Клинику взломали и оштрафовали её: что стоит утечка данных пациентов

Если у вас в МИС лежит база на несколько тысяч пациентов, то защищены вы ровно настолько, насколько сможете это доказать в суде после взлома. 9 октября Vademecum рассказал о московской клинике «НАКФФ»: её информационные системы атаковали, данные 6 341 пациента оказались в Telegram, клиника сама нашла вторжение и в тот же день уведомила надзорный орган и полицию. Суд всё равно оштрафовал её по ч. 16 ст. 13.11 КоАП, где для юрлиц 10–15 млн ₽. Хакеров не нашли, штраф нашёл клинику. Ниже про то, как устроена эта логика, сколько она стоит в рублях и что с этим делать бухгалтеру и собственнику.

Что произошло с «НАКФФ»

История известна по двум публикациям от 9 октября 2026 года: Vademecum и Secpost, который разобрал обезличенную копию постановления. Клиника ООО «Медицинская клиника «НАКФФ», многопрофильный центр с онкологией, хирургией и стационаром, выручка за 2025 год 1,2 млрд ₽. Неизвестные получили доступ к медицинской информационной системе «Медиалог» и к «1С:Зарплата и управление персоналом». По итогам внутреннего расследования атака шла из внутреннего периметра, виновные не установлены.

Защита в суде говорила понятные вещи. Клиника выполняла требования постановления Правительства № 1119 и приказа ФСТЭК № 21 об уровнях защищённости. Взлом нашла собственными средствами. В тот же день уведомила надзорный орган и подала заявление о преступлении. База, по словам защиты, лежала в закрытом доступе.

Суд ответил коротко. Оператор «не обеспечил конфиденциальность переданных ему сведений». Факт несанкционированного доступа «не имеет значения для квалификации». Доказательств принятия всех зависящих от клиники мер «не представлено». Размещение в Telegram — открытый доступ, что бы ни думала о закрытости канала защита. Заменить штраф предупреждением суд отказался, смягчающих обстоятельств не нашёл, но сумму снизил; точная цифра в опубликованной копии обезличена. Источники расходятся в том, какой это был суд: Vademecum называет Люблинский районный, Secpost — мирового судью одного из московских участков. Для вывода это не важно.

В логике КоАП взлом — обстоятельство дела, а не оправдание. Примерно как ограбление банка не отменяет его обязанность хранить деньги. Отдельного шума вокруг «НАКФФ» в отраслевых каналах пока нет, зато тема утечек у «Медицинской России» одна из самых читаемых: посты про многомиллионные штрафы собирают по 25–48 тысяч просмотров. Июль 2025-го с атаками на «Семейный доктор» и аптечную сеть «Нео-Фарм» ещё не забылся.

Шкала: почему для клиник она короче

С 30 мая 2025 года в ст. 13.11 КоАП действуют части 12–18 про утечки, введённые законом № 420-ФЗ. Для обычных данных размер штрафа зависит от числа пострадавших. Для медицины это не работает: сведения о состоянии здоровья относятся к специальным категориям персональных данных (ст. 10 закона № 152-ФЗ), и у них своя часть без порога по числу людей.

Дело «НАКФФ» показательно и этим: возбуждали его по ч. 14, то есть как утечку «свыше 100 тысяч», а протокол составили по ч. 16. Пациентов в базе было 6 341, по общей шкале это нижняя ступень на 3–5 млн ₽. Но данные медицинские, поэтому сразу 10–15 млн ₽. Для клиники разница между «утекли телефоны» и «утекли диагнозы» стоит 7 млн ₽ минимум.

Индивидуальный предприниматель с лицензией отвечает по этим частям как юридическое лицо (примечание 1 к статье). Врач-ИП, арендующий кабинет и ведущий карты в облачной МИС, под ту же шкалу.

Куда можно снизить

Для малого и микропредприятия из реестра МСП есть ст. 4.1.2 КоАП: штраф назначается как ИП, а если санкции для ИП в статье нет, от половины минимума до половины максимума для юрлица. По ч. 16 это 5–7,5 млн ₽. Мы уже видели, как эта статья превращает штраф по ст. 14.1 в символические 4 000 ₽, в истории про списание препаратов без медкарт. Здесь скидка работает так же, но от десяти миллионов.

