152-ФЗ на сайте врача: что требует закон и как не получить штраф

Почему форма записи делает вас оператором персональных данных

Персональные данные по закону - это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу¹. Номер телефона пациента, имя, электронная почта, текст обращения - всё это подпадает под определение, как только по этим сведениям можно выйти на конкретного человека.

Оператором называют того, кто организует или осуществляет обработку и определяет её цели, состав данных и действия с ними¹. Обработка - любое действие: сбор, запись, хранение, уточнение, использование, передача и так далее¹. Если на вашем сайте стоит форма «Оставьте номер, мы перезвоним», вы собираете данные, храните их в заявках или почте и используете для звонка. Значит, вы оператор, даже если сайт делал подрядчик, а вы ни разу не слышали слова «роскомнадзор».

Это касается и врача, принимающего как ИП, и клиники, и врача, у которого свой сайт при работе в клинике. Закон не делит операторов на «маленьких» и «больших»: определение одно для всех¹. Различаются отдельные обязанности: например, назначение ответственного за обработку данных закон адресует операторам-юридическим лицам¹².

Материал информационный. Он написан по текстам норм, которые автор открыл в справочной системе, и не заменяет консультацию юриста. Для решения по своей ситуации, особенно по уведомлению Роскомнадзора и трансграничной передаче, нужен юрист, который знает ваши процессы.

Связанная тема - полный перечень сведений, которые обязан раскрыть медицинский сайт: она разобрана в статье что должно быть на сайте врача по закону. Здесь мы разбираем только персональные данные.

Обязанности оператора и политика на сайте

Основные обязанности

Закон требует от оператора принимать меры, необходимые и достаточные для выполнения его обязанностей. Состав мер оператор определяет сам, если иное не предусмотрено законом⁸. Среди мер в законе названы, в частности:

• назначение ответственного за организацию обработки данных (для юридических лиц);
• издание документов, определяющих политику в отношении обработки данных, и локальных актов;
• правовые, организационные и технические меры безопасности;
• внутренний контроль или аудит;
• оценка вреда, который может быть причинён субъектам данных при нарушении закона;
• ознакомление работников, которые обрабатывают данные, с требованиями закона⁸.

Отдельная обязанность касается сайта. Оператор, который собирает данные через интернет, обязан опубликовать документ с политикой обработки и сведения о реализуемых требованиях к защите данных на страницах сайта, где данные собираются, и обеспечить доступ к документу⁸. Это значит: ссылка на политику должна быть рядом с каждой формой, а не только в подвале главной страницы.

Закон также обязывает принимать правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа, уничтожения, изменения, копирования, распространения⁹. Что именно считать достаточными мерами для вашего сайта и почты, определяется уровнем защищённости и подзаконными актами. Для небольшой практики это вопрос к специалисту по информационной безопасности или юристу.

Оператор должен по запросу Роскомнадзора представить документы и локальные акты или иным образом подтвердить принятые меры⁸. Поэтому мало иметь политику: она должна быть в состоянии, которое вы сможете показать, с датой, актуальными реквизитами и согласованными с реальными процессами положениями.

Согласие и сведения о здоровье

Согласие в форме записи

Закон описывает согласие как свободное, данное своей волей и в своём интересе. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным³. Согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, если иное не установлено федеральным законом³.

В действующем тексте статьи есть ещё одно требование: согласие должно быть оформлено отдельно от иных информации и документов, которые подтверждает или подписывает субъект данных³. В справочной системе первая часть статьи приведена в редакции, где среди последних названы изменения Федерального закона от 24.06.2025 № 156-ФЗ³. Практический вывод: согласие не стоит прятать внутри пользовательского соглашения, оферты или длинного текста условий, который пациент «принимает» одной кнопкой.

Обязанность доказать, что согласие получено, лежит на операторе³. Для сайта это означает, что одной галочки на экране мало: нужно уметь показать, что конкретный человек её поставил. Из логики нормы следует, что стоит хранить факт согласия вместе с заявкой: дату и время, текст формулировки, версию политики и сам признак «согласие дано».

Согласие можно отозвать. После отзыва оператор вправе продолжить обработку без согласия только при наличии других оснований, названных в законе³. На практике это значит, что у пациента должен быть понятный способ отозвать согласие, например письмо на указанный в политике адрес.

