Почему 152-ФЗ критичен для сайта клиники
Медицинская организация собирает персональные данные пациентов через сайт: имя, телефон, адрес электронной почты, иногда — сведения о состоянии здоровья. Закон требует получить согласие, опубликовать политику обработки, хранить данные граждан России на территории страны.
На практике сайт клиники часто использует аналитику, рекламные пиксели, виджеты онлайн-записи от сторонних сервисов. Эти инструменты могут запускаться до согласия посетителя и передавать данные за рубеж. Если пациент пожалуется в Роскомнадзор или регулятор проведёт плановую проверку, расхождение между политикой и реальной практикой становится основанием для санкций.
Руководитель клиники не всегда знает, что именно делает сайт: какие сервисы подключены, куда уходят данные, правильно ли оформлены согласия. Проверка показывает фактическое поведение сайта глазами нового посетителя — до любого клика и согласия.
Какие риски возникают на сайте медицинской организации
Типичная ситуация: на сайте клиники установлен cookie-баннер, но аналитические счётчики и рекламные пиксели запускаются сразу при загрузке страницы, до согласия посетителя. Это создаёт риск квалификации как обработка без законного основания.
Второй частый эпизод — использование иностранных сервисов для онлайн-записи или чата с пациентами. Если данные передаются за рубеж без уведомления регулятора и без согласия субъекта на трансграничную передачу, это может повлечь претензии.
Третий риск — форма записи на приём без согласия на обработку персональных данных или с согласием, в котором не указаны обязательные реквизиты оператора: ИНН, ОГРН, адрес, контакты. Такое согласие регулятор может не признать.
Проверка фиксирует эти обстоятельства со снимками экрана, временем старта трекеров, текстом документов. Отчёт квалифицирует риск по каждому эпизоду и указывает норму закона, которая может быть применена.
Как проверить сайт клиники на соответствие 152-ФЗ
Проверка начинается с чистой сессии: сайт открывается так, как его видит новый посетитель, без cookie и авторизации. Фиксируется, какие трекеры и сервисы запустились до любого согласия, какие сетевые запросы ушли, какие данные собираются через формы.
Проверяется cookie-баннер: есть ли равнозначная возможность отказаться, можно ли настроить категории, запускаются ли трекеры до выбора посетителя. Проверяются веб-формы: наличие согласия, его текст, способ получения, реквизиты оператора.
Проверяется политика обработки персональных данных и её соответствие фактической практике: перечислены ли сервисы, которые реально используются, указаны ли цели обработки, есть ли информация о трансграничной передаче.
Результат — заключение в PDF с установленными обстоятельствами, правовой квалификацией по каждому эпизоду, приоритетом исправлений. Если эпизодов с признаками нарушений не найдено, отчёт это подтверждает — это важно для внутреннего контроля и планирования.
Что делать с результатами проверки
Отчёт показывает, какие эпизоды требуют исправления в первую очередь: например, отключить трекеры до согласия, дополнить текст политики, исправить форму согласия. Для каждого эпизода указана норма закона и рекомендация.
Тариф «Аудит и план действий» даёт готовое решение: что изменить в коде сайта, какие настройки применить к сервисам, как переписать документы. Тариф «Исправление с юристом» включает подготовку документов под сайт, сопровождение правок и итоговую проверку после исправления.
Проверка не заменяет консультацию юриста по вопросам, которые выходят за пределы публичных страниц: например, нужно ли клинике уведомлять Роскомнадзор о намерении обрабатывать персональные данные, как организовать внутренний учёт, какие меры защиты применить. Отчёт указывает на обстоятельства, требующие дополнительной правовой оценки.
Что проверить на сайте клиники прямо сейчас
- 01Трекеры до согласия. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), вкладку «Сеть». Если запросы к аналитике или рекламным сервисам ушли до клика на баннере — это риск.
- 02Согласие в формах. Проверьте форму записи на приём: есть ли чекбокс согласия, можно ли отправить форму без согласия, указаны ли в тексте согласия ИНН, ОГРН, адрес и контакты клиники.
- 03Политика конфиденциальности. Найдите на сайте политику обработки персональных данных. Проверьте, перечислены ли в ней сервисы, которые реально используются: аналитика, CRM, виджеты онлайн-записи.
- 04Иностранные сервисы. Посмотрите в разделе «Сеть» инструментов разработчика, есть ли запросы к доменам за пределами России. Если данные пациентов передаются за рубеж, нужна дополнительная проверка юристом.
- 05Реквизиты оператора. Убедитесь, что на сайте указаны полные реквизиты медицинской организации как оператора персональных данных: наименование, ИНН, ОГРН, адрес, контактный телефон или email.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли клинике уведомлять Роскомнадзор о том, что сайт собирает данные пациентов?
Это зависит от характера обработки и организационно-правовой формы. Для медицинских организаций существуют особенности. Проверка указывает на обстоятельства, требующие консультации юриста, но окончательное решение принимает специалист.
Можно ли использовать иностранные сервисы для онлайн-записи на сайте клиники?
Да, если соблюдены требования к трансграничной передаче данных: получено согласие субъекта, уведомлён регулятор (если это требуется), страна обеспечивает адекватную защиту. Проверка показывает, какие сервисы получают данные, и квалифицирует риск.
Что будет, если пациент пожалуется в Роскомнадзор на сайт клиники?
Регулятор проведёт проверку: осмотрит сайт, запросит документы, квалифицирует нарушения. Если будут установлены обстоятельства, образующие состав правонарушения, клинике грозит административная ответственность.
Защищает ли cookie-баннер клинику от претензий по 152-ФЗ?
Нет, если трекеры запускаются до согласия посетителя или баннер не даёт равнозначной возможности отказаться. Проверка фиксирует реальное поведение сайта, а не только текст баннера.
Что делать, если проверка нашла нарушения на сайте клиники?
Отчёт даёт очерёдность исправлений: что требует немедленного внимания, что можно отложить. Тариф с планом действий включает готовые решения для кода, настроек и документов. Тариф с юристом — полное сопровождение правок.
152-ФЗ для клиник применяется только к частным организациям?
Нет, закон распространяется на все медицинские организации, которые обрабатывают персональные данные: государственные, муниципальные, частные. Требования одинаковы, особенности могут быть в порядке уведомления регулятора.
Можно ли считать, что если нарушений не найдено, сайт полностью соответствует закону?
Нет. Проверка охватывает только публичные страницы: без входа в аккаунт, без отправки форм. Закрытые разделы, серверная часть, внутренние процессы не проверяются. Отчёт фиксирует отсутствие признаков нарушений на осмотренных страницах.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.