Суд оштрафовал клинику за утечку медицинских данных, ссылка на хакеров не помогла

Это один из первых известных случаев применения новой нормы, по которой штраф для юридических лиц составляет от 10 до 15 млн рублей.

В результате кибератаки неизвестные получили доступ к медицинской и кадровой информационным системам клиники. В интернете оказалась база с данными пациентов и сотрудников, включая диагнозы, результаты обследований и сведения о назначенных препаратах.

При расследовании Роскомнадзор сопоставил опубликованную информацию с данными клиники и подтвердил совпадения по 27 пациентам, в том числе по медицинским документам. Это результат выборочной проверки, а не установленное общее число пострадавших.

Суд не принял доводы клиники, потому что организация утверждала, что выполняла требования законодательства, применяла меры информационной безопасности, самостоятельно обнаружила инцидент, уведомила Роскомнадзор и обратилась в полицию.

Однако суд указал, что клиника не представила надлежащих доказательств принятия всех зависящих от нее мер по защите ПДн.

На основании ч. 2 ст. 2.1 КоАП РФ суд признал организацию виновной. Несанкционированный доступ со стороны злоумышленников сам по себе не исключает административной ответственности оператора.

Первоначально дело возбудили по ч. 14 ст. 13.11 КоАП РФ. После того как расследование подтвердило наличие в утечке сведений о состоянии здоровья, протокол составили по ч. 16 той же статьи. Суд признал изменение квалификации допустимым.

Клиника просила заменить штраф предупреждением, но суд отказал, сославшись на характер нарушения и угрозу правам субъектов ПДн. При этом размер штрафа снизили с учетом статуса клиники как среднего предприятия. Конкретная сумма в обезличенном постановлении не раскрыта.

Три важных вывода:

1. Состав утекших данных влияет на квалификацию. Наличие медицинских сведений стало основанием для применения ч. 16 ст. 13.11 КоАП РФ, даже несмотря на то, что в базе также находились обычные ПДн.
2. Наличие мер защиты необходимо подтверждать. При разбирательстве имеют значение доказательства фактического выполнения требований, а не только утверждения оператора о соблюдении законодательства.
3. Уведомление Роскомнадзора не освобождает от ответственности за утечку. В этом деле клиника сообщила об инциденте и провела внутреннее расследование, но суд все равно признал ее виновной.

Но у этого дела есть еще несколько важных нюансов: количество скомпрометированных данных, публикация в закрытом Telegram-канале и ответственность за защиту систем, в том числе при использовании облачных решений.

Что они означают для операторов ПДн, разбирает Елена Ватолина, руководитель направления аутсорсинга и поддержки по защите персональных данных Б-152, в следующем посте.