Что должно быть у галочки согласия

Закон не предписывает дизайн формы, поэтому ниже - выводы из требований статьи 9, а не буква закона. Они помогают пройти проверку «конкретное, информированное, сознательное, однозначное»:

• галочка не проставлена заранее: «сознательное и однозначное» согласие трудно показать, если пациент ничего не делал;
• рядом с галочкой ясно сказано, на что именно человек соглашается: хранение номера телефона и звонок по вопросу записи;
• ссылка на политику открывается в отдельной вкладке и работает;
• без галочки форма не отправляется, и это проверяется не только в браузере, но и на сервере;
• текст согласия не смешан с принятием оферты или других условий;
• заявка сохраняется вместе с отметкой о согласии и датой.

Бывает ли обработка без согласия

Закон перечисляет и другие основания обработки: например, обработка необходима для исполнения договора, стороной которого является субъект данных, или для заключения договора по его инициативе². Теоретически запись на приём можно связать с заключением договора на платные услуги. Но если вы решите опираться на это основание вместо согласия, нужна консультация юриста: не каждый случай обработки на сайте под него подходит, а бремя доказывания лежит на операторе³. Для сайта-визитки проще и надёжнее собирать согласие.

Сведения о здоровье: специальная категория данных

Закон выделяет специальные категории данных, куда входят сведения о состоянии здоровья. Их обработка не допускается, за исключением случаев, названных в самой статье⁴. Один из таких случаев - согласие субъекта в письменной форме⁴.

Другой случай интересен именно врачам. Обработка допускается в медико-профилактических целях, для установления диагноза, оказания медицинских и медико-социальных услуг, если её осуществляет лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну⁴. Для приёма пациента в клинике эта норма имеет прямое значение.

Но форма на сайте - это ещё не приём. Заявку нередко принимает администратор, колл-центр, подрядчик или сервис, который хранит данные. Распространяется ли названное исключение на такую цепочку, зависит от конкретных обстоятельств, и однозначного ответа дать нельзя. Это вопрос для юриста.

Есть и второй пласт: врачебная тайна. По закону об основах охраны здоровья сведения о факте обращения гражданина за медицинской помощью, о состоянии здоровья и диагнозе составляют врачебную тайну, а разглашать их нельзя¹⁴. Обратите внимание на формулировку «факт обращения»: уже сам факт, что человек записался к конкретному врачу, может относиться к такой информации.

Письменная форма согласия на обработку специальных категорий данных - не то же самое, что галочка на сайте. Закон приравнивает к бумажной подписи электронный документ, подписанный электронной подписью в соответствии с федеральным законом³. Поэтому не стройте форму так, чтобы пациент сообщал через неё сведения о здоровье, если у вас нет согласованной с юристом схемы.

Что из этого следует для формы записи

Самое осторожное решение - не собирать через сайт сведения о здоровье вообще:

• в форме достаточно имени или телефона и выбора услуги или врача;
• поле «Опишите жалобу» лучше убрать или заменить подсказкой «Не указывайте диагноз и симптомы, расскажем всё при звонке»;
• если свободное поле нужно, поставьте над ним предупреждение и объясните, куда попадёт текст;
• не просите загружать анализы и снимки через простую форму: такой канал должен быть защищённым и согласованным с юристом;
• в переписке в мессенджере не обсуждайте диагнозы с незнакомыми людьми, а сразу приглашайте на приём.

Что должно быть в политике обработки персональных данных

Закон не содержит готового оглавления политики. Но статья 18.1 описывает, что должны определять документы оператора, в том числе локальные акты: для каждой цели обработки - категории и перечень обрабатываемых данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения данных при достижении целей⁸. Там же сказано, что такие документы не могут содержать положений, ограничивающих права субъектов данных⁸.

Из этого можно вывести рабочую структуру публичной политики для сайта врача:

• кто оператор: наименование или ФИО, ИНН, ОГРН или ОГРНИП, адрес, контакт для обращений;
• какие данные собираются: например, телефон, имя, текст отзыва, технические данные посещения;
• цели: связаться по вопросу записи, обработать отзыв, вести статистику посещений;
• правовое основание: согласие или иное основание, на которое опирается оператор;
• кому данные могут передаваться, включая тех, кто обрабатывает их по поручению;
• сроки хранения и порядок уничтожения;
• права пациента и порядок обращения: уточнение, блокирование, уничтожение, отзыв согласия;
• где хранятся данные граждан РФ и применяются ли трансграничные передачи;
• дата редакции политики.

Оператор вправе поручить обработку другому лицу с согласия субъекта и на основании договора, а лицо, которое обрабатывает данные по поручению, обязано соблюдать установленные законом принципы и правила². На практике поручением обработки может быть хостинг заявок, CRM, сервис рассылок, колл-центр. Список таких лиц стоит знать и отражать в политике.

