Подготовка к проверкам по 152-ФЗ и 323-ФЗ: чек-лист готовности

Это инженерные рекомендации, а не юридическая консультация. Детали подтверждайте у профильных юристов.

Кратко

Вопрос о соответствии телемед-продукта приходит четырьмя путями: жалоба пациента, ваше собственное уведомление об утечке, контрольное мероприятие Роскомнадзора или Росздравнадзора и запрос клиники, для которой вы обрабатываете данные по поручению. Во всех четырёх случаях вас просят в короткий срок показать документы; на запрос Роскомнадзора закон даёт 10 рабочих дней (ст. 20 ч. 4 152-ФЗ). Каждый документ из такого запроса назван в нормах: политика и локальные акты по ст. 18.1, уведомление о начале обработки по ст. 22, модель угроз и уровень защищённости по ст. 19 и ПП 1119, поручения по ст. 6, согласия по ст. 9, а для медорганизации – лицензия, регистры ФРМР и ФРМО и раскрытие информации пациенту по п. 37 приказа 193н. Статья сводит разрозненные требования в один упорядоченный чек-лист из семи фаз, который телемед-команде стоит пройти до запуска: роли и охват, оценка, документы и договоры, технические меры, медицинский контур, люди и учения, поддержание. Для каждого пункта указаны норма и документ-доказательство. В конце – учебная отработка: как ответить на запрос в отведённый срок и не ухудшить своё положение.

Зачем это читать

Если вы делаете телемед-продукт, о вашем комплаенсе рано или поздно спросят. Неизвестно только, каким путём придёт вопрос и будут ли к этому моменту доказательства. Страдают обычно не те команды, у которых защита хуже всех, а те, кто не может её показать в срок: модели угроз нет, поручение «вроде подписывали», уведомление Роскомнадзора подано три облака назад. Статья написана для основателя, продакт-менеджера и ИТ-руководителя клиники, которые хотят собрать комплект доказательств сейчас, пока это дёшево; она же завершает блок 2 курса. Одностраничная версия чек-листа приложена к статье в PDF.

К чему готовиться: четыре пути проверки

Начнём с того, кто спрашивает, потому что словом «проверка» называют очень разные вещи. За обработкой персональных данных надзирает Роскомнадзор (в законе – уполномоченный орган по защите прав субъектов персональных данных), за медицинской деятельностью – Росздравнадзор: он контролирует качество и безопасность медицинской деятельности и проводит лицензионный контроль (лицензию на медицинскую деятельность выдаёт Росздравнадзор или уполномоченный орган субъекта). Что требуют сами законы – 152-ФЗ и врачебная тайна по ст. 13 323-ФЗ, – мы разобрали в статье «152-ФЗ и врачебная тайна простым языком». Коротко: медданные – любые сведения о здоровье человека, которого можно определить, а врачебную тайну составляет уже сам факт обращения. Телемед-продукт почти целиком состоит из таких данных.

Вопрос о соответствии приходит четырьмя путями, и у каждого свои сроки.

Путь первый: жалоба. Пациент вправе обжаловать действия оператора в Роскомнадзор или в суд (ст. 17 152-ФЗ); жалоба на качество медицинской помощи может прийти в Росздравнадзор. Дальше следует запрос документов. На запрос Роскомнадзора оператор обязан ответить в течение 10 рабочих дней с даты получения; срок можно продлить не более чем на 5 рабочих дней, направив мотивированное уведомление (ст. 20 ч. 4). Запрос касается конкретного эпизода, но документы просят по всей программе, потому что первым делом выясняют, разовый это сбой или системная проблема.

Путь второй: утечка. Об инциденте с персональными данными вы сами сообщаете Роскомнадзору: в течение 24 часов о факте и в течение 72 часов о результатах расследования (ст. 21 ч. 3.1). Иными словами, утечка – это проверка, о которой вы уведомили регулятора сами. Отсчёт идёт с момента выявления, в том числе посторонним исследователем или журналистом, а не с момента, когда вы признали случившееся инцидентом.

