Управление, маркетинг
и сервис в частной медицине
Статьи
о различный аспектах работы коммерческой клиники
Блог

323-ФЗ, 99-ФЗ и 152-ФЗ: какие риски несёт клиника при нарушении базовых требований

Частная клиника ежедневно принимает пациентов, ведёт медицинскую документацию, хранит сведения о здоровье, использует МИС и CRM, нанимает врачей, эксплуатирует оборудование и конечно же оказывает медицинские услуги.
Практически каждое из этих действий связано с обязательными требованиями закона.
При этом нарушение редко начинается с очевидно незаконного решения. Чаще оно возникает постепенно: устарела форма согласия, врач начал выполнять дополнительную манипуляцию, доступ уволенного сотрудника к МИС не закрыли, результаты обследования отправили родственнику пациента, порядок работы клиники перестал соответствовать лицензионным требованиям…
До первой жалобы или проверки клиника может считать, что всё работает нормально.
Затем один случай приводит сразу к нескольким последствиям: обращению пациента в контролирующие органы, внутреннему разбирательству, проверке, судебному спору, штрафу, временной остановке услуги и репутационным потерям.
Для общего контроля в управлении клиникой особенно важны три федеральных закона. Смысл каждого из них в нескольких словах:
  • 323-ФЗ — права пациента и организация медицинской помощи;
  • 99-ФЗ — лицензирование \ лицензионные границы деятельности клиники;
  • 152-ФЗ — обработка и защита персональных данных пациентов и сотрудников.
Это основные законы которые устанавливают обязанности и ограничения клиники. Но также ответственность за разного рода нарушения в клинике может наступать также по КоАП, Гражданскому кодексу, законодательству о защите прав потребителей и, в отдельных случаях также по уголовному законодательству.

323-ФЗ: основные риски при оказании медицинской помощи

Федеральный закон № 323-ФЗ регулирует отношения в сфере охраны здоровья и устанавливает основные права пациента и обязанности медицинской организации.
Для частной клиники это не абстрактный отраслевой закон. Он затрагивает практически весь путь пациента: получение информации, согласие на вмешательство, оказание помощи, ведение документации, сохранение врачебной тайны, внутренний контроль качества и выдачу медицинских документов.

Медицинское вмешательство проведено без правильно оформленного согласия

Сотрудник может считать, что достаточно подписи пациента в стандартном бланке. Но согласие должно предшествовать медицинскому вмешательству и основываться на предоставленной пациенту информации о целях, методах, рисках, возможных вариантах и предполагаемом результате.
Проблема особенно заметна, когда используется одна общая форма для разных вмешательств, документ подписывается после процедуры или в нём невозможно определить, на что именно согласился пациент.
Если возникает осложнение или конфликт, клинике приходится доказывать не только правильность медицинских действий, но и то, что пациент заранее получил необходимую информацию. Верховный Суд указывал, что информированное добровольное согласие является обязательным предварительным условием вмешательства.
Даже когда качество самой медицинской помощи не признано ненадлежащим, нарушение права пациента на информацию может стать самостоятельным основанием для требований о компенсации морального вреда.

Медицинская документация не отражает фактически оказанную помощь

Врач провёл осмотр, дал рекомендации и выполнил манипуляцию, но часть сведений не внесена в медицинскую карту либо внесена значительно позже.
Для клиники это создаёт двойной риск.
Во-первых, отсутствующая информация затрудняет продолжение лечения и внутренний контроль. Во-вторых, при жалобе или судебном споре клиника не сможет надёжно подтвердить, какие действия действительно выполнялись, какую информацию получил пациент и почему было принято конкретное медицинское решение.
Отсутствие письменных согласий и другие недостатки медицинской документации регулярно всплывают в статистике Росздравнадзора как одно из самых частых нарушений в клиниках выявленных при проверках.

