Административный штраф по закону обычно платит клиника, а не сам врач: как оператор персональных данных именно организация отвечает по статье 13.11 КоАП за нарушение порядка обработки данных о здоровье пациента, и с 30 мая 2025 года суммы там заметно выросли. Личная ответственность врача устроена по-другому и идет параллельно этому штрафу, а не вместо него.
Первый уровень - дисциплинарный, внутри клиники: работодатель вправе объявить выговор или уволить сотрудника за нарушение локальных правил о неразглашении, если врач подписывал такое обязательство при трудоустройстве. Второй уровень - материальный: если клинику накажут штрафом или обяжут выплатить пациенту компенсацию, а разглашение произошло по вине конкретного сотрудника, работодатель вправе взыскать эту сумму с врача в порядке регресса, обычно в пределах его среднего заработка, если не доказан умысел.
Уголовная ответственность для врача лично - крайний случай, а не типичная реакция на единичную ошибку вроде случайной пересылки не туда. Она применима, если действия образуют состав незаконного оборота персональных данных по статье 272.1 УК РФ - то есть при умышленных и систематических действиях, а не при добросовестной ошибке.
На практике для пациента это означает: жалобу разумно подавать и главному врачу, и в Роскомнадзор, а не искать способ наказать конкретного сотрудника напрямую - штраф пойдет клинике, а дальше уже она разбирается с виновным внутри.