152-ФЗ для медицинской клиники: данные о здоровье и согласия
Медицинская клиника обрабатывает данные о здоровье — это специальная категория персональных данных с самыми строгими требованиями. Плюс к 152-ФЗ действуют нормы о врачебной тайне. Онлайн-запись, личный кабинет пациента и телемедицина добавляют сайту отдельный набор обязанностей.
Какие персональные данные собирает медицинская клиника
- ФИО, дата рождения, контакты пациента
- данные о состоянии здоровья, диагнозах, услугах (специальная категория)
- полис ОМС/ДМС, паспортные данные
- записи на приём через сайт и личный кабинет
Даже часть этого списка делает вас оператором персональных данных со всеми обязанностями, описанными ниже.
Что нужно сделать по 152-ФЗ
Базовый набор одинаков для любого бизнеса — различается только специфика (о ней ниже):
- Подать уведомление в Роскомнадзор до начала обработки. Исключения для малого бизнеса отменены с 2022 года.
- Опубликовать политику обработки персональных данных по постоянной ссылке — в подвале и у каждой формы.
- Добавить незаполненный чекбокс согласия ко всем формам, отдельный — на рекламные рассылки.
- Настроить cookie-баннер с возможностью отказа, если есть аналитика или рекламные пиксели.
- Хранить данные в России. Сайт, CRM, сервис форм и рассылок — российские либо с подтверждённой локализацией.
- Назначить ответственного за организацию обработки и утвердить внутренние документы.
Проверьте, что из этого у вашего сайта уже не в порядке — бесплатно, за 30 секунд.
Проверить сайтСпецифика медицинской клиники
Данные о здоровье — специальная категория
Данные о здоровье относятся к специальным категориям персональных данных: для них нужна отдельная форма согласия, повышенный уровень защищённости и особая осторожность с любыми сторонними сервисами.
Согласие в специальной форме
Для обработки данных о здоровье нужно согласие в письменной форме или равнозначной (усиленной электронной), с обязательным составом сведений по части 4 статьи 9 152-ФЗ. Отдельно оформляется информированное добровольное согласие на медицинское вмешательство — это разные документы.
Онлайн-запись и МИС
Форма записи на приём на сайте не должна передавать симптомы и жалобы через незащищённый канал и сторонние сервисы. Медицинская информационная система (МИС) и её хостинг должны быть в РФ и обеспечивать требуемый уровень защищённости.
Никакой иностранной аналитики на страницах с медицинскими данными
Счётчики и пиксели на страницах записи, личного кабинета и оплаты недопустимы: даже сам факт обращения в клинику определённого профиля — чувствительная информация.
Три главных риска для медицинской клиники
- обычный чекбокс вместо согласия в специальной форме на обработку данных о здоровье
- иностранная аналитика или чат на страницах записи и личного кабинета
- недостаточный уровень защищённости МИС и каналов передачи данных
Чек-лист на один день
- Выпишите все формы на сайте и все сторонние сервисы (аналитика, чат, CRM, рассылка, оплата, запись).
- Проверьте, где физически хранятся данные; замените зарубежные сервисы на российские.
- Подготовьте и опубликуйте политику, поставьте ссылку в подвал и к формам.
- Добавьте чекбоксы согласия; для рассылок — отдельный.
- Установите cookie-баннер, который не грузит необязательные скрипты до согласия.
- Назначьте ответственного и подайте уведомление в Роскомнадзор.
Частые вопросы
Информированное согласие на медицинское вмешательство заменяет согласие по 152-ФЗ?
Нет. Это разные документы: одно — про медицинское вмешательство (законодательство о здравоохранении), другое — про обработку персональных данных (152-ФЗ). Клиника оформляет оба.
Можно ли ставить Яндекс Метрику на сайт клиники?
На общих информационных страницах — с cookie-баннером и согласием. На страницах онлайн-записи, личного кабинета и оплаты аналитику и любые сторонние скрипты лучше не подключать вовсе.
Распространяется ли 152-ФЗ на маленький бизнес?
Да. Закон не устанавливает нижнего порога по обороту или числу клиентов. Обязанности оператора возникают с первой собранной строчки персональных данных.
Что грозит за нарушения?
Штрафы по статье 13.11 КоАП РФ: за отсутствие политики — от 30 000 до 60 000 ₽ для юрлиц, за неподачу уведомления — от 100 000 до 300 000 ₽, за нарушение локализации — от 1 до 6 млн ₽, за утечку — от 3 до 15 млн ₽. Подробнее — на странице «Штрафы по 152-ФЗ».
Как быстро проверить свой сайт?
Бесплатная проверка ПДн.Риск за 30 секунд сверяет ИНН с реестром операторов и смотрит формы, согласия, политику, cookie-баннер и сторонние трекеры, после чего показывает список несоответствий.
Не проверяйте по списку вручную — запустите автоматическую проверку сайта.
Проверить сайт бесплатноМатериал носит информационный характер и не является юридической консультацией. Автор: Андронов Юрий, руководитель ПДн.Риск. Первоисточник: 152-ФЗ на pravo.gov.ru.