152-ФЗ для сайта медицинской клиники в 2026 году

У сайта клиники то же 152-ФЗ, что и у остальных, но часть полей на нём собирает данные о здоровье, а это особая категория со своими правилами. Разница в том, что форма записи, чат и отзывы могут принимать жалобы и диагнозы. Ниже разберём, что считается сведениями о здоровье, когда нужно письменное согласие и где проходит граница врачебной тайны.

Чем сайт медицинской клиники отличается по 152-ФЗ от обычного?

Обычный сайт услуг работает с именем и телефоном, и ему хватает договорного основания. Сайт клиники сталкивается ещё и со сведениями о состоянии здоровья: закон относит их к специальным категориям и по общему правилу запрещает их обработку, оставляя исключения.

Остальные обязанности у клиники такие же, как у любого оператора: опубликовать политику, принять меры защиты, не собирать лишнего. Цена ошибки выше, потому что часть сведений ещё и закрыта врачебной тайной. Отвечает клиника и за то, что на сайте подключили сторонние сервисы, например виджет чата или онлайн-запись.

Здесь речь о сайте и подключённых к нему сервисах. Обработку внутри клиники (карточки, медицинские информационные системы) мы не разбираем. Общая рамка по онлайн-записи для любого бизнеса разобрана в материале о согласии на онлайн-запись на сайте, а биометрия, включая вход по лицу, в статье про согласие на биометрию. Здесь речь именно про здоровье.

Что на сайте клиники относится к данным о здоровье?

К данным о здоровье относится всё, из чего видно состояние человека: жалоба в форме записи, диагноз в отзыве, результаты анализов в личном кабинете, сообщение в чате с описанием симптомов. Имя и телефон сами по себе обычные данные, но рядом с жалобой или названием услуги они становятся сведением о здоровье конкретного человека.

Ниже типовые точки сбора данных на сайте клиники. В каждой нужно понять, попадают ли туда сведения о состоянии здоровья и на каком основании их обрабатывают.

Отдельно о фото до и после. Это не биометрия: биометрия касается данных, по которым устанавливают личность. Но на таком снимке часто видны последствия лечения, а значит, он может раскрывать состояние здоровья. Для публикации на сайте обычно разумно исходить из письменного согласия пациента, а не из договора на лечение.

Когда клинике нужно письменное согласие, а когда хватает медицинских услуг?

Закон допускает обработку данных о здоровье в двух основных случаях: по письменному согласию человека либо в медико-профилактических целях, в целях установления диагноза, оказания медицинских и медико-социальных услуг, если обработку ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну. Какой случай подходит, зависит от цели обработки и от того, кто и как данные обрабатывает.

Второе основание не означает, что клинике согласие не нужно никогда. Оно покрывает обработку именно в этих целях: профилактика, диагноз, медицинская и медико-социальная помощь. Всё, что выходит за эти цели, держится уже на других основаниях, чаще всего на письменном согласии. Верно и обратное: письменное согласие требуется не на каждое действие клиники.

Возьмём три случая. Клиент оставил телефон, чтобы вы перезвонили и записали его на приём: это заключение договора по его инициативе, данные обычные. Пациент описал жалобу, чтобы врач заранее понимал, с чем он придёт: здесь уже сведения о здоровье, и вопрос в том, оформлено ли это как часть оказания медицинской помощи самой клиникой, или данные видит стороннее лицо. Клиника хочет разослать пациентам напоминание о скидке на профилактический осмотр: это маркетинг, к медицинской цели он не сводится, нужна отдельная правовая основа, чаще всего согласие.

Закон не говорит, что форма записи с жалобой автоматически подпадает под основание «оказание медицинских услуг». Это нужно оценивать по каждой форме: кто принимает данные, где они хранятся, видит ли их кто-то кроме клиники. Поэтому надёжнее исходить из того, что сведения о здоровье собираются осторожно, а если основание не очевидно, письменное согласие снимает вопрос.

