный центр по защите персональных данных. [ст. 12](https://conformitate.md/ru/zakon-195-2024/statya-12 "Прозрачность информации, сообщений и способов осуществления прав субъекта персональных данных") [ст. 13](https://conformitate.md/ru/zakon-195-2024/statya-13 "Информация, предоставляемая в случае сбора персональных данных от субъектов персональных данных")
5.  Персонал не получил инструкций о доступе к данным, хотя каждый, кто действует под руководством клиники, обрабатывает их только по ее инструкциям, а у клиники не было никаких правил документирования нарушения безопасности данных. [ст. 29](https://conformitate.md/ru/zakon-195-2024/statya-29 "Осуществление деятельности по обработке от имени оператора или лица, действующего по поручению оператора") [ст. 32](https://conformitate.md/ru/zakon-195-2024/statya-32 "Безопасность обработки") [ст. 33](https://conformitate.md/ru/zakon-195-2024/statya-33 "Уведомление Центра в случае нарушения безопасности персональных данных")

## Риски

### Штраф за нарушение принципов

Неограниченный доступ к картам и отправка результатов по ненадежному каналу нарушают принципы обработки и правила для особых категорий данных. За это закон предусматривает штрафы до 2 000 000 леев или, для предприятия, до 2% общего оборота за год, предшествующий наложению санкции, в зависимости от того, какая сумма больше. За одни и те же операции по обработке общая сумма не может превышать сумму, предусмотренную за самое тяжкое нарушение. [ст. 5](https://conformitate.md/ru/zakon-195-2024/statya-5 "Принципы обработки") [ст. 9](https://conformitate.md/ru/zakon-195-2024/statya-9 "Обработка особых категорий персональных данных") [ст. 87](https://conformitate.md/ru/zakon-195-2024/statya-87 "Общие условия для наложения штрафов") [ст. 88](https://conformitate.md/ru/zakon-195-2024/statya-88 "Нарушения, за которые налагаются штрафы")

### Проверка Центра

Центр может в любой момент запросить учет деятельности по обработке, и его отсутствие обнаружится при первом же запросе. За нарушение обязанностей по учету и безопасности предусмотрены штрафы до 1 000 000 леев или 1% общего оборота. Из размера назначенного штрафа применяется 10% в первый год после вступления закона в силу, 40% во второй и 100% с третьего. [ст. 30](https://conformitate.md/ru/zakon-195-2024/statya-30 "Учет деятельности по обработке") [ст. 60](https://conformitate.md/ru/zakon-195-2024/statya-60 "Полномочия Центра") [ст. 88](https://conformitate.md/ru/zakon-195-2024/statya-88 "Нарушения, за которые налагаются штрафы") [ст. 90](https://conformitate.md/ru/zakon-195-2024/statya-90 "Переходные положения")

### Жалоба и возмещение ущерба пациенту

Пациент, чьи результаты попали к другому человеку, может подать жалобу в Центр в течение одного года со дня, когда ему стало известно о нарушении, но не позднее трех лет со дня нарушения, и потребовать возмещения материального или морального ущерба. Если нарушение безопасности может повлечь высокий риск, клиника обязана сообщить о нем и самому пациенту. [ст. 34](https://conformitate.md/ru/zakon-195-2024/statya-34 "Информирование субъекта персональных данных о нарушении безопасности персональных данных") [ст. 72](https://conformitate.md/ru/zakon-195-2024/statya-72 "Право на подачу жалобы в Центр") [ст. 76](https://conformitate.md/ru/zakon-195-2024/statya-76 "Право на возмещения и ответственность")

## Что сделано

1.  Политика доступа к медицинским картам: каждый сотрудник видит только те данные, которые нужны для его роли, а регистратура больше не видит диагнозы. [ст. 5](https://conformitate.md/ru/zakon-195-2024/statya-5 "Принципы обработки") [ст. 25](https://conformitate.md/ru/zakon-195-2024/statya-25 "Обеспечение защиты данных с момента создания и по умолчанию") [ст. 32](https://conformitate.md/ru/zakon-195-2024/statya-32 "Безопасность обработки")
2.  Защищенный канал передачи результатов, выбранный с учетом риска для пациентов, вместо мессенджера. [ст. 9](https://conformitate.md/ru/zakon-195-2024/statya-9 "Обработка особых категорий персональных данных") [ст. 32](https://conformitate.md/ru/zakon-195-2024/statya-32 "Безопасность обработки")
3.  Учет деятельности по обработке, который клиника может предоставить Центру по запросу. [ст. 30](https://conformitate.md/ru/zakon-195-2024/statya-30 "Учет деятельности по обработке")
4.  Информационное уведомление для пациентов, которое выдается при первом визите, чтобы каждый пациент знал, кто обрабатывает его данные, с какой целью и какие у него права. [ст. 12](https://conformitate.md/ru/zakon-195-2024/statya-12 "Прозрачность информации, сообщений и способов осуществления прав субъекта персональных данных") [ст. 13](https://conformitate.md/ru/zakon-195-2024/statya-13 "Информация, предоставляемая в случае сбора персональных данных от субъектов персональных данных")
5.  Подписанные персоналом обязательства о конфиденциальности и информирование и консультирование команды, чтобы каждый обрабатывал данные только по инструкциям клиники. [ст. 29](https://conformitate.md/ru/zakon-195-2024/statya-29 "Осуществление деятельности по обработке от имени оператора или лица, действующего по поручению оператора") [ст. 32](https://conformitate.md/ru/zakon-195-2024/statya-32 "Безопасность обработки")
6.  Журнал нарушений безопасности данных, по которому Центр может проверить, как был обработан каждый инцидент. [ст. 33](https://conformitate.md/ru/zakon-195-2024/statya-33 "Уведомление Центра в случае нарушения безопасности персональных данных")

