Персональные данные

Персональные данные в медицинской организации: основания, тайна, частная клиника

Редактор ФТИ 7 октября 2026 11 мин чтения

Коротко

Какие данные обрабатывает медицинская организация, на каком основании, как сочетаются закон о персональных данных и врачебная тайна, где хранить базу и что учесть частной клинике и стоматологии.

Коротко: клиника обрабатывает данные о здоровье, а это специальная категория по ст. 10 закона № 152-ФЗ и одновременно врачебная тайна по ст. 13 закона № 323-ФЗ. Для диагностики и лечения основание есть в п. 4 ч. 2 ст. 10: письменное согласие на обработку для этого, по нашему прочтению, не нужно. Отдельное согласие нужно для рассылок, публикаций и всего, что выходит за рамки лечения. Остальное — порядок: кто видит данные, где работает медицинская информационная система, кому клиника их передаёт и сколько хранит.

Политика, согласия для форм и точек сбора, локальные акты, правки до «принимаю» · состав называем после разбора и до оплаты

Документы по 152-ФЗ под вашу клинику — 9 900 ₽

Собрать пакет под мою клинику →

Главное для медицинской организации

Два режима сразу. Данные пациента защищает и закон о персональных данных (ст. 10), и закон об охране здоровья (ч. 1 ст. 13 ФЗ-323). Выполнять нужно оба.
Лечение закрывает п. 4 ч. 2 ст. 10. Информированное согласие на вмешательство (ст. 20 ФЗ-323) — отдельный документ и не заменяет согласие на обработку там, где оно нужно.
Всё за пределами лечения — отдельное согласие: реклама, фото, отзывы, публикации.
Информационная система — зона риска. Сервер в России (ч. 5 ст. 18), договор с разработчиком (ч. 3 ст. 6), уровень защищённости по ПП № 1119.
Копию карты пациент запрашивает по ФЗ-323 (ч. 4–5 ст. 22), а не только по закону о персональных данных.

Кто оператор и чьи данные в клинике

Оператор — организация, которая определяет цели и состав данных (п. 2 ст. 3 закона № 152-ФЗ). Врач-ИП, который ведёт приём сам, оператор сам. Субъектов у клиники больше, чем пациенты.

Чьи данные	Что обычно собирают	На что обратить внимание
Пациенты	ФИО, контакты, паспорт, полис, жалобы, диагноз, результаты, снимки	Здоровье — специальная категория (ч. 1 ст. 10) и врачебная тайна (ч. 1 ст. 13 ФЗ-323)
Законные представители	ФИО, документ, полномочия	ИДС за ребёнка даёт родитель или иной представитель (ч. 2 ст. 20 ФЗ-323), полномочия проверяет оператор (ч. 1 ст. 9). О детях — отдельно
Работники, контрагенты	Кадровые данные, контакты представителей страховых и лабораторий	Статья о контрагентах и хаб о данных работников
Посетители сайта и онлайн-записи	Имя, телефон, данные формы	Данные на сайте

На каком основании клиника обрабатывает данные

Согласие — одно из оснований, не единственное: для обычных данных — ч. 1 ст. 6, для сведений о здоровье — ч. 2 ст. 10. Типичные цели, основание по нашему прочтению:

Цель	Основание	Согласие на обработку
Запись на приём (ФИО, телефон)	П. 5 ч. 1 ст. 6: договор по инициативе человека	Не нужно, если в форме нет сведений о здоровье
Диагностика, лечение	П. 4 ч. 2 ст. 10: данные обрабатывает лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну	Не нужно. ИДС — отдельно (ст. 20 ФЗ-323)
Платные услуги, расчёты	П. 5 ч. 1 ст. 6; ч. 2 ст. 84 ФЗ-323 (договоры)	Не нужно
Обмен между медорганизациями ради помощи	П. 8 ч. 4 ст. 13 ФЗ-323	Согласие на разглашение не требуется
Рассылки, акции	Ч. 1 ст. 15 ФЗ-152, ч. 1 ст. 18 закона о рекламе; при использовании сведений о лечении — п. 1 ч. 2 ст. 10	Нужно, отдельное и письменное (наша оценка)
Фото, видео, отзывы о лечении	Ст. 10.1 ФЗ-152, ч. 3 ст. 13 ФЗ-323, ст. 152.1 ГК	Нужно, отдельное

Напоминание о записи — исполнение договора, реклама в него не входит: скидки в такое сообщение не добавляйте (наша рекомендация). Три «медицинских» документа разобраны в статье о медицинском согласии, случаи без согласия — в обзоре обработки без согласия.

