Политика обработки персональных данных клиники: что в ней писать

Коротко

Политика обработки персональных данных публикуется всегда, даже если на сайте нет ни одной формы: счётчик аналитики уже собирает IP и идентификатор посетителя.
Обязанность прямая — часть 2 статьи 18.1 закона № 152-ФЗ. За неопубликованную политику 30 000 – 60 000 ₽ по части 3 статьи 13.11 КоАП.
Политика и согласие — разные документы. При проверке их ищут раздельно.
Скачанный из интернета шаблон опаснее его отсутствия: в нём цели и категории данных не совпадут ни с реальностью, ни с уведомлением в Роскомнадзор.
Для клиники обязательно указать специальную категорию данных — сведения о состоянии здоровья.

ПОД КЛЮЧ ДЛЯ СТОМАТОЛОГИЙ

Сайт и согласия по ФЗ-152 — сделаем всё за вас

Работаем только со стоматологическими клиниками. Приведём сайт и документы в соответствие с ПП 659, приказом 118н и ФЗ-152 — и дальше следим за изменениями законов сами. Как свой специалист в штате, только без зарплаты и отпусков.

Сайт под все требования закона. Готовый сайт — запуск за 1 рабочий день. Или возьмём на обслуживание ваш, на любой системе.
Новый договор по ПП 659 и ещё 11 документов: положение о платных услугах, ИДС, согласия на персональные данные, правила для пациентов, уголок потребителя*
Следим за законами. Вышел новый приказ — обновим сайт без вашего участия.
Правки без ограничений и новые функции по вашим задачам — без доплат.

1 490 ₽ в месяц · создание и доработка сайта включены

Подключить обслуживание Только документы — 4 999 ₽

Есть вопросы — позвоните: +7 495 240-85-65

Или сначала бесплатно проверьте свой сайт — за минуту покажем, каких сведений не хватает и какие штрафы грозят:

* Пакет документов входит в обслуживание при оплате за год. Отдельно — 4 999 ₽.

Кому и когда нужна политика

Часть 2 статьи 18.1 закона № 152-ФЗ обязывает оператора опубликовать документ, определяющий политику обработки персональных данных, или обеспечить неограниченный доступ к нему иным образом. Для сайта это означает отдельную страницу, открытую без регистрации.

Распространённое возражение — «у нас на сайте нет форм, мы данные не собираем» — не работает. Обработка начинается раньше: Яндекс.Метрика фиксирует IP-адрес и идентификатор пользователя, cookie сохраняются в браузере. Это персональные данные, и оператором клиника становится в момент установки счётчика.

Чем политика отличается от согласия

	Политика обработки	Согласие на обработку
Чей документ	Клиники как оператора	Пациента как субъекта
Норма	ч. 2 ст. 18.1 ФЗ-152	ст. 9 ФЗ-152
Когда нужен	Всегда	Под каждой формой сбора данных
Что описывает	Всю обработку в клинике: цели, состав, сроки, меры защиты, права субъектов	Конкретный перечень данных и целей для этой формы
Где	Отдельная страница + ссылка в подвале каждой страницы	Отдельная страница + чекбокс со ссылкой в форме

Ошибка, которую видно почти на каждом втором сайте клиники: один документ вместо двух — политика, в конце которой приписан абзац «нажимая кнопку, вы соглашаетесь». Это не согласие в смысле статьи 9 и не закрывает требование.

Готовый документ

Согласия на обработку персональных данных уже готовы

Согласие пациента на обработку персональных данных и отдельное согласие на публикацию фото «до/после» и отзывов. Политику обработки для сайта составляем при подключении обслуживания. В пакете ещё 10 документов: договор по ПП 659, положение о платных услугах, ИДС, правила для пациентов, уголок потребителя. Файлы Word.

Состав пакета — 4 999 ₽ Что изменилось в договоре — статья

Бесплатно входит в обслуживание СтомСистемы при оплате за год.

Что должно быть в политике

Закрытого перечня разделов закон не задаёт, но требования Роскомнадзора к содержанию устойчивы. Рабочая структура для стоматологии выглядит так.

