Защита персональных данных в онлайн‑консультациях правовая база технические меры и организационные правила

С переходом медицины, психологии, юриспруденции и коучинга в онлайн-формат, защита персональных данных (ПДн) перестала быть просто технической настройкой — она стала фундаментом доверия и законности бизнеса․ В 2026 году регуляторное давление в РФ достигло пика: штрафы за утечки значительно выросли, а требования Роскомнадзора к операторам данных стали жестче; В этой статье разбираем правовую базу, технические меры и организационные правила, которые обязательны для безопасных онлайн-консультаций․

Правовая основа: какие законы регулируют процесс

Деятельность по обработке персональных данных в Российской Федерации регулируется комплексом нормативных актов․ Незнание закона не освобождает от ответственности․

• 152-ФЗ «О персональных данных», основной закон, определяющий принципы обработки, права субъектов и обязанности операторов․
• ФЗ-264 «О предоставлении медицинской помощи в форме телемедицины» (для врачей), устанавливает особые требования к ИС телемедицины и медицинской тайне․
• 323-ФЗ «Об основах охраны здоровья граждан» — статья 13 регулирует медицинскую тайну, режим которой строже, чем общий режим ПДн․
• Постановление Правительства РФ № 1119 — утверждает требования к защите ПДн при их обработке в информационных системах (уровни защищенности: 1–4)․
• ФЗ-149 «Об информации, информационных технологиях и о защите информации — требования к локализации баз данных (хранение ПДн граждан РФ на территории РФ)․

Категории данных: что именно вы защищаете

При онлайн-консультациях обрабатываются не просто «имя и телефон», а целый комплекс чувствительной информации․ Классификация определяет уровень защищенности (УЗ) по Постановлению № 1119:

1. Общие персональные данные: ФИО, контакты (телефон, email), IP-адрес, cookies, данные оплаты․
2. Специальные категории (Чувствительные данные):
   • Данные о здоровье (диагнозы, рецепты, история болезни, фото/видео с телескопии)․
   • Биометрические данные (записи видео-сессий, голосовые сообщения)․
   • Расовые/этнические происхождение, политические взгляды, религиозные убеждения (релевантно для психологов/социологов)․
3. Медицинская тайна (для врачей): Любая информация, полученная при обследовании/лечении․ Режим защиты — максимальный (УЗ 1 или 2)․

Технические меры защиты (ТМЗ): чек-лист внедрения

Согласно ст․ 19 152-ФЗ и Постановлению № 1119, оператор обязан обеспечить защиту от несанкционированного доступа (НСД), утечки, изменения или уничтожения данных․

Выбор платформы для видеосвязи

• E2EE (End-to-End Encryption): Шифрование «от конца до конца» обязательно․ Ключи шифрования должны быть только у участников, а не у провайдера платформы (Zoom, Teams, Google Meet в базовых тарифах не дают полного E2EE по умолчанию)․
• Русские сертифицированные решения: Для УЗ 1-2 требуется использование средств криптографической защиты информации (СКЗИ) с сертификатом ФСБ/ФСТЭК (например, TrueConf, МТС Link, Контур․Толк, eXpress, ViPNet)․
• Локализация данных: Серверы записи и хранения должны находиться в РФ․
• Отсутствие записи по умолчанию: Запись сессии — это обработка биометрии․ Требует отдельного согласия и защищенного хранилища․

Защита учетных записей и доступа

• Многофакторная аутентификация (MFA/2FA): Обязательна для входа в ЛК специалиста и клиента (TOTP, SMS, Push, аппаратные токены)․
• Ролевая модель доступа (RBAC): Администратор видит расписание, но не историю болезни․ Врач видит свою базу, но не базу коллег․
• Автоматический тайм-аут сессии: Выход из системы при бездействии 10–15 минут․

Защита «на конечных точках» (Endpoint Security)

Самая уязвимая звено — рабочее место специалиста (ноутбук, телефон);

• Шифрование диска (BitLocker, FileVault, LUKS)․
• Антивирус/EDR с актуальными базами (соответствие требованиям ФСТЭК для УЗ 1-2)․
• Запрет на использование личных аккаунтов/облаков (Google Drive, Яндекс․Диск, WhatsApp, Telegram) для передачи отчетов, скриншотов, записей․
• Экранная блокировка при отходе от ПК (Win+L / Cmd+Ctrl+Q)․
• Работа через корпоративный VPN / Zero Trust Network Access (ZTNA)․

Защита каналов передачи и хранения

• TLS 1․2/1․3 для веб-интерфейсов и API․
• Шифрование резервных копий (бэкапов) и их хранение в изолированном контуре․
• DLP-системы (Data Loss Prevention) для мониторинга утечек через почту, мессенджеры, печать, USB․

Организационные меры: документы и процессы

Технические средства бесполезны без регламентов․ Роскомнадзор при проверке в первую очередь запрашивает пакет документов․

Обязательный пакет документов оператора:

