Юридическое партнёрство «Закон и правосудие» НеТипичный Юрист – личный бренд Вадима Андреевича +7 (984) 276-71-55 Написать юристу

Медицинские споры

Согласие на обработку данных пациента: пакет клиники

Обновлено 2026-08-17 · 9 мин

Пакет документов у большинства клиник собирали один раз — когда открывались. С тех пор появился запрет зашивать согласие в договор, реестр операторов стал обязательным почти для всех, а штраф за состав сведений в согласии дорос до 700 тысяч рублей. Проверка начинается не с серверов, а с бумаг. Разбираю, что должно быть в пакете клиники и где в нём чаще всего дыра.

Отдельный документ: с какой даты и по какому закону

Согласно ч. 1 ст. 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а также оформлено отдельно от иных информации и (или) документов, которые подписывает субъект персональных данных.

Здесь в интернете больше всего путаницы, поэтому по источнику. Требование об отдельном оформлении внесло не «законодательство об оборотных штрафах» и не поправки 2022 года, а ст. 5 Федерального закона от 24 июня 2025 г. № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации», вступившая в силу 1 сентября 2025 года. Одно предложение в законе про мессенджер — и переделывать пришлось отрасли.

С этой даты перестали работать три привычные конструкции: абзац о согласии внутри договора на платные медицинские услуги, согласие, вшитое в бланк информированного добровольного согласия на медицинское вмешательство, и одна галочка в форме онлайн-записи на условия договора, политику и согласие сразу. Само информированное добровольное согласие никуда не делось — это самостоятельный документ по другому закону: информированное согласие в клинике.

Когда согласие не требуется, а когда обязательно всегда

Клиники берут письменное согласие «на всякий случай» и удивляются, узнав, что для лечения оно не единственное основание.

Согласно ч. 1 ст. 10 ФЗ № 152-ФЗ обработка специальных категорий данных, в том числе о состоянии здоровья, не допускается, кроме случаев ч.ч. 2 и 2.1 этой статьи. А согласно п. 4 ч. 2 ст. 10 обработка допускается в медико-профилактических целях, для установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что её ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное сохранять врачебную тайну. Для ведения карты, диагностики и лечения основание есть в самом законе, а письменное согласие названо в п. 1 ч. 2 ст. 10 как альтернатива, а не как обязательное дополнение.

Где оснований в ст. 10 нет и согласие требуется всегда: рассылки и акции, отзывы и истории пациентов, фотографии «до и после», передача данных подрядчикам. Отсюда правило, которое я всегда даю клиникам: цели разводим по разным документам. Одно согласие «на всё» удобно администратору и опасно оператору — отзыв согласия на рассылку бьёт по всей обработке сразу.

Девять реквизитов, из которых забывают четыре

Согласно ч. 4 ст. 9 ФЗ № 152-ФЗ письменное согласие включает, в частности:

  1. ФИО, адрес субъекта, реквизиты документа, удостоверяющего личность;
  2. те же данные представителя и реквизиты доверенности — если согласие даёт он;
  3. наименование и адрес оператора;
  4. цель обработки;
  5. перечень персональных данных;
  6. наименование и адрес лица, осуществляющего обработку по поручению оператора;
  7. перечень действий с данными и общее описание способов обработки;
  8. срок действия согласия и способ его отзыва;
  9. подпись субъекта.

Слово «в частности» означает, что перечень открытый: закон задаёт минимум. Забывают обычно пункты 6, 7 и 8 — и именно они дают состав по ч. 2 ст. 13.11 КоАП РФ, которая наказывает не только обработку без согласия, но и обработку с нарушением требований к составу сведений в согласии. А по ч. 3 ст. 9 доказать получение согласия обязан оператор.

Фото «до и после»: согласие по особым правилам

Публикация результатов лечения — не просто обработка, а распространение, и режим у него свой.

Согласно ч. 1 ст. 10.1 ФЗ № 152-ФЗ согласие на обработку данных, разрешённых субъектом для распространения, оформляется отдельно от иных согласий, и оператор обязан дать возможность определить перечень данных по каждой категории. Согласно ч. 8 ст. 10.1 молчание или бездействие субъекта таким согласием не считается ни при каких обстоятельствах.

О чём узнают уже после претензии: согласно ч.ч. 12–14 ст. 10.1 распространение прекращается в любое время по требованию субъекта, действие согласия прекращается с момента поступления требования, а передача — в течение трёх рабочих дней. Требования к содержанию такого согласия устанавливает Роскомнадзор (ч. 9 ст. 9 ФЗ № 152-ФЗ), и бланк «разрешаю использовать мои фото в рекламе» им не отвечает. Плюс ст. 152.1 ГК РФ об охране изображения гражданина и правила рекламы медицинских услуг.

Уведомление Роскомнадзора и политика

Уведомление. Согласно ч. 1 ст. 22 ФЗ № 152-ФЗ оператор до начала обработки обязан уведомить Роскомнадзор о намерении обрабатывать данные, кроме случаев ч. 2. Массовые исключения из п.п. 1–6 ч. 2 утратили силу с 1 сентября 2022 года, а из оставшихся клинике подходит только п. 8 — обработка без средств автоматизации, но любая медицинская информационная система это исключение снимает.

