Сайт стоматологии и 152-ФЗ: где клиника собирает данные пациентов

Сайт стоматологии и 152-ФЗ: клиника собирает не контакты, а данные о здоровье

152-ФЗ смотрит не на вывеску, а на состав полей. Форма записи в стоматологию отличается от формы автосервиса одним элементом — выпадающим списком «выберите услугу». «Имплантация», «лечение пульпита», «удаление зуба мудрости» рядом с ФИО и телефоном — это уже не поле формы, а строчка о состоянии здоровья конкретного человека.

Данные о здоровье — специальная категория персональных данных, и по умолчанию обрабатывать их нельзя.

«Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2.1 настоящей статьи» — ч. 1 ст. 10 152-ФЗ.

Из исключений клинику реально касаются два: письменное согласие пациента (п. 1 ч. 2 ст. 10) и так называемое медицинское исключение (п. 4 ч. 2 ст. 10). Второе устроено уже, чем кажется, — вернёмся к нему на формах и виджетах.

И есть второй слой, которого нет у немедицинского бизнеса: сам факт обращения человека в клинику — врачебная тайна (ч. 1 ст. 13 323-ФЗ, «сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе... составляют врачебную тайну»). Другой закон, другой регулятор — и именно он делает историю с фото «до/после» серьёзнее, чем принято думать.

Поэтому начинать стоит не с документов, а с инвентаризации: где на сайте данные пациентов вообще появляются.

9 мест, где сайт клиники собирает персональные данные пациентов

Инвентаризацию делают не по папке с документами, а по сайту: открываете свой и идёте сверху вниз по каждой кнопке, форме и виджету. Персональные данные пациентов на сайте клиники редко лежат в одном месте — они растекаются по девяти типовым точкам. Все девять сразу бывают редко, но три-четыре есть даже у визитки на конструкторе.

В третьей колонке восемь «да» из девяти. Спорная строка одна — девятая: прямой нормы, что просмотр страницы услуги это данные о здоровье, нет. Но связка «идентификатор пользователя + страница о лечении пародонтита», уходящая третьей стороне, — ровно тот случай, где безопаснее перестраховаться.

Отличие сайта клиники от обычного сайта услуг не в числе форм, а в том, что почти каждая форма тянет за собой сведения о здоровье. Привычный набор «политика плюс чекбокс» здесь — минимум, но не достаточный.

Онлайн-запись, квиз и чат: какое согласие нужно и где кончается медисключение

Медицинское исключение обычно читают как «мы клиника, нам можно». Но условие в п. 4 ч. 2 ст. 10 152-ФЗ привязано не к цели, а к лицу, которое обрабатывает данные:

«...при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну».

Сервис онлайн-записи, чат-платформа и коллтрекинг под это описание не подходят: медицинской деятельностью профессионально они не занимаются и врачебную тайну хранить не обязаны. Прямого ответа, покрывается ли исключением веб-форма или квиз, в законе нет, разъяснений регулятора по формам на сайтах клиник тоже. Вопрос спорный — на практике безопаснее взять отдельное согласие.

Каким оно должно быть. По ч. 1 ст. 9 152-ФЗ — «конкретным, предметным, информированным, сознательным и однозначным». А с 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые подписывает или подтверждает человек (ст. 5 закона от 24.06.2025 № 156-ФЗ). Отсюда вывод про согласие при онлайн-записи в стоматологию: галочка «согласен с политикой» внутри формы закрывает согласие на политику, но не заменяет отдельно оформленное согласие на обработку. Отозвать его пациент тоже вправе (ч. 2 ст. 9).

Отдельная зона риска — квизы и калькуляторы стоимости имплантации: пока человек кликает варианты про число отсутствующих зубов и состояние дёсен, он заполняет анкету о здоровье, а поле «телефон» появляется на последнем шаге. Где ставить чекбокс в такой механике и что писать рядом — разбирали в статье про согласие в квизе и лид-форме.