Информация передана родственнику без законного основания

Сотрудник клиники может сообщить результаты обследования супругу пациента, отправить документ родственнику пациента или подтвердить по телефону сам факт обращения. Это также довольно часто встречающееся нарушение, которо многие сотрудники клиник даже не осознают как нарушение.
При этом врачебная тайна распространяется не только на диагноз (как многие думают). Она охватывает и сам факт обращения за медицинской помощью, состояние здоровья и другие сведения, полученные при обращении пациента в медучреждение, обследовании и лечении.
Типичная ситуация: родственник пациента запрашивающий медданные знает фамилию пациента, дату рождения и фамилию врача, поэтому администратор считает его личность и полномочия подтвержденными. В результате медицинские сведения получает человек, которому сам пациент фактически может и не разрешал их передавать. Нарушается закон и если это доходит до контролирующих органов (пациент пишет жалобу) - клиника несет ответственность.
Последствия могут включать жалобу, требование компенсации, проверку порядка доступа к медицинской информации и дальнейшее разбирательство.
Но в такой ситуации намного хуже другое - контролирующий орган получая адресную жалобу вполне может “начать раскручивать клубок” и выявить подобные нарушения и в отношении других пациентов клиники. В этом случае последствия уже могут быть намногосерьезней.

Внутренний контроль существует только на бумаге

В клинике утверждено положение, назначен ответственный и составлен план мероприятий. Но повторяющиеся дефекты медицинской помощи, жалобы и ошибки документации системно не разбираются.
Формальное наличие приказа не означает выполнения требований к внутреннему контролю качества и безопасности медицинской деятельности. При серьёзном инциденте клинике придётся показать не только документы, но и фактическую работу системы: проведение проверок, анализ причин, решения и контроль их исполнения.
Если один и тот же сбой повторяется, отсутствие реального внутреннего (и документации по нему) контроля существенно осложняет позицию клиники.

Какой ущерб возможен

Нарушение требований 323-ФЗ может привести к:
  • жалобам пациентов и проверкам;
  • гражданским искам;
  • возврату стоимости услуг;
  • компенсации морального вреда;
  • расходам на экспертизы и судебное сопровождение;
  • признанию нарушений лицензионных требований;
  • репутационным потерям;
  • ухудшению медицинского результата.
Также к отношениям пациента и клиники по поводу оказанию платных медицинских услуг применяется законодательство о защите прав потребителей. Поэтому финансовые последствия спора могут не ограничиваться возвратом стоимости лечения.

99-ФЗ: риски выхода за пределы лицензии

Федеральный закон № 99-ФЗ устанавливает общие основы лицензирования. Медицинская деятельность входит в число лицензируемых видов деятельности.
Сам закон задаёт общую рамку, а конкретные лицензионные требования к медицинским организациям установлены постановлением Правительства РФ № 852.
Главная ошибка — воспринимать лицензию как бессрочный документ и не контролировать сроки ее продления.
Фактическая деятельность клиники должна постоянно соответствовать сведениям и требованиям лицензирования.

Клиника оказывает медицинские услуги, которых нет в реестре лицензий

Наименование услуги в прайсе и услуга, относящаяся к медицинской деятельности, — не всегда одно и то же.
Например, коммерческое название процедуры может скрывать несколько медицинских вмешательств, относящихся к разным лицензируемым направлениям мед.услуг.
Если фактически выполняемая работа отсутствует в реестре лицензий, наличие общей лицензии на медицинскую деятельность клинику не защищает.
Риск увеличивается, если такая услуга активно рекламируется и регулярно оказывается пациентам. Тогда нарушение становится не единичной ошибкой, а постоянной практикой.

Работа ведётся не по тому адресу

Клиника может иметь несколько помещений или филиалов оформленных как разные юридические лица. При этом конкретные мед услуги должны оказываться по адресам филиалов где есть лицензии именно на эти услуги.
Распространенная ситуация: врач принимает в одном филиале, но периодически выполняет процедуры в другом, где соответствующий вид медицинских услуг не предусмотрен лицензией.
Внешне для пациента ничего не меняется: тот же бренд, специалист и договор. С позиции лицензирования место осуществления деятельности имеет самостоятельное значение.