Общие положения. Наименование, ОГРН, ИНН и адрес оператора. Дата утверждения и редакция документа.
Правовые основания. ФЗ-152, ФЗ-323, Трудовой кодекс, договор с пациентом, согласие субъекта.
Категории субъектов. Пациенты, законные представители, работники, соискатели, посетители сайта, контрагенты.
Категории данных по каждой группе. Общие — ФИО, контакты, паспортные данные. Отдельно и обязательно — специальная категория: сведения о состоянии здоровья. Если ведётся видеонаблюдение или записываются звонки, это тоже сюда.
Цели обработки. Оказание медицинской помощи, ведение медицинской документации, заключение и исполнение договора, кадровый учёт, обратная связь с сайта, аналитика посещаемости.
Порядок и способы обработки. С использованием средств автоматизации и без них, перечень действий с данными.
Сроки хранения. Со ссылкой на сроки хранения медицинской документации и кадровых документов, а не «до достижения целей».
Передача третьим лицам. Зуботехническая лаборатория, бухгалтерия на аутсорсе, страховая — с указанием, что передача идёт по договору поручения обработки.
Трансграничная передача. Как правило «не осуществляется» — если на сайте нет иностранных сервисов.
Меры защиты. Ответственное лицо, локализация баз в России, ограничение доступа, шифрование канала.
Права субъектов и порядок обращения. Как запросить сведения, уточнить, удалить данные, отозвать согласие: адрес, e-mail, срок ответа.
Cookie. Какие используются, зачем, как отключить.

Полезно в конце указать регистрационный номер клиники в реестре операторов. Закон не обязывает, но это сразу показывает, что уведомление подано.

БЕСПЛАТНАЯ ПРОВЕРКА САЙТА

Проверьте свой сайт бесплатно

За минуту покажем, есть ли на сайте политика и текст согласия, стоят ли чекбоксы в формах, работает ли cookie-баннер и не загружаются ли иностранные скрипты. Заодно проверим приказ 118н и Правила платных медуслуг.

46 пунктов проверки Без регистрации Проверка за 1 минуту

Проверяем по официальным документам:

приказ Минздрава № 118н ПП РФ № 659 ФЗ-152 ФЗ-38 «О рекламе» ст. 13.11 КоАП — штрафы

Разборы требований простым языком:

приказ 118н ПП 659 персональные данные реклама медуслуг как проверяют сайт все статьи →

Почему шаблон из интернета — плохая идея

Скачанная политика выглядит убедительно и создаёт ложное чувство закрытого вопроса. Проблемы всплывают при первой же проверке или жалобе.

Не указана специальная категория данных. Универсальный шаблон писался под интернет-магазин: сведений о здоровье там нет, а у клиники это основной массив.
Цели не совпадают с уведомлением в Роскомнадзор. Инспектор сверяет политику с реестром — расхождение видно сразу.
Описана обработка, которой нет, — например рассылки и профилирование. Заявили лишнее, обосновать не смогли.
Не описана обработка, которая есть. Видеонаблюдение в холле, запись разговоров, публикация фото «до и после», переписка с пациентами в мессенджерах.
Нет порядка обращения субъекта. Пациент не может понять, куда писать, — и пишет сразу в Роскомнадзор.

Особая история — фото «до и после» и отзывы пациентов. Для их публикации нужно отдельное согласие на распространение персональных данных по статье 10.1 закона № 152-ФЗ — оно не заменяется общим согласием на обработку. В политике этот вид обработки должен быть описан, а согласие оформлено отдельным документом.

Чек-лист

Политика опубликована на отдельной странице, доступна без регистрации
Ссылка на политику есть в подвале каждой страницы сайта
Текст согласия — отдельный документ, а не абзац в политике
Указаны наименование, ОГРН, ИНН и адрес клиники
Перечислены все категории субъектов, включая посетителей сайта
Указана специальная категория — сведения о состоянии здоровья
Описано видеонаблюдение и запись звонков, если они есть
Цели обработки совпадают с уведомлением в Роскомнадзор
Указаны сроки хранения со ссылкой на нормативные сроки
Описана передача третьим лицам по договору поручения
Сведения о трансграничной передаче достоверны
Описаны cookie и способ их отключения
Указан порядок обращения субъекта: адрес, e-mail, срок ответа
Есть дата утверждения и номер редакции

Смежные материалы: персональные данные на сайте стоматологии — про формы, cookie и иностранные сервисы, и уведомление в Роскомнадзор — про реестр операторов, с которым политика должна совпадать.

