Какие персональные данные собирает сайт стоматологии
Сайт клиники обычно собирает фамилию, имя, телефон и адрес электронной почты через форму записи на приём. Если в форме есть поле «Опишите жалобу» или «Какая услуга интересует», пациент может указать симптомы — это уже данные о здоровье, которые относятся к специальной категории по 152-ФЗ.
Кроме явных форм, сайт передаёт данные посетителя системам аналитики: IP-адрес, идентификаторы браузера, страницы просмотра, время визита. Если эти данные уходят к иностранным сервисам (Google Analytics, зарубежные рекламные пиксели), возникает вопрос о трансграничной передаче и необходимости уведомления Роскомнадзора.
Проверка сайта начинается с фиксации: какие поля есть в формах, какие внешние скрипты и трекеры работают на странице, какие запросы отправляются в момент загрузки — до любого действия посетителя. Это показывает, что клиника собирает на самом деле, а не только то, что написано в политике.
Что должно быть в политике обработки персональных данных стоматологии
Политика обработки персональных данных обязательна для любого оператора, который собирает данные граждан. В политике должны быть указаны: полное наименование клиники, ИНН, ОГРН, адрес, контакты для обращений субъектов данных.
Политика описывает цели обработки (запись на приём, консультация, ведение медицинской карты), категории данных (контактные, данные о здоровье), сроки хранения, меры защиты, права пациента — на доступ, исправление, удаление, отзыв согласия. Если клиника передаёт данные третьим лицам (например, в лабораторию или колл-центр), это тоже должно быть указано.
Проверка фиксирует, опубликована ли политика на сайте, есть ли ссылка на неё рядом с формой, соответствует ли содержание требованиям закона. Если политики нет или она не содержит обязательных сведений, это создаёт риск нарушения.
Согласие на обработку персональных данных пациента
Данные о здоровье обрабатываются только с письменного согласия пациента, если речь не идёт об оказании медицинской помощи по договору. На сайте, где пациент ещё не заключил договор, согласие обязательно.
Согласие должно быть конкретным: пациент понимает, кто, какие данные, зачем и как долго будет обрабатывать. Галочка «Я согласен с политикой конфиденциальности» без расшифровки может не считаться согласием. Проверка фиксирует, как оформлено согласие: есть ли чекбокс, активен ли он по умолчанию (должен быть неактивен), есть ли ссылка на текст политики, указан ли срок действия согласия.
Если форма собирает данные о здоровье, а согласие оформлено как простая галочка без текста — это риск. Если трекеры запускаются до того, как пациент поставил галочку, данные уже переданы без согласия — это тоже сигнал для исправления.
Трансграничная передача данных и аналитика на сайте
Если на сайте установлены Google Analytics, Hotjar, зарубежные рекламные пиксели или другие иностранные сервисы, данные посетителя могут передаваться за границу. 152-ФЗ требует, чтобы передача в страны, не обеспечивающие адекватную защиту данных, происходила с письменного согласия субъекта и с уведомлением Роскомнадзора.
Проверка открывает сайт с чистой сессии и фиксирует, какие внешние домены получают запросы: если это googleapis.com, google-analytics.com, doubleclick.net — данные могут уходить за рубеж. Это не означает автоматическое нарушение, но создаёт обязанность проверить: есть ли согласие пациента на такую передачу, подано ли уведомление, используются ли серверы этих сервисов в России.
Если уведомление не подано, а данные передаются, это может квалифицироваться как обработка без законных оснований. Проверка даёт список внешних сервисов — дальше нужна консультация юриста и настройка аналитики (например, переход на Яндекс Метрику или изменение настроек Google Analytics).
Как проверить сайт стоматологии на соответствие 152-ФЗ
Проверка начинается с публичных страниц: главная, страница контактов, формы записи. Сайт открывается с чистой сессии — как его видит новый посетитель, до любого согласия и действия. Фиксируются снимки экранов, тексты документов, сетевые запросы браузера.
