Согласие на обработку персональных данных пациента оформляется отдельным документом: согласно ч. 1 ст. 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ — отдельно от иных информации и документов, которые подписывает субъект. Правило действует с 1 сентября 2025 года. Штраф по ч. 2 ст. 13.11 КоАП РФ — 300 000–700 000 руб. на юридических лиц.

С 1 сентября 2025 года согласие на обработку персональных данных пациента оформляется отдельным документом, а уведомление о намерении обрабатывать данные подаёт в Роскомнадзор практически каждая клиника. Штраф за нарушение требований к составу сведений в согласии по ч. 2 ст. 13.11 КоАП РФ составляет до 700 000 руб. на юридических лиц. Разбираю, из каких документов состоит пакет клиники по персональным данным и какие из них чаще всего отсутствуют.

Отдельный документ: с какой даты и по какому закону

Согласно ч. 1 ст. 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а также оформлено отдельно от иных информации и (или) документов, которые подписывает субъект персональных данных.

В публикациях в интернете источник этого требования часто указывается неверно. Требование об отдельном оформлении внесло не «законодательство об оборотных штрафах» и не поправки 2022 года, а ст. 5 Федерального закона от 24 июня 2025 г. № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации», вступившая в силу 1 сентября 2025 года. Несмотря на предмет этого закона, правило действует для всех операторов персональных данных, включая медицинские организации.

С этой даты перестали работать три привычные конструкции: абзац о согласии внутри договора на платные медицинские услуги, согласие, вшитое в бланк информированного добровольного согласия на медицинское вмешательство, и одна галочка в форме онлайн-записи на условия договора, политику и согласие сразу. Само информированное добровольное согласие никуда не делось — это самостоятельный документ по другому закону: информированное согласие в клинике.

Когда согласие не требуется, а когда обязательно всегда

Для оказания медицинской помощи письменное согласие пациента не является единственным основанием обработки данных о состоянии здоровья.

Согласно ч. 1 ст. 10 ФЗ № 152-ФЗ обработка специальных категорий данных, в том числе о состоянии здоровья, не допускается, кроме случаев ч.ч. 2 и 2.1 этой статьи. А согласно п. 4 ч. 2 ст. 10 обработка допускается в медико-профилактических целях, для установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что её ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное сохранять врачебную тайну. Для ведения карты, диагностики и лечения основание есть в самом законе, а письменное согласие названо в п. 1 ч. 2 ст. 10 как альтернатива, а не как обязательное дополнение.

Где оснований в ст. 10 нет и согласие требуется всегда: рассылки и акции, отзывы и истории пациентов, фотографии «до и после», передача данных подрядчикам. Поэтому клинике следует оформлять отдельное согласие на каждую цель обработки. Единое согласие на все цели создаёт для оператора риск: отзыв прекращает действие согласия сразу по всем указанным в нём целям.

Состав письменного согласия по ч. 4 ст. 9 ФЗ № 152-ФЗ

Согласно ч. 4 ст. 9 ФЗ № 152-ФЗ письменное согласие включает, в частности:

  1. ФИО, адрес субъекта, реквизиты документа, удостоверяющего личность;
  2. те же данные представителя и реквизиты доверенности — если согласие даёт он;
  3. наименование и адрес оператора;
  4. цель обработки;
  5. перечень персональных данных;
  6. наименование и адрес лица, осуществляющего обработку по поручению оператора;
  7. перечень действий с данными и общее описание способов обработки;
  8. срок действия согласия и способ его отзыва;
  9. подпись субъекта.

Слово «в частности» означает, что перечень открытый: закон задаёт минимум. Клиники чаще всего не включают в бланк пункты 6, 7 и 8, а их отсутствие образует состав по ч. 2 ст. 13.11 КоАП РФ, которая устанавливает ответственность не только за обработку без согласия, но и за обработку с нарушением требований к составу сведений в согласии. А по ч. 3 ст. 9 доказать получение согласия обязан оператор.

Фото «до и после»: согласие по особым правилам

Публикация результатов лечения относится к распространению персональных данных, для которого ст. 10.1 ФЗ № 152-ФЗ устанавливает отдельные требования.