Средним предприятиям, а «НАКФФ» с выручкой 1,2 млрд ₽ именно такое, ст. 4.1.2 не положена. Остаётся ч. 3.2 ст. 4.1 КоАП: при исключительных обстоятельствах, связанных с характером нарушения, его последствиями и имущественным положением компании, штраф можно назначить ниже минимума, если минимум по статье не меньше 100 тысяч ₽. Предел — половина минимума (ч. 3.3), то есть те же 5 млн ₽. Судя по пересказу Secpost, именно этим путём суд и пошёл.

Предупреждение вместо штрафа по ст. 4.1.1 КоАП для первого нарушения МСП в этой категории дел не работает: суд отказал, потому что речь об угрозе правам людей, а не о формальности.

Что со штрафом в учёте и налогах

Налог на прибыль. Штрафы, пени и иные санкции, перечисляемые в бюджет, в расходы не включаются (п. 2 ст. 270 НК РФ). Клиника на ОСНО с общей ставкой платит штраф из прибыли после налога. Клиника на ставке 0% налога и так не платит, поэтому вычет ей безразличен. Зато важно другое: если год закрылся с убытком из-за штрафа, перенести этот убыток нельзя, абз. 2 п. 1 ст. 283 НК РФ исключает из переноса убытки периодов, в которых прибыль облагалась по ставке 0%. Саму льготу по ст. 284.1 штраф не трогает: доля доходов 90%, штат 15 человек и половина сертифицированного персонала считаются без него. Подробно условия мы разбирали в статье про нулевую ставку.

УСН. На объекте «доходы минус расходы» административный штраф тоже не расход. Это санкция государству, а не затрата ради получения дохода, и критерий п. 1 ст. 252 НК РФ она не проходит. На «доходах» вопрос не возникает.

Бухучёт. С даты протокола, а точнее с момента, когда штраф стал вероятным и оценимым, у клиники появляется оценочное обязательство (ПБУ 8/2010): Дт 91 Кт 96 на ожидаемую сумму. Минимум по части 16 известен, значит, оценить есть чем. После постановления обязательство переводится в расчёты с бюджетом, Дт 96 Кт 68 (или 76), уплата с 51-го. Главная ошибка здесь практическая: собственник узнаёт о 10 млн ₽ из постановления, а не из отчёта за квартал, в котором случился инцидент. Резерв нужен, чтобы дивиденды за этот квартал не ушли раньше штрафа.

Дивиденды. Штраф уменьшает чистую прибыль рубль в рубль. Если клиника платит собственнику 60% чистой прибыли, 10 млн ₽ штрафа — это 6 млн ₽, которых он не получит, и вычет тут ни при чём.

Выплаты пациентам. Пациент вправе требовать возмещения морального вреда (ст. 24 закона № 152-ФЗ). Присуждённые судом суммы на ОСНО признаются во внереализационных расходах как санкции за нарушение обязательств (пп. 13 п. 1 ст. 265 НК РФ). Суммы по медицинским утечкам пока небольшие, но при шести тысячах истцов умножение работает против клиники.

Расходы на защиту. Всё, что покупается после инцидента, учитывается нормально: лицензии на средства защиты информации — как программы (пп. 26 п. 1 ст. 264 НК РФ на ОСНО, пп. 19 п. 1 ст. 346.16 на УСН), аудит и аттестация информационной системы — как консультационные услуги (пп. 15 п. 1 ст. 264). Для клиники на ставке 0% эти расходы снижают только дивиденды, зато доказывают в следующем деле, что меры принимались. В деле «НАКФФ» усиление защиты после инцидента суд в смягчающие не записал, но «все зависящие меры» до инцидента он искал именно в таких документах.

Пример: клиника с выручкой 300 млн ₽

Сеть из трёх филиалов на ОСНО со ставкой 0%, выручка 300 млн ₽, прибыль 30 млн ₽, база 40 тысяч пациентов, одна МИС на всех. Утечка через взлом, штраф назначен по минимуму.

Третья строка — то, ради чего стоит дочитать: при повторном инциденте процент от выручки для средней клиники не работает, работает пол в 25 млн ₽. Для клиники с выручкой 300 млн ₽ это почти вся годовая прибыль, для клиники с выручкой 80 млн ₽ — повод закрыться.

Против этих цифр стоит сравнить стоимость аудита защищённости и настройки средств защиты для одной МИС на 40 тысяч карт. Точную сумму вам назовёт подрядчик, но порядок там другой: это затраты, а не санкции, и они учитываются.

Первые 72 часа

Сроки прописаны в ч. 3.1 ст. 21 закона № 152-ФЗ, и их не сдвинуть.

