Политика обработки персональных данных на сайте клиники: что в ней должно быть
Политика публикуется всегда — даже если на сайте нет ни одной формы, счётчик уже собирает данные посетителей. Разбираем структуру документа для клиники и пять причин, по которым скачанный шаблон опаснее его отсутствия.
Обновлено 31 августа 2026~9 мин чтенияПроверено по первоисточнику
Коротко
Политика обработки персональных данных публикуется всегда, даже если на сайте нет ни одной формы: счётчик аналитики уже собирает IP и идентификатор посетителя.
Обязанность прямая — часть 2 статьи 18.1 закона № 152-ФЗ. За неопубликованную политику 30 000 – 60 000 ₽ по части 3 статьи 13.11 КоАП.
Политика и согласие — разные документы. При проверке их ищут раздельно.
Скачанный из интернета шаблон опаснее его отсутствия: в нём цели и категории данных не совпадут ни с реальностью, ни с уведомлением в Роскомнадзор.
Для клиники обязательно указать специальную категорию данных — сведения о состоянии здоровья.
БЕСПЛАТНАЯ ПРОВЕРКА САЙТА
Проверьте свой сайт бесплатно
За минуту покажем, есть ли на сайте политика и текст согласия, стоят ли чекбоксы в формах, работает ли cookie-баннер и не загружаются ли иностранные скрипты. Заодно проверим приказ 118н и Правила платных медуслуг.
Так выглядит результат:
✕Нет прейскуранта в рублях — штраф до 20 000 ₽
✕Нет сведений о лицензии текстом — штраф до 20 000 ₽
✓Политика обработки персональных данных есть
…и так по каждому из 39 пунктов — с нормой закона и суммой штрафа
39 требований законаБез регистрацииПроверка за 1 минуту
Кому и когда нужна политика
Часть 2 статьи 18.1 закона № 152-ФЗ обязывает оператора опубликовать документ, определяющий политику обработки персональных данных, или обеспечить неограниченный доступ к нему иным образом. Для сайта это означает отдельную страницу, открытую без регистрации.
Распространённое возражение — «у нас на сайте нет форм, мы данные не собираем» — не работает. Обработка начинается раньше: Яндекс.Метрика фиксирует IP-адрес и идентификатор пользователя, cookie сохраняются в браузере. Это персональные данные, и оператором клиника становится в момент установки счётчика.
Чем политика отличается от согласия
Политика обработки
Согласие на обработку
Чей документ
Клиники как оператора
Пациента как субъекта
Норма
ч. 2 ст. 18.1 ФЗ-152
ст. 9 ФЗ-152
Когда нужен
Всегда
Под каждой формой сбора данных
Что описывает
Всю обработку в клинике: цели, состав, сроки, меры защиты, права субъектов
Конкретный перечень данных и целей для этой формы
Где
Отдельная страница + ссылка в подвале каждой страницы
Отдельная страница + чекбокс со ссылкой в форме
Ошибка, которую видно почти на каждом втором сайте клиники: один документ вместо двух — политика, в конце которой приписан абзац «нажимая кнопку, вы соглашаетесь». Это не согласие в смысле статьи 9 и не закрывает требование.
Что должно быть в политике
Закрытого перечня разделов закон не задаёт, но требования Роскомнадзора к содержанию устойчивы. Рабочая структура для стоматологии выглядит так.
Общие положения. Наименование, ОГРН, ИНН и адрес оператора. Дата утверждения и редакция документа.
Правовые основания. ФЗ-152, ФЗ-323, Трудовой кодекс, договор с пациентом, согласие субъекта.
Категории субъектов. Пациенты, законные представители, работники, соискатели, посетители сайта, контрагенты.
Категории данных по каждой группе. Общие — ФИО, контакты, паспортные данные. Отдельно и обязательно — специальная категория: сведения о состоянии здоровья. Если ведётся видеонаблюдение или записываются звонки, это тоже сюда.
Цели обработки. Оказание медицинской помощи, ведение медицинской документации, заключение и исполнение договора, кадровый учёт, обратная связь с сайта, аналитика посещаемости.
Порядок и способы обработки. С использованием средств автоматизации и без них, перечень действий с данными.
Сроки хранения. Со ссылкой на сроки хранения медицинской документации и кадровых документов, а не «до достижения целей».
Передача третьим лицам. Зуботехническая лаборатория, бухгалтерия на аутсорсе, страховая — с указанием, что передача идёт по договору поручения обработки.
Трансграничная передача. Как правило «не осуществляется» — если на сайте нет иностранных сервисов.
Меры защиты. Ответственное лицо, локализация баз в России, ограничение доступа, шифрование канала.
Права субъектов и порядок обращения. Как запросить сведения, уточнить, удалить данные, отозвать согласие: адрес, e-mail, срок ответа.
Cookie. Какие используются, зачем, как отключить.
Полезно в конце указать регистрационный номер клиники в реестре операторов. Закон не обязывает, но это сразу показывает, что уведомление подано.
