Персональные данные пациентов в маркетинге клиники: 152-ФЗ на практике

Клиника, которая собирает заявки через сайт, обрабатывает не просто персональные данные, а особую категорию — сведения о состоянии здоровья. Особая категория при этом начинается не с диагноза в медицинской карте, а с названия услуги в заявке: запись к профильному специалисту сама по себе говорит о человеке достаточно много. Основной риск лежит не в медицинской части контура, где обычно всё выстроено и регламентировано, а в маркетинговой — в формах, коллтрекинге, чат-виджетах, выгрузках в рекламные кабинеты и зарубежной аналитике. Там данные ходят между системами по привычке и по умолчанию, без отдельного основания на каждую передачу и без понимания, у кого они в итоге оседают. Разбираем, что именно в маркетинговом контуре клиники считается обработкой персональных данных, какие обязанности выпадают чаще всего, как проверить свой стек по чек-листу и в каком порядке всё это приводить в порядок.

Почему для клиники это отдельная история

Любая компания, собирающая заявки через сайт, обрабатывает персональные данные. Но клиника попадает в особый режим: сведения о состоянии здоровья закон относит к особой категории персональных данных (статья 10 Федерального закона № 152-ФЗ). Для них действуют более строгие правила обработки и несопоставимо более высокие штрафы за утечку.

Ключевая ошибка, которую мы видим у клиник чаще всего, — уверенность, что особая категория начинается там, где появляется диагноз. На практике достаточно контекста. Если из заявки видно, что человек записывается к онкологу, в наркологию, на прерывание беременности или на лечение бесплодия, то это уже сведения о состоянии здоровья конкретного человека — даже если в форме были только имя и телефон. Название услуги в заявке работает как диагноз.

Из этого следует практический вывод, который меняет постановку задачи: маркетинговый контур клиники нельзя проектировать по общим правилам. Формы, коллтрекинг, чат-виджеты, CRM, сквозная аналитика и рекламные пиксели — это не «инструменты привлечения», а точки обработки данных, часть из которых относится к особой категории. Разница между обычным бизнесом и клиникой здесь не в подходе, а в цене ошибки: одинаковая по технике настройка в интернет-магазине стоит нисколько, а в клинике может стоить больше годового бюджета на продвижение.

Второе следствие организационное. В большинстве клиник за данные отвечает медицинская часть, а маркетинг живёт отдельно и подключает сервисы по собственному усмотрению — быстро, потому что так удобнее запускать кампании. В результате перечень систем, где реально лежат данные пациентов, не совпадает ни с одним документом клиники. Разбор контура обычно начинается именно с того, что этот перечень впервые собирают в одном месте.

Как за один вечер понять, что вы обрабатываете особую категорию

Проверить это на своём сайте просто. Откройте список страниц, с которых приходят заявки, и посмотрите на их названия глазами постороннего человека. Если по факту заявки можно сделать содержательное предположение о состоянии здоровья обратившегося — вы обрабатываете особую категорию. У многопрофильной клиники таких страниц обычно десятки, у стоматологии — почти все, у психотерапевтического центра — все без исключения.

Полезно проделать то же самое не только со страницами, но и с полями форм и названиями кампаний. Практика показывает три места, где медицинское направление утекает в системы, где ему быть не должно:

• Скрытое поле формы с названием услуги или врача — оно уезжает вместе с заявкой во все системы, куда форма отправляет данные, включая почту и сторонние коннекторы.
• URL страницы, который попадает в реферер, в лог сервера, в отчёты счётчика и в тело письма-уведомления. Адрес вида «запись к психиатру» говорит ровно то же, что и диагноз.
• Название рекламной кампании и группы объявлений, которое подтягивается в CRM вместе с источником и дальше живёт в выгрузках и отчётах.

Отсюда простое правило проверки: возьмите одну реальную заявку и пройдите за ней весь путь руками — от нажатия кнопки на сайте до строки в отчёте и до сегмента в рекламном кабинете. На каждом шаге спросите, что именно про этого человека узнала очередная система. Обычно к третьему-четвёртому шагу становится ясно, где контур придётся перестраивать, и дальше обсуждение идёт уже предметно, а не про «нам надо соблюсти закон».

Карта маркетингового контура: где живут данные пациента

Перечислим то, что обычно не попадает в поле зрения маркетолога, потому что выглядит как техническая настройка, а не как работа с данными. Дальше каждая точка разобрана подробно, а эта таблица нужна как карта: по ней удобно свериться, всё ли вы вспомнили.

Список почти всегда оказывается длиннее, чем ожидает клиника. Причина в том, что часть сервисов подключалась под конкретную задачу и осталась в коде: старый счётчик, тестовый виджет обратного звонка, коннектор для акции трёхлетней давности. Формально они не используются, фактически продолжают собирать данные и передавать их наружу.

