Сайт клиники обрабатывает не просто контакты, а сведения о здоровье — это специальная категория персональных данных (ст. 10 152-ФЗ). Для неё требования строже, а штрафы за утечку выше: от 10 до 15 млн рублей для компании. Поэтому сайт медицинской организации стоит проверить особенно внимательно, начиная с формы записи на приём.
Почему медицинские данные — отдельная история
Сведения о состоянии здоровья можно обрабатывать только в случаях, прямо перечисленных в ст. 10 152-ФЗ, например:
- с письменного согласия пациента;
- в медицинских целях — для диагностики и лечения — медицинскими работниками, которые обязаны хранить врачебную тайну.
Кроме того, действует врачебная тайна (ст. 13 закона об основах охраны здоровья граждан): даже сам факт обращения в клинику нельзя раскрывать без согласия пациента.
На сайте это означает простое правило: чем меньше медицинской информации собирает сайт, тем лучше.
Форма записи на приём
Самая частая ошибка — поле «Опишите жалобы» или «Ваш диагноз» в форме записи. Как только пациент пишет туда симптомы, сайт начинает собирать данные о здоровье со всеми вытекающими требованиями.
Как сделать безопаснее:
- оставьте в форме только имя, телефон, выбор врача или услуги и удобное время;
- уберите свободное поле «жалобы» — подробности администратор уточнит по телефону;
- добавьте галочку согласия на обработку данных со ссылкой на отдельный текст согласия;
- проверьте, куда уходят заявки: в медицинскую информационную систему, CRM или на почту — данные должны храниться в России и быть защищены.
Выбор врача или услуги тоже может косвенно говорить о здоровье — например, запись к онкологу. Поэтому заявки нужно хранить так же аккуратно, как медицинские записи.
Онлайн-консультации и личный кабинет пациента
Если на сайте есть личный кабинет с результатами анализов, онлайн-консультации или чат с врачом, это полноценная обработка медицинских данных:
- нужно письменное согласие пациента или другое основание из ст. 10 152-ФЗ;
- защищённое соединение, разграничение доступа, журнал действий;
- серверы и сервисы — только в России;
- оценка вреда и модель угроз для информационной системы.
Отзывы пациентов
Отзыв с именем и упоминанием лечения — это распространение данных о здоровье и раскрытие факта обращения в клинику. Для публикации нужно согласие пациента. Безопаснее публиковать отзывы без фамилии и без деталей диагноза, а согласие на публикацию брать в форме отзыва.
Счётчики и виджеты
Метрика с Вебвизором на странице записи может записать, что человек вводил в форму. Пиксели рекламных систем на страницах услуг сообщают рекламной системе, что посетитель интересовался конкретным лечением.
Что сделать:
- счётчики — только после согласия в cookie-баннере;
- на странице записи отключите запись полей в Вебвизоре или не используйте его;
- не ставьте рекламные пиксели на страницы с формами записи и личный кабинет;
- уберите зарубежные сервисы: с 1 июля 2025 года сбор данных в зарубежные базы запрещён.
Подробнее — в статьях про Яндекс Метрику и про иностранные сервисы.
Документы клиники
Кроме обычного набора — политика, согласие, политика cookie, уведомление в Роскомнадзор — клинике нужны:
- согласие на обработку специальной категории данных для случаев, когда оно требуется;
- положение об обработке и защите данных с учётом врачебной тайны;
- акт оценки вреда;
- перечень сотрудников с доступом к данным пациентов;
- порядок действий при утечке: уведомить Роскомнадзор нужно в течение 24 часов.
Частые вопросы
Можно ли спрашивать симптомы в форме записи?
Лучше не спрашивать. Описание симптомов — сведения о здоровье, специальная категория данных. Для записи достаточно имени, телефона, врача или услуги и времени, а подробности клиника уточнит при звонке.
Какой штраф для клиники за утечку данных пациентов?
Утечка специальных категорий данных, к которым относятся сведения о здоровье, — от 10 до 15 млн рублей для компании (ч. 16 ст. 13.11 КоАП), повторно — от 1 до 3% выручки. Все суммы — в статье о штрафах.
Нужен ли cookie-баннер на сайте клиники?
Да, если на сайте есть аналитика, реклама или виджеты. На медицинских сайтах это особенно важно: посещение страниц конкретных услуг само по себе может говорить о здоровье человека.