Где живут данные: система, облако, бумага

Закон прямо называет медицинские информационные системы медорганизаций (ч. 1 ст. 91 ФЗ-323) и требует вести обработку в них с соблюдением закона о персональных данных и врачебной тайны (ч. 2 ст. 91).

Сервер в России. Данные граждан России записывают и хранят в базах на территории России (ч. 5 ст. 18). Зарубежный сервис — повод проверить трансграничную передачу.
Разработчик и облако — обработчик. Нужен договор: данные, действия, цели, конфиденциальность, меры защиты, сообщения об инцидентах (ч. 3 ст. 6). Ч. 3 связывает поручение с согласием субъекта, «если иное не предусмотрено федеральным законом»; как это стыкуется со ст. 91 и п. 4 ч. 2 ст. 10, закон прямо не говорит. Наша рекомендация: назвать обработчика в политике.
Уровень защищённости. Это система со специальными категориями (п. 5 ПП № 1119). При угрозах 3-го типа и менее 100 000 пациентов — 3-й уровень (п. 11 «в»), при угрозах 2-го типа — 2-й (п. 10 «б», для менее 100 000 субъектов; для более крупных баз пункты другие); тип угроз определяет оператор (п. 7). С 3-го уровня нужен ответственный за безопасность в системе (п. 14).
Бумага. На одном носителе нельзя фиксировать данные с заведомо несовместимыми целями (п. 5 ПП № 687), а работающих с бумагой нужно проинформировать (п. 6).

Тип угроз и уровень, наша рекомендация, фиксируют документом (формы такого акта в нормах нет), подробнее — в конце статьи. Перечень систем разбирает статья о перечне ИСПДн.

Кому клиника передаёт данные, включая иностранных пациентов

Другой медорганизации для оказания помощи — без согласия (п. 8 ч. 4 ст. 13 ФЗ-323).
Лаборатории, мастерской, подрядчику вне такого обмена — по нашему прочтению, договор поручения (ч. 3 ст. 6) и письменное согласие на разглашение (ч. 3 ст. 13). Наша рекомендация: вместо ФИО передавайте номер заказа.
Страховой, полиции, суду, родственникам — по случаям из закона, они разобраны в статье о врачебной тайне.
Иностранные пациенты в стационаре. Администрация подаёт уведомление о прибытии в течение одного рабочего дня (п. 1 ч. 3, ч. 3.1 ст. 20, ч. 9–10 ст. 22 закона № 109-ФЗ). Основание — закон; когда согласие всё же нужно, см. статью об иностранцах.

Запросы пациентов, хранение и уничтожение

Два вида запросов. О том, как клиника обрабатывает данные, отвечают в течение десяти рабочих дней, срок продлевают не более чем на пять (ч. 3 ст. 14 ФЗ-152). Копии медицинских документов и выписки пациент или представитель получает по ч. 4–5 ст. 22 ФЗ-323; порядок и сроки там поручены федеральному органу, его текст мы не открывали и сроков не называем. Родственникам и иным лицам документы выдают в случаях и порядке ч. 4–5 ст. 22; к кому относится слово «указанные» в этой норме, по тексту неочевидно, поэтому, по нашему прочтению, безопаснее, чтобы пациент назвал их в согласии или ИДС и не запретил. Как отвечать — в статье об ответе на запрос.

Хранение. Не дольше, чем требуют цели, если срок не задан федеральным законом или договором (ч. 7 ст. 5). Срока хранения медицинской документации в проверенных нормах нет, цифру не называем: возьмите её из отраслевых требований и запишите в политику. Уничтожение. Цель достигнута — до 30 дней на уничтожение, если иное не установлено договором или законом (ч. 4 ст. 21); подтверждает акт (ч. 7 ст. 21, приказ № 179), см. акт уничтожения.