1. Политика обработки ПДн (публикуется на сайте/в приложении)․
2. Уведомление Роскомнадзора о обработке ПДн (если нет исключений по ст․ 22 152-ФЗ)․ С 2022 г․ уведомление подается через ГИС «Уведомления»․
3. Локальный нормативный акт (ЛНА) о защите ПДн (Положение о защите ПДн)․
4. Модель угроз (для УЗ 1-3) — документ, описывающий источники угроз, объекты воздействия и меры нейтрализации․
5. Перечень сотрудников, допущенных к обработке ПДн с указанием полномочий․
6. Журналы учета: выдачи носителей, инцидентов, доступа к ИС, обучения персонала․
7. Договоры с подрядчиками (процессорами): С платформой видеосвязи, CRM, облачным хостингом, колл-центром․ Обязательно приложение о защите ПДн (ст; 28 152-ФЗ)․
8. Согласия клиентов: В электронном виде (чек-бокс + лог IP/времени) или на бумаге․ Отдельное согласие на запись видео/аудио․

Обучение персонала (ст․ 19 152-ФЗ)

Каждый сотрудник, имеющий доступ к ПДн, обязан пройти обучение по защите данных (внутреннее или в УЦ) и подписать ознакомление с ЛНА․ Периодичность, не реже 1 раза в год и при приеме на работу․

Специфика для разных сфер

Типичные ошибки и как их избежать

Ответственность в 2026 году: цены вопроса

За последние годы суммы штрафов выросли в десятки раз․ Для бизнеса это уже не «операционные расходы», а экзистенциальная угроза․

• Ст․ 13․11 КоАП РФ (Нарушение закона о ПДн):
  • Для юрлиц: от 3 до 15 млн руб․ за повторное нарушение (ранее макс․ 18 млн за все нарушения, теперь за каждое повторное)․
  • Для должностных лиц: от 50 до 100 тыс․ руб․ (или дисквалификация до 3 лет)․
• Ст․ 13․11․1 КоАП РФ (Неисполнение требований Роскомнадзора): до 500 тыс․ руб․
• Уголовная ответственность (ст․ 137, 272, 273, 274 УК РФ): За несанкционированный доступ, распространение сведений о частной жизни, создание вредоносных программ․ До 6 лет лишения свободы․
• Гражданско-правовая: Возмещение морального вреда (суды все чаще взыскивают 50–500 тыс․ руб․ с клиента за утечку мед․ данных)․
• Репутационные потери: Внесение в реестр недобросовестных поставщиков, потеря лицензии (для мед․ организаций), отказ страховщиков в полисе кибер-рисков․

Практический чек-лист запуска безопасной онлайн-консультации

Используйте этот список перед стартом проекта или для аудиты текущих процессов․

1. [ ] Юридический аудит: Определены категории ПДн, основания обработки (согласие, договор, закон), составлен реестр операций․
2. [ ] Документы: Политика на сайте, Уведомление в ГИС Роскомнадзора, ЛНА (Положение), Модель угроз, Журналы, Договоры с подрядчиками (с приложениями о ПДн)․
3. [ ] Платформа: Выбран российский сертифицированный провайдер (Реестр Минцифры/ФСТЭК), подписан Договор о обработке ПДн, настроен E2EE, отключена запись по умолчанию․
4. [ ] Рабочие места: Шифрование дисков (BitLocker/LUKS), MFA везде, установлен корпоративный антивирус/EDR, настроен MDM, запрет личных облаков/мессенджеров для работы․
5. [ ] Сеть: Корпоративный VPN / ZTNA, защищенный Wi-Fi (WPA3-Enterprise), сегментация сети (отдельный VLAN для работы с ПДн)․
6. [ ] Процессы: Регламент получения согласия клиента (чек-бокс + лог), регламент передачи документов (только через ЛК/шифрованную почту), регламент удаления данных по истечении сроков/по требованию․
7. [ ] Персонал: Все прошли обучение по 152-ФЗ, подписали ЛНА, знают план реагирования на инцидент․
8. [ ] Мониторинг: Настроен SIEM / логгирование доступа к ИС, настроены алерты на аномалии (вход ночью, массовый экспорт, вход из новой страны)․
9. [ ] Резервное копирование: Бэкапы зашифрованы, хранятся в другом ДЦ/контуре, проверяется восстановление раз в квартал․
10. [ ] Страхование: Оформлен полис кибер-рисков (покрывает расходы на расследование, уведомление, штрафы, PR)․

Защита личных данных при онлайн-консультациях — это не про «галочки» для инспектора, а про управление рисками и сохранение репутации эксперта․ В 2026 году порог входа в легальный онлайн-бизнес поднимается: использование сертифицированного российского ПО, внедрение MFA и шифрования дисков, грамотная работа с согласиями и наличие плана реагирования на инциденты становятся стандартом де-факто․

Начните с аудита текущего состояния (As-Is), выберите сертифицированную платформу и зашифруйте ноутбуки сотрудников сегодня․ Стоимость внедрения несоизмеримо ниже стоимости штрафа, судебных издержек и потери клиентской базы после утечки․

Данная статья носит информационный характер и не является юридической консультацией․ Для приведения вашей деятельности в полное соответствие требованиям 152-ФЗ, ФЗ-264 и Постановлению № 1119 рекомендуется обратиться к специализированным юристам и аудиторам по защите информации (лицензированным ФСТЭК/ФСБ)․