БЕСПЛАТНАЯ ПРОВЕРКА САЙТА
Проверьте свой сайт бесплатно
За минуту покажем, есть ли на сайте политика и текст согласия, стоят ли чекбоксы в формах, работает ли cookie-баннер и не загружаются ли иностранные скрипты. Заодно проверим приказ 118н и Правила платных медуслуг.
39 требований законаБез регистрацииПроверка за 1 минуту
Скачанная политика выглядит убедительно и создаёт ложное чувство закрытого вопроса. Проблемы всплывают при первой же проверке или жалобе.
Не указана специальная категория данных. Универсальный шаблон писался под интернет-магазин: сведений о здоровье там нет, а у клиники это основной массив.
Цели не совпадают с уведомлением в Роскомнадзор. Инспектор сверяет политику с реестром — расхождение видно сразу.
Описана обработка, которой нет, — например рассылки и профилирование. Заявили лишнее, обосновать не смогли.
Не описана обработка, которая есть. Видеонаблюдение в холле, запись разговоров, публикация фото «до и после», переписка с пациентами в мессенджерах.
Нет порядка обращения субъекта. Пациент не может понять, куда писать, — и пишет сразу в Роскомнадзор.
Особая история — фото «до и после» и отзывы пациентов. Для их публикации нужно отдельное согласие на распространение персональных данных по статье 10.1 закона № 152-ФЗ — оно не заменяется общим согласием на обработку. В политике этот вид обработки должен быть описан, а согласие оформлено отдельным документом.
Чек-лист
Политика опубликована на отдельной странице, доступна без регистрации
Ссылка на политику есть в подвале каждой страницы сайта
Текст согласия — отдельный документ, а не абзац в политике
Указаны наименование, ОГРН, ИНН и адрес клиники
Перечислены все категории субъектов, включая посетителей сайта
Указана специальная категория — сведения о состоянии здоровья
Описано видеонаблюдение и запись звонков, если они есть
Цели обработки совпадают с уведомлением в Роскомнадзор
Указаны сроки хранения со ссылкой на нормативные сроки
Описана передача третьим лицам по договору поручения
Сведения о трансграничной передаче достоверны
Описаны cookie и способ их отключения
Указан порядок обращения субъекта: адрес, e-mail, срок ответа
Да. Обработка начинается раньше форм: счётчик аналитики фиксирует IP-адрес и идентификатор посетителя, cookie сохраняются в браузере — это персональные данные. Часть 2 статьи 18.1 закона № 152-ФЗ обязывает оператора опубликовать политику обработки или обеспечить к ней неограниченный доступ, и для сайта это означает отдельную открытую страницу.
Чем политика отличается от согласия на обработку?
Политика — документ клиники как оператора: она описывает всю обработку в организации, публикуется всегда и действует независимо от того, заполнил ли кто-то форму. Согласие — документ пациента, привязанный к конкретной форме и конкретному перечню данных. Это два разных документа, при проверке их ищут раздельно, и абзац «нажимая кнопку, вы соглашаетесь» в конце политики согласием не является.
Какой штраф за отсутствие политики на сайте?
От 30 000 до 60 000 рублей на юридическое лицо по части 3 статьи 13.11 КоАП РФ — за невыполнение обязанности опубликовать документ, определяющий политику обработки персональных данных, или обеспечить к нему неограниченный доступ.
Что обязательно указать клинике, чего нет в типовых шаблонах?
Специальную категорию персональных данных — сведения о состоянии здоровья. Универсальные шаблоны пишутся под интернет-магазины, и этого раздела в них нет, хотя для клиники это основной массив данных. Также нужно описать видеонаблюдение в помещениях, запись телефонных разговоров, переписку с пациентами и передачу данных подрядчикам — зуботехнической лаборатории, бухгалтерии на аутсорсе.
Нужно ли отдельное согласие на публикацию фото «до и после»?
Да. Распространение персональных данных, в том числе публикация фотографий и отзывов пациентов, требует отдельного согласия на распространение по статье 10.1 закона № 152-ФЗ. Общее согласие на обработку его не заменяет. В политике этот вид обработки должен быть описан, а само согласие оформлено отдельным документом.
Должна ли политика совпадать с уведомлением в Роскомнадзор?
Да, и это проверяют. Инспектор сверяет заявленные в реестре операторов цели и категории данных с тем, что написано в политике на сайте. Расхождение — распространённая ситуация: клиника подала уведомление формально, указав только кадровый учёт, а политика описывает оказание медицинской помощи. Такое несовпадение видно сразу.
Материал носит информационный характер и не является юридической консультацией.
Проверяйте актуальную редакцию документа по первоисточнику.
Проверка не приходит письмом — приходит штраф
Сайты клиник проверяют дистанционно: сканеру не нужен визит и согласование даты
Нарушение фиксируется, и клиника узнаёт о нём уже из постановления. Оспаривать после — дольше и дороже, чем закрыть заранее, особенно когда речь о суммах в 200–500 тысяч рублей или приостановлении деятельности до 90 суток.
Проверим сайт по 39 требованиям за минуту — бесплатно и без регистрации
Найдём нарушения — доработаем ваш сайт, делать новый не нужно