Согласно ч. 3.1 ст. 22 по каждой цели указываются категории данных, категории субъектов, правовое основание, перечень действий и способы обработки, а по ч. 7 об изменениях уведомляют не позднее 15-го числа следующего месяца. Смена адреса или новый подрядчик — повод подать уточнение.

Политика. Согласно п. 2 ч. 1 ст. 18.1 ФЗ № 152-ФЗ оператор издаёт документы, определяющие политику обработки, и локальные акты, которые для каждой цели определяют категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения. Там же — назначение ответственного, внутренний контроль, оценка вреда, обучение работников. Согласно ч. 2 ст. 18.1 политику нужно опубликовать, а при сборе данных через интернет — разместить на тех страницах сайта, с использованием которых идёт сбор: ссылка в подвале главной при форме записи на отдельном лендинге требование не закрывает.

Сколько стоит неправильный пакет

Размеры по ст. 13.11 КоАП РФ в действующей редакции:

Тонкость про индивидуальных предпринимателей, которую обычно излагают неверно: примечание 1 к ст. 13.11 КоАП РФ приравнивает ИП к юридическим лицам не по всей статье, а только по ч. 1.1 и ч.ч. 8–18. Составы ч.ч. 1 и 2 туда не входят, и ставка для ИП определяется по общим правилам КоАП РФ — в постановлении есть о чём спорить.

Про утечки и оборотные штрафы — отдельный разговор: оборотные штрафы за утечку данных пациентов.

Пациент отозвал согласие: медкарту не удаляют

Самая частая ошибка администратора — отозвал согласие, значит, стираем всё.

Согласно ч. 2 ст. 9 ФЗ № 152-ФЗ при отзыве согласия оператор вправе продолжить обработку при наличии оснований, указанных в п.п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11. Медицинская документация обрабатывается по п. 4 ч. 2 ст. 10, и отзывом это основание не отменяется. Согласно ч. 5 ст. 21 после отзыва оператор прекращает обработку и уничтожает данные в срок не более тридцати дней — но только если их сохранение более не требуется для целей обработки и если оператор не вправе обрабатывать их без согласия на основаниях, предусмотренных федеральными законами.

Отзыв прекращает маркетинг, рассылки, публикацию фото и передачу данных подрядчикам, а медицинская документация продолжает вестись — ещё один довод за разведение целей. Что входит в медкарту: клиника не отдаёт медкарту.

Что должно быть в пакете клиники

Согласие на обработку данных для оказания медицинских услуг — отдельным документом, со всеми реквизитами ч. 4 ст. 9. Отдельное согласие на продвижение услуг. Отдельное согласие на распространение по ст. 10.1 — для отзывов и фото. Политика на страницах сбора данных. Приказ об ответственном и локальные акты по ст. 18.1. Поручения подрядчикам. Актуальное уведомление в Роскомнадзор.

Где обычно проигрывают самостоятельно

Частые ошибки

Что понадобится в вашем случае

Порядок выше типовой, а исход зависит от ваших документов. Пришлите, что есть, и я скажу, чего не хватает и на что суд посмотрит в первую очередь. Первичная оценка бесплатная.

Частые вопросы

Можно ли включить согласие на обработку данных в договор с пациентом?

Нет. Согласно ч. 1 ст. 9 ФЗ № 152-ФЗ согласие оформляется отдельно от иных информации и документов, которые подписывает субъект. Правило введено ст. 5 Федерального закона от 24.06.2025 № 156-ФЗ и действует с 1 сентября 2025 года.

Нужно ли согласие на обработку данных для лечения?

Не обязательно. По п. 4 ч. 2 ст. 10 ФЗ № 152-ФЗ обработка в медико-профилактических целях и для оказания медицинских услуг допускается, если её ведёт лицо, обязанное хранить врачебную тайну. Для маркетинга и фото это основание не подходит.

Какой штраф за неправильное согласие?

По ч. 2 ст. 13.11 КоАП РФ — от 300 000 до 700 000 руб. на юридических лиц, при повторе по ч. 2.1 — от 1 000 000 до 1 500 000 руб.

Обязана ли клиника подавать уведомление в Роскомнадзор?

Да, до начала обработки (ч. 1 ст. 22 ФЗ № 152-ФЗ). Массовые исключения утратили силу с 1 сентября 2022 года, а оставшееся подходящее снимается наличием любой информационной системы.

Пациент отозвал согласие: удалять медицинскую карту?

Нет. По ч. 2 ст. 9 и ч. 5 ст. 21 ФЗ № 152-ФЗ обработка продолжается при наличии оснований ч. 2 ст. 10. Прекращаются маркетинг, рассылки и публикации.

Что дальше

Пакет по персональным данным собираю клинике целиком. Первичная оценка бесплатная: пришлите бланки согласий и договор — скажу, где у вас открытый состав.

Вадим Дрозд, юридическое партнёрство «Закон и Правосудие», Иркутск, ул. Александра Невского, 99/4. Телефон +7 984 276-71-55. Работаю онлайн по всей России.

Статья актуальна на 17 августа 2026 года и не заменяет консультацию: каждый документ оценивается по тексту и профилю клиники.

Получить бесплатную оценку
MAX