1. 24 часа с момента выявления — уведомление в Роскомнадзор: предполагаемые причины инцидента, предполагаемый вред, принятые меры, кто со стороны клиники отвечает за взаимодействие.
2. 72 часа — результаты внутреннего расследования и сведения о лицах, действия которых стали причиной, если такие установлены.
3. Параллельно — заявление в полицию, выгрузка и сохранение всех журналов доступа, смена паролей и ключей, отключение скомпрометированных учётных записей.
4. Бухгалтеру в тот же день — служебная записка об инциденте, оценка вероятной суммы штрафа и резерв. Выплаты собственнику до постановления — только с учётом резерва.
5. Договор с подрядчиком по МИС — перечитать раздел об ответственности. Если данные утекли через его сервер, у клиники есть регресс, но перед Роскомнадзором оператор всё равно клиника.

Уведомления не спасли «НАКФФ» от штрафа. Но их отсутствие — отдельный состав, и суд, который и так не видит «всех зависящих мер», получит ещё один аргумент.

Что грозит, если…

• Считать, что взлом снимает ответственность. Не снимает. Суд оценивает, доказала ли клиника принятые меры, а не то, кто вынес данные. Нет документов о модели угроз, уровнях защищённости, аттестации — нет «всех зависящих мер».
• Хранить карты в бесплатном облаке или в Excel на общем диске. Это и есть необеспечение конфиденциальности, с хакерами или без. Про то, что МИС и программы можно оплачивать из средств ОМС, мы писали в отдельной статье.
• Не заметить, что инцидент второй. Часть 18: от 1 до 3% выручки, но не меньше 25 млн ₽. Для большинства частных клиник минимум больше процента.
• Раздать дивиденды до постановления. Штраф придёт в следующем квартале, а чистой прибыли уже нет. Резерв по ПБУ 8/2010 защищает от этого лучше любых обещаний.
• Решить вопрос «по-другому». Чем заканчиваются попытки договориться с проверяющими, мы считали в статье про Росздравнадзор в косметологии: там ценник выше любого штрафа по КоАП.

Что сделать на этой неделе

1. Выяснить у подрядчика по МИС и у своего ИТ-специалиста, какой уровень защищённости определён для вашей системы и где лежат документы по постановлению № 1119 и приказу ФСТЭК № 21. Нет документов — нет защиты в суде.
2. Проверить, подано ли уведомление об обработке персональных данных в Роскомнадзор и соответствует ли оно тому, что клиника реально обрабатывает.
3. Назначить ответственного за инциденты и написать регламент на 24 и 72 часа. Не на 10 страниц, на одну: кто звонит, кто пишет, кто выгружает логи.
4. Поручить бухгалтеру добавить в закрытие квартала вопрос «были ли инциденты с данными». Резерв создаётся по служебной записке, а не по постановлению.
5. Пересчитать, что будет с чистой прибылью и дивидендами при штрафе 5 и 10 млн ₽. Это разговор собственника с цифрами, а не с ИТ-отделом.

Резерв под санкции, учёт расходов на защиту и расчёт влияния на дивиденды — часть нашего бухгалтерского обслуживания клиник. Если клиника на ставке 0%, отдельно проверим, что штрафной год не превратился в непереносимый убыток, в рамках услуги по льготе 0% по налогу на прибыль. Как устроен раздельный учёт, частью которого являются и персональные данные пациентов, — в статье про ОМС, ДМС и платные услуги.

Ставки и нормы в статье проверены по состоянию на 12 октября 2026 года: ч. 12–18 и примечание 1 ст. 13.11, ч. 3.2–3.3 ст. 4.1, ст. 4.1.1, 4.1.2 КоАП РФ; ст. 10, 21 (ч. 3.1), 24 Федерального закона от 27.07.2006 № 152-ФЗ; п. 2 ст. 270, абз. 2 п. 1 ст. 283, ст. 284.1, п. 1 ст. 252, пп. 15 и 26 п. 1 ст. 264, пп. 13 п. 1 ст. 265, пп. 19 п. 1 ст. 346.16 НК РФ; ПБУ 8/2010; постановление Правительства РФ от 01.11.2012 № 1119, приказ ФСТЭК России от 18.02.2013 № 21; обстоятельства дела клиники «НАКФФ» — по публикациям Vademecum и Secpost от 09.10.2026, сумма штрафа и номер дела в открытом доступе не раскрыты.