Какие данные собирает сайт онлайн-консультаций и почему это важно
Формы записи на консультацию, чаты с врачом, анкеты анамнеза — всё это точки сбора персональных данных. Если согласие отсутствует, сформулировано неточно или не соответствует реальным целям обработки — это может квалифицироваться как нарушение требований закона.
Кроме форм, на сайте работают аналитические системы, платёжные виджеты, чат-боты. Каждый из этих сервисов получает данные посетителя: IP-адрес, идентификаторы устройства, поведение на странице. Если эти данные уходят к иностранным провайдерам — возникает риск санкций.
Как понять, куда уходят данные пациентов
Владелец сайта видит интерфейс: форму, кнопку, баннер. Но браузер посетителя в этот момент отправляет десятки запросов — к серверам аналитики, CDN, рекламным сетям, платёжным шлюзам. Часть из них работает через домены за пределами России.
Проверка Dobrolex открывает сайт с чистой сессии — как новый посетитель, до любого согласия — и фиксирует все сетевые запросы браузера. В отчёте вы видите, какие иностранные сервисы получили данные, в какой момент стартовали трекеры и какие cookie установлены до клика на баннер. Это технический сигнал для дополнительной юридической оценки.
Согласия на медицинских сайтах: что проверяет регулятор
Если форма записи содержит общую фразу «согласен на обработку данных» без расшифровки — это создаёт риск.
Ещё один частый эпизод: политика конфиденциальности описывает одни цели обработки, а реально сайт передаёт данные сервисам аналитики или маркетинга, которые в политике не упомянуты. Такое расхождение создаёт риск санкций.
Dobrolex проверяет тексты согласий на формах, сравнивает их с содержанием политики и фактическим поведением сайта. Отчёт содержит цитаты из документов, снимки экрана форм и правовую квалификацию по каждому эпизоду.
Трекеры и cookie: стартуют ли они до согласия
Cookie-баннер на сайте — это не защита, а интерфейс для получения согласия. Если скрипты аналитики, рекламные пиксели или сторонние виджеты запускаются до того, как посетитель кликнул «Принять» — данные уже переданы, согласие получено постфактум.
Проверка фиксирует момент старта каждого трекера: до загрузки баннера, после клика или при отказе. Если трекер стартовал раньше согласия — это указывается в отчёте как обстоятельство, создающее риск.
Что делать, если проверка выявила риски
Отчёт Dobrolex показывает установленные обстоятельства: что зафиксировано, к какой норме закона это относится, какой диапазон санкций предусмотрен. Каждый эпизод получает оценку серьёзности и рекомендацию, что исправить.
Дальше — план действий для кода и документов. Тариф «Аудит и план» даёт готовые решения под каждый выявленный риск, тариф с юристом — сопровождение правок до итоговой проверки.
- Прочитайте резюме отчёта: сколько эпизодов выявлено и какова серьёзность каждого
- Проверьте правовую квалификацию: какие нормы указаны, какие санкции предусмотрены
- Используйте снимки экрана и цитаты как основание для правок документов и настроек сайта
- Если выявлена передача данных за рубеж — уточните у провайдера сервиса, где размещены базы данных
Чек-лист для владельца медицинского сайта с онлайн-консультациями
- 01Проверьте формы записи и консультаций. Есть ли на каждой форме согласие на обработку персональных данных и соответствует ли оно реальным целям сбора.
- 02Откройте сайт в режиме инкогнито и посмотрите сетевые запросы. Используйте вкладку Network в DevTools браузера: загружаются ли скрипты аналитики и cookie до клика на баннер согласия.
- 03Сравните политику конфиденциальности с реальной работой сайта. Упомянуты ли в политике все сторонние сервисы (аналитика, платёжные системы, чаты), которые фактически подключены.
- 04Проверьте, где размещены базы данных сервисов. Уточните у провайдеров аналитики, CRM, платёжных систем, хранятся ли данные на серверах в России или за рубежом.
- 05Уточните вопрос уведомления регулятора. Если данные передаются за границу — проверьте, требуется ли уведомление Роскомнадзора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Медицинские данные — это особая категория персональных данных?
Сведения о здоровье относятся к особой категории. Проверьте, собирает ли форма на сайте симптомы, диагнозы или жалобы — и есть ли для этого соответствующее согласие.
Нужно ли уведомлять Роскомнадзор, если сайт собирает данные пациентов?
Для трансграничной передачи персональных данных уведомление Роскомнадзора обязательно. Для других сценариев ответ зависит от способа обработки — точную оценку даёт юрист после проверки сайта.
Как понять, передаются ли данные пациентов за рубеж?
Откройте сайт в режиме инкогнито, включите DevTools (вкладка Network) и посмотрите домены запросов. Если видите обращения к серверам Google, зарубежных рекламных пикселей, иностранных соцсетей или зарубежным CDN — это сигнал для проверки.
Что будет, если трекеры стартуют до согласия пользователя?
Это может квалифицироваться как обработка персональных данных без законного основания. Регулятор оценивает такие эпизоды в контексте всей картины: какие данные собраны, куда переданы, было ли согласие.
Достаточно ли скопировать политику конфиденциальности с шаблона?
Нет. Политика должна описывать реальную работу сайта: какие данные собираются, для каких целей, кому передаются, где хранятся. Расхождение между документом и фактами создаёт риск санкций.
Можно ли использовать отчёт Dobrolex как доказательство соответствия закону?
Нет. Отчёт фиксирует обстоятельства на публичных страницах сайта и указывает на риски. Это не заменяет юридическую консультацию и не гарантирует полное соответствие — закрытые разделы и серверная часть не проверяются.
Что делать, если проверка выявила передачу данных иностранным сервисам?
Уточните у провайдера, где размещены базы данных и какие гарантии защиты он предоставляет. Если передача подтверждается — оцените необходимость корректировки политики конфиденциальности.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.