Почему телемедицина требует особого внимания к 152-ФЗ
Сведения о состоянии здоровья, диагнозах, обращениях к врачам и результатах обследований 152-ФЗ относит к специальной категории персональных данных. Для их обработки требуется письменное согласие субъекта, если обработка не связана с исполнением договора об оказании медицинских услуг или прямо не предусмотрена законом.
Телемедицинский сайт собирает такие данные в формах записи, при регистрации личного кабинета, в чатах с врачом. Если на странице с формой нет согласия или оно сформулировано общими словами («для оказания услуг»), это создаёт риск квалификации как обработки без законного основания.
Дополнительный риск — трекеры и аналитика. Если Яндекс.Метрика, Google Analytics или онлайн-чат запускаются до того, как посетитель дал согласие на обработку данных, это может быть расценено как нарушение требования о получении согласия до начала обработки.
Что проверить на сайте телемедицинского сервиса
Первое — момент запуска трекеров. Откройте сайт в режиме инкогнито и проверьте через инструменты разработчика (вкладка Network), какие запросы уходят до первого клика. Если видите обращения к mc.yandex.ru, google-analytics.com или другим сервисам аналитики, это сигнал: данные начали обрабатываться до согласия посетителя.
Второе — веб-формы. Найдите на сайте все формы, где пациент вводит имя, телефон, жалобы или симптомы. Рядом с формой должно быть согласие на обработку персональных данных с явным упоминанием целей, сроков хранения и прав субъекта. Если согласие оформлено галочкой со ссылкой на политику, проверьте, что текст политики содержит все обязательные элементы.
Третье — политика конфиденциальности. Она должна быть опубликована в открытом доступе и содержать: цели обработки (запись на приём, ведение медицинской карты, консультация), категории данных (в том числе сведения о здоровье), сроки хранения, права субъекта (доступ, исправление, удаление), реквизиты оператора с ИНН и ОГРН. Общие фразы без конкретики создают риск.
Трансграничная передача и локализация данных пациентов
Если на сайте установлены сервисы, которые передают данные за пределы России (например, Google Analytics, Facebook Pixel, Intercom), это может создать риск по требованию о локализации. Персональные данные граждан РФ должны записываться и храниться на серверах в России при их сборе через интернет.
Проверка локализации на уровне сайта ограничена: вы можете зафиксировать, куда браузер отправляет запросы, но не можете узнать, где физически расположены базы данных. Если в списке доменов, к которым обращается сайт, есть иностранные (google.com, facebook.com, cloudflare.com), это повод для дополнительной проверки: уточнить у разработчиков и в документации сервиса, где хранятся данные.
Трансграничная передача персональных данных требует уведомления Роскомнадзора. Если ваш сайт использует зарубежные сервисы для обработки данных пациентов, это стоит отразить в политике конфиденциальности.
Как устроена проверка телемедицинского сайта по 152-ФЗ
Проверка начинается с чистой сессии — так, как сайт видит новый посетитель, который ещё не дал никаких согласий. Фиксируются снимки экрана, тексты политик и согласий, список сетевых запросов с временными метками. Каждый факт связывается с нормой закона.
Результат — заключение в PDF с эпизодами, в которых обнаружены признаки нарушений. Каждый эпизод содержит описание установленных обстоятельств, снимок экрана, квалификацию по статье КоАП и рекомендацию, что исправить. Если эпизодов не найдено, отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений нет.
Проверка не заменяет консультацию юриста и не охватывает закрытые разделы сайта (личный кабинет, CRM, серверную часть). Она показывает, что видит посетитель, и даёт основу для исправлений, но полное соответствие закону требует проверки всей инфраструктуры.
Что делать, если на сайте телемедицинского сервиса найдены риски
Если проверка выявила эпизоды, в отчёте вы увидите их квалификацию по серьёзности. Эпизоды, связанные с отсутствием согласия при сборе медицинских данных, запуском трекеров до согласия посетителя или отсутствием политики конфиденциальности, создают наибольшую вероятность штрафа при проверке регулятора.
