Клиника обрабатывает сведения о здоровье — это специальная категория данных с самыми дорогими штрафами. Разбираем, что должно быть на сайте, зачем подавать уведомление в Роскомнадзор и сколько стоит каждая ошибка.
Работаем только со стоматологическими клиниками. Приведём сайт и документы в соответствие с ПП 659, приказом 118н и ФЗ-152 — и дальше следим за изменениями законов сами. Как свой специалист в штате, только без зарплаты и отпусков.
Есть вопросы — позвоните: +7 495 240-85-65
* Пакет документов входит в обслуживание при оплате за год. Отдельно — 4 999 ₽.
Оператор — это любое лицо, которое организует и осуществляет обработку персональных данных. Клиника собирает ФИО, телефон, адрес, паспортные данные, а вместе с ними — сведения о состоянии здоровья. Последнее по статье 10 закона № 152-ФЗ относится к специальной категории персональных данных: требования к её обработке и защите строже, а санкции за нарушения выше.
Обработка начинается раньше, чем кажется. Даже если на сайте нет ни одной формы, счётчик аналитики уже собирает IP-адрес и идентификатор посетителя — это персональные данные. Поэтому политика обработки нужна сайту в любом случае, а не «когда появится запись на приём».
Отдельно: медицинская тайна по статье 13 ФЗ-323 и персональные данные по 152-ФЗ — разные правовые режимы, которые действуют одновременно. Соблюдение одного не закрывает второе.
До 2025 года многие клиники обходились без подачи уведомления, ссылаясь на исключения из статьи 22 закона. Сейчас это не работает: исключения сокращены, а для стоматологии их и не было — обработка сведений о здоровье под них не подпадает.
Главное изменение. С 30 мая 2025 года неподача уведомления стала отдельным составом административного правонарушения — часть 10 статьи 13.11 КоАП РФ, штраф до 300 000 ₽ на юридическое лицо. Раньше за это в худшем случае выносили предписание.
Есть и второй эффект, о котором предупреждают редко: если у клиники произойдёт утечка данных, отсутствие в реестре операторов будет расценено как отягчающее обстоятельство. То есть штраф за саму утечку окажется выше.
Подача бесплатна и занимает около часа: заполняется форма на портале pd.rkn.gov.ru, сведения вносятся в реестр в течение 30 дней. Главное — чтобы цели и категории данных в уведомлении совпадали с политикой обработки на сайте: расхождение проверяющий увидит сразу.
Подробная инструкция с разбором каждого поля, порядком действий при утечке и чек-листом — в отдельной статье: Уведомление в Роскомнадзор об обработке персональных данных.
Самая частая ошибка на сайтах клиник — один документ вместо двух. При проверке инспектор ищет их раздельно.
| Политика обработки ПДн | Согласие на обработку ПДн | |
|---|---|---|
| Чей документ | Оператора — клиники | Субъекта — пациента или посетителя |
| Когда нужен | Всегда, даже без форм на сайте | Под каждой формой сбора данных |
| Что описывает | Цели, состав, сроки, меры защиты, права субъектов | Конкретный перечень данных и целей для этой формы |
| Норма | ч. 2 ст. 18.1 ФЗ-152 — обязательна публикация | ст. 9 ФЗ-152 |
| Где на сайте | Отдельная страница + ссылка в подвале с каждой страницы | Отдельная страница + чекбокс со ссылкой в форме |
Требования к согласию ужесточились: оно должно быть конкретным, предметным, информированным и однозначным. Одна галочка «согласен со всем» под формой, где собираются и телефон для записи, и данные для рассылки, — это не согласие. Цели надо разделять.
Согласие пациента на обработку персональных данных и отдельное согласие на публикацию фото «до/после» и отзывов — то самое, за отсутствие которого штраф от 300 000 ₽. В пакете ещё 10 документов: договор по ПП 659, положение о платных услугах, ИДС, правила для пациентов, уголок потребителя. Файлы Word.
Бесплатно входит в обслуживание СтомСистемы при оплате за год.
Здесь мало кто из клиник понимает масштаб проблемы. Любой скрипт, загружаемый с зарубежного сервера, передаёт туда IP-адрес и данные посетителя — это трансграничная передача персональных данных со всеми процедурами: уведомление Роскомнадзора до начала передачи, оценка правового режима страны, возможный запрет.
