Статья: Защита персональных данных посетителей сайта медицинской организации

(Березинский В.С.)

(Подготовлен для системы КонсультантПлюс, 2025)

Березинский Вадим Сергеевич, юрист.

Введение

В современном мире сайт медицинской организации становится ее виртуальной витриной: он дает описание услуг клиники, знакомит с медицинской командой, предоставляет возможности онлайн-взаимодействия и дает круглосуточный доступ к опубликованной информации. При этом он не просто работает с посетителями — он открыт для внимания контролирующих органов, в том числе Роскомнадзора, в связи с чем требует прозрачности в том, как обрабатываются персональные данные.

Для клиники важно, чтобы веб-ресурс не только привлекал пациентов и повышал доверие, но и функционировал в правовом поле: сбор, хранение и публикация данных должны соответствовать установленным требованиям.

1. Сбор данных о пользователях при помощи файлов cookie

Сегодня сбор данных о посетителях сайта осуществляется не только и не столько путем их получения от человека через формы обратной связи, а в основном с помощью технических средств, например применения технологий отслеживания пользовательского поведения: cookie, пиксели, local storage и иные аналогичные технологии.

Один из самых распространенных сегодня инструментов отслеживания — это использование файлов cookie. Специальное правовое регулирование для использования файлов cookie в настоящее время отсутствует, в связи с чем вопрос пока частично находится в зоне локального нормотворчества каждой организации.

Однако важно понимать, что cookie пересекаются с понятием персональных данных, и в этой части их использование подпадает под действие законодательства о персональных данных.

Нормативное определение cookie отсутствует, на практике под ними обычно понимают небольшие текстовые файлы, которые интернет-сайт сохраняет на устройстве пользователя с целью отслеживания его действий, запоминания настроек, идентификации повторных сессий и т.д.

В зависимости от целей использования cookie принято делить:

• на технические — необходимы для корректной работы сайта: авторизация, корзина, навигация и др.;
• функциональные (настройки пользователя) — необходимы для комфортной работы пользователя на сайте с учетом его предпочтений: язык интерфейса, геолокация, размер шрифта, тема и др.;
• аналитические или статистические — собирают данные о поведении пользователей, например посещенные страницы, время выполнения действий, переходы между разделами сайта, источники трафика;
• маркетинговые, рекламные, трекинговые — используются для показа рекламы, отслеживания вне сайта, создания профиля пользователя, ретаргетинга и др.

Используя эту классификацию, а также нормативное определение персональных данных, можно определить, какие файлы cookie относятся к персональным данным и требуют соблюдения правовых норм. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон о персональных данных).

Так, если cookie позволяют установить связь между информацией в файле и конкретной личностью (или устройством, которое можно отнести к конкретному лицу) — например, через вход в аккаунт, привязку email, телефонный номер, IP-адрес или другие идентификаторы, — тогда они могут считаться источником персональных данных.

Если cookie полностью анонимизированы (не связаны с лицом или устройством), то они не относятся к персональным данным.

Применительно к сайту медицинской организации можно отметить, что если cookie косвенно содержат идентифицирующую пациента информацию или позволяют построить профиль пациента (например, логин в личном кабинете, сведения о записи на прием, историю посещений клиники), то с высокой вероятностью эти данные относятся к персональным и требуют принятия установленных законом мер.

Если cookie относятся к персональным данным, то их использование необходимо отразить в политике конфиденциальности и получить согласие пользователя на обработку персональных данных, о чем мы поговорим далее.

Если cookie полностью анонимизированы, то рекомендуется опубликовать уведомление об их использовании на сайте, этого будет достаточно для соблюдения прав пользователей. Несмотря на то что однозначной и прямой обязанности публиковать такое уведомление в отношении технических cookie законодательство не устанавливает, рекомендуется разместить баннер с уведомлением с целью минимизировать возможное внимание к этому вопросу со стороны Роскомнадзора.

2. Публикация политики конфиденциальности на сайте медицинской организации

Медицинская организация, осуществляя через свой сайт сбор персональных данных, обязана опубликовать документ, определяющий ее политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных (ч. 2 ст. 18.1 Закона о персональных данных).

Закон требует опубликовать такой документ на каждой из страниц принадлежащего медицинской организации сайта, с использованием которых осуществляется сбор персональных данных. Учитывая, что сбор данных о пользователях при помощи файлов cookie осуществляется на всех страницах сайта, то целесообразно опубликовать политику конфиденциальности в «подвале» сайта или ином месте, доступном с каждой страницы сайта.

Также согласно норме Закона необходимо обеспечить возможность неограниченного доступа к указанному документу с использованием средств сети Интернет.

Определение структурного и содержательного наполнения политики в отношении обработки персональных данных отнесено к компетенции медицинской организации (см. письмо Роскомнадзора от 19.10.2021 № 08-71063 «О разъяснении законодательства»).

Здесь важно понимать, что Закон не требует, чтобы в медицинской организации был только один документ, определяющий политику в отношении обработки персональных данных. Поэтому для целей работы сайта допускается составить отдельную политику в отношении обработки персональных данных на этом сайте, которая будет распространяться только на взаимодействие с посетителями сайта. При этом в медицинской организации может быть также общий документ, определяющий политику в отношении обработки персональных данных в целом во всей организации, а не только на сайте.

