Косметология и персональные данные: сайт один, режима два
Персональные данные на сайте косметологии живут в двух режимах одновременно. Какой включится — определяет не вывеска, не название юрлица и не то, кем считает себя владелец, а конкретная процедура.
Водораздел проходит по лицензии. «Косметология» стоит отдельной строкой в перечне работ и услуг, составляющих медицинскую деятельность (постановление Правительства РФ от 01.06.2021 № 852) — это лицензируемая медицинская помощь; там же отдельной строкой медицинский массаж. Парикмахерские и косметические услуги живут в другом акте — Правилах бытового обслуживания населения (постановление Правительства РФ № 1514).
Закрытого списка «эта процедура медицинская, а эта бытовая» в нормах нет, местами граница объективно размыта. Проверяемый маркер, не требующий юридической квалификации: есть ли лицензия по профилю «косметология» и оказывает ли процедуру медицинский работник. Если да — к обычному набору 152-ФЗ добавляются врачебная тайна, которую составляет в том числе сам факт обращения (ч. 1 ст. 13 323-ФЗ), и требования к рекламе медуслуг.
Одна форма, два режима. Выпадающий список процедур в форме записи почти всегда смешивает бытовую услугу и лицензируемую медицинскую помощь: телефон приходит через одну кнопку, а правовой режим у строк списка разный. Разложите список по водоразделу прежде, чем править согласия.
10 мест, где сайт косметологии собирает данные клиентов
Владелец обычно называет одну точку — форму записи. Реально их около десяти, и половина отдаёт данные наружу: в сервис онлайн-записи, в конструктор квиза, в рекламный кабинет, в банк. Инвентаризация, под которую удобно проверять сайт клиники косметологии на соответствие 152-ФЗ:
| Точка на сайте | Что собирается | Почему чувствительно | Что требуется |
|---|---|---|---|
| 1. Форма записи со списком процедур | ФИО, телефон, выбранная процедура | Процедура рядом с контактами говорит о состоянии клиента | Согласие под формой; по медицинскую сторону — письменная форма |
| 2. Квиз «подберите процедуру» | Возраст, тип кожи, «что вас беспокоит», иногда фото | Анкета о здоровье до договора и до визита, часто в чужом сервисе | Согласие внутри квиза и договор поручения |
| 3. Онлайн-анкета противопоказаний | Беременность, аутоиммунные, онкология, антикоагулянты, аллергии | Прямая специальная категория | Согласие в письменной форме |
| 4. «Пришлите фото проблемной зоны» | Фото лица или тела и переписка о состоянии | Изображение и сведения о здоровье в одном сообщении | Согласие; плюс вопрос, чем является такой формат |
| 5. Портфолио «до/после» | Лицо без макияжа, подпись с процедурой, иногда имя | Состояние человека — неограниченному кругу лиц | Согласие на распространение, на изображение, врачебная тайна |
| 6. Отзывы с именем и фото | Имя, фото, описание процедуры и результата | Раскрывается сам факт обращения | То же, что по строке 5 |
| 7. Виджет записи стороннего сервиса | Всё из строки 1 — сразу в чужую базу | Наружу уходит не телефон, а сведения о состоянии | Договор поручения; предупредить клиента |
| 8. Аналитика и пиксели на страницах процедур | Идентификатор посетителя и адрес страницы процедуры | Связка «человек плюс процедура» уходит третьей стороне | Согласие до запуска счётчиков, осторожность с ретаргетингом |
| 9. Заявка на рассрочку курса | ФИО, паспорт, согласие на запрос в бюро кредитных историй | Данные уходят банку или МФО, название услуги чувствительно | Отдельная цель и отдельное согласие |
| 10. Личный кабинет, история процедур | Накопленная история процедур клиента | Это уже не «карточка гостя» | Хранение и доступ как к медицинским сведениям |
Дальше подробно: строки 2–4 — в следующем разделе, 5 и 6 — в разделе про фото, 8 — в разделе про рекламу, остальные коротко в конце. Правило простое: чем ближе строка к описанию состояния клиента, тем строже режим.