Путь третий: контрольное мероприятие. Роскомнадзор контролирует обработку персональных данных, Росздравнадзор – медицинскую деятельность, включая лицензионные требования и порядок оказания помощи с применением телемедицинских технологий. Виды мероприятий, основания и сроки определяют законодательство о государственном контроле и конкретное решение о проведении мероприятия; их мы сознательно не пересказываем: сверяйте процедуру по полученному документу. Для этой статьи важно другое: оператор обязан по запросу Роскомнадзора представить документы и локальные акты или иным способом подтвердить принятые меры (ст. 18.1 ч. 4).

Путь четвёртый: запрос клиента-оператора. Если ваша платформа обрабатывает данные пациентов по поручению клиники, поручение обязывает вас по запросу оператора предоставлять документы о соблюдении требований (ст. 6 ч. 3). На практике этот путь встречается чаще остальных: при продаже крупной сети клиник, при продлении договора, после чужой утечки в новостях и всякий раз, когда проверяют саму клинику, потому что её документы опираются на ваши. Срок задаёт договор.

Нажмите, чтобы увеличить

Сравним пути, чтобы спланировать подготовку:

Таблица 1. Четыре пути проверки. Штрафы указаны для юрлиц, по ст. 13.11 КоАП в редакции 420-ФЗ (с 30 мая 2025 года); повторная утечка спецкатегорий – 1–3% выручки, но не менее 25 млн и не более 500 млн ₽.

Расчёт сроков, который мало кто делает

Этот расчёт превращает готовность из проекта «когда-нибудь» в требование к запуску. Посчитаем один раз.

Полноценная модель угроз – систематическое описание угроз всем системам с медданными, из которого вытекают тип актуальных угроз и уровень защищённости по ПП 1119. Слаженной команде на первую модель нужно примерно от четырёх до восьми недель: инвентаризировать системы, нарисовать потоки данных, оценить угрозы, определить уровень, выбрать меры. Возьмём оптимистичные 30 рабочих дней.

«Срок ответа на запрос Роскомнадзора: 10 рабочих дней, максимум 10 + 5 = 15 с мотивированным продлением. Первая модель угроз: ~30 рабочих дней, оптимистично. Разрыв: 30 − 15 = 15 рабочих дней – даже с продлением, ещё до первого уточняющего вопроса.»

Та же нехватка времени повторяется по каждому документу. Поручение подрядчику – договор, который обязан подписать любой, кто обрабатывает медданные по вашему заданию; его устройство мы разобрали в статье о поручении обработки. На согласование с каждым подрядчиком уходят дни и недели, и за время ответа на запрос его не получить, а поручение, подписанное задним числом, – уже совсем другая и куда более серьёзная проблема. Листы ознакомления не появятся, если обучения не было. Уведомление Роскомнадзора, поданное после запроса, не отменяет месяцев обработки без него. А при утечке срок ещё короче – 24 часа, и регламент реагирования за сутки никто не напишет. Чек-лист ниже – это перечень всего, что нельзя изготовить в отведённый срок; поэтому именно об этом и спрашивают.

Картину дополняет ещё одно число: ноль. Столько сертификатов «соответствует 152-ФЗ» выдаёт государство. Сертифицируют средства защиты (ФСТЭК, ФСБ), аттестуют информационные системы, у облаков бывают аттестаты на уровень защищённости УЗ-1 – всё это полезные доказательства. Но аттестат облака покрывает инфраструктуру провайдера, а не ваше приложение, а значок «соответствует 152-ФЗ» на сайте юридической силы не имеет. Есть только доказательства того, что программа защиты реально работает: они дешевле значка, и только их читают проверяющие.

Что спрашивают первым: перечень документов

Каким бы путём ни пришёл запрос, его основа предсказуема, потому что её задают сами нормы: ст. 18.1 перечисляет меры, которые оператор обязан принять и по запросу Роскомнадзора подтвердить, ст. 19 – меры безопасности, 193н – что медорганизация обязана обеспечить и раскрыть. Таблица ниже восстановлена по тексту норм и не является официальным перечнем: конкретный состав определяет сам запрос. Считайте её оглавлением комплекта доказательств.