Договорное основание тоже не решает вопрос по здоровью. Оно работает для имени и телефона при записи, но если в форме есть поле для жалобы, обработка этого поля идёт уже по правилам статьи 10, у которой собственный перечень исключений.

Что значит «письменное согласие» на сайте

Письменная форма по закону означает подпись собственноручную либо электронную подпись, оформленную по закону об электронной подписи. Простая галочка в форме на сайте письменным согласием в этом смысле, как правило, не считается. Какая электронная подпись достаточна, определяет закон об электронной подписи.

Содержание согласия тоже задано: ФИО, адрес, реквизиты документа, цель, перечень данных, срок, порядок отзыва, подпись. С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подписывает. Подробнее об этом правиле рассказано в материале про согласие отдельным документом по 156-ФЗ. Доказывать, что основание есть, придётся клинике как оператору.

Где проходит граница врачебной тайны на публичных страницах сайта?

Врачебная тайна включает диагноз, лечение и сам факт обращения за помощью. Всё, что публично связывает конкретного человека с клиникой и его состоянием, на открытой странице разглашением может оказаться, если у клиники нет письменного согласия этого человека или иного законного основания.

Закон запрещает разглашать такие сведения тем, кому они стали известны при исполнении трудовых и иных обязанностей. Сотрудник клиники, узнавший о визите пациента, не вправе рассказывать об этом третьим лицам. Разглашение допускается только с письменного согласия гражданина или в случаях, прямо установленных законом.

Для сайта это самое чувствительное место: ответы на отзывы. Человек написал отзыв на стороннем сайте или на самой странице клиники. Администратор отвечает: «Вы были у нас в марте на лечении кариеса, мы всё сделали по протоколу». Сам факт визита и лечения здесь уже раскрыт, хотя ответ вежливый и дан от лица клиники. Безопасный формат: общий ответ без подтверждения визита, без деталей лечения и без ссылок на карту пациента, с приглашением обсудить вопрос лично или по телефону.

То же касается публикации историй пациентов, фото до и после и благодарственных писем. Без письменного согласия автора такие материалы лучше не размещать. За разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим к ней доступ по работе, предусмотрена статья 13.14 КоАП. Суммы по статье 13.14 не приводятся: состав описывает конкретного нарушителя, и применение к отзывам зависит от обстоятельств.

Пример: как выглядит сайт стоматологии в областном центре

Возьмём обобщённый пример: частная стоматология в областном центре, сайт на конструкторе, три места сбора данных. Он собран из типовых ситуаций и не описывает конкретную клинику.

Первое: форма записи с полями имя, телефон и «опишите, что беспокоит». Под ней нет ссылки на политику, а заявка уходит в стороннюю CRM и на почту администратора. Поле жалобы собирает сведения о здоровье, и теперь нужно понимать, на каком основании они обрабатываются и как защищены в этой цепочке.

Второе: на сайте стоит онлайн-чат внешнего сервиса. Пациент пишет туда «болит зуб, десна опухла», переписка хранится у разработчика виджета. Клиника как владелец сайта отвечает за то, что подключено на её страницах, поэтому нужно знать, кто оператор переписки и куда она попадает.

Третье: на странице «Отзывы» врач-руководитель отвечает на каждый отзыв, иногда подтверждая детали лечения. Это самое уязвимое место: ответы раскрывают факт обращения, а иногда и диагноз.

Решения по каждому из трёх пунктов собраны в разделе «Как исправить найденное» ниже.

Какие штрафы грозят клинике по 152-ФЗ в 2026 году?

Основной состав: статья 13.11 КоАП. Для должностного лица штраф составляет от 6 000 до 300 000 рублей, для юридического лица от 30 000 до 700 000 рублей, в зависимости от части статьи (расклад в таблице ниже). Это вилка по КоАП, не юридическое заключение.

