Согласие пациента на обработку персональных данных: что должно быть на сайте клиники

Коротко

• Сведения о состоянии здоровья — специальная категория персональных данных: обрабатывать их можно только в случаях, прямо названных в законе (ст. 10 152-ФЗ).
• Галочка в форме сайта — не письменное согласие. Поэтому в форму записи лучше не просить жалобы, симптомы и диагнозы.
• Для обычных данных из формы — имени и телефона — нужно отдельное согласие на обработку персональных данных пациента с 1 сентября 2025 года.
• Зарубежные счётчики, шрифты и виджеты на сайте клиники — тот же риск, что и у любого бизнеса, но последствия утечки для клиники серьёзнее.

Чем данные пациента отличаются от данных обычного клиента?

Имя и телефон — обычные персональные данные. Но как только пациент пишет «болит зуб справа», «нужна консультация после операции» или прикладывает снимок, это уже сведения о состоянии здоровья. Закон относит их к специальным категориям и запрещает обрабатывать, кроме исключений из ч. 2 ст. 10 152-ФЗ.

Для клиники важны два исключения:

1. Пациент дал согласие в письменной форме (п. 1 ч. 2 ст. 10).
2. Данные обрабатываются в медицинских целях — для диагноза и оказания медицинских услуг — медицинским работником, который обязан хранить врачебную тайну (п. 4 ч. 2 ст. 10).

Второе исключение работает в кабинете врача и в медицинской карте. С заявкой на сайте сложнее: её читает администратор или колл-центр, она может храниться в почте, CRM или чате. Поэтому юристы клиник обычно советуют не собирать через сайт лишнего. Есть и отдельная норма: сведения о факте обращения за медицинской помощью, о состоянии здоровья и диагнозе составляют врачебную тайну (ч. 1 ст. 13 закона № 323-ФЗ).

Почему галочки в форме недостаточно для данных о здоровье?

Письменная форма согласия — это собственноручная подпись на бумаге или электронный документ, подписанный электронной подписью (ч. 4 ст. 9 152-ФЗ). Отметка «Я согласен» в форме сайта под это определение не подходит.

Отсюда простое правило для сайта клиники: форма записи собирает только то, что нужно, чтобы перезвонить, — имя, телефон, удобное время и, если нужно, направление. Всё про здоровье пациент расскажет врачу на приёме, где оформляются медицинские документы.

Какое согласие нужно для формы записи на сайте?

Для имени и телефона действуют общие правила. С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от других документов (ч. 1 ст. 9 152-ФЗ в редакции закона № 156-ФЗ). Его нельзя прятать в договор-оферту, пользовательское соглашение или политику.

На практике в форме нужны:

• отдельный чекбокс без заранее поставленной галочки;
• ссылка на текст согласия — кто оператор, какие данные, для чего, на какой срок и как отозвать;
• ссылка на политику обработки персональных данных в подвале сайта;
• сохранение факта согласия: дата, время, версия текста.

Как составить текст и что хранить — подробно в статье согласие на обработку данных в форме сайта. Что обязательно написать в политике — в материале политика обработки персональных данных на сайте.

Что ещё на сайте клиники собирает данные пациентов?

Форма записи — не единственное место. При проверке сайтов клиник чаще всего смотрят:

• Онлайн-запись через внешний сервис. Виджет записи передаёт данные пациента в этот сервис. Проверьте, где хранятся данные, есть ли договор поручения обработки и согласие в самом виджете.
• Онлайн-чат и кнопки мессенджеров. Пациенты пишут туда о здоровье сами, без вопроса. Важно, где хранится переписка и кто её видит.
• Счётчики посещаемости. Google Analytics и подобные сервисы — это сбор данных с использованием зарубежных баз. Если включён Вебвизор Яндекс Метрики, проверьте в настройках счётчика, какие поля форм он записывает.
• Шрифты, капча и карты. Шрифты с серверов Google и reCAPTCHA тоже передают данные посетителей за рубеж — разобрали в статье Google Fonts и reCAPTCHA.
• Отзывы пациентов на сайте. Фото пациента, его имя и рассказ о лечении — это распространение персональных данных, для него нужно отдельное согласие на распространение (ст. 10.1 152-ФЗ).