Таблица 2. Перечень документов. Строки 1–10 – 152-ФЗ, их спрашивают Роскомнадзор и клиенты-операторы; строки 11–14 – медицинский контур, предмет лицензионного контроля и контроля качества. Номера пунктов 209н взяты из вторичных разборов – сверяйте с текстом приказа.

Два практических замечания. Если документа нет, не пытайтесь изготовить его в последний момент: скажите об этом прямо и приложите план с датами. Отсутствие документа – тоже ответ, и его оценят как ответ. И храните не только текущие, но и прежние версии: модель угроз, датированная неделей позже запроса, скажет проверяющему больше, чем вам хотелось бы.

Нажмите, чтобы увеличить

Чек-лист готовности – семь фаз по порядку

Дальше – сам чек-лист, ради которого написана статья. Фазы выстроены так, что каждая даёт исходные данные для следующей: охват раньше оценки, оценка раньше договоров, договоры раньше мер. Заодно это почти самый дешёвый порядок работ. Пройдите чек-лист до запуска, а отмеченные пункты повторяйте с периодичностью из фазы 7. Одностраничный PDF сводит все семь фаз в шпаргалку, которую можно повесить на стену.

Перед первым пунктом напомним, на кого распространяются требования. Обязанности 152-ФЗ лежат на операторе (медорганизации или сервисе, который сам определяет цели обработки) и на обработчике по поручению – подрядчике, который обрабатывает данные по заданию оператора и отвечает перед ним. Телемед-платформа, обслуживающая клиники, – как минимум обработчик, а по собственным данным (врачи-пользователи, заявки с сайта, сотрудники) – ещё и оператор. Довод «мы просто софт» не работает. Какая бизнес-модель какой роли соответствует, разобрано в статье о ландшафте телемед-продуктов.

Фаза 1 – Роли и охват: назначить владельцев, очертить границы

• Определите роль по каждому потоку данных – оператор, обработчик по поручению или самостоятельный оператор без медицинской лицензии, – и запишите её. От роли зависят основания, договоры и уведомления.
• Назначьте ответственного за организацию обработки ПДн письменно (ст. 18.1 ч. 1 п. 1, ст. 22.1) и назовите человека, отвечающего за защиту информации; в маленькой компании это может быть один человек, но не «команда в целом».
• Инвентаризируйте каждую систему, которая создаёт, получает, хранит или передаёт медданные. В телемед-продукте список длиннее, чем кажется: приложения пациента и врача, сигналинг и медиасерверы, TURN-сервер, хранилище записей, транскрипты, история чата, мост в медицинскую информационную систему (МИС), расписание, логи, краш-репорты, аналитика, хелпдеск, провайдеры SMS и email. Полный состав платформы мы разобрали в анатомии телемед-платформы.
• Нарисуйте карту потоков данных и границу контура: какие компоненты находятся внутри российского контура и работают по поручениям, какие снаружи и что пересекает границу. Это схема из паттерна архитектуры комплаенса, на которую дальше постоянно ссылается чек-лист.
• Утвердите политику обработки ПДн и локальные акты (ст. 18.1 ч. 1 п. 2) и опубликуйте политику на сайте, где собираются данные (ч. 2): с версией, датой и владельцем, а не 90-страничный шаблон с названием чужой компании в подвале.

Фаза 2 – Оценка: модель угроз, на которой всё держится

• Постройте модель угроз по перечню систем из фазы 1 (ст. 19 ч. 2 п. 1): что угрожает каждой системе, какие угрозы актуальны, какой из этого следует тип угроз. По типу угроз, категории и объёму данных определите уровень защищённости по ПП 1119. Для сведений о здоровье он растёт вместе с базой пациентов, поэтому рассчитывайте его на целевой объём, а не на пилот. Как считаются уровни – в статье о требованиях к защите ПДн в 2026 году.
• Оцените вред, который может быть причинён пациентам, и соотнесите его с мерами (ст. 18.1 ч. 1 п. 5).
• Из модели угроз выведите набор мер приказа ФСТЭК № 21: базовый набор под уровень, адаптация под вашу архитектуру, уточнение под актуальные угрозы, компенсирующие меры – только с письменным обоснованием.
• Датируйте и подпишите документы. Без подписи это лишь свидетельство того, что вы «думали о безопасности», а не доказательство.