Для каждого эпизода в отчёте указана рекомендация: добавить форму согласия с обязательными элементами, настроить cookie-баннер с блокировкой трекеров до разрешения, дополнить политику конфиденциальности разделами о целях и сроках. Если эпизод касается трансграничной передачи, проверьте требования к уведомлению регулятора.
После исправлений можно провести повторную проверку, чтобы убедиться, что риски устранены. Это даёт актуальный снимок сайта и подтверждение, что изменения учтены.
Чек-лист проверки телемедицинского сайта по 152-ФЗ
- 01Трекеры запускаются только после согласия. Откройте сайт в режиме инкогнито, откройте Network в инструментах разработчика. Если до первого клика видите запросы к mc.yandex.ru, google-analytics.com или другим трекерам — это риск.
- 02Рядом с формой записи есть согласие на обработку данных. Проверьте все формы, где пациент вводит имя, телефон, жалобы. Рядом должна быть галочка или ссылка на согласие с явным упоминанием целей, сроков и прав субъекта.
- 03Политика конфиденциальности опубликована и содержит обязательные разделы. Найдите ссылку на политику в футере сайта. Проверьте, что в ней указаны: цели обработки, категории данных (в том числе сведения о здоровье), сроки хранения, права субъекта, реквизиты оператора.
- 04Cookie-баннер позволяет отказаться от необязательных трекеров. Если на сайте есть баннер о cookie, проверьте, можно ли отключить аналитику и маркетинг, не теряя доступ к сайту. Равнозначный отказ — требование закона.
- 05В политике указаны иностранные сервисы, если они используются. Если сайт использует Google Analytics, Facebook Pixel, Intercom или другие зарубежные инструменты, это должно быть отражено в политике с указанием, что данные могут передаваться за рубеж.
- 06Реквизиты оператора персональных данных доступны на сайте. В политике конфиденциальности или в разделе «Контакты» должны быть указаны: полное наименование организации, ИНН, ОГРН, юридический адрес, контакты для обращений субъектов.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Частые вопросы
Какие данные пациентов относятся к специальной категории по 152-ФЗ?
Сведения о состоянии здоровья, диагнозах, обращениях к врачам, результатах обследований, рецептах и лечении. Для их обработки требуется письменное согласие субъекта, если обработка не связана с исполнением договора об оказании медицинских услуг.
Обязательно ли уведомлять Роскомнадзор о создании телемедицинского сайта?
Если вы обрабатываете персональные данные пациентов (записываете их в базу, сохраняете в CRM, ведёте медицинские карты), вы являетесь оператором персональных данных и обязаны подать уведомление в Роскомнадзор — детали сроков уточняйте у юриста.
Можно ли использовать Google Analytics на сайте телемедицинского сервиса?
Можно, но с ограничениями. Если Google Analytics получает персональные данные (IP-адрес, идентификаторы пользователей), это создаёт риск по требованию о локализации. Убедитесь, что трекер запускается только после согласия посетителя и передача данных за рубеж отражена в политике конфиденциальности.
Достаточно ли галочки в форме записи или нужно отдельное письменное согласие?
Галочка в форме может быть формой согласия, если рядом с ней размещён текст согласия с обязательными элементами: цели обработки, категории данных, сроки хранения, права субъекта. Ссылка на политику конфиденциальности не заменяет согласие, если в политике нет этих элементов.
Что делать, если трекеры на сайте запускаются до согласия посетителя?
Настройте cookie-баннер так, чтобы трекеры блокировались до явного разрешения. Используйте решения для управления согласиями (Consent Management Platform) или доработайте код сайта, чтобы скрипты аналитики инициализировались только после клика на «Принять».
Как проверить, куда уходят данные пациентов с сайта?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), перейдите на вкладку Network и обновите страницу. Вы увидите список всех запросов: домены, к которым обращается браузер, и передаваемые параметры. Иностранные домены — сигнал для дополнительной проверки.
Что покажет проверка Dobrolex для телемедицинского сайта?
Проверка зафиксирует, что видит новый посетитель: какие трекеры запускаются до согласия, какие данные собирают формы, есть ли политика конфиденциальности и согласия, куда уходят сетевые запросы. Результат — заключение в PDF с эпизодами, квалификацией по КоАП и рекомендациями, что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.