152-ФЗ для клиники: специальная категория данных на сайте

Марк Голдин, юрист · 23 сентября 2026

Для клиники 152-ФЗ строже, чем для любого другого сайта: сведения о здоровье — специальная категория персональных данных, и обрабатывать их можно только в прямо названных законом случаях. А сайт клиники часто собирает такие сведения, даже не замечая этого: в форме записи есть поле «Опишите, что беспокоит». Разбираем, что проверить.

Почему у клиники особые правила

Сведения о состоянии здоровья относятся к специальным категориям персональных данных (ч. 1 ст. 10 152-ФЗ). Их обработка по общему правилу запрещена и допускается только в случаях из ч. 2 ст. 10. Для клиники главные из них два:

• письменное согласие пациента (п. 1 ч. 2 ст. 10);
• медико-профилактические цели, установление диагноза, оказание медицинских услуг — при условии, что данные обрабатывает лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну (п. 4 ч. 2 ст. 10).

Поверх этого действует врачебная тайна (ст. 13 закона № 323-ФЗ «Об основах охраны здоровья граждан»). И ещё одно различие, которое часто путают: информированное добровольное согласие на медицинское вмешательство (ст. 20 323-ФЗ) и согласие на обработку персональных данных — это два разных документа.

Форма записи на сайте: что можно спрашивать

Для записи на приём достаточно имени, телефона, врача или услуги и удобного времени. Всё это — обычные персональные данные: ставьте галочку согласия и ссылку на политику, как на любом сайте.

Проблема начинается с поля «Опишите симптомы» или «Ваш диагноз». Человек ещё не пациент, договора нет, врач ещё не участвует — а специальная категория данных уже собрана через сайт, часто с отправкой в обычную почту или мессенджер администратора. Надёжнее так:

• не собирать жалобы и диагнозы через форму на сайте — пусть их расскажут на приёме или по телефону регистратору;
• если без этого поля не обойтись — отдельное явное согласие на обработку сведений о здоровье, защищённый канал передачи и хранение только в медицинской информационной системе, а не в почте.

Отзывы, фото врачей и кейсы «до и после»

• Отзывы пациентов с именем и упоминанием диагноза или лечения — это одновременно персональные данные, сведения о здоровье и врачебная тайна. Публикуйте без фамилий и без медицинских подробностей либо с письменного согласия пациента на распространение.
• Фото «до и после» — изображение человека и сведения о его лечении. Нужно согласие на распространение (ст. 10.1 152-ФЗ) и на использование изображения (ст. 152.1 ГК РФ).
• Страницы врачей с фото, образованием, стажем — согласие сотрудника на распространение его данных.

Медицинская информационная система, телемедицина, колл-центр

Онлайн-запись обычно работает через МИС или сервис записи, консультации — через платформу телемедицины, звонки — через колл-трекинг с записью разговоров. Каждый из этих сервисов обрабатывает данные пациентов по вашему поручению. Проверьте для каждого:

• данные хранятся в России;
• оформлено поручение на обработку с обязательными условиями ч. 3 ст. 6 152-ФЗ;
• сервис указан в политике.

Отдельно — зарубежные мессенджеры. Переписка администратора с пациентами о записи и анализах в WhatsApp — это сведения о здоровье на зарубежных серверах.

Метрика на страницах о заболеваниях

Даже аналитика в клинике чувствительнее обычного: факт, что конкретный посетитель несколько раз читал страницу о лечении определённого заболевания и записался к профильному врачу, — уже сведения, близкие к медицинским. Минимум: счётчик только после согласия в cookie-баннере, Вебвизор не записывает поля форм, в цели и параметры Метрики не уходят контакты. Подробно — о Метрике и о cookie-баннере.

Защита и внутренние документы

Для информационных систем со специальными категориями данных требования к защите выше: уровень защищённости определяется по постановлению Правительства № 1119 с учётом категории данных, и для клиники он, как правило, выше, чем для обычного магазина. Нужны акт определения уровня защищённости, модель угроз, приказ об ответственном, порядок действий при утечке. Утечка медицинских данных — одна из самых тяжёлых ситуаций: на замену штрафа предупреждением рассчитывать не стоит, потому что вред пациентам есть по определению. Суммы — на странице про штрафы.

Чек-лист для сайта клиники

Медицина — как раз тот случай, когда автоматической проверки мало: после отчёта стоит пройти внутренние документы с юристом.

Автор: Марк Голдин, юрист →