Почему медицинские данные требуют особого подхода
Медицинские данные — это сведения о состоянии здоровья, диагнозах, обращениях за медицинской помощью и результатах обследований. Закон относит их к специальной категории персональных данных.
Обработка таких данных допускается только при наличии письменного согласия субъекта или иных законных оснований, прямо указанных в законе. Это означает, что владелец медицинского сайта не может собирать данные о здоровье пациентов без правильно оформленного согласия.
На практике риск возникает, когда формы записи на приём, личные кабинеты или чат-боты собирают данные, а согласие либо отсутствует, либо сформулировано слишком общими словами.
Как сайт клиники обрабатывает персональные данные на практике
Даже простой сайт клиники с формой записи на приём уже является оператором персональных данных. Как только посетитель вводит имя, телефон или указывает симптомы, сайт начинает обработку.
Кроме того, на сайте часто установлены счётчики аналитики, пиксели ретаргетинга и онлайн-консультанты. Многие из них стартуют ещё до того, как посетитель кликнул на кнопку согласия в cookie-баннере, и передают данные иностранным сервисам.
Проблема в том, что владелец сайта может не знать, какие данные и куда уходят. Разработчик установил счётчик, но не проверил, что он делает с данными о посещениях страниц о заболеваниях или результатах анализов.
Какие риски возникают при обработке медицинских данных
Первый риск — отсутствие письменного согласия или его неправильная формулировка. Если на сайте нет согласия на обработку медицинских данных, а форма собирает информацию о диагнозах или жалобах, это может быть квалифицировано как нарушение.
Второй риск — трансграничная передача. Если данные пациентов уходят на серверы за рубеж без уведомления Роскомнадзора и согласия субъекта, создаётся дополнительный правовой риск.
Третий риск — отсутствие политики обработки персональных данных или её несоответствие фактическим действиям сайта. Закон требует, чтобы оператор опубликовал политику с указанием целей, сроков обработки и прав субъекта.
Четвёртый риск — трекеры и аналитика стартуют до согласия. Если счётчик начинает работу до клика на баннер cookie, это может создавать риск обработки без законного основания.
Как проверить сайт клиники на соответствие требованиям закона
Проверка должна начинаться с чистой сессии — так, как сайт видит новый посетитель. Важно зафиксировать, какие трекеры и скрипты запускаются до любого согласия, какие данные собирают формы и куда эти данные передаются.
Dobrolex открывает сайт от имени нового посетителя, записывает сетевые запросы браузера и делает снимки экрана. В отчёте указаны домены иностранных сервисов, факты о запуске трекеров до согласия и цитаты из политики конфиденциальности.
Каждый выявленный эпизод получает правовую квалификацию: какая норма может быть нарушена, что исправить в коде или документах, и серьёзность эпизода. Если признаков нарушений не найдено, отчёт подтверждает это.
Проверка не заменяет консультацию юриста, но даёт владельцу клиники факты: что происходит на сайте прямо сейчас и где именно возникают правовые риски.
Чек-лист: что проверить на сайте клиники прямо сейчас
- 01Опубликована ли политика обработки персональных данных. Откройте главную страницу и найдите ссылку на политику конфиденциальности. Проверьте, есть ли в ней информация об операторе, целях обработки и правах субъекта.
- 02Есть ли согласие на обработку медицинских данных в формах. Откройте форму записи на приём. Если она запрашивает симптомы, диагнозы или иные данные о здоровье, проверьте, есть ли чекбокс с согласием на обработку специальной категории данных.
- 03Стартуют ли трекеры до клика на баннер cookie. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12) и перейдите на вкладку Network. Обновите страницу, не кликая на баннер. Если видите запросы к доменам аналитики, трекеры уже работают.
- 04Куда уходят данные из форм. Заполните тестовую форму записи и отследите в инструментах разработчика (вкладка Network), на какие домены отправляются данные. Если домены иностранные, это сигнал для дополнительной проверки.
- 05Есть ли в cookie-баннере равнозначный отказ. Проверьте, можно ли отказаться от необязательных cookie одним кликом, без перехода в настройки. Если кнопка отказа менее заметна, чем кнопка согласия, это может создавать риск.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Относятся ли медицинские данные пациентов к специальной категории персональных данных?
Да. Медицинские данные — это специальная категория персональных данных по 152-ФЗ. Их обработка требует письменного согласия субъекта или иного законного основания.
Нужно ли уведомлять Роскомнадзор, если сайт клиники собирает данные пациентов?
Обязанность уведомить Роскомнадзор зависит от конкретной ситуации. Например, уведомление требуется при трансграничной передаче персональных данных. Нарушение сроков или отсутствие уведомления в случаях, когда оно обязательно, создаёт риск штрафа.
Можно ли передавать медицинские данные пациентов за рубеж?
Трансграничная передача допускается при соблюдении условий: согласие субъекта, уведомление Роскомнадзора и соответствие страны назначения критериям закона.
Что делать, если трекеры на сайте стартуют до согласия посетителя?
Это создаёт риск обработки данных без законного основания. Нужно настроить код так, чтобы трекеры стартовали только после явного согласия или использовать механизм отложенной загрузки скриптов.
Как проверить, куда уходят данные из формы записи на приём?
Откройте инструменты разработчика браузера (F12), перейдите на вкладку Network, заполните форму и отправьте её. В списке запросов будут видны домены, на которые отправлены данные.
Достаточно ли проверки сайта для соответствия 152-ФЗ?
Проверка сайта — это первый шаг. Она показывает, что происходит на публичных страницах. Для полного соответствия закону нужно также проверить серверную часть, внутренние процессы и, в зависимости от ситуации, подать уведомление в Роскомнадзор.
Можно ли использовать отчёт Dobrolex для Роскомнадзора?
Отчёт не является обращением в регулятор и не заменяет юридическую консультацию. Он фиксирует факты и правовые риски — это основа для исправлений и подготовки документов.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.