Готовые шаблоны политики полезны как основа, но они не знают ваших процессов. Типичная проблема: в политике написано «данные не передаются третьим лицам», а заявки при этом уходят в стороннюю CRM, почту и мессенджер. Проверьте, что текст политики соответствует тому, что реально происходит с заявкой.

Уведомление Роскомнадзора, локализация баз и cookie

Уведомление Роскомнадзора об обработке данных

Оператор обязан до начала обработки персональных данных уведомить уполномоченный орган (Роскомнадзор) о своём намерении, за исключением случаев, перечисленных в части 2 статьи 22¹¹. В действующей редакции часть исключений утратила силу с 1 сентября 2022 года, а среди оставшихся - обработка исключительно без использования средств автоматизации¹¹. Сайт с формой, почтой и базой заявок - это автоматизированная обработка, поэтому полагаться на это исключение нельзя.

Практически это означает: вы должны проверить, не попадает ли ваша ситуация в какое-либо из оставшихся исключений, а если не попадает, подать уведомление до начала сбора данных. Решение, есть ли у вас исключение, - зона ответственности юриста.

Уведомление подаётся на бумаге или в электронном виде и подписывается уполномоченным лицом. В нём указывают, среди прочего:

• наименование и адрес оператора и цель обработки;
• описание мер по статьям 18.1 и 19 закона, в том числе сведения о криптографических средствах, если они есть;
• ответственного за организацию обработки и его контакты;
• дату начала обработки и срок или условие её прекращения;
• сведения о наличии или отсутствии трансграничной передачи;
• сведения о месте нахождения базы данных граждан РФ;
• сведения об обеспечении безопасности данных¹¹.

Для каждой цели обработки оператор указывает также категории данных, категории субъектов, правовое основание, перечень действий и способы обработки¹¹. Роскомнадзор в течение тридцати дней с даты поступления уведомления вносит сведения в реестр операторов¹¹.

После подачи уведомление нужно поддерживать в актуальном состоянии. При изменении сведений оператор обязан не позднее 15-го числа месяца, следующего за месяцем изменений, уведомить уполномоченный орган обо всех изменениях за этот период. О прекращении обработки нужно уведомить в течение десяти рабочих дней с даты прекращения¹¹. Поэтому смена сайта, CRM или адреса клиники - повод проверить, не нужно ли подавать изменения.

Если юридическое лицо - оператор, оно обязано назначить ответственного за организацию обработки данных, и этот человек подотчётен исполнительному органу организации¹². Для клиники это конкретный сотрудник или внешний исполнитель, чьи данные попадут в уведомление.

За невыполнение или несвоевременное выполнение обязанности по уведомлению о намерении обрабатывать данные предусмотрена ответственность по части 10 статьи 13.11 КоАП РФ¹⁵.

Где хранятся данные: локализация баз данных граждан РФ

При сборе персональных данных, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных за пределами России не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4 и 8 части 1 статьи 6 закона⁷. Это положение части 5 статьи 18 в действующем тексте отмечено как изложенное в редакции Федерального закона от 28.02.2025 № 23-ФЗ⁷.

Для владельца сайта вывод такой: первичная запись и хранение заявок пациентов должны идти в базах, физически находящихся в России. Проверьте всю цепочку, по которой идёт заявка с формы:

• где физически работает сервер сайта и его база данных;
• куда уходят письма с заявками: какой почтовый сервис вы используете и где он размещён;
• есть ли у вас CRM, таблицы, форма-конструктор, чат-бот или сервис звонков и где находятся их базы;
• куда выгружаются копии: резервные копии, экспорт в таблицы, переписка с подрядчиком;
• что делает ваш подрядчик по сайту с заявками: хранит ли у себя, пересылает ли в мессенджеры.

Если вы обнаружили, что часть цепочки находится за границей, это не значит автоматически «нарушение»: нужно выяснить, какие данные туда попадают и подпадает ли ситуация под названные исключения. Это вопрос к юристу и техническому специалисту вместе.

Оператор сообщает место нахождения базы данных в уведомлении Роскомнадзору¹¹. Невыполнение обязанности использовать базы на территории РФ при сборе данных, в том числе через интернет, образует состав по части 8 статьи 13.11 КоАП РФ, и штрафы по ней самые высокие из «базовых» составов статьи: для юридических лиц от одного до шести миллионов рублей¹⁵. Повторное нарушение наказывается строже: для юридических лиц от шести до восемнадцати миллионов рублей¹⁵.

