152-ФЗ для медицинской клиники: что проверить на сайте

Почему к клинике другие требования

Статья 10 закона «О персональных данных» выделяет специальные категории: сведения о здоровье, расовой и национальной принадлежности, политических взглядах, убеждениях, интимной жизни. Обрабатывать их по общему правилу запрещено, кроме случаев из ч. 2 этой статьи. Одно из них — письменное согласие человека.

Параллельно действует ст. 13 закона № 323-ФЗ об основах охраны здоровья. Её ч. 1 называет врачебной тайной сведения о факте обращения за медицинской помощью, о состоянии здоровья и диагнозе и другие сведения, полученные при обследовании и лечении. Разглашать их нельзя даже после смерти человека. С письменного согласия пациента или его законного представителя разглашение допускается (ч. 3 ст. 13).

Два закона дают двойной фильтр. Имя и телефон в заявке — обычные персональные данные. Но то же имя рядом с фразой «записался к урологу» уже говорит о здоровье и о факте обращения. Для клиники граница между «обычными» и «медицинскими» данными проходит не по полям формы, а по контексту.

Когда можно без согласия и где это заканчивается

Пункт 4 ч. 2 ст. 10 разрешает обрабатывать сведения о здоровье без отдельного согласия, если цель — профилактика, диагностика, лечение, медицинские и медико-социальные услуги. Обязательное условие — обрабатывает их лицо, которое профессионально занимается медицинской деятельностью и обязано хранить врачебную тайну.

Внутри клиники это основание работает: врач ведёт карту, лаборатория выдаёт результаты, медицинская информационная система хранит историю приёмов. Но у основания есть рамки, и сайт почти целиком оказывается за ними.

Отсюда практический вывод. Всё, что клиника делает для продаж и маркетинга, опирается на согласие, а не на медицинскую цель. А всё, что относится к лечению, лучше собирать уже на приёме, а не в форме на сайте.

Онлайн-запись к врачу: персональные данные по минимуму

Форма записи — первое место, где у клиники появляются персональные данные пациентов на сайте. И первое, где их легко собрать с избытком.

Типичная форма: имя, телефон, почта, дата рождения, врач, поле «Опишите жалобы». Последнее поле превращает заявку в сведения о здоровье, которые пойдут через CRM, почту администратора и, возможно, сервис колл-трекинга. Никто из этой цепочки не лечит пациента, а текст жалобы уже у них.

Как сделать форму безопаснее:

• Оставьте три-четыре поля: имя, телефон, удобное время, при необходимости — направление или врач из списка.
• Уберите свободный текст о жалобах. Если он нужен для маршрутизации, замените на выбор направления: «Терапия», «Стоматология», «Диагностика».
• Не спрашивайте диагноз, симптомы, анализы. Это обсуждается на приёме или в защищённом личном кабинете.
• Добавьте пустой чекбокс согласия со ссылкой на отдельный текст. В тексте прямо укажите: из выбора врача или направления может следовать информация о здоровье. Как составить такой текст, подробно разобрано в статье «Согласие на обработку персональных данных на сайте».
• Фиксируйте согласие: дата, форма, версия текста.

Дата рождения в форме записи обычно не нужна. Её можно уточнить при звонке или на регистратуре, где действует договор на медицинские услуги.

Отзывы пациентов на сайте клиники

Отзыв с полным именем и описанием лечения — это сразу три вещи: персональные данные, сведения о здоровье и факт обращения в клинику. Опубликовать его — значит сделать доступным всем.

Для публикации данных неограниченному кругу лиц закон требует согласия на распространение, и оформляется оно отдельно от иных согласий (ч. 1 ст. 10.1). Пациент вправе ограничить, что именно можно показывать, а отказать ему в этом оператор не может (ч. 9 ст. 10.1).

Как выстроить работу с отзывами:

1. Форма отзыва с отдельным согласием на публикацию и выбором: полное имя, только имя или анонимно.
2. Модерация: убрать из текста диагноз, названия препаратов, подробности, по которым человека можно узнать.
3. Ответы клиники без медицинских подробностей. Фраза «Рады, что лечение пародонтита прошло успешно» раскрывает диагноз уже от имени клиники.
4. Отзывы, перенесённые с внешних площадок без согласия авторов, — повод перепроверить раздел целиком.

Фото «до и после»: согласие пациента

Фотография лица — изображение человека. Обнародовать и использовать его можно только с согласия гражданина (ст. 152.1 Гражданского кодекса). Снимок «до и после» к тому же прямо показывает результат лечения, то есть сведения врачебной тайны.

Минимальный набор перед публикацией: письменное согласие пациента на использование снимков, в котором названы конкретные фотографии, место публикации и срок, и отдельное согласие на распространение по ст. 10.1. Если снимки обрезаны так, что человека не узнать, риск ниже, но решать это лучше заранее и вместе с пациентом.

Чаты, мессенджеры и звонки

Чат-виджет на сайте собирает имя, телефон и текст вопроса. Вопрос часто звучит как «У меня болит справа, к кому записаться?» — это уже сведения о здоровье, и они уходят в сервис чата.