3. Согласие на обработку персональных данных на сайте медицинской организации

Статья 6 Закона о персональных данных определяет случаи, в которых допускается обработка персональных данных без согласия физического лица. Практически всегда обработка персональных данных посетителей сайта медицинской организации к таким случаям не относится, а следовательно, обработку персональных данных необходимо осуществлять на основании согласия субъекта персональных данных.

Согласие может быть дано в любой позволяющей подтвердить факт его получения форме (ч. 1 ст. 9 Закона о персональных данных). На сайте согласие традиционно оформляется путем проставления галочки в чек-боксе рядом с фразой, подтверждающей согласие на обработку персональных данных. При этом важно соблюдать ряд обязательных условий:

• текст согласия должен быть доступен пользователю по активной ссылке непосредственно в момент выражения согласия. Согласие должно быть конкретным, предметным, информированным, в силу чего недостаточно указания простой фразы о согласии. Необходимо составить текст согласия, отвечающий требованиям конкретности, предметности и информированности, и предоставить возможность пользователю ознакомиться с ним непосредственно перед выражением своей воли;
• проставляя галочку в чек-боксе, пользователь должен выразить только согласие на обработку персональных данных, согласие с другой информацией или документами должно оформляться отдельно. Это требование следует из ч. 1 ст. 9 Закона о персональных данных, в соответствии с которой согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных;
• галочка в чек-боксе напротив согласия не должна быть предустановленной (pre-checked box), поскольку в силу ч. 1 ст. 9 Закона о персональных данных согласие на обработку персональных данных должно быть сознательным и однозначным, а молчание в силу ст. 157.1 Гражданского кодекса РФ не считается согласием на совершение сделки.

4. Примеры взаимодействия с посетителями медицинского сайта, связанные с обработкой персональных данных

Применительно к сайту медицинской организации можно выделить следующие распространенные примеры взаимодействия с посетителями сайта, требующие оформления согласия на обработку персональных данных:

1. Пользователь заполняет онлайн-форму «Запись на прием» на сайте клиники, указывая свои Ф.И.О., контактный телефон, e-mail, желаемую дату и время приема, требуемую специальность врача и иногда кратко свои жалобы.

2. Пользователь регистрирует личный кабинет пациента через сайт: создает логин и пароль, предоставляет фамилию, имя, отчество, дату рождения, контактные данные, возможно, сведения об истории обращений. Такая регистрация предполагает идентификацию пользователя и дальнейшую обработку его данных. Требуется оформить согласие, поскольку данные становятся частью базы данных клиники.

3. Пользователь оставляет отзыв или комментарий о полученной медицинской услуге с указанием Ф.И.О., даты обращения, описания лечения или диагноза, и такой отзыв публикуется на сайте. Если отзыв содержит сведения, позволяющие идентифицировать пациента или раскрывающие информацию о состоянии здоровья, требуется согласие.

4. Пользователь дает согласие на обработку cookie-файлов или иных трекинговых технологий, когда это позволяет идентифицировать или профилировать его как пользователя.

Кроме того, можно выделить еще несколько типичных ситуаций взаимодействия с посетителями сайта медицинской организации, связанных с обработкой персональных данных:

1. Пользователь направляет обращение в медицинскую организацию через форму обратной связи на сайте, указывает Ф.И.О., контактные данные, описывает ситуацию, связанную с его здоровьем и оказанием ему медицинской помощи. В этом случае также осуществляется обработка персональных данных пациента, однако осуществляется она на основании закона и не требует обязательного согласия на обработку данных. В силу ст. 9 Федерального закона от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации» обращение гражданина подлежит обязательному рассмотрению, даже если он не подписал согласие на обработку персональных данных.

2. Пользователь соглашается на рассылку по сетям электросвязи информационных и рекламных сообщений от клиники (например, новостей, акций, профилактических публикаций) и представляет свои контактные данные (e-mail, телефон). Требование получать согласие на получение рекламы по сетям электросвязи — это отдельное требование, установленное ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе». Согласие на обработку персональных данных и согласие на получение рекламы по сетям электросвязи должны оформляться отдельно как два самостоятельных согласия.

3. Пользователь заключает на сайте медицинской организации договор на оказание платных медицинских услуг в дистанционной форме в соответствии с разд. VI Правил предоставления медицинскими организациями платных медицинских услуг, утвержденных Постановлением Правительства РФ от 11.05.2023 № 736. В данном случае пациент должен дать согласие на обработку специальной категории персональных данных — данных о своем здоровье. Такое согласие в силу п. 1 ч. 2 ст. 10 Закона о персональных данных должно быть дано в письменной форме и включать сведения, указанные в ч. 4 ст. 9 Закона о персональных данных. При этом равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.

Заключение

Таким образом, сайт медицинской организации является не только инструментом взаимодействия с пациентами, но и объектом регулирования в сфере персональных данных. Соблюдение установленных законом требований при работе с данными посетителей — необходимое условие правомерного функционирования интернет-ресурса клиники и минимизации рисков ответственности.

---