# Персональные данные в медицинской организации: основания, тайна, частная клиника

> Источник: https://ftex.pro/blog/personalnye-dannye-v-medicinskoj-organizacii/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Персональные данные в медицинской организации: основание обработки, врачебная тайна, система и облако, запросы пациентов, частная клиника, стоматология и штрафы.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: клиника обрабатывает данные о здоровье, а это специальная категория по ст. 10 закона № 152-ФЗ и одновременно врачебная тайна по ст. 13 закона № 323-ФЗ.** Для диагностики и лечения основание есть в п. 4 ч. 2 ст. 10: письменное согласие на обработку для этого, по нашему прочтению, не нужно. Отдельное согласие нужно для рассылок, публикаций и всего, что выходит за рамки лечения. Остальное — порядок: кто видит данные, где работает медицинская информационная система, кому клиника их передаёт и сколько хранит.

 

Политика, согласия для форм и точек сбора, локальные акты, правки до «принимаю» · состав называем после разбора и до оплаты

 

Документы по 152-ФЗ под вашу клинику — 9 900 ₽

 

[Собрать пакет под мою клинику →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное для медицинской организации**

 

- **Два режима сразу.** Данные пациента защищает и закон о персональных данных (ст. 10), и закон об охране здоровья (ч. 1 ст. 13 ФЗ-323). Выполнять нужно оба.
- **Лечение закрывает п. 4 ч. 2 ст. 10.** Информированное согласие на вмешательство (ст. 20 ФЗ-323) — отдельный документ и не заменяет согласие на обработку там, где оно нужно.
- **Всё за пределами лечения — отдельное согласие:** реклама, фото, отзывы, публикации.
- **Информационная система — зона риска.** Сервер в России (ч. 5 ст. 18), договор с разработчиком (ч. 3 ст. 6), уровень защищённости по ПП № 1119.
- **Копию карты пациент запрашивает по ФЗ-323** (ч. 4–5 ст. 22), а не только по закону о персональных данных.

 

## Кто оператор и чьи данные в клинике

 

Оператор — организация, которая определяет цели и состав данных (п. 2 ст. 3 закона № 152-ФЗ). Врач-ИП, который ведёт приём сам, оператор сам. Субъектов у клиники больше, чем пациенты.

 

| Чьи данные | Что обычно собирают | На что обратить внимание |
|---|---|---|
| Пациенты | ФИО, контакты, паспорт, полис, жалобы, диагноз, результаты, снимки | Здоровье — специальная категория (ч. 1 ст. 10) и врачебная тайна (ч. 1 ст. 13 ФЗ-323) |
| Законные представители | ФИО, документ, полномочия | ИДС за ребёнка даёт родитель или иной представитель (ч. 2 ст. 20 ФЗ-323), полномочия проверяет оператор (ч. 1 ст. 9). [О детях — отдельно](https://ftex.pro/blog/personalnye-dannye-detej/) |
| Работники, контрагенты | Кадровые данные, контакты представителей страховых и лабораторий | [Статья о контрагентах](https://ftex.pro/blog/personalnye-dannye-kontragentov/) и хаб [о данных работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/) |
| Посетители сайта и онлайн-записи | Имя, телефон, данные формы | [Данные на сайте](https://ftex.pro/blog/personalnye-dannye-na-sajte/) |

 

## На каком основании клиника обрабатывает данные

 

Согласие — одно из оснований, не единственное: для обычных данных — ч. 1 ст. 6, для сведений о здоровье — ч. 2 ст. 10. Типичные цели, основание по нашему прочтению:

 

| Цель | Основание | Согласие на обработку |
|---|---|---|
| Запись на приём (ФИО, телефон) | П. 5 ч. 1 ст. 6: договор по инициативе человека | Не нужно, если в форме нет сведений о здоровье |
| Диагностика, лечение | П. 4 ч. 2 ст. 10: данные обрабатывает лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну | Не нужно. ИДС — отдельно (ст. 20 ФЗ-323) |
| Платные услуги, расчёты | П. 5 ч. 1 ст. 6; ч. 2 ст. 84 ФЗ-323 (договоры) | Не нужно |
| Обмен между медорганизациями ради помощи | П. 8 ч. 4 ст. 13 ФЗ-323 | Согласие на разглашение не требуется |
| Рассылки, акции | Ч. 1 ст. 15 ФЗ-152, ч. 1 ст. 18 закона о рекламе; при использовании сведений о лечении — п. 1 ч. 2 ст. 10 | Нужно, отдельное и письменное (наша оценка) |
| Фото, видео, отзывы о лечении | Ст. 10.1 ФЗ-152, ч. 3 ст. 13 ФЗ-323, ст. 152.1 ГК | Нужно, отдельное |