## Результат

Доступ к картам предоставляется в зависимости от роли, результаты передаются по защищенному каналу, пациенты получают информационное уведомление, а у клиники есть учет деятельности по обработке, подписанные сотрудниками обязательства о конфиденциальности, журнал нарушений и команда, проинформированная о своих обязанностях.

Для типичной медицинской клиники

Пакет «Базовый» + дополнительные работы, 18 900 MDL

Это оценка для типичной организации отрасли, в которой с данными работают до 20 человек. Точная цена зависит от того, что вы делаете с данными.

[Рассчитать точную цену →](https://conformitate.md/ru/instrumenty/kalkulyator-stoimosti?profil=clinici-medicale)

Частые вопросы

## Вопросы по этому кейсу

### Может ли регистратура видеть медицинскую карту пациента?

Только в той мере, в какой это нужно для ее задач. Данные должны ограничиваться тем, что необходимо для цели, а меры клиники должны обеспечивать, чтобы по умолчанию доступ к ним не был открыт неопределенному кругу лиц. Для записи на прием обычно достаточно контактных данных и графика визитов. [ст. 5](https://conformitate.md/ru/zakon-195-2024/statya-5 "Принципы обработки") [ст. 25](https://conformitate.md/ru/zakon-195-2024/statya-25 "Обеспечение защиты данных с момента создания и по умолчанию")

### Нужно ли клинике согласие пациента на обработку данных о здоровье?

Для оказания медицинской помощи — нет. Запрет на обработку данных о состоянии здоровья не применяется, если обработка нужна для постановки диагноза или оказания медицинской помощи на основании нормативных актов или договора с поставщиком медицинских услуг и данные обрабатывает специалист, обязанный хранить профессиональную тайну, или они обрабатываются под его ответственность. Для других целей клинике нужно иное основание. [ст. 6](https://conformitate.md/ru/zakon-195-2024/statya-6 "Законность обработки") [ст. 9](https://conformitate.md/ru/zakon-195-2024/statya-9 "Обработка особых категорий персональных данных")

### Должна ли небольшая клиника вести учет деятельности по обработке?

Да, если она обрабатывает данные о состоянии здоровья. Исключение для предприятий с численностью менее 250 работников не применяется, если обработка включает особые категории данных, не является случайной или может повлечь риск для субъектов персональных данных. Учет ведется в письменной, в том числе электронной, форме. [ст. 30](https://conformitate.md/ru/zakon-195-2024/statya-30 "Учет деятельности по обработке")

### Что делать клинике, если результаты попали к другому пациенту?

Это нарушение безопасности персональных данных. Клиника уведомляет Центр без необоснованной задержки и, по возможности, не позднее 72 часов с момента, когда ей стало об этом известно, за исключением случая, когда вероятность того, что нарушение повлечет риск для прав и свобод пациентов, крайне мала. Если риск для пациента высокий, клиника сообщает о нарушении и ему. [ст. 33](https://conformitate.md/ru/zakon-195-2024/statya-33 "Уведомление Центра в случае нарушения безопасности персональных данных") [ст. 34](https://conformitate.md/ru/zakon-195-2024/statya-34 "Информирование субъекта персональных данных о нарушении безопасности персональных данных")

Связанные материалы

[Медицинские и стоматологические клиники](https://conformitate.md/ru/otrasli/medicinskie-kliniki) [Нарушение безопасности данных](https://conformitate.md/ru/situacii/incident-bezopasnosti) [Проверка Центра](https://conformitate.md/ru/situacii/proverka-centra) [Безопасность данных и инциденты](https://conformitate.md/ru/zakon-195-2024/bezopasnost-i-incidenty) [Принципы и правовые основания](https://conformitate.md/ru/zakon-195-2024/principy-i-pravovye-osnovaniya) [Штрафы](https://conformitate.md/ru/zakon-195-2024/shtrafy)

---

Исполнитель: conformitate.md · RIGHT CONSULT COMPANY (IDNO 1022600002005) · MD-2072, mun. Chișinău, sect. Botanica, str. Grenoble 259/6, of. 57  
Телефон: +373 767 27 667 · E-mail: contact@conformitate.md  
Цены: https://conformitate.md/ru/ceny