Клиника перестала соответствовать формальным требованиям достаточным для получения лицензии, но продолжила работу

Лицензионные требования связаны не только с перечнем работ и адресом. Они охватывают помещения, медицинские изделия, квалификацию медицинских специалистов, сведения в государственных информационных системах, соблюдение порядка оказания помощи, внутренний контроль и правила предоставления платных медицинских услуг.
Риск возникает, когда:
  • уволился единственный специалист необходимой квалификации;
  • оборудование вышло из строя, но процедуры продолжают проводить;
  • помещение перестало соответствовать установленным требованиям;
  • врач выполняет работу, для которой не имеет требуемой подготовки;
  • обязательные сведения об организации или сотрудниках не актуализированы.
Такие ситуации нельзя закрыть одним внутренним приказом. Если обязательный ресурс утрачен, клиника должна сначала восстановить соответствие требованиям и только затем продолжать деятельность.

Документы соответствуют лицензии, а фактическая работа — нет

В штатном расписании может быть указана необходимая должность, а оборудование числиться на балансе. Но специалист фактически не работает, аппарат неисправен или находится в другом филиале.
При контроле оценивается не только наличие документов, но и реальная возможность выполнять медицинскую деятельность с соблюдением требований.

Какой ущерб возможен

Нарушение лицензионных требований способно привести к:
  • административной ответственности;
  • предписанию об устранении нарушения;
  • приостановлению направления деятельности клиники (по которому выявлено нарушение);
  • приостановлению или аннулированию лицензии;
  • отмене записей и возврату денег пациентам;
  • простою персонала и помещений;
  • необходимости срочно перестраивать работу клиники.
Росздравнадзор наделён полномочиями по лицензионному контролю, а также по приостановлению, возобновлению и аннулированию лицензий в установленных случаях.

152-ФЗ: риски при работе с данными пациентов

Федеральный закон № 152-ФЗ регулирует обработку персональных данных.
Для клиники это один из наиболее широких правовых контуров. Персональные данные обрабатывают не только врачи и медицинские регистраторы, но и маркетинг, бухгалтерия, отдел кадров, колл-центр, сайт, МИС, CRM, телефония и внешние подрядчики.
Сведения о состоянии здоровья при этом относятся к специальной категории персональных данных, для которой действуют повышенные требования.

Результат обследования отправлен не тому человеку

Администратор ошибся в номере телефона, выбрал соседний чат или отправил файл родственнику пациента.Даже если сотрудник сразу удалил сообщение, передача уже состоялась.
В теории (по правилам) клиника должна оценить инцидент, возможные последствия и необходимость уведомления Роскомнадзора.При неправомерной или случайной передаче персональных данных оператор (клиника) должен направить первичное уведомление об инциденте в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов.
На практике конечно не всё так строго и при ошибках с отправкой данных (отправили мед. данные не тому человеку, перепутали) никто так не делает.
Но если инцидент все же получит продолжение (в виде жалобы пациента), то для клиники могут наступить очень неприятные последствия.

Все сотрудники используют одну учётную запись

Общий логин кажется удобным: не нужно создавать доступ для каждого администратора или врача.
Но в такой системе невозможно установить, кто открыл карту пациента, выгрузил данные, изменил запись или отправил документ.
При утечке клиника теряет время на расследование и не может надёжно восстановить последовательность действий. Кроме того, уволенный сотрудник может продолжить пользоваться известными ему реквизитами доступа.

Данные передаются подрядчикам без достаточного контроля

МИС, CRM, телефония, облачное хранилище, сервис рассылок, техническая поддержка и маркетинговые подрядчики могут получать доступ к персональным данным.
Сам факт заключения обычного договора не решает вопрос.
Нужно определить, какие данные получает подрядчик, для какой цели, какие действия вправе выполнять, как защищает информацию, сообщает об инцидентах и прекращает обработку после завершения сотрудничества.
Особенно рискованна ситуация, когда руководство клиники не знает, какие сторонние сервисы фактически используют сотрудники.
В такой ситуации при утечке данные в конечном итоге ответственность будет нести именно клиника.

