Персональные данные пациентов: что обязана клиника в 2026 году

Персональные данные пациентов клиника обрабатывает каждый день: ФИО, телефоны, паспорта, диагнозы, результаты анализов. Сведения о здоровье относятся к специальной категории персональных данных, а штрафы за нарушения с 30 мая 2025 года выросли в разы и для утечек измеряются миллионами рублей. При этом многие клиники до сих пор живут с согласием, вшитым в договор, и без уведомления в Роскомнадзор.

Короткий ответ: для оказания медицинской помощи данные о здоровье можно обрабатывать без письменного согласия, это врачебная тайна. Но клиника обязана уведомить Роскомнадзор, хранить данные в России, заключить договор поручения с поставщиком МИС, оформлять согласие на другие цели отдельным документом и сообщать об утечке в течение 24 часов.

Статья основана на текстах нормативных актов в редакциях, действующих на 10 октября 2026 года. Это не юридическая консультация: документы клиники по персональным данным стоит проверить у юриста.

Данные о здоровье: специальная категория

По статье 10 закона № 152-ФЗ сведения о состоянии здоровья относятся к специальной категории персональных данных. Обрабатывать их без письменного согласия пациента можно в медико-профилактических целях, для установления диагноза и оказания медицинских и медико-социальных услуг, если обработку ведёт лицо, профессионально занимающееся медицинской деятельностью и обязанное хранить врачебную тайну (п. 4 ч. 2 ст. 10).

На практике это значит: для приёма, лечения и ведения медицинской карты отдельное согласие на обработку данных о здоровье не требуется. Для всего остального, рассылок, лояльности, маркетинга, передачи данных третьим лицам, нужно основание, чаще всего согласие.

Врачебная тайна

Статья 13 закона № 323-ФЗ относит к врачебной тайне сам факт обращения за медицинской помощью, состояние здоровья, диагноз и иные сведения, полученные при обследовании и лечении.

Разглашение допускается с письменного согласия пациента, в том числе выраженного в информированном добровольном согласии (ч. 3).
Без согласия сведения можно передавать в случаях, перечисленных в законе, в том числе при обмене информацией между медицинскими организациями, включая медицинские информационные системы, с учётом законодательства о персональных данных (п. 8 ч. 4).

Даже факт, что человек был в клинике, это врачебная тайна. Поэтому сообщение «Напоминаем о приёме у онколога» на заблокированном экране телефона или ответ администратора по телефону «да, он у нас лечится» являются рисками.

Согласие отдельным документом

С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и документов, которые подписывает пациент (ч. 1 ст. 9 152-ФЗ). Пункт о согласии внутри договора или анкеты больше не подходит.

Письменное согласие должно содержать обязательные реквизиты по ч. 4 ст. 9, среди них: данные пациента и оператора, цель обработки, перечень данных и действий, сведения об обработчике по поручению, срок действия и способ отзыва. Согласие в электронной форме, подписанное электронной подписью, равнозначно бумажному.

Уведомление Роскомнадзора

Оператор обязан уведомить Роскомнадзор до начала обработки персональных данных (ст. 22 152-ФЗ). Прежние освобождения от уведомления утратили силу с 1 сентября 2022 года. Без уведомления можно обрабатывать данные в основном только без средств автоматизации.

Вывод для клиники: если пациенты записаны в МИС, CRM, сервисе записи или даже в таблице на компьютере, уведомление в Роскомнадзор обязательно. Штраф за неподачу уведомления для юридических лиц от 100 до 300 тысяч рублей.

Хранение в России

По части 5 статьи 18 закона № 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных за пределами страны не допускаются, кроме отдельных случаев.

Для медицинских информационных систем есть и отдельное требование: по приказу Минздрава № 911н программно-технические средства МИС должны располагаться на территории России.

Что это значит на практике:

МИС, CRM и облако клиники должны работать на серверах в России;
нельзя копировать данные пациентов в иностранные сервисы: таблицы, мессенджеры с серверами за границей, публичные ИИ-сервисы;
штраф за нарушение локализации для юридических лиц от 1 до 6 миллионов рублей, при повторном от 6 до 18 миллионов.

Поставщик МИС и договор поручения

Когда клиника пользуется облачной МИС, поставщик обрабатывает данные пациентов по поручению клиники. Для этого нужен договор поручения (ч. 3-5 ст. 6 152-ФЗ). В нём должны быть:

перечень персональных данных и действий с ними;
цели обработки;
обязанность соблюдать конфиденциальность;
требования к локализации и защите данных;
обязанность подтверждать клинике принятые меры.

Перед пациентом за действия обработчика отвечает клиника как оператор (ч. 5 ст. 6).