Если запись, чат или коллтрекинг работают на внешней платформе (YCLIENTS, Jivo, Bitrix24, Calltouch и подобных), обработка поручена другому лицу — нужен договор поручения (ч. 3 ст. 6), причём ответственность перед пациентом остаётся на клинике. Второй вопрос к сервису — локализация: первичный сбор данных граждан РФ ведётся в базах на территории России (ч. 5 ст. 18). Мы не утверждаем, что конкретный сервис что-то нарушает: правильное действие — запросить поручение и уточнить, где ведётся запись данных.

Коллтрекинг стоит отметить отдельно: подменный номер и аудиозапись, где пациент описывает боль и прошлое лечение, — тоже обработка персональных данных, и у неё должно быть основание.

Фото «до/после» и отзывы: три разных согласия на одну картинку

Типичная подпись под портфолио улыбок: «Ирина, 34 года, имплантация 4 зубов». Одна картинка — три разных действия, и у каждого своё основание.

• Разглашение врачебной тайны: публикуется факт обращения и что лечили. Допускается только с письменного согласия гражданина или его законного представителя (ч. 3 ст. 13 323-ФЗ).
• Распространение персональных данных: «согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения, оформляется отдельно от иных согласий» (ч. 1 ст. 10.1 152-ФЗ).
• Обнародование изображения: оно «допускается только с согласия этого гражданина» (п. 1 ст. 152.1 ГК РФ). Три исключения статьи — публичные интересы, съёмка в местах, открытых для свободного посещения, и позирование за плату — к портфолио улыбок не подходят.

Заблуждение, которое стоит проговорить: «медорганизациям не нужно согласие на публикацию фото, если это информирование пациентов». Нормы, которая это разрешала бы, нет, а три перечисленные — против. У согласия на распространение есть и утверждённый состав (приказ Роскомнадзора от 24.02.2021 № 18, действует до 1 сентября 2027 года):

• ФИО пациента и контактная информация;
• сведения об операторе, то есть о клинике;
• информационные ресурсы, где будет размещение: сайт, конкретные соцсети;
• цель обработки, категории и перечень данных;
• условия, запреты и условия передачи (факультативно);
• срок действия согласия.

Второй риск не государственный: если изображение попало в интернет без согласия, пациент вправе требовать его удаления и пресечения дальнейшего распространения (п. 3 ст. 152.1 ГК РФ). Это иск от самого человека, и он не зависит от того, дошёл ли до клиники Роскомнадзор.

С отзывами механизм тот же, только мягче на вид: публикуя отзыв с именем, фото и описанием лечения, клиника публикует факт обращения — то есть врачебную тайну. То, что человек написал похожий отзыв на картах, ничего не меняет: речь про то, что клиника размещает у себя.

Детская стоматология и аналитика: две точки, о которых забывают

Эти две точки лучше всего показывают, где закон про данные пациентов стоматологии расходится с интуицией администратора и маркетолога.

Детскую форму заполняет родитель, а вводит данные двух субъектов: свои и ребёнка — имя, возраст, иногда жалобу. Два набора персональных данных в одной заявке, и об этом почти никогда не сказано ни в форме, ни в тексте согласия. 152-ФЗ говорит о согласии, данном субъектом или его представителем (ч. 1 ст. 9), и прямо называет законного представителя только для случая недееспособности субъекта (ч. 6 ст. 9). Прямой нормы «за несовершеннолетнего согласие даёт родитель» в 152-ФЗ нет — она выводится из правил о дееспособности (ст. 26, 28 ГК РФ) и статуса родителей как законных представителей (ч. 1 ст. 64 СК РФ); на практике согласие берут у законного представителя.

Аналитика на страницах услуг. Счётчики и рекламные пиксели стоят сплошным слоем, в том числе на страницах «Имплантация» и «Лечение пародонтита». Связка «идентификатор + страница о конкретном лечении», уходящая наружу, — не то, что закон прямо назвал данными о здоровье, но тот случай, когда их безопаснее считать чувствительными. Действие простое: посмотреть, какие счётчики стоят именно на страницах услуг, есть ли с их владельцами поручение (ч. 3 ст. 6) и где ведётся первичный сбор (ч. 5 ст. 18).