Частная клиника и стоматология

У частной клиники те же правила, плюс договор с пациентом и реклама:

Объём данных. К платным услугам применяют закон о защите прав потребителей (ч. 8 ст. 84 ФЗ-323). Нельзя отказать в услуге из-за отказа дать данные, кроме случаев, когда их требует закон или они связаны с исполнением договора; на письменное требование назвать причины отвечают в течение семи дней (п. 4 ст. 16 этого закона). Согласие на рекламу как условие приёма этого правила не выдержит, а анкета о соцсетях избыточна (ч. 5 ст. 5).
Запись и рассылки. В форме хватит имени и телефона, диагнозы и симптомы не собирайте (наша рекомендация): согласие в форме на сайте. Реклама — только с предварительного согласия, доказывать его получение должен оператор (ч. 1 ст. 15): согласие на рассылку.
Фото «до и после», отзывы. Изображение обнародуют с согласия человека (ст. 152.1 ГК). Публикация — распространение (п. 5 ст. 3): нужно отдельное согласие по ст. 10.1, молчание согласием не считается (ч. 8 ст. 10.1). Сведения о лечении — врачебная тайна, их публикуют с письменного согласия (ч. 3 ст. 13 ФЗ-323). Разбор: согласие на распространение.
Ответы на отзывы на картах. Факт обращения — тоже врачебная тайна (ч. 1 ст. 13 ФЗ-323). По нашему прочтению, ответ «вы лечили у нас зуб в мае» раскрывает этот факт; безопаснее отвечать без подтверждения визита.
Снимки и модели в стоматологии. Рентген, КТ и фото зубов — сведения о здоровье, полученные при обследовании (ч. 1 ст. 13): режим тот же.
Камеры. Изображение пациента — тоже персональные данные: статья о видеонаблюдении. Логику для клиентов любой отрасли даёт статья о данных клиентов.

Ответственность: суммы без страшилок

Срок давности по ст. 13.11 — один год (ст. 4.5). Суммы ниже для коммерческих организаций; у государственных и муниципальных больниц (НКО) по ч. 10 и 16 по примечаниям 2–3 штрафуют должностное лицо (ч. 10: 30–50 тыс. ₽, ч. 16: 1–1,3 млн ₽); ИП — по ст. 2.4 и своим строкам, в ч. 1.1 и 8–18 как юрлицо (примечание 1).

Нарушение	Норма	Организация
Обработка без письменного согласия там, где закон его требует, или с нарушением состава согласия	Ч. 2 ст. 13.11 КоАП	300–700 тыс. ₽ (ИП отвечает как должностное лицо: 100–300 тыс. ₽)
Не опубликована политика	Ч. 3 ст. 13.11	30–60 тыс. ₽ (ИП 10–20 тыс. ₽)
Не подано уведомление в Роскомнадзор	Ч. 10 ст. 13.11	100–300 тыс. ₽ (ИП как организация)
Утечка информации со специальной категорией данных	Ч. 16 ст. 13.11	10–15 млн ₽ (ИП как организация)
Разглашение сведений с ограниченным доступом работником	Ст. 13.14	Юрлица 100–200 тыс. ₽; граждане 5–10 тыс. ₽; должностные лица 40–50 тыс. ₽ или дисквалификация

Ч. 16 — про инцидент, когда данные ушли наружу, а не про обычную работу. Если случилось, Роскомнадзору сообщают в течение 24 часов (ч. 3.1 ст. 21): что делать. За повтор — оборотные штрафы по ч. 18 (разбор). Подходит ли ст. 13.14 к случаю, оценивает орган. Все суммы — в статье о штрафах за персональные данные.

Как мы помогаем клинике

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Границы: ИДС, врачебную тайну и медицинскую документацию мы не ведём, лицензирование медицинской деятельности не оказываем. Мы закрываем часть 152-ФЗ.

Документы по 152-ФЗ — 9 900 ₽. Разбор ваших данных и систем, политика, согласия для форм и приёма, локальные акты по вашей ситуации, правки до «принимаю». Состав называем после разбора, до оплаты.
Аудит сайта на 152-ФЗ — 4 900 ₽: форма онлайн-записи, согласия, политика, сервисы, отчёт за 3 рабочих дня.
Модель угроз персональных данных — от 12 900 ₽: тип угроз и уровень защищённости по ПП № 1119, перечень мер. Только документы; установку средств защиты и аттестацию не берём, на них нужна лицензия ФСТЭК.
Уведомление в Роскомнадзор — 4 900 ₽; сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год (запросы и предписания Роскомнадзора в подписку не входят).