Спорно: часть 3 статьи 6 говорит о поручении обработки «с согласия субъекта, если иное не предусмотрено федеральным законом». Как это сочетается с обработкой данных о здоровье без согласия для медицинских целей при передаче в МИС подрядчика, закон прямо не разъясняет. Обсудите формулировки согласия и договора поручения с юристом.

Утечка: 24 и 72 часа

При инциденте с персональными данными оператор обязан уведомить Роскомнадзор (ч. 3.1 ст. 21 152-ФЗ):

в течение 24 часов о самом инциденте, его предполагаемых причинах и вреде;
в течение 72 часов о результатах внутреннего расследования.

Для этого у клиники должен быть назначен ответственный и понятный порядок действий заранее, а не в момент утечки.

Штрафы

Основные суммы по статье 13.11 КоАП для юридических лиц в редакции на октябрь 2026 года. Большая часть действует с 30 мая 2025 года.

Нарушение	Штраф для юрлица
Обработка без законных оснований	150-300 тыс. ₽, повторно 300-500 тыс. ₽
Без письменного согласия или с дефектным согласием	300-700 тыс. ₽, повторно 1-1,5 млн ₽
Нет опубликованной политики обработки данных	30-60 тыс. ₽
Нарушение локализации	1-6 млн ₽, повторно 6-18 млн ₽
Не подано уведомление в Роскомнадзор	100-300 тыс. ₽
Роскомнадзор не уведомлён об утечке	1-3 млн ₽
Утечка данных о здоровье (специальная категория)	10-15 млн ₽
Повторная утечка	1-3% выручки, не менее 20-25 млн ₽ и не более 500 млн ₽

Индивидуальные предприниматели по большинству этих составов отвечают как юридические лица. В КоАП подготовлены изменения, которые ещё не вступили в силу, поэтому перед принятием решений сверьте актуальную редакцию.

Чек-лист клиники

Подано уведомление в Роскомнадзор.
На сайте опубликована политика обработки персональных данных.
Согласие на обработку данных для целей кроме лечения оформлено отдельным документом со всеми реквизитами.
МИС, CRM, облако и резервные копии находятся в России.
С поставщиком МИС и другими подрядчиками заключены договоры поручения.
Данные пациентов не копируются в иностранные сервисы и личные мессенджеры сотрудников.
У каждого сотрудника свой вход и роль: врач видит своих пациентов, администратор то, что нужно для записи и оплаты.
Назначен ответственный за персональные данные и описан порядок действий при утечке.
Тексты уведомлений пациентам не раскрывают диагноз и специальность врача, где это не нужно.

Что проверить в МИС

Где физически стоят серверы и резервные копии.
Есть ли договор поручения обработки персональных данных.
Как разграничен доступ: видит ли врач только своих пациентов.
Ведётся ли журнал действий пользователей.
Как выгрузить и удалить данные пациента по его запросу.

В YORD MED данные хранятся на нашем сервере в России или на сервере клиники, у каждого сотрудника своя роль, а врач видит своих пациентов.

Итог

Данные о здоровье можно обрабатывать без согласия для лечения, но всё остальное требует оснований, а согласие с сентября 2025 года оформляется отдельным документом. Клиника обязана уведомить Роскомнадзор, хранить данные в России, заключить договор поручения с поставщиком МИС и уметь за 24 часа сообщить об утечке. Штрафы за утечку данных о здоровье начинаются от 10 миллионов рублей, поэтому проверка документов и систем по чек-листу обходится дешевле любого инцидента.

Частые вопросы

Нужно ли согласие пациента на обработку персональных данных в клинике?

Для оказания медицинской помощи данные о здоровье можно обрабатывать без письменного согласия, если обработку ведёт медицинский работник, обязанный хранить врачебную тайну. Но для других целей, например рассылок, программ лояльности, передачи данных подрядчикам, согласие нужно. С 1 сентября 2025 года согласие оформляется отдельно от других документов.

Нужно ли клинике уведомлять Роскомнадзор об обработке персональных данных?

Да, если клиника обрабатывает данные с использованием средств автоматизации, то есть в МИС, CRM или любой программе. Прежние освобождения от уведомления утратили силу с 1 сентября 2022 года. Без уведомления можно обрабатывать данные в основном только без средств автоматизации.

Можно ли хранить данные пациентов в иностранном облаке?

Нет. Закон о персональных данных запрещает запись, хранение и другие действия с персональными данными граждан России в базах за пределами страны, за небольшими исключениями. Требования к медицинским информационным системам тоже требуют размещения в России. Штраф за нарушение локализации для юридических лиц от 1 до 6 миллионов рублей.

Что делать клинике при утечке данных пациентов?

Уведомить Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов о результатах внутреннего расследования. За неуведомление штраф для юридических лиц от 1 до 3 миллионов рублей, а утечка данных о здоровье сама по себе наказывается штрафом от 10 до 15 миллионов рублей.