Фаза 3 – Документы и договоры: закрыть всю цепочку

• Подайте уведомление Роскомнадзору до начала обработки (ст. 22 ч. 1) и проверьте, что сведения в нём – цели, меры защиты, средства шифрования, трансграничная передача, место нахождения базы данных – совпадают с картой фазы 1. Любое изменение – до 15-го числа следующего месяца (ч. 7).
• Соберите реестр поручений по карте потоков: каждая стрелка из вашего кода в систему подрядчика – строка реестра. Облако, видеослой, отдельный TURN-провайдер, хранилище записей, транскрибация и ИИ, мост в МИС, SMS и email, логи, хелпдеск. По каждому: касается ли он медданных, где база, подписано ли поручение, когда и что оно покрывает, какой срок уведомления об инцидентах.
• Закройте каждую строку с ответом «нет» одним из двух способов: подпишите поручение или перестройте поток так, чтобы подрядчик никогда не видел медданных. Как команды обходят оба варианта, показано в разборе типичных ошибок. Шифрование поручение не заменяет, а подрядчик за рубежом не вариант: базы с данными россиян должны находиться в России (ст. 18 ч. 5).
• Оформите согласия отдельными документами там, где они нужны (ст. 9 ч. 1 – с 1 сентября 2025 года отдельно от оферт и договоров; ст. 10 – письменная форма для сведений о здоровье без медицинского основания). Рядом – шаблон информированного добровольного согласия (ИДС) на медицинское вмешательство: это отдельный документ по 323-ФЗ.
• Возьмите обязательства о неразглашении врачебной тайны у сотрудников и у людей подрядчиков, которые могут её увидеть (ст. 13 ч. 2 323-ФЗ).

Фаза 4 – Технические меры: защита, которую можно показать

• Меры приказа № 21 для телемед-стека: уникальные учётные записи для каждого человека и сервиса (общий логин регистратуры проваливает проверку сразу); второй фактор для персонала и администраторов; ролевой доступ; регистрация событий – кто какую запись открыл и когда, по схеме из статьи о журналах аудита; контроль целостности; резервное копирование.
• Шифрование на каждом участке пути медданных: DTLS-SRTP для медиа, TLS для остального, шифрование при хранении для записей, транскриптов, сообщений и бэкапов. Там, где нейтрализация угроз держится на криптографии, нужны СКЗИ, сертифицированные ФСБ (классы – по приказу ФСБ № 378); подробно – в статье о шифровании, ГОСТ и СКЗИ.
• Локализация: основные базы, записи, бэкапы и логи с данными пациентов – в России, лучше в аттестованном сегменте российского облака; помните, что аттестат облака покрывает инфраструктуру, а не ваше приложение.
• Носители и рабочие места, о которых часто забывают: учёт машинных носителей (ст. 19 ч. 2 п. 5), правила для рабочих станций врачей и поддержки, порядок уничтожения данных при списании.
• Оцените эффективность мер до ввода системы в эксплуатацию (ст. 19 ч. 2 п. 4) – сами или с лицензиатом ФСТЭК.
• Собирайте доказательства по ходу работы: скриншоты включённого второго фактора, выгрузки конфигурации шифрования, протоколы ежеквартального пересмотра доступа. Мера, после которой не осталось документа, в день запроса считается несуществующей.