Проверяется наличие и содержание политики обработки персональных данных, оформление согласий в формах, работа cookie-баннера (есть ли кнопка отказа, стартуют ли трекеры до согласия), список внешних сервисов и доменов, получающих данные. Каждый факт связывается с нормой закона и получает оценку риска.
Результат проверки — заключение с описанием эпизодов, которые создают риск нарушения, рекомендациями по исправлению и ориентировочным диапазоном санкций. Если эпизодов не найдено, заключение подтверждает, что на осмотренных страницах признаков нарушений нет — это не гарантия соответствия всей клиники закону, но показывает, что публичная часть в порядке.
- Политика обработки персональных данных опубликована и содержит обязательные сведения об операторе
- Форма записи содержит ссылку на политику и чекбокс согласия, неактивный по умолчанию
- Трекеры и аналитика не стартуют до согласия посетителя
- Cookie-баннер позволяет отказаться от необязательных файлов
- Внешние сервисы, получающие данные, перечислены в политике
- Указаны контакты для обращений пациентов по вопросам персональных данных
Проверьте сайт стоматологии по 152-ФЗ
- 01Политика конфиденциальности. Откройте страницу политики обработки персональных данных. Проверьте: указаны ли название клиники, ИНН, ОГРН, адрес, контакты, цели обработки, сроки хранения, права пациента.
- 02Согласие в форме записи. Откройте форму записи на приём. Проверьте: есть ли чекбокс согласия на обработку данных, неактивен ли он по умолчанию, есть ли ссылка на политику, указан ли срок действия согласия.
- 03Cookie-баннер. Откройте сайт в режиме инкогнито. Проверьте: появляется ли баннер о cookie, есть ли кнопка «Отклонить» или настройка категорий, можно ли отказаться от аналитики.
- 04Внешние сервисы. Откройте инструменты разработчика браузера (F12), вкладка «Сеть». Обновите страницу и посмотрите, какие домены получают запросы: если google-analytics.com, doubleclick.net — данные могут уходить за границу.
- 05Контакты для обращений. Проверьте, указан ли в политике адрес электронной почты или телефон, по которому пациент может запросить удаление данных, исправление или отозвать согласие.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли стоматологии уведомлять Роскомнадзор об обработке персональных данных?
Обычно да: медицинские организации обрабатывают данные о здоровье, и это требует уведомления. Исключение — если обработка ведётся только на основании договора оказания медицинских услуг и без передачи третьим лицам. Проконсультируйтесь с юристом, чтобы определить вашу ситуацию.
Можно ли использовать Google Analytics на сайте стоматологии?
Можно, если получено согласие пациента на передачу данных за границу и подано уведомление Роскомнадзора о трансграничной передаче. Альтернатива — настроить Google Analytics с серверами в России или перейти на Яндекс Метрику.
Что будет, если на сайте клиники нет политики обработки персональных данных?
Отсутствие политики может квалифицироваться как нарушение требований о публикации документа об обработке персональных данных. Это создаёт риск административной ответственности при проверке Роскомнадзора.
Нужно ли получать согласие на обработку данных, если пациент просто записывается на консультацию?
Да, если запись происходит через сайт и до заключения договора. Данные о здоровье (симптомы, жалобы) обрабатываются только с письменного согласия. Контактные данные тоже требуют согласия, если обработка не основана на договоре.
Как узнать, уходят ли данные с сайта клиники за границу?
Откройте сайт в режиме инкогнито, нажмите F12, перейдите на вкладку «Сеть» и обновите страницу. Посмотрите, какие домены получают запросы. Если видите google.com, google-analytics.com, doubleclick.net — данные могут передаваться за рубеж.
Может ли пациент потребовать удалить свои данные с сайта?
Да, 152-ФЗ даёт субъекту право на удаление данных и отзыв согласия. Клиника обязана предоставить способ обращения с таким запросом — обычно это email или телефон, указанные в политике обработки персональных данных.
Что покажет проверка сайта стоматологии?
Проверка фиксирует, какие данные собирает сайт, опубликована ли политика, как оформлены согласия, какие внешние сервисы получают запросы, стартуют ли трекеры до согласия. Результат — заключение с фактами, оценкой рисков и рекомендациями по исправлению.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.