Почему сайт клиники — зона особого внимания к персональным данным
Сайт медицинской организации работает с персональными данными пациентов: ФИО, телефон, email, иногда — предварительные жалобы на здоровье в формах онлайн-записи. Эти данные попадают под действие 152-ФЗ с момента заполнения формы на публичной странице.
Одновременно на сайте работают системы аналитики, виджеты онлайн-консультантов, cookie-файлы. Часть из них может отправлять данные посетителя (IP-адрес, идентификаторы браузера, параметры устройства) на серверы иностранных компаний — до того, как посетитель дал согласие. Это создаёт риск квалификации по нормам о трансграничной передаче и обработке без законных оснований.
Руководитель клиники отвечает за соблюдение закона на всех этапах — включая техническую реализацию сайта, даже если сайт делала внешняя студия или подрядчик.
Что проверяется на сайте клиники с точки зрения 152-ФЗ
Проверка начинается с чистой сессии — так, как сайт видит новый посетитель, который ещё не дал никаких согласий. Фиксируется, какие скрипты и трекеры запускаются автоматически, какие данные уходят на внешние серверы, какой текст показывает cookie-баннер.
Веб-формы проверяются на наличие согласий на обработку персональных данных, их текст сопоставляется с политикой конфиденциальности. Если форма собирает данные, а согласие не оформлено или его текст не покрывает реальные цели обработки — это эпизод с признаками нарушения.
Политика конфиденциальности и документы проверяются на полноту: указаны ли цели обработки, сроки хранения, права субъекта, сведения об операторе. Если документ скопирован с шаблона и не соответствует тому, что сайт делает на практике, — это расхождение фиксируется.
Отдельное внимание — сервисам, которые получают данные посетителей. Если аналитика или виджет стартует до согласия и отправляет запросы на серверы за рубежом — это технический сигнал для дополнительной правовой оценки.
Как устроен отчёт и что с ним делать
Результат проверки — заключение в PDF. В нём — установленные обстоятельства со снимками экрана, временем фиксации и правовой квалификацией по каждому эпизоду. Для каждого эпизода указана норма закона, ориентировочный диапазон санкций и рекомендация, что исправить.
Если эпизодов с признаками нарушений не найдено — отчёт подтверждает, что на осмотренных публичных страницах риски не выявлены. Это не абсолютная гарантия соответствия: проверка не охватывает закрытые разделы сайта, серверную часть, внутренние процессы обработки данных пациентов в клинике.
Сетевые запросы к внешним сервисам указываются как обстоятельства, требующие дополнительной проверки — это технический факт, а не готовый юридический вывод. Итоговую квалификацию даёт юрист с учётом всех обстоятельств.
Типичные риски на сайтах медицинских организаций
Первый — трекеры и аналитика запускаются раньше, чем посетитель нажал «Принять» в cookie-баннере. Данные (IP, идентификаторы) уже ушли на серверы Google, Яндекса или других сервисов — формально это обработка без согласия.
Второй — форма онлайн-записи собирает ФИО, телефон, email, а согласие на обработку либо отсутствует, либо его текст не соответствует политике конфиденциальности. Например, в форме написано «согласие на обработку данных», а в самом тексте согласия не указаны цели, сроки или оператор.
Третий — политика конфиденциальности не обновлялась годами, в ней указаны цели и сервисы, которых на сайте уже нет, или наоборот — сайт использует новые инструменты, но в политике они не упомянуты. Роскомнадзор квалифицирует это как обработку без законных оснований или с нарушением требований к согласию.
Как исправить риски и подготовить сайт к проверке
Если в отчёте выявлены эпизоды — начинайте с тех, которые имеют наибольшую серьёзность и очерёдность исправления. Обычно это трекеры, запускающиеся до согласия, отсутствие или некорректный текст согласий в формах, устаревшая политика конфиденциальности.
Технические исправления — настройка cookie-баннера, чтобы скрипты запускались только после действия посетителя, обновление кода форм. Юридические — актуализация политики конфиденциальности и текстов согласий под реальные процессы сайта. Документы должны покрывать все сервисы, которые получают данные, и все цели обработки.
После исправлений — повторная проверка. Сайт снова открывается с чистой сессии, фиксируется поведение. Если риски устранены — вы получаете отчёт без эпизодов нарушений, который можно использовать как подтверждение внимания к вопросу при взаимодействии с регулятором.
