Какие данные считаются медицинскими и почему это важно
152-ФЗ относит сведения о состоянии здоровья к специальной категории персональных данных. Это не только диагнозы из медкарты: любые данные, которые характеризуют здоровье человека, попадают в эту категорию. Например, жалобы в форме записи к врачу, результаты фитнес-трекера, данные о хронических заболеваниях при оформлении страховки.
Обрабатывать такие данные можно только с письменного согласия субъекта. Согласие должно быть явным: пользователь отмечает чекбокс, подтверждает действие кнопкой, видит, какие именно данные собираются и зачем. Если на сайте нет отдельного согласия на обработку сведений о здоровье или текст согласия сформулирован обтекаемо, это создаёт риск по КоАП.
На практике владельцы сервисов часто не замечают, что собирают медицинские данные: поле «Опишите жалобу» или «Укажите диагноз» в форме может выглядеть как обычный текст, но по закону требует усиленной защиты и отдельного согласия.
Трекеры и аналитика: что происходит до клика на баннер
Многие сайты встраивают аналитику и рекламные трекеры, которые запускаются сразу при загрузке страницы — ещё до того, как посетитель успел принять или отклонить cookie. Если на странице есть форма с медицинскими данными, трекер может зафиксировать содержимое полей, URL с параметрами или метаданные сессии и передать их иностранному сервису.
38-ФЗ требует, чтобы пользователь мог отказаться от cookie и чтобы трекеры не стартовали до явного согласия. Если аналитика запускается раньше, это создаёт риск несанкционированной обработки и трансграничной передачи персональных данных.
Dobrolex открывает сайт с чистой сессии — так, как его видит новый посетитель, — и фиксирует сетевые запросы до любого клика. Отчёт показывает, какие домены получили запросы, какие данные могли попасть в заголовки или URL, и есть ли риск по 152-ФЗ.
Уведомление Роскомнадзора и политика конфиденциальности
Если сервис обрабатывает персональные данные граждан РФ, оператор обязан направить уведомление в Роскомнадзор. Отсутствие уведомления или нарушение требований к его подаче квалифицируется по КоАП.
На сайте должна быть опубликована политика обработки персональных данных. Она содержит реквизиты оператора, цели и правовые основания обработки, категории данных, сроки хранения, порядок отзыва согласия. Отсутствие политики или неполный текст создают отдельный риск по КоАП.
Проверка извлекает ИНН, ОГРН и контакты оператора из документов сайта, цитирует текст политики и отмечает пропущенные пункты. Если политики нет или она не покрывает обработку медицинских данных, это фиксируется в отчёте с приоритетом исправления.
Как проверить медицинские данные онлайн сервис на соответствие закону
Проверка начинается с публичных страниц: главная, форма записи или регистрации, страницы с политикой и согласием. Dobrolex открывает сайт с чистой сессии, фиксирует снимки экрана, перечисляет поля форм, цитирует тексты согласий и политик.
Сетевой обмен браузера записывается как технический сигнал: какие домены получили запросы, в какой момент и с какими параметрами. Это не доказательство нарушения, но основание для дополнительной проверки инфраструктуры и договоров с третьими лицами.
Результат — заключение в PDF. Резюме показывает выявленные эпизоды, их серьёзность и диапазон санкций. Каждый эпизод сопровождается снимком экрана, дословной цитатой из документа или описанием технического обстоятельства, ссылкой на норму закона и рекомендацией, что исправить. Если эпизодов не найдено, отчёт подтверждает, что на осмотренных страницах признаков нарушений нет.
- Снимки экрана с временем фиксации для каждого обстоятельства
- Перечень полей форм и категорий собираемых данных
- Цитаты из политики конфиденциальности и текстов согласий
- Сетевые запросы с указанием домена и страны регистрации сервиса
- Правовая квалификация по каждому эпизоду со ссылкой на норму
- План действий с очерёдностью исправлений — для тарифа «Аудит и план действий»
Что проверить на сайте прямо сейчас
- 01Есть ли отдельное согласие на обработку сведений о здоровье. Откройте форму записи или регистрации. Если пользователь может указать диагноз, жалобы, результаты анализов, должен быть отдельный чекбокс или экран с согласием на обработку медицинских данных.
- 02Запускаются ли трекеры до клика на cookie-баннер. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (вкладка Network), обновите страницу. Если до клика на баннере уже пошли запросы к доменам Google, Яндекса или зарубежных рекламных пикселей, это сигнал о риске.
- 03Опубликована ли политика обработки персональных данных. Найдите ссылку в футере сайта или рядом с формой. Проверьте, указаны ли в политике ИНН и ОГРН оператора, цели обработки, сроки хранения, порядок отзыва согласия.
- 04Указано ли в политике, что данные передаются третьим лицам или за рубеж. Если сервис использует иностранную аналитику, платёжные системы, CRM или облачное хранилище, это должно быть прямо указано в политике с перечнем стран и оснований передачи.
- 05Есть ли на сайте реквизиты оператора персональных данных. ИНН, ОГРН, юридический адрес и контакты для связи должны быть доступны на странице с реквизитами или в политике конфиденциальности.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие данные считаются медицинскими по 152-ФЗ?
Любые сведения о состоянии здоровья: диагнозы, результаты анализов, жалобы, данные фитнес-трекеров, информация о хронических заболеваниях. Это специальная категория персональных данных, для обработки которой требуется письменное согласие субъекта.
Нужно ли уведомлять Роскомнадзор перед запуском медицинского онлайн-сервиса?
Да, если сервис обрабатывает персональные данные граждан РФ. Отсутствие уведомления или нарушение требований к его подаче создаёт риск штрафа по КоАП.
Можно ли хранить медицинские данные на зарубежном хостинге?
КоАП предусматривает штраф за нарушение требования хранить персональные данные граждан РФ в базах на территории России. Доменное имя сервера и страна регистрации фиксируются в отчёте как обстоятельство, требующее дополнительной проверки инфраструктуры и договоров.
Что должно быть в согласии на обработку медицинских данных?
Согласие должно быть письменным и явным: указаны цели обработки, категории данных, сроки хранения, права субъекта и порядок отзыва. Пользователь должен видеть, что именно он разрешает, и подтвердить действие чекбоксом или кнопкой.
Как проверить, куда уходят данные с сайта?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика браузера (вкладка Network), обновите страницу. Запросы к иностранным доменам до клика на cookie-баннере — сигнал о риске несанкционированной передачи данных.
Что покажет проверка Dobrolex для медицинского сервиса?
Проверка фиксирует, какие данные собирает форма, есть ли отдельное согласие на медицинские данные, запускаются ли трекеры до согласия пользователя, куда уходят сетевые запросы, опубликована ли политика конфиденциальности и указаны ли реквизиты оператора. Результат — заключение в PDF с фактами, уровнем риска и рекомендациями.
Можно ли на основе отчёта утверждать, что сайт полностью соответствует закону?
Нет. Проверка охватывает только публичные страницы без входа в аккаунт. Если эпизодов не найдено, это значит: на осмотренных страницах признаков нарушений нет. Закрытые разделы, серверная часть и внутренние процессы не проверяются.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.