Не уверены, какие из этих десяти точек живут на вашем сайте и куда с них уходят данные? Проверьте сайт косметологии на согласия и медданные: аудит покажет, какие формы, чекбоксы, политика и сторонние скрипты реально работают на страницах.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтАнкета, квиз и «пришлите фото проблемной зоны»: спецкатегория до первого визита
Сведения о состоянии здоровья — специальная категория, и по общему правилу их обработка не допускается (ч. 1 ст. 10 152-ФЗ). Для онлайн-анкеты противопоказаний реалистичное исключение одно: согласие в письменной форме (п. 1 ч. 2 ст. 10). Не галочка на планшете: состав такого согласия задан ч. 4 ст. 9 — от реквизитов документа, удостоверяющего личность, до срока действия и способа отзыва.
Анкета противопоказаний — это специальная категория. Беременность и лактация, аутоиммунные заболевания, онкология, приём антикоагулянтов, герпес, аллергии: как только эти поля появились в онлайн-форме, вы обрабатываете данные о здоровье. Доказывать, что согласие получено, обязан оператор (ч. 3 ст. 9 152-ФЗ), а не клиент.
Медико-профилактическое исключение (п. 4 ч. 2 ст. 10) сформулировано через лицо, а не через цель: обработку ведёт тот, кто профессионально занимается медицинской деятельностью и обязан сохранять врачебную тайну. Салону красоты оно недоступно вообще, лицензированной косметологии доступно — но покрывает ли оно сбор данных через веб-форму до первого очного приёма, юридически не решено: ни разъяснений, ни практики. Зато из текста нормы видно, что маркетинговые цели в её перечень не входят, а конструктор квиза и сервис записи медицинской деятельностью не занимаются. Безопаснее взять отдельное письменное согласие.
Квиз «подберите процедуру» — та же анкета о здоровье, собранная до договора и до визита, часто в чужом конструкторе. Как сделать согласие внутри квиза конкретным, предметным и информированным, как требует ч. 1 ст. 9, разбирали отдельно — в материале про согласие в квизе и лид-форме. Косметологии к этому нужны письменная форма и договор поручения с сервисом.
«Пришлите фото проблемной зоны — врач подберёт процедуру». Вопрос не только в том, что через мессенджер разом пришли изображение и данные о здоровье, но и в том, чем является сам формат. По ст. 36.2 323-ФЗ дистанционно ведут профилактику, сбор и анализ жалоб и анамнеза, наблюдение и принятие решения о необходимости очного приёма; диагноз и назначение лечения по общему правилу — после очного приёма (исключение есть для участников экспериментального правового режима). Участники идентифицируются через единую систему идентификации и аутентификации, чему переписка в мессенджере не отвечает.
Новое с 1 сентября 2025 года. Согласие оформляется отдельно от иных информации и документов, которые подписывает субъект (ст. 5 Федерального закона от 24.06.2025 № 156-ФЗ). Одна галочка «согласен с офертой, политикой и даю согласие» под формой записи больше не проходит.
Фото «до/после» в косметологии: четыре согласия на одну фотографию
Одна фотография в портфолио — и под ней сразу несколько оснований, у каждого свой закон и свой способ сломаться. В салоне красоты таких оснований три: обработка, распространение, обнародование изображения. В клинике тоже три, но набор другой. Косметология стоит на стыке — и по медицинскую сторону водораздела они складываются в четыре.
Четыре согласия на одну фотографию. 1) На обработку данных — ст. 9 152-ФЗ, с 01.09.2025 отдельным документом. 2) На распространение — отдельно от иных согласий, ч. 1 ст. 10.1, состав по приказу Роскомнадзора № 18. 3) На обнародование изображения — п. 1 ст. 152.1 ГК РФ; это иск клиента, а не проверка регулятора. 4) На разглашение врачебной тайны — письменное, ч. 3 ст. 13 323-ФЗ; появляется только по медицинскую сторону водораздела.