 

Напоминание о записи — исполнение договора, реклама в него не входит: скидки в такое сообщение не добавляйте (наша рекомендация). Три «медицинских» документа разобраны в статье [о медицинском согласии](https://ftex.pro/blog/medicinskoe-soglasie-na-obrabotku-pdn/), случаи без согласия — в [обзоре обработки без согласия](https://ftex.pro/blog/obrabotka-pdn-bez-soglasiya/).

 

## Где живут данные: система, облако, бумага

 

Закон прямо называет медицинские информационные системы медорганизаций (ч. 1 ст. 91 ФЗ-323) и требует вести обработку в них с соблюдением закона о персональных данных и врачебной тайны (ч. 2 ст. 91).

 

- **Сервер в России.** Данные граждан России записывают и хранят в базах на территории России (ч. 5 ст. 18). Зарубежный сервис — повод проверить [трансграничную передачу](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/).
- **Разработчик и облако — обработчик.** Нужен договор: данные, действия, цели, конфиденциальность, меры защиты, сообщения об инцидентах (ч. 3 ст. 6). Ч. 3 связывает поручение с согласием субъекта, «если иное не предусмотрено федеральным законом»; как это стыкуется со ст. 91 и п. 4 ч. 2 ст. 10, закон прямо не говорит. Наша рекомендация: назвать обработчика в политике.
- **Уровень защищённости.** Это система со специальными категориями (п. 5 ПП № 1119). При угрозах 3-го типа и менее 100 000 пациентов — 3-й уровень (п. 11 «в»), при угрозах 2-го типа — 2-й (п. 10 «б», для менее 100 000 субъектов; для более крупных баз пункты другие); тип угроз определяет оператор (п. 7). С 3-го уровня нужен ответственный за безопасность в системе (п. 14).
- **Бумага.** На одном носителе нельзя фиксировать данные с заведомо несовместимыми целями (п. 5 ПП № 687), а работающих с бумагой нужно проинформировать (п. 6).

 

Тип угроз и уровень, наша рекомендация, фиксируют документом (формы такого акта в нормах нет), подробнее — в конце статьи. Перечень систем разбирает статья [о перечне ИСПДн](https://ftex.pro/blog/perechen-ispdn/).

 

## Кому клиника передаёт данные, включая иностранных пациентов

 

- **Другой медорганизации** для оказания помощи — без согласия (п. 8 ч. 4 ст. 13 ФЗ-323).
- **Лаборатории, мастерской, подрядчику** вне такого обмена — по нашему прочтению, договор поручения (ч. 3 ст. 6) и письменное согласие на разглашение (ч. 3 ст. 13). Наша рекомендация: вместо ФИО передавайте номер заказа.
- **Страховой, полиции, суду, родственникам** — по случаям из закона, они разобраны в статье [о врачебной тайне](https://ftex.pro/blog/vrachebnaya-tajna-i-personalnye-dannye/).
- **Иностранные пациенты в стационаре.** Администрация подаёт уведомление о прибытии в течение одного рабочего дня (п. 1 ч. 3, ч. 3.1 ст. 20, ч. 9–10 ст. 22 закона № 109-ФЗ). Основание — закон; когда согласие всё же нужно, см. [статью об иностранцах](https://ftex.pro/blog/soglasie-inostrannogo-grazhdanina-na-obrabotku-pdn/).

 

## Запросы пациентов, хранение и уничтожение

 

**Два вида запросов.** О том, как клиника обрабатывает данные, отвечают в течение десяти рабочих дней, срок продлевают не более чем на пять (ч. 3 ст. 14 ФЗ-152). Копии медицинских документов и выписки пациент или представитель получает по ч. 4–5 ст. 22 ФЗ-323; порядок и сроки там поручены федеральному органу, его текст мы не открывали и сроков не называем. Родственникам и иным лицам документы выдают в случаях и порядке ч. 4–5 ст. 22; к кому относится слово «указанные» в этой норме, по тексту неочевидно, поэтому, по нашему прочтению, безопаснее, чтобы пациент назвал их в согласии или ИДС и не запретил. Как отвечать — [в статье об ответе на запрос](https://ftex.pro/blog/otvet-na-zapros-subekta-pdn/).