Трансграничная передача данных

Трансграничная передача - это передача данных на территорию иностранного государства. По статье 12 закона оператор до начала такой деятельности обязан уведомить Роскомнадзор о своём намерении. Это уведомление направляется отдельно от уведомления об обработке по статье 22⁵.

В уведомление входят, в частности, правовое основание и цель передачи, категории и перечень передаваемых данных, категории субъектов, перечень государств, дата оценки соблюдения конфиденциальности получателем⁵. До подачи уведомления оператор обязан получить от иностранного получателя сведения о мерах защиты данных и об условиях прекращения обработки, а также сведения о самом получателе⁵.

Орган по защите прав субъектов ведёт перечень государств, обеспечивающих адекватную защиту прав. Для таких государств и для остальных порядок после подачи уведомления различается: в одном случае оператор вправе передавать данные до решения органа, в другом - не вправе до истечения срока рассмотрения, кроме случая защиты жизни и здоровья⁵. Текст статьи 12 в справочной системе содержит изменения, внесённые Федеральным законом от 26.07.2026 № 265-ФЗ, поэтому перед подачей уведомления проверьте актуальную редакцию и даты вступления изменений в силу.

Для сайта врача трансграничная передача может возникнуть, например, если форма, чат или почта работают на сервисе, серверы которого находятся в другой стране, или если вы используете зарубежный сервис аналитики с данными посетителей. Важно различать две нормы: локализация баз данных (статья 18) и уведомление о трансграничной передаче (статья 12) - это разные обязанности, и выполнение одной не отменяет другую.

Cookie и Яндекс Метрика: что с аналитикой на сайте

Отдельной статьи о cookie в названиях статей закона нет: автор просмотрел все названия. Оценка идёт через общее определение персональных данных: это информация о «прямо или косвенно определяемом» человеке¹. Если сервис аналитики позволяет определить конкретного посетителя, у вас появляется обработка данных со всеми вытекающими требованиями. Является ли ваша статистика обезличенной в этом смысле, определяется настройками счётчика и условиями сервиса.

Яндекс Метрика устанавливает собственные требования к владельцу сайта в условиях использования сервиса. По редакции от 07.08.2026, которую открыл автор, пользователь должен обеспечивать предоставление посетителям информации об обработке их данных в связи с использованием сервиса в краткой, понятной и легкодоступной форме. Если этого требует применимое законодательство, пользователь также обязан получать согласия посетителей¹⁶.

Отдельно условия касаются Вебвизора. Пользователь сам включает эту функцию и определяет объём записываемой информации. С помощью Вебвизора нельзя собирать пароли, финансовую информацию и напрямую идентифицирующие данные, например имена и почтовые адреса, без специальных согласий, которые должны соответствовать требованиям законодательства¹⁶. Для медицинского сайта это важно: если вы включаете Вебвизор, убедитесь, что поля форм с телефоном и именем не записываются.

Условия Метрики также требуют информировать посетителей о возможности отключить сбор данных расширением «Блокировщик Яндекс.Метрики»¹⁶. Типичное решение - уведомление о cookie и аналитике внизу страницы со ссылкой на политику, где описаны цели и способ отказа. Баннер сам по себе не заменяет политику и не отменяет согласие в форме записи.

Права пациента, сроки и штрафы

Права пациента и сроки

Пациент вправе получить от оператора сведения об обработке своих данных. Закон устанавливает срок: сведения предоставляются в течение десяти рабочих дней с момента обращения или получения запроса. Этот срок может быть продлён, но не более чем на пять рабочих дней, если оператор направил субъекту мотивированное уведомление⁶.

Остальные сроки, которые стоит знать администратору:

• уточнение неточных данных - в течение семи рабочих дней со дня представления подтверждающих сведений¹⁰;
• прекращение неправомерной обработки - не позднее трёх рабочих дней с даты выявления, а если обеспечить правомерность нельзя, уничтожение данных - в течение десяти рабочих дней¹⁰;
• прекращение обработки и уничтожение данных после отзыва согласия - в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено договором или законом¹⁰;
• прекращение обработки по требованию субъекта - не позднее десяти рабочих дней, с возможностью продления, за исключением случаев, названных в законе¹⁰.