Требования к сайту стоматологии, которые не про персональные данные

Часть обязанностей у клиники общая с любым сайтом услуг — политика, согласия, уведомление в Роскомнадзор; базовый набор разбирали в материале про требования Роскомнадзора к сайту услуг. Но есть и специфические требования к сайту стоматологии, к 152-ФЗ отношения не имеющие.

С 1 сентября 2026 года действуют новые Правила предоставления платных медицинских услуг, утверждённые постановлением Правительства РФ от 30.05.2026 № 659; они пришли на смену Правилам из постановления № 736 и действуют до 1 сентября 2031 года. По разделу III Правил информация об исполнителе и услугах доводится в соответствии со ст. 8–10 Закона «О защите прав потребителей» и размещается на сайте клиники и на информационных стендах. В составе, среди прочего:

• ОГРН, адрес, ИНН и адрес сайта — для юрлица; для ИП дополнительно ФИО и адрес места жительства;
• сведения о лицензии: регистрационный номер и лицензирующий орган, включая уведомление о приостановлении деятельности;
• перечень платных медицинских услуг с ценами в рублях;
• сроки ожидания предоставления услуг;
• сведения о медицинских работниках и их квалификации.

И развилка «сайт против рекламы». По позиции ФАС информация о собственных услугах на своём сайте носит информационно-справочный характер и под закон о рекламе в общем случае не подпадает. А баннер «имплант под ключ за 29 900» в РСЯ или таргете — реклама, и уже в самом объявлении обязательно предупреждение о противопоказаниях и необходимости консультации специалиста, которому отведено не менее 5 % рекламной площади (ч. 7 ст. 24 38-ФЗ).

Ещё пункт на стыке с 152-ФЗ — реестр операторов персональных данных. Уведомление подаётся до начала обработки (ч. 1 ст. 22), формы утверждены приказом Роскомнадзора от 28.10.2022 № 180, а проверить, есть ли клиника в реестре, можно публично на pd.rkn.gov.ru.

Что делать клинике: порядок действий и цена ошибки

1. Пройти по своему сайту и выписать, какие из девяти точек у вас есть, — включая те, про которые думаешь «это же просто виджет».
2. Проверить, что согласие оформлено отдельным документом, а не пунктом внутри формы записи или политики (требование действует с 1 сентября 2025 года).
3. По каждому стороннему сервису — запись, чат, коллтрекинг, аналитика — выяснить, есть ли договор поручения и где ведётся первичный сбор данных.
4. Для фото «до/после» и отзывов оформить согласие на распространение по составу из приказа № 18 и письменное согласие на разглашение врачебной тайны. Проверить архив публикаций, а не только новые.
5. Для детской записи — согласие законного представителя и понимание, что в заявке два субъекта.
6. Проверить, стоит ли клиника в реестре операторов и актуальны ли сведения в уведомлении.

Про цену ошибки — коротко, потому что статья не о ней. Одна цифра, которую стоит знать: утечка данных, включающих специальную категорию, — 10–15 млн ₽ для юридического лица независимо от числа пострадавших (ч. 16 ст. 13.11 КоАП): для клиники с тремя сотнями карт вилка та же, что для сети с тремястами тысячами. Обработка без письменного согласия, когда оно требуется (ч. 2 ст. 13.11), и неопубликованная политика (ч. 3 ст. 13.11) — отдельные составы; полная таблица штрафов и общий чек-лист — в разборе 152-ФЗ для медицинских сайтов.

Главное: у стоматологии не «просто сайт». У неё девять входов, через которые в бизнес попадают сведения о здоровье живых людей, и закрывается это не одной бумагой, а инвентаризацией. Материал носит информационный характер и не является юридической консультацией.