Разбираться с персональными данными в медицине нужно внимательно: тут пересекаются и 152-ФЗ, и нормы о врачебной тайне (323-ФЗ).
Да, медицинская организация как оператор персональных данных обязана уведомить Роскомнадзор до начала обработки. Подать уведомление можно через портал Роскомнадзора, через Госуслуги (с использованием ЕСИА) или в бумажном виде в территориальное управление.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
Важное правило: если в работе что-то меняется (появились новые цели обработки, изменились категории данных, началась трансграничная передача), нужно подать уведомление об изменении сведений — не позднее 15-го числа месяца, следующего за тем, в котором произошли изменения. Также нужно уведомлять, если обработка данных прекращается.
К специальным категориям по 152-ФЗ относятся данные, касающиеся расовой или национальной принадлежности, политических взглядов, религиозных убеждений, состояния здоровья, интимной жизни.
По общему правилу их обработка запрещена, но закон предусматривает исключения. В медицинской практике ключевые основания такие:
Здесь есть важный нюанс. Для самой цели оказания медицинской помощи отдельное письменное согласие формально не требуется — правовым основанием служит пункт 4 части 2 статьи 10 152-ФЗ (обработка для исполнения договора). Однако на практике Роскомнадзор и суды часто рекомендуют всё равно получать письменное согласие: это надёжнее защищает клинику от претензий.
А вот письменное согласие обязательно, если клиника планирует использовать данные для иных целей: маркетинговые рассылки, передача данных третьим лицам (лабораториям, страховым, IT-подрядчикам), публикация фото или отзывов с изображением пациента. Также отдельное согласие нужно для обработки биометрических данных.
Требования к согласию: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. В документе стоит чётко перечислить, какие именно данные и для каких целей обрабатываются, указать срок действия, а также зафиксировать право пациента отозвать согласие (в этом случае клиника обязана прекратить обработку в течение 30 дней).
Работа медицинской клиники неразрывно связана с обработкой персональных данных, в том числе специальных категорий – например, сведений о состоянии здоровья пациентов. При этом важно корректно оформить согласие пациента на обработку персональных данных, своевременно направить уведомление в Роскомнадзоре, а также учесть все требования регулятора к работе с ПДН в медицинской сфере.
Если у вас возникают вопросы по этим задачам – мы с радостью поможем. Наши специалисты детально разбираются в нюансах применения 152-ФЗ в здравоохранении и подготовят для вас необходимые документы: от формы согласия пациента до комплекта материалов для взаимодействия с Роскомнадзора.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.
В большинстве случаев — да. Согласие оформляется под каждой формой сбора данных через незаполненный чекбокс со ссылкой на Политику конфиденциальности. Для специальных категорий данных, биометрии и распространения требуется отдельное письменное согласие.
Роскомнадзор рассматривает уведомление до 30 рабочих дней. При корректно заполненных документах компания попадает в реестр операторов персональных данных с первого раза, без возвратов и доработок.