 

**Хранение.** Не дольше, чем требуют цели, если срок не задан федеральным законом или договором (ч. 7 ст. 5). Срока хранения медицинской документации в проверенных нормах нет, цифру не называем: возьмите её из отраслевых требований и запишите в политику. **Уничтожение.** Цель достигнута — до 30 дней на уничтожение, если иное не установлено договором или законом (ч. 4 ст. 21); подтверждает акт (ч. 7 ст. 21, приказ № 179), см. [акт уничтожения](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/).

 

## Частная клиника и стоматология

 

У частной клиники те же правила, плюс договор с пациентом и реклама:

 

- **Объём данных.** К платным услугам применяют закон о защите прав потребителей (ч. 8 ст. 84 ФЗ-323). Нельзя отказать в услуге из-за отказа дать данные, кроме случаев, когда их требует закон или они связаны с исполнением договора; на письменное требование назвать причины отвечают в течение семи дней (п. 4 ст. 16 этого закона). Согласие на рекламу как условие приёма этого правила не выдержит, а анкета о соцсетях избыточна (ч. 5 ст. 5).
- **Запись и рассылки.** В форме хватит имени и телефона, диагнозы и симптомы не собирайте (наша рекомендация): [согласие в форме на сайте](https://ftex.pro/blog/soglasie-na-obrabotku-pdn-na-sajte/). Реклама — только с предварительного согласия, доказывать его получение должен оператор (ч. 1 ст. 15): [согласие на рассылку](https://ftex.pro/blog/soglasie-na-rassylku-i-reklamu/).
- **Фото «до и после», отзывы.** Изображение обнародуют с согласия человека (ст. 152.1 ГК). Публикация — распространение (п. 5 ст. 3): нужно отдельное согласие по ст. 10.1, молчание согласием не считается (ч. 8 ст. 10.1). Сведения о лечении — врачебная тайна, их публикуют с письменного согласия (ч. 3 ст. 13 ФЗ-323). Разбор: [согласие на распространение](https://ftex.pro/blog/soglasie-na-rasprostranenie-pdn/).
- **Ответы на отзывы на картах.** Факт обращения — тоже врачебная тайна (ч. 1 ст. 13 ФЗ-323). По нашему прочтению, ответ «вы лечили у нас зуб в мае» раскрывает этот факт; безопаснее отвечать без подтверждения визита.
- **Снимки и модели в стоматологии.** Рентген, КТ и фото зубов — сведения о здоровье, полученные при обследовании (ч. 1 ст. 13): режим тот же.
- **Камеры.** Изображение пациента — тоже персональные данные: [статья о видеонаблюдении](https://ftex.pro/blog/videonablyudenie-i-personalnye-dannye/). Логику для клиентов любой отрасли даёт статья [о данных клиентов](https://ftex.pro/blog/personalnye-dannye-klientov/).

 

## Ответственность: суммы без страшилок

 

Срок давности по ст. 13.11 — один год (ст. 4.5). Суммы ниже для коммерческих организаций; у государственных и муниципальных больниц (НКО) по ч. 10 и 16 по примечаниям 2–3 штрафуют должностное лицо (ч. 10: 30–50 тыс. ₽, ч. 16: 1–1,3 млн ₽); ИП — по ст. 2.4 и своим строкам, в ч. 1.1 и 8–18 как юрлицо (примечание 1).

 

| Нарушение | Норма | Организация |
|---|---|---|
| Обработка без письменного согласия там, где закон его требует, или с нарушением состава согласия | Ч. 2 ст. 13.11 КоАП | 300–700 тыс. ₽ (ИП отвечает как должностное лицо: 100–300 тыс. ₽) |
| Не опубликована политика | Ч. 3 ст. 13.11 | 30–60 тыс. ₽ (ИП 10–20 тыс. ₽) |
| Не подано уведомление в Роскомнадзор | Ч. 10 ст. 13.11 | 100–300 тыс. ₽ (ИП как организация) |
| Утечка информации со специальной категорией данных | Ч. 16 ст. 13.11 | 10–15 млн ₽ (ИП как организация) |
| Разглашение сведений с ограниченным доступом работником | Ст. 13.14 | Юрлица 100–200 тыс. ₽; граждане 5–10 тыс. ₽; должностные лица 40–50 тыс. ₽ или дисквалификация |

 

Ч. 16 — про инцидент, когда данные ушли наружу, а не про обычную работу. Если случилось, Роскомнадзору сообщают в течение 24 часов (ч. 3.1 ст. 21): [что делать](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/). За повтор — оборотные штрафы по ч. 18 ([разбор](https://ftex.pro/blog/oborotnye-shtrafy-za-utechku-pdn/)). Подходит ли ст. 13.14 к случаю, оценивает орган. Все суммы — в статье [о штрафах за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/).