Согласно ч. 1 ст. 10.1 ФЗ № 152-ФЗ согласие на обработку данных, разрешённых субъектом для распространения, оформляется отдельно от иных согласий, и оператор обязан дать возможность определить перечень данных по каждой категории. Согласно ч. 8 ст. 10.1 молчание или бездействие субъекта таким согласием не считается ни при каких обстоятельствах.

Согласно ч.ч. 12–14 ст. 10.1 распространение прекращается в любое время по требованию субъекта, действие согласия прекращается с момента поступления требования, а передача — в течение трёх рабочих дней. Требования к содержанию такого согласия устанавливает Роскомнадзор (ч. 9 ст. 9 ФЗ № 152-ФЗ), и бланк «разрешаю использовать мои фото в рекламе» им не отвечает. Плюс ст. 152.1 ГК РФ об охране изображения гражданина и правила рекламы медицинских услуг.

Уведомление Роскомнадзора и политика

Уведомление. Согласно ч. 1 ст. 22 ФЗ № 152-ФЗ оператор до начала обработки обязан уведомить Роскомнадзор о намерении обрабатывать данные, кроме случаев ч. 2. Массовые исключения из п.п. 1–6 ч. 2 утратили силу с 1 сентября 2022 года, а из оставшихся клинике подходит только п. 8 — обработка без средств автоматизации, но любая медицинская информационная система это исключение снимает.

Согласно ч. 3.1 ст. 22 по каждой цели указываются категории данных, категории субъектов, правовое основание, перечень действий и способы обработки, а по ч. 7 об изменениях уведомляют не позднее 15-го числа следующего месяца. Смена адреса или новый подрядчик — повод подать уточнение.

Политика. Согласно п. 2 ч. 1 ст. 18.1 ФЗ № 152-ФЗ оператор издаёт документы, определяющие политику обработки, и локальные акты, которые для каждой цели определяют категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения. Там же — назначение ответственного, внутренний контроль, оценка вреда, обучение работников. Согласно ч. 2 ст. 18.1 политику нужно опубликовать, а при сборе данных через интернет — разместить на тех страницах сайта, с использованием которых идёт сбор: ссылка в нижней части главной страницы не выполняет это требование, если форма записи размещена на отдельной странице или отдельном сайте.

Ответственность по ст. 13.11 КоАП РФ

Размеры по ст. 13.11 КоАП РФ в действующей редакции:

  • ч. 2 — обработка без письменного согласия там, где оно обязательно, либо с нарушением требований к составу сведений в согласии: 100 000–300 000 руб. на должностных лиц, 300 000–700 000 руб. на юридических;
  • ч. 2.1 — повтор по ч. 2: 500 000–1 000 000 руб. на ИП, 1 000 000–1 500 000 руб. на юридических лиц;
  • ч. 3 — необеспечение неограниченного доступа к политике: 6 000–12 000 руб. на должностных лиц, 10 000–20 000 руб. на ИП, 30 000–60 000 руб. на юридических лиц;
  • ч. 10 — отсутствие уведомления о намерении обрабатывать данные: 100 000–300 000 руб. на юридических лиц.

Для индивидуальных предпринимателей действует особое правило: примечание 1 к ст. 13.11 КоАП РФ приравнивает ИП к юридическим лицам не по всей статье, а только по ч. 1.1 и ч.ч. 8–18. Составы ч.ч. 1 и 2 туда не входят, и размер штрафа для индивидуального предпринимателя определяется по общим правилам КоАП РФ. Если штраф назначен ИП как юридическому лицу, постановление можно обжаловать.

Утечки персональных данных и оборотные штрафы рассмотрены в отдельном материале: оборотные штрафы за утечку данных пациентов.

Отзыв согласия пациентом: медицинская документация не уничтожается

Отзыв согласия пациентом не обязывает клинику уничтожить все его персональные данные.

Согласно ч. 2 ст. 9 ФЗ № 152-ФЗ при отзыве согласия оператор вправе продолжить обработку при наличии оснований, указанных в п.п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11. Медицинская документация обрабатывается по п. 4 ч. 2 ст. 10, и отзывом это основание не отменяется. Согласно ч. 5 ст. 21 после отзыва оператор прекращает обработку и уничтожает данные в срок не более тридцати дней — но только если их сохранение более не требуется для целей обработки и если оператор не вправе обрабатывать их без согласия на основаниях, предусмотренных федеральными законами.