Фаза 5 – Медицинский контур: 323-ФЗ и приказ 193н

• Лицензия покрывает то, что вы делаете дистанционно: телемедицина оказывается только по работам и услугам, включённым в лицензию (п. 4 193н).
• Регистры и квалификация: врачи – в ФРМР, организация – в ФРМО (п. 9 193н; ПП 852 п. 5 «ж»), у специалистов – аккредитация (п. 5 «в»), повышение квалификации – не реже раза в 5 лет (п. 6 «д»).
• Идентификация и подпись: участники консультации идентифицируются через ЕСИА (ч. 6 ст. 36.2, п. 7 193н), документы подписываются УКЭП медработника (ч. 7 ст. 36.2, п. 48).
• Рамки режима «врач – пациент» заложены в код: без очного приёма по обращению – заключение без диагноза, только рекомендации по обследованию (п. 40); рецепт – только при коррекции лечения после очного приёма (п. 38–39). Подробно – в статье о лицензии, аккредитации и рецептах.
• Раскрытие информации пациенту на сайте или в приложении (п. 37 193н): лицензия; ФИО, образование, стаж и категория консультанта; оператор информационной системы и место хранения материалов; порядок получения ИДС и согласия на обработку ПДн; порядок идентификации через ЕСИА; стоимость; возможность анонимной или псевдонимизированной платной консультации. Это единственный пункт чек-листа, который любой желающий видит и без проверки, и его дешевле всего исправить.
• Хранение материалов: заключения, протоколы и данные дистанционного наблюдения вносятся в электронную медкарту; сопутствующие материалы – аудио- и видеозаписи, сообщения, изображения – хранятся 1 год (п. 49–51). Как это совместить с записью сессий – в статье о согласии, записи и хранении.
• ЕГИСЗ: протокол телемедконсультации и запрос на неё передаются в федеральную электронную регистратуру (ФЭР) в течение 1 рабочего дня, сведения об электронных меддокументах – в РЭМД тоже за 1 рабочий день; размещение сведений в ЕГИСЗ – лицензионное требование (ПП 852 п. 6 «е»). С 1 сентября 2026 года электронные меддокументы регулирует приказ 209н: подпись УКЭП, журналирование доступа, резервное копирование.
• Платные услуги: с 1 сентября 2026 года действуют правила ПП 659 – они прямо разрешают дистанционный договор на сайте или в приложении и требуют до подписания раскрыть пациенту ОГРН, ИНН, лицензию, условия и способы оплаты и адрес для претензий.

Фаза 6 – Люди и учения: инциденты и учебный запрос

• Ознакомьте каждого сотрудника с законодательством о персональных данных и локальными актами (ст. 18.1 ч. 1 п. 6) при найме и далее регулярно, с учётом роли: врачам – согласия, запись сессий и запрет личных мессенджеров, инженерам – сценарии утечек, поддержке – «никаких медданных в тикетах». Храните листы ознакомления с датами: «мы всех обучили» без подписей равносильно «мы никого не обучили».
• Настройте процедуру реагирования на инциденты: кто сообщает о подозрении, кто решает, инцидент это или нет, кто готовит текст уведомления, у кого есть доступ к порталу персональных данных Роскомнадзора с входом через ЕСИА и электронной подписью. Сроки: 24 часа – факт, 72 – итоги расследования (ст. 21 ч. 3.1, приказ Роскомнадзора № 187); ГосСОПКА – через Роскомнадзор или напрямую в НКЦКИ при соглашении (ст. 19 ч. 12, приказ ФСБ № 77); значимый объект КИИ – 3 часа (приказ ФСБ № 547). Подробный расчёт сроков – в статье о реагировании на инциденты.
• Ведите журнал инцидентов, включая те, что утечками не оказались: пустой журнал у компании вашего размера неправдоподобен, а неправдоподобие само по себе вызывает вопросы.
• Проверьте восстановление: закон требует восстанавливать данные, изменённые или уничтоженные вследствие несанкционированного доступа (ст. 19 ч. 2 п. 7). Доказательство здесь – датированный тест восстановления, а не сам факт наличия бэкапов.
• Раз в год проводите учебный запрос. Выдайте собственной команде таблицу 2 со сроком 10 рабочих дней и оцените результат. Каждая вкладка, которую собирали дольше дня, – проблема, найденная бесплатно; это самый выгодный час из всего, что предлагает статья.

