152‑ФЗ по отраслям
152‑ФЗ для сайта медицинской клиники
Сайт клиники почти всегда собирает персональные данные: форма онлайн-записи, обратный звонок, вопрос врачу, личный кабинет с результатами анализов. Даже простая заявка «записаться к гинекологу» с именем и телефоном говорит о человеке больше, чем заявка в обычном магазине: из неё можно сделать вывод о состоянии здоровья.
Сведения о здоровье по ст. 10 152‑ФЗ относятся к специальным категориям персональных данных. Их обработка допускается только в ограниченных случаях: например, с письменного согласия пациента или когда её ведут медицинские работники, обязанные хранить врачебную тайну. Параллельно действуют правила законодательства об охране здоровья (323‑ФЗ), включая врачебную тайну, поэтому сайт клиники стоит проектировать так, чтобы лишние медицинские сведения не уходили в формы, мессенджеры и аналитику.
Ошибки здесь дороже, чем в других отраслях: утечка специальных категорий данных грозит юрлицу штрафом 10–15 млн рублей. Ниже — что обычно собирает сайт клиники, где типичные риски и что проверить в первую очередь. Сложные вопросы, например телемедицину или обмен данными с лабораториями, лучше разобрать с юристом, который специализируется на медицине.
Проверьте свой сайт
Найдём политику, согласия, cookie и зарубежные сервисы.
Какие данные собирает сайт
Главные риски
Поле «опишите симптомы» превращает обычную заявку в обработку данных о здоровье. Такие сведения попадают в почту администратора, CRM и иногда в мессенджеры, где их сложно защитить. Если поле не нужно для записи, его лучше убрать или заменить выбором специализации.
Счётчики и пиксели фиксируют, что конкретный посетитель смотрел страницу о лечении определённого заболевания и оставил заявку. В связке с телефоном это уже чувствительная информация. Стоит проверить, какие сервисы стоят на сайте и не уходит ли содержимое форм в аналитику, например через запись сессий.
С 1 сентября 2025 года согласие на обработку оформляется отдельно от иных документов. Строка «записываясь, вы принимаете условия договора и даёте согласие» больше не работает. Для данных о здоровье, если нет иного основания, нужна письменная форма согласия.
Отзыв с полным именем, фото и упоминанием диагноза раскрывает сведения о здоровье неограниченному кругу лиц. Для публикации нужно отдельное согласие на распространение по ст. 10.1, а подробности болезни лучше вообще не публиковать. Безопаснее показывать только имя или инициалы и проверять тексты перед размещением.
Кабинет с медицинскими документами — главная цель для злоумышленников. Утечка данных о здоровье означает для юрлица штраф от 10 до 15 млн рублей и серьёзный репутационный ущерб. Нужны надёжная авторизация, журналирование доступа и хранение базы в России.
Чек-лист для сайта
- Опубликовать на сайте политику обработки персональных данных с отдельным разделом о сведениях о здоровье и дать ссылку на неё рядом с каждой формой.
- Убрать из формы записи поля, без которых можно обойтись: симптомы, диагноз, номер полиса на этапе заявки.
- Добавить к формам отдельный чекбокс согласия на обработку, не отмеченный по умолчанию, и не смешивать его с договором или правилами клиники.
- Определить основание для обработки данных о здоровье: письменное согласие пациента или обработка медработниками в рамках врачебной тайны, и зафиксировать это во внутренних документах.
- Проверить, где хранятся заявки, база пациентов и данные личного кабинета: базы с данными граждан РФ должны находиться в России.
- Отключить запись содержимого форм в веб-аналитике и не ставить рекламные пиксели на страницы записи и личного кабинета.
- Получать отдельное согласие на распространение перед публикацией отзывов, фото и историй пациентов.
- Подать или актуализировать уведомление в Роскомнадзор, указав сведения о здоровье среди категорий данных.
- Заключить договоры поручения с подрядчиками, которые видят данные пациентов: CRM, колл-центр, сервис онлайн-записи, разработчик сайта.
- Прогнать сайт через бесплатную проверку «Сайт и закон», чтобы увидеть внешние сигналы: ссылку на политику, текст согласия в формах, cookie-уведомление и иностранные сервисы.
Документы за 2 минуты
Заполните реквизиты, отметьте, зачем сайт собирает данные и какие сервисы подключены, — получите политику со всеми разделами, которые ожидает Роскомнадзор.
Открыть генератор →Согласие на обработку ПДнС 1 сентября 2025 года согласие оформляется отдельно от оферты и политики. Генератор соберёт текст отдельного документа и HTML-чекбокс для формы.
Открыть генератор →Cookie-баннерБаннер, который не только закрывает экран: Яндекс Метрика и другие счётчики загружаются только после согласия посетителя, а отказаться так же просто, как согласиться.
Открыть генератор →Частые вопросы
Нужно ли письменное согласие пациента для онлайн-записи на сайте клиники?
Зависит от того, какие данные собирает форма. Если это только имя, телефон и время приёма, обычно достаточно согласия, оформленного отдельно, например чекбоксом. Если же форма собирает жалобы, диагнозы или другие сведения о здоровье, это специальная категория данных, и без иного основания потребуется письменная форма согласия. Проще всего не собирать медицинские сведения на этапе записи.
Можно ли публиковать отзывы пациентов на сайте клиники?
Можно, но осторожно. Если в отзыве есть имя, фото или узнаваемые детали, нужно отдельное согласие на распространение персональных данных по ст. 10.1 152‑ФЗ. Упоминания диагнозов и лечения лучше удалять или обобщать.
Какой штраф грозит клинике за утечку данных пациентов?
Для юрлиц утечка специальных категорий персональных данных, к которым относятся сведения о здоровье, наказывается штрафом от 10 до 15 млн рублей по ст. 13.11 КоАП. Отдельно наказываются обработка без согласия и отсутствие опубликованной политики. Медицинская организация может нести ответственность и по законодательству об охране здоровья.
Можно ли ставить Яндекс Метрику на сайт медицинской клиники?
Многие клиники её используют, но важно, что именно она собирает. Лучше отключить запись содержимого полей форм, не передавать в цели и параметры сведения об услугах и диагнозах и предупредить посетителей об аналитике в cookie-уведомлении и политике. Иностранные сервисы аналитики дополнительно создают вопрос трансграничной передачи.
Нужно ли клинике уведомлять Роскомнадзор об обработке персональных данных?
Как правило, да. По ст. 22 152‑ФЗ оператор до начала обработки направляет уведомление, сделать это можно через портал pd.rkn.gov.ru. В уведомлении стоит указать сведения о здоровье среди категорий данных и описать меры защиты.