Частые вопросы

Нужна ли политика, если на сайте нет форм?

Да, политика нужна и без форм, потому что обработка начинается раньше: счётчик аналитики фиксирует IP-адрес и идентификатор посетителя, cookie сохраняются в браузере — это персональные данные. Часть 2 статьи 18.1 закона № 152-ФЗ обязывает оператора опубликовать политику обработки или обеспечить к ней неограниченный доступ, и для сайта это означает отдельную открытую страницу.

Чем политика отличается от согласия на обработку?

Политика — документ клиники как оператора: она описывает всю обработку в организации, публикуется всегда и действует независимо от того, заполнил ли кто-то форму. Согласие — документ пациента, привязанный к конкретной форме и конкретному перечню данных. Это два разных документа, при проверке их ищут раздельно, и абзац «нажимая кнопку, вы соглашаетесь» в конце политики согласием не является.

Какой штраф за отсутствие политики на сайте?

От 30 000 до 60 000 рублей на юридическое лицо по части 3 статьи 13.11 КоАП РФ — за невыполнение обязанности опубликовать документ, определяющий политику обработки персональных данных, или обеспечить к нему неограниченный доступ.

Что обязательно указать клинике, чего нет в типовых шаблонах?

Специальную категорию персональных данных — сведения о состоянии здоровья. Универсальные шаблоны пишутся под интернет-магазины, и этого раздела в них нет, хотя для клиники это основной массив данных. Также нужно описать видеонаблюдение в помещениях, запись телефонных разговоров, переписку с пациентами и передачу данных подрядчикам — зуботехнической лаборатории, бухгалтерии на аутсорсе.

Нужно ли отдельное согласие на публикацию фото «до и после»?

Да, для фото «до и после» нужно отдельное согласие: распространение персональных данных, в том числе публикация фотографий и отзывов пациентов, требует отдельного согласия на распространение по статье 10.1 закона № 152-ФЗ. Общее согласие на обработку его не заменяет. В политике этот вид обработки должен быть описан, а само согласие оформлено отдельным документом.

Должна ли политика совпадать с уведомлением в Роскомнадзор?

Да, и это проверяют. Инспектор сверяет заявленные в реестре операторов цели и категории данных с тем, что написано в политике на сайте. Расхождение — распространённая ситуация: клиника подала уведомление формально, указав только кадровый учёт, а политика описывает оказание медицинской помощи. Такое несовпадение видно сразу.

Материал носит информационный характер и не является юридической консультацией. Проверяйте актуальную редакцию документа по первоисточнику.

Проверка не приходит письмом — приходит штраф

Сайты клиник проверяют дистанционно: сканеру не нужен визит и согласование даты

Нарушение фиксируется, и клиника узнаёт о нём уже из постановления. Оспаривать после — дольше и дороже, чем закрыть заранее, особенно когда речь о штрафах до 700 000 ₽ по персональным данным или приостановлении деятельности до 90 суток. И хватит переплачивать: студия берёт за сайт как за стройку, а потом за каждую правку — в СтомСистеме всё это входит в обслуживание за 1 490 ₽ в месяц.

Проверим сайт по 46 пунктам за минуту — бесплатно и без регистрации
Нашли нарушения — доработаем ваш сайт в рамках обслуживания: дизайн и адрес остаются
Сайта нет — подключим готовый за день: врачи, цены, отзывы, карточка в Яндексе
Меняется закон — обновляем разделы у всех клиник сразу и проверяем сайт каждый месяц
Новые функции СтомСистемы включаются в кабинете — без доплат за доработки

Проверить свой сайт

Проверка бесплатная и без регистрации, результат — на экране через минуту. Сайта ещё нет — посмотрите готовый. Нужен совет по вашей ситуации — оставьте заявку, перезвоним.