Медицинская клиника обрабатывает не просто персональные данные, а данные о здоровье пациентов - это специальная категория, для которой 152-ФЗ устанавливает повышенные требования. В 2026 году сайт клиники - обычно первая точка сбора таких данных: форма записи на приём, онлайн-анкета, чат с администратором. Разберём, что закон требует именно от сайта и как привести его в порядок без лишней бюрократии.
Коротко
- Данные о здоровье - специальная категория персональных данных (ст. 10 152-ФЗ), их обработка требует письменного согласия пациента.
- Форма записи на сайте должна получать отдельное согласие именно на обработку данных о здоровье, а не общее согласие "на всё".
- Политика конфиденциальности обязана прямо указывать, что сайт обрабатывает специальную категорию данных, и описывать цели, состав и сроки хранения.
- Для информационной системы с медицинскими данными нужен более высокий уровень защищённости ИСПДн, чем для обычного сайта-визитки.
- Штрафы за нарушения по ст. 13.11 КоАП для юрлиц ощутимы: от 10 000 до 100 000 рублей в зависимости от состава нарушения.
Почему для клиники всё строже, чем для обычного сайта
Статья 10 152-ФЗ относит сведения о состоянии здоровья к специальным категориям персональных данных - наравне с данными о расе, религии, судимости. Для такой категории закон по умолчанию запрещает обработку и разрешает её только при соблюдении дополнительных условий, главное из которых - письменное согласие субъекта. Простое согласие "на обработку персональных данных", которое подходит интернет-магазину, для медицинского сайта не работает: оно не покрывает специальную категорию.
Закон предусматривает случаи, когда согласие на обработку данных о здоровье не требуется - в частности, когда обработка нужна для оказания медицинской помощи. Но это исключение не освобождает клинику от обязанностей по сайту: форма записи собирает данные ещё до начала лечения, поэтому проще и безопаснее сразу настроить корректное согласие, чем разбираться, подпадает ли конкретный случай под исключение.
Что именно требует закона от сайта клиники
| Требование | Норма 152-ФЗ | Как выглядит на сайте |
|---|---|---|
| Письменное согласие на спецкатегорию данных | ст. 10 | Отдельный чекбокс в форме записи, отдельный текст согласия |
| Согласие на обработку персональных данных в целом | ст. 9 | Чекбокс перед отправкой любой формы с контактами |
| Публичная политика обработки данных | ст. 18.1 | Отдельная страница, доступная по ссылке из форм и подвала сайта |
| Уведомление о целях и составе данных при сборе | ст. 18 ч. 5 | Краткая формулировка рядом с формой либо ссылка на политику |
| Меры по обеспечению безопасности данных | ст. 19 | Технические и организационные меры для ИСПДн клиники |
| Реакция на запросы и обращения субъектов | ст. 22 | Контакт для запросов на удаление или уточнение данных |
Форма записи на приём: где обычно ошибаются
Форма записи - самый рискованный элемент сайта клиники, потому что через неё проходят и обычные контактные данные, и сведения о здоровье. Частая ошибка - один общий чекбокс с текстом вроде "согласен с политикой конфиденциальности", который никак не упоминает данные о здоровье и не даёт пациенту понять, на что именно он соглашается.
Правильная форма содержит два уровня согласия: общее согласие на обработку персональных данных (ФИО, телефон, email) и отдельное - на обработку данных о состоянии здоровья, если поля формы их затрагивают (например, "повод обращения", "жалобы", "к какому специалисту"). Если поле "жалобы" необязательно и пациент может его не заполнять, это снижает объём собираемой спецкатегории, но не отменяет необходимость согласия там, где данные о здоровье всё же вводятся.
Политика конфиденциальности и защита данных
Политика обработки персональных данных клиники должна прямо называть данные о здоровье среди обрабатываемых категорий, а не ограничиваться общими фразами про "персональные данные пользователей". В политике стоит указать: какие данные собираются через сайт, для каких целей, кто имеет к ним доступ, сроки хранения и порядок уничтожения, а также контакт для обращений пациентов по вопросам их данных.
Так как обрабатываются данные о здоровье, информационная система персональных данных (ИСПДн) клиники подпадает под повышенный уровень защищённости. Это влияет не только на внутренние системы клиники, но и на сайт: форма записи должна передавать данные по защищённому каналу (HTTPS), а хостинг и CRM, куда попадают заявки, - соответствовать требованиям к защите специальной категории данных.
Ответственность за нарушения
Административная ответственность за нарушения в области персональных данных установлена статьёй 13.11 КоАП. Часть 1 (обработка без законных оснований или без надлежащего согласия) предусматривает штраф для юридических лиц от 10 000 до 30 000 рублей. Часть 2 (невыполнение обязанности по опубликованию политики обработки данных) - от 60 000 до 100 000 рублей для юридических лиц. Суммы разовые, но при повторных проверках или жалобах пациентов штрафы могут накладываться заново.
Что проверить у себя на сайте
- Есть ли на сайте отдельная страница с политикой обработки персональных данных, и упоминает ли она данные о здоровье.
- Стоит ли в форме записи отдельный чекбокс согласия на обработку данных о здоровье, помимо общего согласия.
- Указаны ли в согласии цели обработки, а не общая формулировка "для любых целей".
- Работает ли сайт по HTTPS, особенно страницы с формами.
- Куда уходят данные из формы записи - на защищённый сервер или сразу в открытую почту.
- Есть ли на сайте контакт, по которому пациент может запросить удаление или уточнение своих данных.
- Не собирает ли форма лишние поля о здоровье, которые не нужны для записи на приём.
- Указан ли на сайте оператор персональных данных - точное юридическое название клиники.
- Есть ли на сайте cookie-уведомление, если используются счётчики и трекеры.
- Хранится ли согласие пациента как отдельная запись, а не только как факт клика по чекбоксу.
Частые вопросы
Нужно ли отдельное согласие, если пациент просто оставляет телефон для обратного звонка?
Если форма собирает только имя и телефон без сведений о здоровье, достаточно обычного согласия на обработку персональных данных по ст. 9. Отдельное согласие на спецкатегорию требуется, когда форма затрагивает данные о состоянии здоровья.
Можно ли использовать один и тот же текст согласия для всех форм на сайте
Можно, если текст покрывает все случаи сбора данных и явно указывает на обработку данных о здоровье там, где это применимо. Лучше формулировать согласие под конкретную форму, чтобы пациенту было понятно, на что именно он соглашается.
Распространяется ли требование о письменном согласии на устную запись по телефону
Формально да, но на практике вопрос конкретных случаев применения исключений закона по оказанию медицинской помощи требует отдельного разбора с юристом клиники. Материал ниже посвящён именно сайту, а не всем каналам записи.
Что делать, если на сайте уже есть политика конфиденциальности, но без упоминания данных о здоровье
Такую политику нужно доработать: добавить данные о здоровье в перечень обрабатываемых категорий, указать цели их обработки и связать текст с согласием в форме записи.
Обязательно ли указывать на сайте сведения об уровне защищённости ИСПДн
Публиковать технические детали защиты не требуется, но политика должна отражать, что клиника принимает меры по обеспечению безопасности данных в соответствии со ст. 19 152-ФЗ.
Список выше помогает быстро понять, где на сайте клиники есть пробелы. Если нужен полный комплект документов под сайт - политика конфиденциальности, согласия на спецкатегорию данных, шаблоны для форм - в разделе документов собраны готовые формулировки, которые можно адаптировать под свою клинику.