Фаза 7 – Поддержание: программа, которая не устареет к следующей версии продукта

• Переоценивайте по расписанию и при изменениях: внутренний контроль – по графику (ст. 18.1 ч. 1 п. 4), контроль выполнения требований и оценка эффективности мер – не реже раза в три года (п. 17 ПП 1119, п. 6 приказа № 21), модель угроз – после всего, что меняет карту потоков: новый видеовендор, функция ИИ-скрайба, новое облако, поглощение.
• Обновляйте уведомление Роскомнадзора вслед за архитектурой (ст. 22 ч. 7): добавьте пункт «затрагивает ли изменение уведомление?» в шаблон архитектурного ревью.
• Определите сроки хранения письменно. Единого срока для комплаенс-документации и логов 152-ФЗ не задаёт: персональные данные хранятся не дольше, чем требуют цели обработки (ст. 5), сроки электронных меддокументов задаёт справочник НСИ по 209н, сопутствующих материалов – 1 год по 193н. Срок хранения журналов обоснуйте в модели угроз и локальных актах, как разобрано в статье о журналах аудита.
• Следите за готовящимися изменениями и фиксируйте их письменно. В июле 2026 года ФСТЭК опубликовал проект замены приказа № 21: показатель зрелости защиты, оценка до начала обработки, раз в три года и после каждого инцидента, меры для ИИ, контейнеров и API, требования к обработчикам. На 24 сентября 2026 года проект не подписан; команда, прошедшая фазы 1–6, уже проделала большую часть работы для перехода на него.

Нажмите, чтобы увеличить

Учебная отработка: уложиться в срок

Теперь предположим, что запрос пришёл – от Роскомнадзора, Росздравнадзора или клиники-оператора. На этом этапе подготовленные команды спокойно закрывают вопрос готовым комплектом, а неподготовленные превращают запрос документов в долгую историю с предписаниями. Алгоритм ниже рассчитан на 10 рабочих дней – срок ответа на запрос Роскомнадзора (ст. 20 ч. 4); для других запросов подставьте срок из документа.

День 0 – получить и проверить. Проверьте отправителя и реквизиты документа, зафиксируйте дату получения: от неё считается срок. Считайте его в рабочих днях, а не в календарных.

День 0–1 – собрать команду. Ответом руководит ответственный за организацию обработки ПДн. Юрист вычитывает всё до отправки: именно здесь договор с юристом, специализирующимся на здравоохранении, окупается. Один инженер подбирает документы, ещё один человек собирает пакет. В первый же час договоритесь об именовании файлов: punkt-08_reestr-porucheniy_2026-10.pdf лучше, чем final_v2_TOCHNO.pdf.

День 1–5 – подобрать документы из комплекта. Если учебный запрос из фазы 6 проводился, вы достаёте готовое, а не создаёте новое. Отвечайте ровно на то, о чём спросили: полно, по существу и без лишних документов. Добровольно приложенные материалы расширяют предмет проверки, и юрист скажет вам то же самое короче и жёстче.

День 5–8 – вычитка на три типичные ошибки. Первая – скриншоты с медданными в углу экрана: замажьте их, ведь вы показываете, как защищаете данные, и не должны нарушать защиту в самом ответе. Вторая – документы, чьи даты противоречат изложению: объясните расхождение сами и ни в коем случае не исправляйте даты задним числом, иначе пробел в комплаенсе превратится в куда более серьёзную проблему. Третья – отсутствующий документ: скажите об этом прямо, в идеале с уже назначенной датой доработки.

День 8–10 – отправить ответ и сохранить точную копию пакета. История может тянуться месяцами, и вы должны точно знать, что есть у проверяющего. Если не успеваете, для запроса Роскомнадзора закон допускает продление не более чем на 5 рабочих дней, но только по мотивированному уведомлению (ст. 20 ч. 4); отправьте его до истечения срока.

После – исправления. Если по итогам выдано предписание или клиника требует доработок, составьте план с ответственными и датами, а спор о квалификации оставьте юристу.