Контакты пациентов используются для рекламы

Пациент оставил телефон для записи на приём. Через несколько месяцев клиника начала направлять ему сообщения об акциях.
Цель первоначального сбора данных — организация медицинской помощи — не означает автоматического разрешения на рекламу.
Такая рассылка затрагивает не только законодательство о персональных данных, но и требования к рекламе. Одно обращение пациента может привести к проверке сразу по нескольким направлениям.

Какой ущерб возможен при нарушениях 152-ФЗ

Нарушение 152-ФЗ может привести к:
  • административным штрафам;
  • требованиям прекратить обработку или удалить данные;
  • искам пациентов и сотрудников;
  • расходам на расследование утечки;
  • срочному аудиту всех информационных систем;
  • временной остановке отдельных сервисов клиники;
  • конфликтам с подрядчиками;
  • потере доверия пациентов;
  • публикации информации об инциденте и репутационному ущербу.
С 30 мая 2025 года ответственность за отдельные нарушения, связанные с утечками персональных данных, была существенно усилена. Законодательство предусматривает в том числе крупные фиксированные и оборотные штрафы. Для клиники особенно чувствительна утечка сведений о здоровье, поскольку они относятся к специальной категории данных.

Нарушения редко существуют отдельно друг от друга

Одна ситуация может одновременно затронуть все три закона.
Например, сотрудник отправил медицинское заключение не пациенту а его родственнику:
  • по 323-ФЗ возникает вопрос о разглашении врачебной тайны;
  • по 152-ФЗ — о неправомерной передаче персональных данных и реагировании на инцидент;
  • если случай выявлен во время проверки лицензионных требований, он может повлиять и на общую оценку организации медицинской деятельности.
Другой пример: клиника оказывает мед. услугу \ процедуру, отсутствующую в лицензии, а согласие пациента оформляется общей формой.
Возможный спор уже не ограничивается качеством процедуры. Проверяться будут право клиники выполнять работу, информирование пациента, медицинская документация и фактическая организация помощи.
Поэтому регуляторные риски нельзя распределить по принципу:
лицензия — дело юриста, согласия — дело врача и администраторов \ мед.регистраторов, данные — дело системного администратора.
Юрист может подготовить документы и дать заключение. Но нарушения возникают в ежедневных действиях сотрудников и в управленческих решениях руководителей.

Что должен контролировать руководитель клиники

Для первичной оценки достаточно проверить пять направлений.
Фактическая медицинская деятельность. Соответствуют ли оказываемые работы, адреса, специалисты, помещения и оборудование лицензионным требованиям?
Права пациента. Как оформляются согласия, передаётся информация, ведётся документация и сохраняется врачебная тайна?
Движение данных. Где клиника собирает персональные данные, в какие системы они поступают и где хранятся, кто имеет доступ и каким подрядчикам они передаются?
Реакция на нарушения. Знают ли сотрудники, кому сообщать об ошибке, жалобе, утечке данных или отклонении от лицензионных требований?
Ответственность руководителей. Кто отвечает за медицинскую деятельность, лицензионное соответствие и персональные данные и имеет ли он реальные полномочия?

Вывод

323-ФЗ, 99-ФЗ и 152-ФЗ регулируют разные стороны работы клиники, но нарушения часто связаны между собой.
323-ФЗ защищает права пациента и устанавливает основы организации медицинской помощи. 99-ФЗ определяет порядок лицензирования и лицензионные границы деятельности клиники. 152-ФЗ регулирует работу с персональными данными пациентов и сотрудников.
Нарушение может привести к судебным требованиям, компенсациям, остановке услуги, приостановлению лицензии, расходам на устранение последствий и потере доверия пациентов.
Первый практический шаг — провести проверку не папки с документами, а реальной работы клиники: что фактически делают сотрудники, какие медицинские услуги оказываются и как движется информация о пациентах.
31.07.2026
Made on
Tilda