Одним договором и по одной цене · консультация бесплатная, скажем честно, что нужно, а что нет

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

Посмотреть услуги ФТИ →

Данные самих сотрудников клиники — в хабе о персональных данных работников, политику клиники — в хабе о политике обработки.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Является ли медицинская организация оператором персональных данных?

Да. Оператор — тот, кто организует обработку и определяет цели и состав данных (п. 2 ст. 3 закона № 152-ФЗ). Клиника, больница и врач-ИП с приёмом обрабатывают данные пациентов и поэтому подпадают под закон, включая уведомление Роскомнадзора (ст. 22) и политику (ч. 2 ст. 18.1).

Нужно ли согласие на обработку персональных данных для приёма и лечения?

По нашему прочтению, нет: для диагностики и лечения есть основание в п. 4 ч. 2 ст. 10, если данные обрабатывает лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну. Информированное согласие на вмешательство нужно отдельно (ст. 20 ФЗ-323). Для рассылок и публикаций нужно отдельное согласие (ст. 15, 10.1), а для сведений о здоровье в этих целях письменное (п. 1 ч. 2 ст. 10).

Чем медицинские данные отличаются от обычных?

Сведения о здоровье — специальная категория: их обработка допускается только в случаях ч. 2 ст. 10. Они же — врачебная тайна, которую нельзя разглашать без письменного согласия или случая из ч. 4 ст. 13 ФЗ-323. Режимов два, и они складываются.

Где можно хранить базу пациентов?

Данные граждан России записывают и хранят в базах на территории России, исключения — только п. 2, 3, 4 и 8 ч. 1 ст. 6 (ч. 5 ст. 18). Зарубежное облако для медицинской системы — повод проверить трансграничную передачу и это правило.

Можно ли передавать данные пациента в лабораторию или зуботехническую мастерскую?

Между медицинскими организациями для оказания помощи — без согласия (п. 8 ч. 4 ст. 13 ФЗ-323). Другим подрядчикам, по нашему прочтению, нужны договор поручения и письменное согласие на разглашение. Наша рекомендация: передавайте номер заказа вместо ФИО.

Как отвечать на запрос пациента о копии медицинской карты?

Пациент или его представитель вправе по запросу получать медицинские документы, их копии и выписки (ч. 5 ст. 22 ФЗ-323). Порядок и сроки устанавливает федеральный орган. Отдельно по закону о персональных данных клиника в течение десяти рабочих дней сообщает, какие данные и как обрабатывает (ч. 3 ст. 14).

Можно ли публиковать фото «до и после» и отзывы пациентов?

Только с согласия: изображение — по ст. 152.1 ГК, публикация — отдельное согласие на распространение по ст. 10.1, сведения о лечении — письменное согласие на разглашение (ч. 3 ст. 13 ФЗ-323). Молчание или отсутствие возражений согласием не считается.

Как отвечать на отзыв пациента на карте или агрегаторе?

Факт обращения за помощью — врачебная тайна (ч. 1 ст. 13 ФЗ-323). По нашему прочтению, ответ, который подтверждает визит и называет лечение, раскрывает её. Безопаснее ответить без подтверждения и предложить связаться в личном канале.

Какой штраф грозит клинике за утечку данных пациентов?

Если ушла информация со специальной категорией данных, для коммерческих организаций и ИП это ч. 16 ст. 13.11 КоАП: от 10 до 15 млн ₽. Предупреждают такие случаи доступ по ролям, договоры с обработчиками и действия в первые 24 часа (ч. 3.1 ст. 21). Срок давности один год.

Поможете оформить документы по персональным данным для клиники и сколько это стоит?

Да. Документы по 152-ФЗ — 9 900 ₽: политика, согласия для форм и приёма, локальные акты, правки до «принимаю», состав называем до оплаты. Аудит сайта — 4 900 ₽, модель угроз — от 12 900 ₽. ИДС и медицинскую документацию мы не ведём.