Что чаще всего стоит на сайтах стоматологий и создаёт риск:
| Что стоит | Проблема | Чем заменить |
|---|---|---|
| Google Analytics, Google Tag Manager | Передача данных за рубеж | Яндекс.Метрика |
| Google reCAPTCHA | То же | Яндекс SmartCaptcha |
| Google Fonts с CDN | Передаёт IP при каждой загрузке страницы | Шрифты локально, со своего сервера |
| Формы Google, зарубежные CRM и рассылки | Хранение данных россиян за пределами РФ | Российские сервисы |
| Хостинг за рубежом | Нарушение локализации, ч. 5 ст. 18 ФЗ-152 | Хостинг в России |
С 1 июля 2025 года действует прямой запрет на первичный сбор персональных данных россиян в зарубежных базах. Штраф за сбор и хранение в базах за пределами РФ — до 6 млн ₽, при повторном нарушении до 18 млн ₽.
За минуту покажем, что на сайте вашей клиники не соответствует ФЗ-152: нет политики, чекбоксов в формах, cookie-баннера, стоят иностранные скрипты. Проверка идёт сразу и по приказу 118н и по ПП 659.
Размеры выросли после закона № 420-ФЗ от 30.11.2024 — новые санкции действуют с 30 мая 2025 года. Суммы для юридических лиц.
| Нарушение | Норма | Штраф |
|---|---|---|
| Обработка без согласия, когда оно обязательно (рассылки, реклама, публикация фото и отзывов пациентов), или с нарушением его состава | ч. 2 ст. 13.11 | 300 000 – 700 000 ₽ |
| То же, повторно | ч. 2.1 ст. 13.11 | 1 – 1,5 млн ₽ |
| Обработка в случаях, не предусмотренных законом | ч. 1 ст. 13.11 | 150 000 – 300 000 ₽, повторно 300 000 – 500 000 ₽ |
| Политика обработки не опубликована | ч. 3 ст. 13.11 | 30 000 – 60 000 ₽ |
| Неподача уведомления в Роскомнадзор | ч. 10 ст. 13.11 | 100 000 – 300 000 ₽ |
| Сбор и хранение данных россиян в зарубежных базах | ч. 8 и 9 ст. 13.11 | 1 – 6 млн ₽, повторно 6 – 18 млн ₽ |
| Утечка сведений о здоровье (специальная категория) | ч. 16 ст. 13.11 | 10 – 15 млн ₽ |
С 28 декабря 2025 года дела по статье 13.11 рассматривают мировые судьи. Отдельно напомним про уголовную статью 272.1 УК РФ за незаконный оборот персональных данных — она появилась тем же пакетом поправок.
Для сравнения: нарушения по составу информации на сайте стоят на порядок дешевле — предупреждение или до 10 000 ₽ по части 1 статьи 14.8 КоАП, а по приказу 118н сначала выдают предписание и штрафуют (30 000–50 000 ₽) только за его неисполнение. Именно поэтому персональные данные для клиники — самый дорогой участок, и заниматься им надо в первую очередь.
Визит инспектора в клинику для проверки сайта не нужен. Роскомнадзор ведёт автоматизированный мониторинг: сканеры обходят сайты и фиксируют формально проверяемые признаки — есть ли на странице политика обработки, стоит ли чекбокс в форме, загружаются ли скрипты с иностранных доменов, где размещён сайт. Присутствие оператора в реестре сверяется автоматически по ИНН.
Второй канал — жалобы. Пациент, недовольный лечением или счётом, вполне может пожаловаться в Роскомнадзор на обработку своих данных, и это станет поводом для внеплановой проверки. Конкурент — тоже.
Первый и последний пункты закрываются внутри клиники, остальные одиннадцать — это работа с сайтом.
Материал носит информационный характер и не является юридической консультацией. Проверяйте актуальную редакцию документа по первоисточнику.
Сайты клиник проверяют дистанционно: сканеру не нужен визит и согласование даты
Нарушение фиксируется, и клиника узнаёт о нём уже из постановления. Оспаривать после — дольше и дороже, чем закрыть заранее, особенно когда речь о штрафах до 700 000 ₽ по персональным данным или приостановлении деятельности до 90 суток. И хватит переплачивать: студия берёт за сайт как за стройку, а потом за каждую правку — в СтомСистеме всё это входит в обслуживание за 1 490 ₽ в месяц.
Проверка бесплатная и без регистрации, результат — на экране через минуту. Сайта ещё нет — посмотрите готовый. Нужен совет по вашей ситуации — оставьте заявку, перезвоним.