Отдельный блок - инциденты. Если установлен факт неправомерной или случайной передачи данных, повлёкшей нарушение прав субъектов, оператор обязан уведомить Роскомнадзор в течение двадцати четырёх часов о случившемся, предполагаемых причинах и вреде, а в течение семидесяти двух часов - о результатах внутреннего расследования¹⁰. Поэтому в клинике стоит заранее определить, кто принимает решение об уведомлении, и отработать сценарий на случай, например, ошибочной рассылки списка пациентов.

За нарушения прав субъектов и сроков статья 13.11 КоАП РФ предусматривает отдельные составы. Например, часть 4 касается невыполнения обязанности по предоставлению субъекту информации, касающейся обработки его данных, а часть 5 - невыполнения в срок требования об уточнении, блокировании или уничтожении данных¹⁵.

Какие штрафы грозят по статье 13.11 КоАП РФ

Статья 13.11 КоАП РФ называется «Нарушение законодательства Российской Федерации в области персональных данных». В справочной системе, которую открыл автор, она приведена в редакции от 04.08.2026 и содержит значительное число частей¹⁵. Ниже приведены суммы только по тем составам, которые связаны с сайтом врача. Размеры указаны по тексту нормы в этой редакции и могут измениться, поэтому перед принятием решений сверяйтесь с актуальным текстом.

• Часть 1: обработка данных в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора. Для граждан от 10 до 15 тысяч рублей, для должностных лиц от 50 до 100 тысяч, для юридических лиц от 150 до 300 тысяч¹⁵.
• Часть 2: обработка без согласия в письменной форме там, где такое согласие требуется, либо с нарушением требований к составу сведений в согласии. Для граждан от 10 до 15 тысяч, для должностных лиц от 100 до 300 тысяч, для юридических лиц от 300 до 700 тысяч рублей¹⁵.
• Часть 3: неопубликование политики обработки данных или сведений о требованиях к защите. Для индивидуальных предпринимателей от 10 до 20 тысяч рублей, для юридических лиц от 30 до 60 тысяч¹⁵.
• Часть 8: нарушение обязанности использовать базы данных на территории РФ при сборе данных граждан РФ. Для юридических лиц от 1 до 6 миллионов рублей, для должностных лиц от 100 до 200 тысяч¹⁵.
• Часть 10: невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора о намерении обрабатывать данные. Для юридических лиц от 100 до 300 тысяч рублей¹⁵.
• Часть 16: действия оператора, повлёкшие неправомерную передачу информации, включающей специальные категории данных, а значит и сведения о здоровье. Для юридических лиц от 10 до 15 миллионов рублей¹⁵.

В примечании к статье сказано, что за правонарушения по ряду частей, включая части 1.1 и 8-18, индивидуальные предприниматели несут ответственность как юридические лица¹⁵. Для частей 1 и 2 в тексте нормы размеры для индивидуальных предпринимателей отдельно не названы, поэтому как именно применять санкцию к ИП в вашем случае - вопрос к юристу.

Закон о персональных данных добавляет и гражданско-правовую линию: моральный вред, причинённый субъекту нарушением его прав, подлежит возмещению независимо от имущественного вреда¹³.

Суммы выше - не прогноз того, что вас оштрафуют. Это рамки, которые предусмотрены нормой. Реальное наказание зависит от обстоятельств дела, а также от того, нарушение первое или повторное. Повторные составы по многим частям предусматривают более высокие санкции¹⁵.

Что делать по шагам

Ниже последовательность для врача-ИП или небольшой клиники. Она не заменяет работу юриста, но помогает подготовиться и не потерять время.

1. Определите, кто оператор: ИП-врач, клиника как юридическое лицо или оба. Запишите реквизиты, ИНН, ОГРН или ОГРНИП, адрес, контакт для обращений.
2. Составьте карту данных: какие формы есть на сайте (запись, отзыв, обратная связь), какие поля они содержат, куда приходит заявка, где хранится и кто имеет доступ.
3. Уберите лишнее. Если форме достаточно телефона, не просите ФИО, дату рождения и описание жалобы. Чем меньше данных, тем меньше обязанностей и рисков.
4. Проверьте, где физически находятся серверы, почта, CRM и все сервисы, через которые идёт заявка. Запишите страну размещения каждого.
5. Оформите согласие: отдельная галочка без предустановки, ясная формулировка, ссылка на политику, сохранение отметки с заявкой.
6. Опубликуйте политику на сайте и поставьте ссылку на неё у каждой формы⁸. Сверьте текст с картой данных.
7. С юристом решите вопросы уведомления Роскомнадзора, ответственного лица и трансграничной передачи.
8. Определите процедуру обращений пациентов: кто принимает запрос, в какие сроки отвечает, как фиксирует отзыв согласия⁶¹⁰.
9. Определите процедуру на случай инцидента: кто и в течение каких сроков уведомляет Роскомнадзор¹⁰.
10. Раз в полгода сверяйте процессы с политикой и уведомлением: сменился ли сайт, CRM, почта, подрядчик.