Согласие на распространение — не абзац в общем документе. Приказ Роскомнадзора от 24.02.2021 № 18 задаёт девять позиций его состава:
- ФИО субъекта;
- контактная информация — телефон, почта или почтовый адрес;
- сведения об операторе: наименование или ФИО, ИНН, ОГРН либо ОГРНИП;
- сведения об информационных ресурсах, через которые открывается доступ неограниченному кругу лиц;
- цель или цели обработки;
- категории и перечень данных — отдельно общие, специальные, биометрические;
- категории и перечень данных, по которым субъект ставит условия и запреты;
- условия передачи: только по внутренней сети или с использованием сетей связи;
- срок действия согласия.
Особое внимание — на четвёртую позицию. Если в согласии назван только сайт, публикация того же фото в аккаунте клиники в соцсети им не покрыта. Перечисляйте все площадки, где реально публикуетесь.
«Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешённых субъектом персональных данных для распространения». — ч. 8 ст. 10.1 152-ФЗ
Эта норма закрывает типовые самооправдания. «Клиентка не возражала» — молчание согласием не является. «У неё это и так в сторис» — если субъект раскрыл данные не оператору, законность распространения доказывает каждое распространившее лицо (ч. 2 ст. 10.1); Пленум Верховного Суда РФ в постановлении от 23.06.2015 № 25 указал то же самое. «У нас есть общее согласие» — если в нём нет перечня категорий, условий и запретов, данные обрабатываются без распространения неограниченному кругу лиц (ч. 5 ст. 10.1). А если клиент передумал, передача прекращается в течение трёх рабочих дней, согласие перестаёт действовать с момента поступления требования (чч. 12–14 ст. 10.1), и снимок он вправе потребовать удалить из сети (п. 3 ст. 152.1 ГК).
Когда фото становится биометрией. Портрет анфас без макияжа выглядит как биометрия, но становится ею, только если оператор использует изображение для установления личности (ч. 1 ст. 11 152-ФЗ). Портфолио и отзывы сами по себе к биометрии не относятся — а вход в личный кабинет по лицу уже другой разговор.
Реклама и ретаргетинг: как страница про ботокс становится данными о здоровье
Страницы услуг на собственном сайте — по позиции ФАС информационно-справочная информация, которая под закон о рекламе в общем случае не подпадает. Баннер в рекламной сети или таргетированное объявление — уже реклама, и там включаются требования к рекламе медицинских услуг.
И вот здесь сюрприз, о котором почти не говорят. Реклама не должна содержать ссылки на конкретные случаи излечения от заболеваний или улучшения состояния здоровья (п. 2 ч. 1 ст. 24 38-ФЗ) и выражение благодарности физическими лицами (п. 3 ч. 1 ст. 24), а часть 3 той же статьи распространяет требования пунктов 2–5 части 1 также на рекламу медицинских услуг. Любимый креатив «до/после плюс отзыв благодарной клиентки» упирается не только в согласия, но и в прямой запрет закона о рекламе.
Второе требование — предупреждение о противопоказаниях и необходимости консультации специалиста: при распространении «иными способами», куда попадает интернет, ему отводится не менее 5 % рекламной площади (ч. 7 ст. 24). Это требование к рекламе, а не к самому сайту клиники. Перед запуском кампании пройдитесь по чек-листу перед запуском рекламы.
Отдельная история — ретаргетинг по страницам процедур. Прямой нормы, которая называла бы просмотр страницы «увеличение губ» данными о здоровье, нет. Но связка «идентификатор пользователя плюс страница о конкретной процедуре», уходящая третьей стороне, — ровно тот случай, где безопаснее перестраховаться: реклама догоняет человека на общем домашнем компьютере, и о планах клиентки узнают все. Счётчики и пиксели запускайте после согласия, списки ретаргетинга по страницам конкретных процедур не собирайте.
