Имя и телефон в форме записи, cookie-файлы, данные Яндекс Метрики, заявки в CRM — всё это персональные данные. Клиника, которая собирает их через сайт, становится оператором персональных данных и обязана выполнять требования Федерального закона № 152-ФЗ «О персональных данных». Для медицинских организаций вопрос особенно чувствителен: сведения о здоровье относятся к специальной категории данных.
Политика обработки персональных данных
Оператор, который собирает персональные данные через интернет, обязан опубликовать на сайте документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему доступ (ч. 2 ст. 18.1 152-ФЗ). На практике это отдельная страница, ссылка на которую есть в подвале и рядом с каждой формой.
В политике описывают, какие данные собираются, с какой целью, на каком основании, как долго хранятся, кому передаются и как пациент может отозвать согласие. Шаблон «из интернета» обычно не подходит: в нём не упомянуты ваши реальные сервисы — CRM, МИС, телефония, аналитика.
Согласие на обработку
У каждой формы на сайте должно быть согласие на обработку персональных данных. С 1 сентября 2025 года закон прямо требует оформлять согласие отдельно от других документов: его нельзя «спрятать» внутри пользовательского соглашения или политики.
- Согласие — отдельный документ с конкретными целями и перечнем данных.
- Пациент выражает его активным действием. Безопаснее использовать чекбокс, который не отмечен заранее.
- Отдельные цели — отдельные согласия. Например, запись на приём и рассылка с акциями — это разные цели.
Пример оформления — на нашей странице согласия на обработку персональных данных.
Данные о здоровье
Сведения о состоянии здоровья — специальная категория персональных данных (ст. 10 152-ФЗ). Их обработка допускается только в случаях, прямо перечисленных в законе, а также они защищены врачебной тайной.
Практический вывод для сайта: не собирайте через формы больше, чем нужно для записи. Поле «Опишите ваши жалобы» в форме обратного звонка — лишний риск. Медицинские сведения пациент сообщит врачу на приёме, где они попадут в защищённую медицинскую систему, а не во входящие письма администратора.
Где хранятся данные: локализация
При сборе персональных данных граждан России запись, систематизация, накопление, хранение и обновление этих данных должны выполняться с использованием баз данных, находящихся на территории России (ч. 5 ст. 18 152-ФЗ). С 1 июля 2025 года это требование ужесточили.
Проверьте цепочку, по которой проходит заявка с сайта: хостинг, сервис форм, почта, CRM, сервис рассылок. Если хоть одно звено хранит данные за рубежом, это нужно исправить.
Иностранные сервисы и трансграничная передача
Если данные пользователей передаются за рубеж — например, через иностранные системы аналитики, чаты, шрифты или CDN, — это трансграничная передача. О намерении её осуществлять оператор обязан заранее уведомить Роскомнадзор. Проще всего проверить сайт на подключённые сторонние скрипты и заменить зарубежные сервисы российскими аналогами там, где это возможно.
Уведомление Роскомнадзора
До начала обработки персональных данных оператор подаёт в Роскомнадзор уведомление (ст. 22 152-ФЗ). Клиники, как правило, сделали это давно — но сведения нужно актуализировать, если изменились цели обработки, состав данных, сервисы или места хранения.
Cookie и веб-аналитика
Метрика и другие счётчики собирают идентификаторы устройства и данные о поведении пользователя. Хорошая практика — информировать об этом баннером при первом посещении и описать использование cookie в политике. Баннер не должен перекрывать половину экрана и мешать записи: достаточно короткого текста и кнопки.
Техническая защита
- Сайт работает только по HTTPS.
- Заявки не хранятся в открытом виде в общей почте и мессенджерах.
- Доступ к админке и CRM — по персональным учётным записям, с журналом действий.
- Регулярные обновления CMS и плагинов, резервные копии.
- Защита форм от ботов и перебора.
Ответственность за утечки с 30 мая 2025 года заметно выросла: появились оборотные штрафы за повторные нарушения. Для медицинских данных последствия утечки особенно тяжёлые — и для пациентов, и для репутации клиники.
Короткий чек-лист
- Политика обработки ПДн опубликована и отражает реальные сервисы.
- У каждой формы — ссылка на отдельный документ согласия.
- Формы не собирают лишнего, особенно сведений о здоровье.
- Все данные хранятся на серверах в России.
- Иностранные скрипты убраны или трансграничная передача оформлена.
- Уведомление в Роскомнадзор подано и актуально.
- Есть баннер cookie, сайт работает по HTTPS.
Нужна помощь с этим в вашей клинике?
Проведём бесплатный аудит сайта и ИТ-ландшафта и подскажем, с чего начать.
Читайте также