Части описывают разные нарушения: обработку данных вне случаев, предусмотренных законом, обработку без обязательного письменного согласия или с нарушенным составом сведений в нём, и невыполнение обязанности опубликовать политику или сведения о реализуемых требованиях к защите данных.

Для индивидуального предпринимателя по части 3 штраф составляет от 10 000 до 20 000 рублей. По частям 1 и 2 ИП в тексте статьи отдельной строкой не выделен, поэтому ориентироваться на сумму для должностного лица нельзя: нужно смотреть текст статьи 13.11 в актуальной редакции.

Для клиники рабочей обычно оказывается часть 2, потому что письменное согласие нужно там, где данные о здоровье обрабатываются не в рамках медицинской услуги. Но это не значит, что любой сайт клиники без галочки получает именно её: сначала определяется основание, и только потом оценивается, было ли нарушение. За повторное нарушение по части 2 вилки выше (часть 2.1): для ИП от 500 000 до 1 000 000 рублей, для юридических лиц от 1 000 000 до 1 500 000 рублей.

Теперь о том, что смягчает картину. За впервые совершённое правонарушение, выявленное при государственном контроле (надзоре), штраф по части 1 статьи 4.1.1 КоАП подлежит замене на предупреждение при условиях, названных в части 2 статьи 3.4 КоАП. На практике первое нарушение при проверке нередко заканчивается именно предупреждением. Это не гарантия: предупреждение применяется только при этих условиях. Вилка в таблице показывает порядок величин.

Отдельно стоит статья 13.14 КоАП о разглашении информации с ограниченным доступом: её состав связан с лицом, получившим доступ по служебным или профессиональным обязанностям.

Как проверить сайт клиники по 152-ФЗ

Проверка идёт по тем же точкам, что и таблица выше: нужно пройти сайт глазами посетителя и записать каждое место, где что-то вводят, подключают внешний сервис или публично упоминают пациента. Шагов семь.

1. Откройте подвал и главную: есть ли ссылка на политику обработки персональных данных, открывается ли она без регистрации.
2. Пройдите по всем формам: запись, обратный звонок, вопрос врачу, подписка. Выпишите, какие поля в каждой, есть ли рядом ссылка на политику, нет ли поля с жалобой или симптомами.
3. Посмотрите, куда уходит каждая заявка: на почту, в CRM, в мессенджер, во внешний сервис записи. Запишите, у кого именно хранятся данные.
4. Найдите виджеты: чат, обратный звонок, карты, видео, аналитика, рекламные пиксели. Отметьте, какие из них загружаются на страницах с медицинскими темами.
5. Прочитайте отзывы и ответы на них: нет ли подтверждения визитов, диагнозов, подробностей лечения, фото пациентов.
6. Проверьте личный кабинет, если он есть: доступ только после входа, понятно ли, что видно другим.
7. Откройте политику: упоминает ли она данные о здоровье, цели, срок хранения, получателей.

Формы и внешние сервисы по всему сайту быстрее найти сканером, чем обходить страницы вручную. На странице проверки сайта по 152-ФЗ сканер находит формы и подключённые сервисы и показывает, где рядом с формой нет согласия или ссылки на политику. Индивидуальную работу юриста это не заменит, но покажет, с чего начинать.

Как исправить найденное

Порядок действий лучше строить от самого рискованного: сначала публичные страницы, где могла раскрыться врачебная тайна, потом формы с жалобами, потом политика и сервисы. Шаги небольшие, но результат стоит фиксировать письменно: основание придётся доказывать вам.

Ответы на отзывы. Уберите подтверждения визитов и подробности лечения. Выберите нейтральный шаблон: благодарность или сожаление, приглашение связаться, без имён, диагнозов и дат приёма. Старые ответы с деталями стоит отредактировать или удалить.

Фото до и после и истории пациентов. Публикуйте только с письменным согласием пациента, оформленным отдельным документом: с целью, перечнем данных, сроком и порядком отзыва. Храните подписанное согласие, ведь доказывать его наличие придётся вам.

