Почему суд не приравнял аудит информационной безопасности скорой помощи к контролю защиты данных?
У аудита и обязательного контроля защищённости разные задачи и результаты. В конкретном споре аудит не признали взаимозаменяемым с контролем и допустимым расходом ОМС.
Короткий ответ
Суд разграничил аудит соответствия и обязательный контроль защищённости персональных данных: у этих работ разные результаты, поэтому одна не заменяет другую только из-за общей темы информационной безопасности. В споре станции скорой помощи это различие повлияло на допустимость оплаты услуг средствами ОМС.
Речь о постановлении Седьмого арбитражного апелляционного суда от 31 марта 2026 года № 07АП-747/26 по делу № А03-9815/2025. Первая инстанция поддержала позицию учреждения об оплате из средств ОМС, но в апелляции этот вывод не устоял. Поэтому пересказ только первоначального решения исказил бы результат рассматриваемого этапа спора.
Аудит проверяет соответствие установленным критериям и даёт оценку выявленным обстоятельствам. Контроль защищённости предполагает предусмотренную проверку того, насколько реализованы и работают меры защиты. Сходство слов в названии услуги не доказывает совпадения её содержания с конкретной обязательной мерой.
Например, учреждение получило отчёт об оценке документации. Само наличие такого отчёта ещё не подтверждает выполнение необходимого контроля технических мер. И наоборот, полезность аудита для управления рисками не отвечает автоматически на финансовый вопрос, из какого источника его разрешено оплачивать.
Перед закупкой подобных услуг важно сопоставить предмет договора, ожидаемые результаты, установленную обязанность и правила расходования средств. Формулировка «для безопасности данных» слишком общая, чтобы решить все четыре вопроса сразу.
Нормативный предмет различия помогает понять пункт 9 части 2 статьи 19 Закона № 152-ФЗ: он называет контроль за принимаемыми мерами безопасности и уровнем защищённости информационных систем. Эта норма показывает, какую обязанность нельзя автоматически считать исполненной любым аудитом. Она не определяет сама по себе допустимость оплаты конкретного договора из ОМС и не заменяет текст названного постановления. Вывод об апелляционном результате здесь передан по прочитанному сообщению о деле; прямая ссылка на судебный акт пока не установлена.
Вывод относится к обстоятельствам этого дела и предмету спорных услуг. Он не означает, что любой аудит запрещён или что все расходы медицинской организации на защиту данных всегда исключены из ОМС. Но и обязательность отдельных мер защиты сама по себе не делает любую близкую по названию услугу допустимым расходом фонда.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Чем внутренний контроль обработки данных отличается от внешнего аудита?
- Сколько уровней защищённости ИСПДн и как по ним выбирают меры безопасности?
- Кто оформляет оценку вреда субъектам данных и можно ли подписать акт электронной подписью?
- Что проект ФСТЭК № 169583 предлагал для ИИ, ГосСОПКА и оценки защиты
- Каким документом руководитель создаёт комиссию по защите персональных данных?