Требования к сайту косметологии, которые не про согласия
По медицинскую сторону водораздела на сайте появляется обязательный информационный блок. С 1 сентября 2026 года действуют новые Правила предоставления платных медицинских услуг (постановление Правительства РФ от 30.05.2026 № 659): по разделу III информация об исполнителе и услугах размещается на сайте исполнителя при его наличии — ОГРН, адрес, ИНН и адрес сайта, для ИП дополнительно ФИО и адрес места жительства; сведения о лицензии; перечень услуг с ценами в рублях; сроки ожидания; сведения о медработниках и их квалификации. Про лицензию того же требует ст. 9 Закона «О защите прав потребителей».
Политика обработки персональных данных публикуется на страницах сайта — редкий случай, когда норма говорит именно про сайт (ч. 2 ст. 18.1 152-ФЗ). Уведомление в Роскомнадзор подаётся до начала обработки (ч. 1 ст. 22): прежние «бытовые» исключения не работают с 1 сентября 2022 года, а из действующих косметологии подходит разве что бумажный журнал вместо CRM. Проверить себя можно в реестре операторов, а процедура разобрана в инструкции «как подать уведомление в РКН».
Оставшиеся строки таблицы — коротко. Сторонний сервис записи: нужен договор поручения с обязательным составом условий — перечень данных и действий, цели, конфиденциальность, требования безопасности, отчётность (ч. 3 ст. 6 152-ФЗ); перед клиентом всё равно отвечаете вы. Стык «поручение и врачебная тайна» прямо не урегулирован: исключение про обмен информацией в информационных системах написано про медицинские организации, поэтому согласие формулируют так, чтобы оно покрывало и передачу сведений привлечённым сервисам. Рассрочка — отдельная цель и отдельное согласие. Личный кабинет с историей процедур — уже не «карточка гостя». И одной строкой: базы с данными граждан РФ должны находиться в России (ч. 5 ст. 18 152-ФЗ).
Что делать: порядок действий и цена ошибки
- Разложите услуги по водоразделу: что делает медработник по лицензии, а что нет. От этого зависит всё остальное.
- Пройдите по десяти точкам таблицы и выпишите, что реально собирает каждая форма и куда данные уходят.
- Разведите согласия: отдельный документ на обработку, письменная форма там, где собирается анкета о здоровье. Согласие клиента косметолога на обработку данных должно быть конкретным и предметным, а не «на всё сразу».
- Для портфолио и отзывов оформите согласие на распространение по составу приказа № 18 — с перечислением всех площадок; по медицинскую сторону добавьте письменное согласие на разглашение врачебной тайны.
- Проверьте сторонние сервисы: есть ли договор поручения и что в нём. Счётчики и пиксели запускайте после согласия.
- Опубликуйте политику на страницах сайта, проверьте себя в реестре операторов, при необходимости подайте уведомление.
- Разместите информационный блок по разделу III Правил платных медуслуг, если деятельность лицензируемая.
Про практику честно: специализированной опубликованной практики по косметологическим клиникам почти нет, механизм ответственности общий. Ключевой состав ниши — ч. 2 ст. 13.11 КоАП, обработка без согласия в письменной форме, когда оно требуется: 10 000–15 000 ₽ для граждан, 100 000–300 000 ₽ для должностных лиц, 300 000–700 000 ₽ для юрлиц, ИП отвечает как должностное лицо. Оговорка важна: этот состав привязан к случаю, когда письменная форма обязательна (анкета, квиз о состоянии, фото проблемной зоны), а обычная форма «имя плюс телефон» без согласия — это часть 1. Неопубликованная политика для ИП — 10 000–20 000 ₽, для юрлица 30 000–60 000 ₽ (ч. 3 ст. 13.11). А почему данные о здоровье дороже прочих, видно по ч. 16 ст. 13.11: утечка со специальной категорией — 10–15 млн ₽ для юрлица независимо от числа пострадавших. Есть и ст. 272.1 УК РФ, действующая с 11 декабря 2024 года, где специальные категории — квалифицирующий признак.
Общий чек-лист и полная таблица штрафов для медицинского сайта — в отдельном разборе «152-ФЗ для медицинских сайтов»: если у вас есть лицензия по профилю «косметология», он закрывает вторую половину задачи.
Материал носит информационный характер и не является юридической консультацией. Нормы приведены в действующих редакциях на дату публикации.