Нажмите, чтобы увеличить

Типичные ошибки при подготовке к проверке

«Чек-лист мер вместо модели угроз. Таблица «двухфакторная аутентификация: да; шифрование: да» – это перечень мер. Модель угроз описывает угрозы конкретным системам и выводит из них тип угроз, уровень защищённости и набор мер. Подмену видно с первой страницы, и с неё же начинается недоверие ко всему комплекту. Шаблонные политики без доработки. Купленный пакет документов с чужим названием в пункте 7, с должностями, которых у вас нет, и системами, которых вы не запускали. Заметив одно такое место, проверяющий перестаёт верить остальному. Пустой журнал инцидентов. «У нас в рабочей системе не было ни одного инцидента» означает «мы не заметили ни одного». Фиксируйте фишинговую попытку, потерянный телефон с удалённым стиранием, письмо не тому адресату и вывод, почему это не инцидент по ст. 21 ч. 3.1. Именно такие записи и выглядят достоверно. Ознакомление, которое было, но не оставило следа, и похожая ситуация с поручением, которое все помнят подписанным, но никто не может предъявить. Нет документа – не было и события. Журналы, которые никто не разбирает. Ст. 19 ч. 2 требует не только регистрировать действия с данными, но и обнаруживать несанкционированный доступ и контролировать меры; собирать логи и не читать их – значит выполнить первое и провалить второе. «Мы подрядчик – нас не проверят». Клиника-оператор вправе запросить у вас документы по поручению (ст. 6 ч. 3) и отвечает перед пациентом за вашу ошибку, а вы – перед ней (ч. 5). Проект замены приказа № 21 добавляет требования именно к обработчикам. А по собственным данным вы и так оператор – с уведомлением по ст. 22.»

Где здесь Фора Софт

Фора Софт разрабатывает видеософт с 2005 года. Среди 250+ выпущенных проектов в видеоконференциях, стриминге, видеонаблюдении, e-learning и OTT есть телемедицинские платформы, и в наших медицинских проектах готовность к проверкам закладывается в проект с самого начала, а не доделывается в авральном режиме после запуска. Карта потоков из фазы 1 и реестр поручений из фазы 3 появляются уже на этапе проектирования архитектуры, потому что границу контура мы рисуем раньше первого спринта; шифрование, уникальные учётные записи, журнал событий и вход через ЕСИА мы сдаём вместе с документами-доказательствами. Если команда приходит с готовым продуктом, чек-лист выше и есть наш аудит: четырнадцать вкладок, сверенных с кодовой базой и договорами, и на выходе план исправлений с ответственными и датами. В итоге, когда приходит запрос, документы остаётся только достать, а не восстанавливать задним числом.

Главное

• Вопрос о соответствии приходит четырьмя путями – жалоба, утечка, контрольное мероприятие, запрос клиента-оператора, – но всегда в виде списка документов со сроком.
• На запрос Роскомнадзора – 10 рабочих дней плюс до 5 по мотивированному уведомлению; на утечку – 24 и 72 часа.
• Ничего из перечня документов не получится подготовить за время ответа; готовность – это доказательства, собранные заранее.
• Семь фаз по порядку: роли и охват, оценка, документы и договоры, технические меры, медицинский контур, люди и учения, поддержание.
• На модели угроз держится всё остальное; уведомление Роскомнадзора и раскрытие по п. 37 193н должны описывать ту архитектуру, которая работает сегодня.
• Ежегодный учебный запрос по перечню документов – самая дешёвая проверка, которую вы когда-либо пройдёте.

Что читать дальше

• 152-ФЗ и врачебная тайна простым языком для продуктовых команд – три слоя требований, на которых стоит этот чек-лист.
• Архитектура комплаенса: как встроить требования 152-ФЗ и 323-ФЗ в видеостек – схема границы, на которую постоянно ссылается чек-лист.
• Частые ошибки в защите медданных при разработке телемед-продуктов – разбор провалов, которые должен выявить ваш учебный запрос.