 

## Как мы помогаем клинике

 

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Границы: ИДС, врачебную тайну и медицинскую документацию мы не ведём, лицензирование медицинской деятельности не оказываем. Мы закрываем часть 152-ФЗ.

 

- [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽. Разбор ваших данных и систем, политика, согласия для форм и приёма, локальные акты по вашей ситуации, правки до «принимаю». Состав называем после разбора, до оплаты.
- [Аудит сайта на 152-ФЗ](https://ftex.pro/audit-sajta-152-fz/) — 4 900 ₽: форма онлайн-записи, согласия, политика, сервисы, отчёт за 3 рабочих дня.
- [Модель угроз персональных данных](https://ftex.pro/model-ugroz-pdn/) — от 12 900 ₽: тип угроз и уровень защищённости по ПП № 1119, перечень мер. Только документы; установку средств защиты и аттестацию не берём, на них нужна лицензия ФСТЭК.
- [Уведомление в Роскомнадзор](https://ftex.pro/uvedomlenie-v-roskomnadzor/) — 4 900 ₽; [сопровождение](https://ftex.pro/soprovozhdenie-po-pdn/) — 1 990 ₽ в месяц или 19 900 ₽ в год (запросы и предписания Роскомнадзора в подписку не входят).

 

Одним договором и по одной цене · консультация бесплатная, скажем честно, что нужно, а что нет

 

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

 

[Посмотреть услуги ФТИ →](https://ftex.pro/uslugi/)

 

Данные самих сотрудников клиники — в хабе [о персональных данных работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/), политику клиники — в [хабе о политике обработки](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 3 — основные понятия](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Закон № 152-ФЗ, ст. 6 — условия обработки, поручение обработки](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Закон № 152-ФЗ, ст. 10 — специальные категории, в том числе здоровье](https://www.consultant.ru/document/cons_doc_LAW_61801/26edb2934b899bf9c74c3a8f7e574651c6565e6d/)
- [Закон № 152-ФЗ, ст. 18 — базы данных на территории России](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Закон № 323-ФЗ, ст. 13 — соблюдение врачебной тайны](https://www.consultant.ru/document/cons_doc_LAW_121895/9f906d460f9454a8a0d290738d9fc2798c1e865a/)
- [Закон № 323-ФЗ, ст. 20 — информированное добровольное согласие](https://www.consultant.ru/document/cons_doc_LAW_121895/0b1cadf39ebeb0f1fed2ef0b8ebab5973197d7f1/)
- [Закон № 323-ФЗ, ст. 22 — информация о состоянии здоровья, доступ к документации](https://www.consultant.ru/document/cons_doc_LAW_121895/d2872d82b3b26ca307971f590ce02dd37f71cafc/)
- [Закон № 323-ФЗ, ст. 84 — оплата медицинских услуг](https://www.consultant.ru/document/cons_doc_LAW_121895/7d82d8b73df1f41ddbc132b12ec0575f243c3bb6/)
- [Закон № 323-ФЗ, ст. 91 — информационное обеспечение в сфере здравоохранения](https://www.consultant.ru/document/cons_doc_LAW_121895/63e7b030bc918fda119ad58975d09e640b04b248/)
- [Закон № 109-ФЗ, ст. 20 — обязательность учёта иностранных граждан по месту пребывания](https://www.consultant.ru/document/cons_doc_LAW_61569/259e33be7736b57036467f128672f0ce6ca81f9d/)
- [Закон № 109-ФЗ, ст. 22 — порядок постановки иностранных граждан на учёт](https://www.consultant.ru/document/cons_doc_LAW_61569/5870db6b61f003dfeffe784df6b3ee9c026925ba/)
- [Закон о защите прав потребителей, ст. 16 — недопустимые условия договора](https://www.consultant.ru/document/cons_doc_LAW_305/9eb0f127ead4dc57e7d0a9d4954cf264c4b3cea8/)
- [ГК РФ, ст. 152.1 — охрана изображения гражданина](https://www.consultant.ru/document/cons_doc_LAW_5142/14c6c3902cffa17ab26d330b2fd4fae28e5cd059/)
- [Постановление Правительства № 687 — обработка без средств автоматизации](https://base.garant.ru/193875/)
- [Постановление Правительства № 1119 — защита данных в информационных системах](https://base.garant.ru/70252506/)
- [Приказ Роскомнадзора от 28.10.2022 № 179 — подтверждение уничтожения](https://base.garant.ru/405821247/)
- [КоАП РФ, ст. 13.11 — нарушение законодательства о персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)
- [КоАП РФ, ст. 13.14 — разглашение информации с ограниченным доступом](https://www.consultant.ru/document/cons_doc_LAW_34661/835dca84f369ce440288da07465dbbf24791784a/)

