--- title: "Статья: Защита персональных данных посетителей сайта медицинской организации" status: действует canonical: "https://bukva.ai/docs/statya-zaschita-personalnyh-dannyh-posetiteley" --- ## Статья: Защита персональных данных посетителей сайта медицинской организации # Статья: Защита персональных данных посетителей сайта медицинской организации (Березинский В.С.) (Подготовлен для системы КонсультантПлюс, 2025) > [!IMPORTANT] > Материал подготовлен с использованием правовых актов по состоянию на 28.10.2025.
**ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ ПОСЕТИТЕЛЕЙ САЙТА**
**МЕДИЦИНСКОЙ ОРГАНИЗАЦИИ** Материал подготовлен с использованием правовых актов
по состоянию на 28 октября 2025 года В.С. БЕРЕЗИНСКИЙ
Березинский Вадим Сергеевич, юрист. ## Введение В современном мире сайт медицинской организации становится ее виртуальной витриной: он дает описание услуг клиники, знакомит с медицинской командой, предоставляет возможности онлайн-взаимодействия и дает круглосуточный доступ к опубликованной информации. При этом он не просто работает с посетителями - он открыт для внимания контролирующих органов, в том числе Роскомнадзора, в связи с чем требует прозрачности в том, как обрабатываются персональные данные. Для клиники важно, чтобы веб-ресурс не только привлекал пациентов и повышал доверие, но и функционировал в правовом поле: сбор, хранение и публикация данных должны соответствовать установленным требованиям. ## 1. Сбор данных о пользователях при помощи файлов cookie Сегодня сбор данных о посетителях сайта осуществляется не только и не столько путем их получения от человека через формы обратной связи, а в основном с помощью технических средств, например применения технологий отслеживания пользовательского поведения: cookie, пиксели, local storage и иные аналогичные технологии. Один из самых распространенных сегодня инструментов отслеживания - это использование файлов cookie. Специальное правовое регулирование для использования файлов cookie в настоящее время отсутствует, в связи с чем вопрос пока частично находится в зоне локального нормотворчества каждой организации. Однако важно понимать, что cookie пересекаются с понятием персональных данных, и в этой части их использование подпадает под действие законодательства о персональных данных. Нормативное определение cookie отсутствует, на практике под ними обычно понимают небольшие текстовые файлы, которые интернет-сайт сохраняет на устройстве пользователя с целью отслеживания его действий, запоминания настроек, идентификации повторных сессий и т.д. В зависимости от целей использования cookie принято делить: - на технические - необходимы для корректной работы сайта: авторизация, корзина, навигация и др.; - функциональные (настройки пользователя) - необходимы для комфортной работы пользователя на сайте с учетом его предпочтений: язык интерфейса, геолокация, размер шрифта, тема и др.; - аналитические или статистические - собирают данные о поведении пользователей, например посещенные страницы, время выполнения действий, переходы между разделами сайта, источники трафика; - маркетинговые, рекламные, трекинговые - используются для показа рекламы, отслеживания вне сайта, создания профиля пользователя, ретаргетинга и др. Используя эту классификацию, а также нормативное определение персональных данных, можно определить, какие файлы cookie относятся к персональным данным и требуют соблюдения правовых норм. Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", далее - Закон о персональных данных). Так, если cookie позволяют установить связь между информацией в файле и конкретной личностью (или устройством, которое можно отнести к конкретному лицу) - например, через вход в аккаунт, привязку email, телефонный номер, IP-адрес или другие идентификаторы, - тогда они могут считаться источником персональных данных. Если cookie полностью анонимизированы (не связаны с лицом или устройством), то они не относятся к персональным данным. Применительно к сайту медицинской организации можно отметить, что если cookie косвенно содержат идентифицирующую пациента информацию или позволяют построить профиль пациента (например, логин в личном кабинете, сведения о записи на прием, историю посещений клиники), то с высокой вероятностью эти данные относятся к персональным и требуют принятия установленных законом мер. Если cookie относятся к персональным данным, то их использование необходимо отразить в политике конфиденциальности и получить согласие пользователя на обработку персональных данных, о чем мы поговорим далее. Если cookie полностью анонимизированы, то рекомендуется опубликовать уведомление об их использовании на сайте, этого будет достаточно для соблюдения прав пользователей. Несмотря на то что однозначной и прямой обязанности публиковать такое уведомление в отношении технических cookie законодательство не устанавливает, рекомендуется разместить баннер с уведомлением с целью минимизировать возможное внимание к этому вопросу со стороны Роскомнадзора. ## 2. Публикация политики конфиденциальности на сайте медицинской организации Медицинская организация, осуществляя через свой сайт сбор персональных данных, обязана опубликовать документ, определяющий ее политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных (ч. 2 ст. 18.1 Закона о персональных данных). Закон требует опубликовать такой документ на каждой из страниц принадлежащего медицинской организации сайта, с использованием которых осуществляется сбор персональных данных. Учитывая, что сбор данных о пользователях при помощи файлов cookie осуществляется на всех страницах сайта, то целесообразно опубликовать политику конфиденциальности в "подвале" сайта или ином месте, доступном с каждой страницы сайта. Также согласно норме Закона необходимо обеспечить возможность неограниченного доступа к указанному документу с использованием средств сети Интернет. Определение структурного и содержательного наполнения политики в отношении обработки персональных данных отнесено к компетенции медицинской организации (см. письмо Роскомнадзора от 19.10.2021 N 08-71063 "О разъяснении законодательства"). Здесь важно понимать, что Закон не требует, чтобы в медицинской организации был только