Формы записи. Если жалоба врачу нужна заранее, определите основание, зафиксируйте его и дайте человеку понятный текст о том, что и для чего собирается. Если не нужна, замените свободное поле выбором услуги или специальности. Рядом с формой разместите ссылку на политику.

Политика. Она должна быть в открытом доступе на страницах сайта, где собираются данные, и учитывать особенности клиники: данные о здоровье, цели, получателей, срок. Что включить в документ, подробно описано в статье о содержании политики конфиденциальности.

Внешние сервисы. Для каждого виджета выясните, кто оператор, где хранятся данные и какие сведения туда попадают. Сервисы, которые собирают данные страниц с диагнозами и не нужны для работы, лучше отключить. Для остальных оператор обязан принимать меры защиты по статье 19, достаточные для сведений о здоровье.

Уведомление Роскомнадзора. Оператор до начала обработки обязан уведомить уполномоченный орган, если не подпадает под исключения. Проверьте, подавалось ли уведомление и актуальны ли сведения в нём.

Частые вопросы

Нужно ли клинике согласие на обработку данных на сайте? Зависит от цели. Для записи на приём по инициативе человека работает договорное основание, для сведений о здоровье в рамках медицинской услуги есть своё основание в статье 10. Для маркетинга, публикации отзывов и фото обычно нужно письменное согласие.

Достаточно ли галочки под формой записи? Для имени и телефона при записи часто достаточно договорного основания, галочка не обязательна. Если нужно письменное согласие по закону, галочка не заменяет подпись: нужна собственноручная подпись либо электронная подпись по закону.

Можно ли отвечать на отзывы пациентов публично? Можно, но без подтверждения визита, диагноза и деталей лечения. Подтверждение, что человек был в клинике, уже раскрывает врачебную тайну. Безопасный ответ общий, с приглашением связаться напрямую.

Фото до и после это биометрия? Нет, биометрия связана с установлением личности по особенностям внешности. Но снимок может раскрывать состояние здоровья, поэтому публиковать его стоит с письменного согласия пациента.

Нужна ли политика на сайте клиники? Да, если на сайте собираются данные, она должна быть опубликована и доступна без ограничений. Отсутствие политики описано в части 3 статьи 13.11 КоАП.

Что делать, если пришла проверка из Роскомнадзора? Собрать документы: политику, основания обработки, согласия, сведения об уведомлении. Если ситуация сложная, лучше обратиться к юристу.

Источники

• 152-ФЗ, статья 10, специальные категории данных: обработка данных о здоровье и исключения из запрета.
• 152-ФЗ, статья 9, согласие субъекта: письменная форма, отдельный документ, бремя доказывания.
• 152-ФЗ, статья 6, условия обработки: договорное основание.
• 152-ФЗ, статья 18.1, меры оператора: политика на сайте.
• 152-ФЗ, статья 19, защита данных: меры защиты от неправомерного доступа.
• 152-ФЗ, статья 22, уведомление: уведомление Роскомнадзора до начала обработки.
• 323-ФЗ, статья 13, врачебная тайна: что составляет врачебную тайну и когда её можно раскрыть.
• КоАП РФ, статья 13.11: штрафы за нарушения при обработке данных.
• КоАП РФ, статья 13.14: разглашение информации с ограниченным доступом.
• КоАП РФ, статья 4.1.1: предупреждение вместо штрафа.

Коротко

Сайт клиники живёт по тому же 152-ФЗ, но поля о жалобах, чат, отзывы и фото до и после могут раскрывать здоровье, а это специальная категория с запретом и исключениями. Основание зависит от цели: медицинская услуга и письменное согласие не взаимозаменяемы. Публичные ответы на отзывы часто опаснее самой формы, потому что раскрывают факт обращения. Вилка по статье 13.11 КоАП широкая, при первом нарушении в ходе контроля штраф может быть заменён предупреждением. Начать стоит с отзывов, формы с жалобой и списка внешних сервисов.