Отзыв прекращает маркетинг, рассылки, публикацию фото и передачу данных подрядчикам, а медицинская документация продолжает вестись — дополнительный аргумент в пользу отдельного согласия на каждую цель обработки. Что входит в медкарту: клиника не отдаёт медкарту.

Что должно быть в пакете клиники

Согласие на обработку данных для оказания медицинских услуг — отдельным документом, со всеми реквизитами ч. 4 ст. 9. Отдельное согласие на продвижение услуг. Отдельное согласие на распространение по ст. 10.1 — для отзывов и фото. Политика на страницах сбора данных. Приказ об ответственном и локальные акты по ст. 18.1. Поручения подрядчикам. Актуальное уведомление в Роскомнадзор.

Ошибки при самостоятельной подготовке документов и обжаловании постановления

  • Скачивают шаблон согласия из интернета. Шаблон не учитывает цели обработки и перечень подрядчиков конкретной клиники, а нарушение требований к составу сведений в согласии образует объективную сторону правонарушения по ч. 2 ст. 13.11 КоАП РФ.
  • Не связывают документы между собой. Цели в согласии, политике и уведомлении Роскомнадзора должны совпадать; расхождение Роскомнадзор выявляет при проверке.
  • Оспаривают постановление по существу, не проверив процедуру. Срок давности привлечения к ответственности, полномочия должностного лица и правильность квалификации нередко дают результат там, где спор о содержании документов его не даёт.

Частые ошибки

  • Согласие внутри договора. С 1 сентября 2025 года прямо противоречит ч. 1 ст. 9 ФЗ № 152-ФЗ.
  • Одно согласие на всё. Лечение, маркетинг и публикация фотографий — разные цели.
  • Забыть про обработчиков. Пункт 6 ч. 4 ст. 9 требует указывать лицо, обрабатывающее данные по поручению оператора, а таких у клиники несколько.
  • Считать уведомление разовым. По ч. 7 ст. 22 изменения подаются не позднее 15-го числа следующего месяца.

Что понадобится в вашем случае

Порядок выше типовой, а исход зависит от ваших документов. Пришлите, что есть, и я скажу, чего не хватает и на что суд посмотрит в первую очередь. Первичная оценка бесплатная.

Частые вопросы

Можно ли включить согласие на обработку данных в договор с пациентом?

Нет. Согласно ч. 1 ст. 9 ФЗ № 152-ФЗ согласие оформляется отдельно от иных информации и документов, которые подписывает субъект. Правило введено ст. 5 Федерального закона от 24.06.2025 № 156-ФЗ и действует с 1 сентября 2025 года.

Нужно ли согласие на обработку данных для лечения?

Не обязательно. По п. 4 ч. 2 ст. 10 ФЗ № 152-ФЗ обработка в медико-профилактических целях и для оказания медицинских услуг допускается, если её ведёт лицо, обязанное хранить врачебную тайну. Для маркетинга и фото это основание не подходит.

Какой штраф за неправильное согласие?

По ч. 2 ст. 13.11 КоАП РФ — от 300 000 до 700 000 руб. на юридических лиц, при повторе по ч. 2.1 — от 1 000 000 до 1 500 000 руб.

Обязана ли клиника подавать уведомление в Роскомнадзор?

Да, до начала обработки (ч. 1 ст. 22 ФЗ № 152-ФЗ). Массовые исключения утратили силу с 1 сентября 2022 года, а оставшееся подходящее снимается наличием любой информационной системы.

Пациент отозвал согласие: удалять медицинскую карту?

Нет. По ч. 2 ст. 9 и ч. 5 ст. 21 ФЗ № 152-ФЗ обработка продолжается при наличии оснований ч. 2 ст. 10. Прекращаются маркетинг, рассылки и публикации.

Что дальше

Пакет по персональным данным собираю клинике целиком. Первичная оценка бесплатная: пришлите бланки согласий и договор, проверю состав сведений в согласии и укажу недостающие документы.

Вадим Дрозд, юридическое партнёрство «Закон и Правосудие», Иркутск, ул. Александра Невского, 99/4. Телефон +7 984 276-71-55. Работаю онлайн по всей России.

Статья актуальна на 17 августа 2026 года и не заменяет консультацию: каждый документ оценивается по тексту и профилю клиники.