один документ, определяющий политику в отношении обработки персональных данных. Поэтому для целей работы сайта допускается составить отдельную политику в отношении обработки персональных данных на этом сайте, которая будет распространяться только на взаимодействие с посетителями сайта. При этом в медицинской организации может быть также общий документ, определяющий политику в отношении обработки персональных данных в целом во всей организации, а не только на сайте. ## 3. Согласие на обработку персональных данных на сайте медицинской организации Статья 6 Закона о персональных данных определяет случаи, в которых допускается обработка персональных данных без согласия физического лица. Практически всегда обработка персональных данных посетителей сайта медицинской организации к таким случаям не относится, а следовательно, обработку персональных данных необходимо осуществлять на основании согласия субъекта персональных данных. Согласие может быть дано в любой позволяющей подтвердить факт его получения форме (ч. 1 ст. 9 Закона о персональных данных). На сайте согласие традиционно оформляется путем проставления галочки в чек-боксе рядом с фразой, подтверждающей согласие на обработку персональных данных. При этом важно соблюдать ряд обязательных условий: - текст согласия должен быть доступен пользователю по активной ссылке непосредственно в момент выражения согласия. Согласие должно быть конкретным, предметным, информированным, в силу чего недостаточно указания простой фразы о согласии. Необходимо составить текст согласия, отвечающий требованиям конкретности, предметности и информированности, и предоставить возможность пользователю ознакомиться с ним непосредственно перед выражением своей воли; - проставляя галочку в чек-боксе, пользователь должен выразить только согласие на обработку персональных данных, согласие с другой информацией или документами должно оформляться отдельно. Это требование следует из ч. 1 ст. 9 Закона о персональных данных, в соответствии с которой согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных; - галочка в чек-боксе напротив согласия не должна быть предустановленной (pre-checked box), поскольку в силу ч. 1 ст. 9 Закона о персональных данных согласие на обработку персональных данных должно быть сознательным и однозначным, а молчание в силу ст. 157.1 Гражданского кодекса РФ не считается согласием на совершение сделки. ## 4. Примеры взаимодействия с посетителями медицинского сайта, связанные с обработкой персональных данных Применительно к сайту медицинской организации можно выделить следующие распространенные примеры взаимодействия с посетителями сайта, требующие оформления согласия на обработку персональных данных: 1. Пользователь заполняет онлайн-форму "Запись на прием" на сайте клиники, указывая свои Ф.И.О., контактный телефон, e-mail, желаемую дату и время приема, требуемую специальность врача и иногда кратко свои жалобы. 2. Пользователь регистрирует личный кабинет пациента через сайт: создает логин и пароль, предоставляет фамилию, имя, отчество, дату рождения, контактные данные, возможно, сведения об истории обращений. Такая регистрация предполагает идентификацию пользователя и дальнейшую обработку его данных. Требуется оформить согласие, поскольку данные становятся частью базы данных клиники. 3. Пользователь оставляет отзыв или комментарий о полученной медицинской услуге с указанием Ф.И.О., даты обращения, описания лечения или диагноза, и такой отзыв публикуется на сайте. Если отзыв содержит сведения, позволяющие идентифицировать пациента или раскрывающие информацию о состоянии здоровья, требуется согласие. 4. Пользователь дает согласие на обработку cookie-файлов или иных трекинговых технологий, когда это позволяет идентифицировать или профилировать его как пользователя. Кроме того, можно выделить еще несколько типичных ситуаций взаимодействия с посетителями сайта медицинской организации, связанных с обработкой персональных данных: 1. Пользователь направляет обращение в медицинскую организацию через форму обратной связи на сайте, указывает Ф.И.О., контактные данные, описывает ситуацию, связанную с его здоровьем и оказанием ему медицинской помощи. В этом случае также осуществляется обработка персональных данных пациента, однако осуществляется она на основании закона и не требует обязательного согласия на обработку данных. В силу ст. 9 Федерального закона от 02.05.2006 N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации" обращение гражданина подлежит обязательному рассмотрению, даже если он не подписал согласие на обработку персональных данных. 2. Пользователь соглашается на рассылку по сетям электросвязи информационных и рекламных сообщений от клиники (например, новостей, акций, профилактических публикаций) и представляет свои контактные данные (e-mail, телефон). Требование получать согласие на получение рекламы по сетям электросвязи - это отдельное требование, установленное ч. 1 ст. 18 Федерального закона от 13.03.2006 N 38-ФЗ "О рекламе". Согласие на обработку персональных данных и согласие на получение рекламы по сетям электросвязи должны оформляться отдельно как два самостоятельных согласия. 3. Пользователь заключает на сайте медицинской организации договор на оказание платных медицинских услуг в дистанционной форме в соответствии с разд. VI Правил предоставления медицинскими организациями платных медицинских услуг, утвержденных Постановлением Правительства РФ от 11.05.2023 N 736. В данном случае пациент должен дать согласие на обработку специальной категории персональных данных - данных о своем здоровье. Такое согласие в силу п. 1 ч. 2 ст. 10 Закона о персональных данных должно быть дано в письменной форме и включать сведения, указанные в ч. 4 ст. 9 Закона о персональных данных. При этом равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. ## Заключение Таким образом, сайт медицинской организации является не только инструментом взаимодействия с пациентами, но и объектом регулирования в сфере персональных данных. Соблюдение установленных законом требований при работе с данными посетителей - необходимое условие правомерного функционирования интернет-ресурса клиники и минимизации рисков ответственности. ---