Типичные ошибки на сайтах врачей

• Предустановленная галочка согласия или её отсутствие. Форма отправляется, а доказательств согласия нет, хотя бремя доказывания лежит на операторе³.
• Согласие внутри оферты. Пациент «принимает условия» одной кнопкой, и отдельного согласия нет, хотя норма требует оформлять его отдельно³.
• Политика, скачанная «как у всех». В ней указаны чужие реквизиты, неверные цели или сроки, а процессы на деле другие.
• Политика есть, но ссылки на неё нет у формы, или ссылка не открывается⁸.
• Поле «Опишите проблему» в форме без предупреждения. Через него приходят сведения о здоровье, а обработка таких сведений регулируется строже⁴.
• Заявки уходят в почту или таблицу на зарубежном сервисе, а о требовании хранить данные граждан РФ в российских базах никто не вспомнил⁷.
• Подрядчик получил доступ к заявкам, но договора поручения и согласия на передачу нет².
• Вебвизор включён на страницах с формами, и в записи попадают имена и телефоны¹⁶.
• Уведомление Роскомнадзора подано однажды и не обновлялось после смены сайта, CRM или адреса¹¹.
• Клиника не определила ответственного за обработку данных¹².

Чек-лист: 152-ФЗ на сайте врача

• Определён оператор, указаны ИНН, ОГРН или ОГРНИП, адрес и почта для обращений.
• Составлена карта данных: формы, поля, места хранения, доступы.
• Форма запрашивает только необходимые поля, без диагнозов и симптомов.
• Рядом с формой есть непредустановленная галочка согласия с понятной формулировкой.
• Без галочки заявка не принимается ни в браузере, ни на сервере.
• Заявка хранится вместе с фактом и датой согласия.
• Политика опубликована и доступна по ссылке у каждой формы.
• Политика соответствует реальным процессам и содержит реквизиты, цели, сроки, права пациента.
• Известно, где физически находятся базы с заявками и вся цепочка сервисов.
• С юристом решены вопросы уведомления Роскомнадзора, ответственного лица, трансграничной передачи.
• Для Метрики есть уведомление о cookie и аналитике, Вебвизор не записывает поля форм.
• Назначены ответственные за обращения пациентов и за случаи инцидентов.
• Раз в полгода проверяется актуальность политики и уведомления.

Как это решается в Doctor Vrach

Ниже только то, что подтверждено документацией и кодом сервиса. Форма записи на сайтах Doctor Vrach запрашивает номер телефона, а для отправки пациент ставит галочку согласия на обработку данных. Без неё заявка не принимается: проверка выполняется и на сервере.

Сервис создаёт страницы политики конфиденциальности, пользовательского соглашения и сведений о медорганизации. В админке задаются сведения об операторе: название, ИНН, ОГРН, адрес, почта, они подставляются в политику. Эти страницы - шаблоны, и их должен проверить юрист организации. На сайте также показывается уведомление об использовании cookie и Яндекс Метрики со ссылкой на политику. Подробнее о разделе заявок - в документации.

Сервис не принимает за вас юридические решения: уведомление Роскомнадзора, ответственного лица, вопросы локализации и трансграничной передачи остаются на стороне оператора. Если вы хотите посмотреть, как выглядят эти блоки на готовом сайте, откройте сайт врача на Doctor Vrach.

Итог

Сайт врача собирает персональные данные с первой минуты, когда на нём появляется форма записи. Три вещи дают основную защиту: минимум данных в форме, отдельное доказуемое согласие и политика, которая описывает реальные процессы. К ним добавляются уведомление Роскомнадзора, понимание того, где хранятся базы, и процедуры на случай обращения пациента и инцидента.

Особая осторожность нужна со сведениями о здоровье: не стройте форму так, чтобы пациент сообщал диагноз и симптомы⁴¹⁴. О том, как сделать форму понятной пациенту и при этом не собирать лишнего, читайте в статье как правильно оформить онлайн-запись.

Правила проверены по тексту норм в справочной системе по состоянию на октябрь 2026 года. Законы и суммы штрафов меняются, поэтому перед принятием решений откройте актуальные редакции норм по ссылкам в списке источников и обсудите вашу ситуацию с юристом.