Насколько это частая проблема?

В октябре 2026 года мы проверили 45 сайтов салонов красоты и стоматологий Москвы — малый бизнес до трёх филиалов. Среди 23 стоматологий у 39% формы собирали имя и телефон без согласия на обработку данных. Чаще всего это не сознательное нарушение, а старая форма «Перезвоните мне», которую забыли обновить, или шаблон сайта.

Проверка была технической: мы смотрели формы, подключённые сервисы и политику, а не внутренние документы клиник.

Чем грозят нарушения?

Штрафы по ст. 13.11 КоАП для юрлиц:

Полная картина — в таблице штрафов по 152-ФЗ. Если клиника ещё не подавала уведомление об обработке персональных данных, начните с пошаговой инструкции по уведомлению в Роскомнадзор.

Как проверить сайт клиники за 10 минут?

1. Откройте каждую форму: есть ли отдельная галочка согласия, не стоит ли она заранее.
2. Уберите из форм поля «жалоба», «симптомы», загрузку файлов.
3. Найдите в подвале ссылку на политику обработки персональных данных.
4. Посмотрите, какие счётчики подключены: Google Analytics нужно заменить.
5. Проверьте виджеты записи и чата: чей сервис и где хранит данные.
6. Если на сайте есть отзывы с фото и именами пациентов — найдите согласия на распространение.

Если хотя бы по одному пункту ответ «нет» или «не знаю», сайт стоит поправить. Мы делаем проверку и исправление сайта по 152-ФЗ: формы и согласия, замену зарубежных сервисов, политику, баннер cookie. Лендинг с одной-двумя формами — 9 900 ₽, сайт до 10 форм — 19 900 ₽. Это техническое исправление сайта; внутренние документы клиники и медицинские согласия остаются за её юристом.

Частые вопросы

Нужно ли клинике брать согласие у каждого пациента на приёме?

Это вопрос внутренних документов клиники. Закон разрешает обрабатывать данные о здоровье в медицинских целях медработнику, обязанному хранить врачебную тайну, но многие клиники всё равно оформляют согласие. Решение лучше принимать с юристом. Для формы на сайте согласие на обработку имени и телефона нужно в любом случае.

Можно ли в форме спросить, к какому врачу записаться?

Выбор направления обычно нужен, чтобы перезвонить и записать. Но если профиль узкий, сам выбор может косвенно говорить о здоровье. Минимум полей и отдельное согласие снижают риск; окончательно решает юрист клиники.

Пациент сам написал о болезни в чат на сайте. Это нарушение?

Пациент может написать что угодно. Важно, что клиника делает с этими данными дальше: где хранит переписку, кто её читает и как долго. Лучше, чтобы чат работал на сервере в России и не уходил в личные мессенджеры сотрудников.

Подходит ли сайту клиники Яндекс Метрика?

Да, это российский сервис. Но включайте её после согласия посетителя на cookie и проверьте, какие поля форм записывает Вебвизор.

Достаточно ли исправить сайт, чтобы клиника соответствовала 152-ФЗ?

Нет. Сайт — только одна часть. Есть ещё уведомление в Роскомнадзор, внутренние документы, работа с медицинскими картами и доступами сотрудников. Исправление сайта убирает самые заметные нарушения, которые видно снаружи.

Итог

Данные о здоровье — особая категория, и сайт клиники не должен собирать их через обычную форму с галочкой. Оставьте в формах только контакты, добавьте отдельное согласие, уберите зарубежные сервисы и проверьте виджеты записи и чата. Начать можно с проверки сайта по 152-ФЗ.

Источники

• Федеральный закон № 152-ФЗ «О персональных данных», ст. 10 — КонсультантПлюс
• Федеральный закон № 152-ФЗ, полный текст — КонсультантПлюс
• Федеральный закон № 323-ФЗ «Об основах охраны здоровья граждан в РФ», ст. 13
• КоАП РФ, ст. 13.11