## Частые вопросы

### Является ли медицинская организация оператором персональных данных?

Да. Оператор — тот, кто организует обработку и определяет цели и состав данных (п. 2 ст. 3 закона № 152-ФЗ). Клиника, больница и врач-ИП с приёмом обрабатывают данные пациентов и поэтому подпадают под закон, включая уведомление Роскомнадзора (ст. 22) и политику (ч. 2 ст. 18.1).

### Нужно ли согласие на обработку персональных данных для приёма и лечения?

По нашему прочтению, нет: для диагностики и лечения есть основание в п. 4 ч. 2 ст. 10, если данные обрабатывает лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну. Информированное согласие на вмешательство нужно отдельно (ст. 20 ФЗ-323). Для рассылок и публикаций нужно отдельное согласие (ст. 15, 10.1), а для сведений о здоровье в этих целях письменное (п. 1 ч. 2 ст. 10).

### Чем медицинские данные отличаются от обычных?

Сведения о здоровье — специальная категория: их обработка допускается только в случаях ч. 2 ст. 10. Они же — врачебная тайна, которую нельзя разглашать без письменного согласия или случая из ч. 4 ст. 13 ФЗ-323. Режимов два, и они складываются.

### Где можно хранить базу пациентов?

Данные граждан России записывают и хранят в базах на территории России, исключения — только п. 2, 3, 4 и 8 ч. 1 ст. 6 (ч. 5 ст. 18). Зарубежное облако для медицинской системы — повод проверить трансграничную передачу и это правило.

### Можно ли передавать данные пациента в лабораторию или зуботехническую мастерскую?

Между медицинскими организациями для оказания помощи — без согласия (п. 8 ч. 4 ст. 13 ФЗ-323). Другим подрядчикам, по нашему прочтению, нужны договор поручения и письменное согласие на разглашение. Наша рекомендация: передавайте номер заказа вместо ФИО.

### Как отвечать на запрос пациента о копии медицинской карты?

Пациент или его представитель вправе по запросу получать медицинские документы, их копии и выписки (ч. 5 ст. 22 ФЗ-323). Порядок и сроки устанавливает федеральный орган. Отдельно по закону о персональных данных клиника в течение десяти рабочих дней сообщает, какие данные и как обрабатывает (ч. 3 ст. 14).

### Можно ли публиковать фото «до и после» и отзывы пациентов?

Только с согласия: изображение — по ст. 152.1 ГК, публикация — отдельное согласие на распространение по ст. 10.1, сведения о лечении — письменное согласие на разглашение (ч. 3 ст. 13 ФЗ-323). Молчание или отсутствие возражений согласием не считается.

### Как отвечать на отзыв пациента на карте или агрегаторе?

Факт обращения за помощью — врачебная тайна (ч. 1 ст. 13 ФЗ-323). По нашему прочтению, ответ, который подтверждает визит и называет лечение, раскрывает её. Безопаснее ответить без подтверждения и предложить связаться в личном канале.

### Какой штраф грозит клинике за утечку данных пациентов?

Если ушла информация со специальной категорией данных, для коммерческих организаций и ИП это ч. 16 ст. 13.11 КоАП: от 10 до 15 млн ₽. Предупреждают такие случаи доступ по ролям, договоры с обработчиками и действия в первые 24 часа (ч. 3.1 ст. 21). Срок давности один год.

### Поможете оформить документы по персональным данным для клиники и сколько это стоит?

Да. Документы по 152-ФЗ — 9 900 ₽: политика, согласия для форм и приёма, локальные акты, правки до «принимаю», состав называем до оплаты. Аудит сайта — 4 900 ₽, модель угроз — от 12 900 ₽. ИДС и медицинскую документацию мы не ведём.