Что проверить:

• где серверы сервиса чата — по ч. 5 ст. 18 базы с данными граждан РФ должны быть в России;
• есть ли с сервисом договор поручения по ч. 3 ст. 6 с перечнем данных, действий и требований к защите;
• видит ли пациент ссылку на согласие до того, как начинает писать;
• кто отвечает в чате: администратор или врач.

Зарубежные мессенджеры для переписки с пациентами — отдельная тема. Результаты анализов, снимки и назначения лучше передавать через личный кабинет или МИС, где клиника контролирует хранение. Если какой-то канал всё же передаёт данные за границу, до начала передачи подают уведомление в Роскомнадзор по ст. 12.

МИС и сервисы записи как обработчики

Медицинская информационная система, сервис онлайн-записи, телефония с записью разговоров, CRM — всё это обработчики, которые работают с данными пациентов по поручению клиники. Договор с каждым должен описывать, какие данные передаются, что с ними делают, для чего и как защищают.

Отвечает перед пациентом клиника (ч. 5 ст. 6). Если утечка случится у подрядчика, вопросы регулятора придут к оператору. Поэтому стоит заранее знать, где подрядчик хранит данные, кто у него имеет доступ и как он сообщит об инциденте. О самом инциденте клиника обязана уведомить Роскомнадзор в течение 24 часов, а о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21).

Счётчики на медицинском сайте

Посещение страницы «Лечение бесплодия» или «Анонимная консультация нарколога» само по себе говорит о человеке многое. Если рекламный пиксель передаёт это событие вместе с идентификатором браузера, выходит профиль интересов, связанных со здоровьем.

Поэтому для клиники особенно важно, чтобы аналитика и ретаргетинг запускались только после согласия, а на чувствительных разделах — чтобы события не передавались вовсе. Прокрутка и закрытие баннера согласием не считаются. Наш скрипт согласий держит счётчики до выбора посетителя и записывает решения в журнал.

Лицензия на сайте медицинской организации

Помимо персональных данных, у сайта клиники есть обязательные сведения о самой организации. Здесь в 2026 году сменились документы, поэтому ссылки на старые акты стоит обновить.

Правила платных медицинских услуг. С 1 сентября 2026 года действуют Правила, утверждённые постановлением Правительства от 30.05.2026 № 659; они применяются до 1 сентября 2031 года. Пункт 16 требует довести до потребителя информацию о лицензии: регистрационный номер, дату предоставления и лицензирующий орган. Пункт 18 — разместить такую информацию на сайте исполнителя (при его наличии) и на информационных стендах. Прежние Правила (постановление № 736) действовали до 1 сентября 2026 года.

Приказ Минздрава от 13.03.2025 № 118н. Он заменил приказ № 956н, действует с 1 сентября 2025 года и адресован медицинским организациям, участвующим в программе государственных гарантий бесплатной медицинской помощи. Среди требований — сведения о лицензии с датой и регистрационным номером и двухмерный штрихкод выписки из реестра лицензий либо сама выписка.

Общие требования. Сведения о владельце сайта по ч. 2 ст. 10 закона об информации и политика обработки персональных данных по ч. 2 ст. 18.1. Для клиники политика должна прямо говорить о сведениях о здоровье: какие данные, на каком основании, кто их видит. Черновик можно собрать в конструкторе политики.

Штраф за утечку медицинских данных и другие риски

Автоматическая проверка показывает признаки риска, а не выносит решение. Если признаки подтвердит регулятор, по ст. 13.11 КоАП для организаций возможны штрафы:

Размер штрафа за утечку сведений о здоровье не зависит от числа пострадавших пациентов — в отличие от «обычных» утечек по ч. 12–14. Поэтому самый действенный способ снизить риск — не собирать медицинские сведения там, где они не нужны. Остальные составы — в статье о штрафах.

152-ФЗ для медицинской клиники: сайт за восемь шагов

1. Пройдите по всем формам и уберите поля о жалобах, симптомах и диагнозе.
2. Оформите отдельный текст согласия для записи и пустой чекбокс под формой.
3. Разделите согласие на запись и согласие на рекламные рассылки.
4. Перестройте отзывы: отдельное согласие на публикацию, модерация, ответы без диагнозов.
5. Соберите письменные согласия на фото «до и после» или уберите снимки.
6. Проверьте чат, МИС, запись и телефонию: серверы в России, договоры поручения.
7. Настройте баннер, чтобы счётчики и пиксели запускались только после согласия.
8. Обновите блок о лицензии по постановлению № 659 и политику с разделом о сведениях о здоровье.

Начать удобно с автоматического отчёта: проверьте сайт бесплатно, а документы с юристом можно заказать пакетом под ключ.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Статья 10 152-ФЗ. Специальные категории персональных данных
• Статья 10.1 152-ФЗ. Данные, разрешённые для распространения
• Статья 13 323-ФЗ. Соблюдение врачебной тайны
• Статья 152.1 ГК РФ. Охрана изображения гражданина
• Постановление Правительства РФ от 30.05.2026 № 659 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг»
• Приказ Минздрава России от 13.03.2025 № 118н
• Кодекс РФ об административных правонарушениях, ст. 13.11
• Портал персональных данных Роскомнадзора