Проверьте сайт клиники самостоятельно — 6 признаков риска
- 01Трекеры до согласия. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), вкладка «Сеть». Если до нажатия на cookie-баннер ушли запросы на google-analytics.com, mc.yandex.ru или другие домены — это риск.
- 02Согласие в формах. Найдите форму онлайн-записи или обратной связи. Есть ли галочка или текст согласия на обработку персональных данных? Ведёт ли ссылка на полный текст согласия или политику? Если нет — это риск.
- 03Политика конфиденциальности. Проверьте, указаны ли в политике: цели обработки, сроки хранения, права субъекта (доступ, изменение, удаление), сведения об операторе (ИНН, ОГРН, адрес). Если чего-то нет — это риск.
- 04Соответствие политики и практики. Сравните, какие сервисы перечислены в политике (Яндекс.Метрика, Google Analytics, виджеты) и какие реально работают на сайте. Если есть расхождения — это риск.
- 05Cookie-баннер и выбор. Даёт ли баннер равнозначную возможность отказаться от необязательных cookie? Есть ли кнопки «Принять» и «Отклонить» или настройка категорий? Если только «ОК» или «Закрыть» — это риск.
- 06Дата обновления документов. Посмотрите дату последнего обновления политики конфиденциальности и пользовательского соглашения. Если документы не обновлялись больше года, а сайт менялся — это риск устаревания.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли клинике уведомлять Роскомнадзор о том, что сайт собирает персональные данные пациентов?
Обязанность уведомлять Роскомнадзор зависит от характера обработки, категории данных и оснований. Проверка сайта фиксирует факты сбора данных и документы, но вопрос уведомления решается юристом с учётом всей деятельности клиники, а не только сайта.
Данные о здоровье пациентов — это специальная категория персональных данных. Как это влияет на требования к сайту?
Специальные категории персональных данных (сведения о здоровье) требуют письменного согласия субъекта. Если форма на сайте собирает такие данные — согласие должно быть явным, а политика конфиденциальности — содержать информацию о целях и мерах защиты. Проверка сайта фиксирует только публичные формы — данные, обрабатываемые внутри клиники или в личном кабинете, остаются за периметром технической проверки.
Если в отчёте написано «эпизодов не выявлено» — это гарантия, что сайт клиники полностью соответствует 152-ФЗ?
Нет. Отчёт подтверждает, что на проверенных публичных страницах признаков нарушений не найдено. Проверка не охватывает закрытые разделы, серверное хранение данных, внутренние процессы клиники. Это сигнал, что видимая часть сайта в порядке, а не абсолютная гарантия.
Используем на сайте клиники Google Analytics и виджет онлайн-консультанта. Это автоматически нарушение 152-ФЗ?
Не автоматически. Риск возникает, если эти сервисы запускаются до согласия посетителя и передают данные (IP, идентификаторы) на серверы за рубежом. Проверка фиксирует момент запуска и направление запросов — если трекер стартовал до взаимодействия с cookie-баннером, это технический сигнал для правовой оценки.
Сайт клиники делала сторонняя студия. Кто отвечает за соответствие 152-ФЗ — мы или подрядчик?
Оператором персональных данных является клиника — именно она определяет цели и содержание обработки. Ответственность за соблюдение 152-ФЗ лежит на операторе, даже если техническую реализацию делал подрядчик. Договор с подрядчиком может предусматривать регресс, но перед Роскомнадзором отвечает клиника.
Как часто нужно проверять сайт клиники на соответствие 152-ФЗ?
Проверка нужна после каждого значимого изменения: добавление новых форм, интеграция новых сервисов аналитики или виджетов, обновление cookie-баннера, изменение политики конфиденциальности. Также — перед плановой проверкой Роскомнадзора или если получили замечание от регулятора.
Что делать, если в отчёте указаны «обстоятельства, требующие дополнительной проверки»?
Это технические факты (например, сетевые запросы к внешним сервисам), которые сами по себе не являются нарушением, но требуют правовой оценки юриста. Обратитесь к специалисту, чтобы квалифицировать эти обстоятельства с учётом характера данных, оснований обработки и требований законодательства.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.