Формы на сайте и онлайн-запись

Самая очевидная точка — и одновременно та, где чаще всего нет корректного согласия. Форма записи почти всегда содержит имя, телефон и выбор услуги или специалиста. Комбинация «телефон + направление к врачу» — это уже данные о здоровье, и относиться к такой форме как к обычной заявке нельзя.

Отдельная проблема — формы, которые ставились в разное время разными людьми. У клиники, которая живёт лет пять, обычно сосуществуют форма в шапке, форма в футере, всплывающее окно, форма на странице каждой услуги и калькулятор стоимости. Часть из них ведёт на почту, часть в CRM, часть — в обе стороны, и у части нет ни чекбокса, ни ссылки на политику. Их нужно инвентаризировать целиком, а не выборочно.

Как проводить инвентаризацию форм

Способ, который работает быстрее остальных: пройти сайт как пользователь — с мобильного и с десктопа, потому что часть виджетов показывается только на одном из них, — и записать каждую точку ввода данных в таблицу. Для каждой формы фиксируются четыре вещи: где расположена, какие поля собирает, куда уходят данные и что написано рядом про согласие. Дальше список сверяется с настройками CMS и с почтовым ящиком, куда падают уведомления: почти всегда обнаруживается форма, о которой никто не помнил.

Отдельно проверьте всплывающие окна и калькуляторы стоимости. Они воспринимаются как маркетинговая механика, а не как форма, поэтому чекбокс и ссылку на политику в них ставят реже всего. При этом калькулятор стоимости лечения собирает ровно тот набор, который делает данные особой категорией: контакт плюс интересующая процедура.

Коллтрекинг, чат-виджеты и мессенджеры

Сервис подмены номеров записывает звонки, связывает номер с рекламной кампанией и хранит запись разговора. В разговоре пациент называет симптомы. Запись звонка в клинику — это, по сути, документ с данными о состоянии здоровья, который хранится у сторонней компании.

Это не значит, что коллтрекинг нельзя использовать: без него медицинский маркетинг слепнет, потому что значительная доля обращений в клинику идёт именно звонком. Это значит, что с поставщиком нужны корректные договорные отношения, а не просто оплаченная подписка, и что срок хранения записей должен быть осознанным решением, а не настройкой по умолчанию.

Переписка с пациентом в виджете на сайте почти всегда содержит описание жалоб — люди пишут в чат подробнее, чем говорят по телефону. При этом виджет обычно сторонний сервис, часто с серверами за пределами России, а история переписки хранится в его личном кабинете неопределённо долго. То же относится к переходам из чата в мессенджер: диалог продолжается в канале, который клиника не контролирует вовсе.

Что здесь решается настройками, а что договором

Настройками закрывается меньшая часть: срок хранения записей и переписок, состав полей, которые уходят в сервис, список сотрудников с доступом к содержимому, а не к обезличенной статистике. Это стоит сделать сразу — обычно это работа на один день, и она заметно уменьшает объём чувствительных данных на стороне подрядчика.

Всё остальное решается договором и выбором поставщика: где физически лежат записи, кто из сотрудников сервиса может их слушать, передаются ли они дальше субподрядчикам для расшифровки и аналитики, что происходит с архивом при расторжении. Вопросы для такого разговора собраны ниже, в разделе про поставщиков.

CRM, МИС, ЕГИСЗ и передачи между системами

Здесь данные хранятся уже целенаправленно, и с этим обычно всё в порядке. Проблема возникает на стыках: когда маркетинг выгружает данные из МИС в CRM, из CRM в сервис рассылок, из рассылок в рекламный кабинет для похожих аудиторий. Каждая такая передача — самостоятельное действие с данными, у которого должно быть собственное основание. «Данные и так наши» здесь не работает: основание привязано к цели, а не к владению.

Практический признак проблемы — выгрузка «в файл». Как только данные пациентов оказываются в таблице на компьютере сотрудника, контур перестаёт существовать: файл пересылается в мессенджере, копируется на флешку, остаётся в загрузках у подрядчика. Любая регулярная выгрузка должна быть либо автоматизированной передачей между двумя системами с понятным основанием, либо не существовать.

ЕГИСЗ и почему это касается маркетинга

Передача сведений в единую государственную информационную систему в сфере здравоохранения обязательна для всех медицинских организаций независимо от размера и формы собственности — включая стоматологические кабинеты и частную практику. Основание — постановление Правительства РФ от 01.06.2021 № 852. Штраф для юридического лица за нарушение — от 100 до 200 тысяч рублей.

К маркетингу это относится через один практический момент. Если запись пациента уже проходит через медицинскую информационную систему, то аналитику имеет смысл строить от неё, а не поднимать вторую, параллельную базу «для маркетинга». Вторая база — это второй контур с теми же требованиями к защите, второй источник расхождений в цифрах и вдвое больше поверхности для утечки. Мы почти всегда рекомендуем сводить сквозную аналитику к МИС и CRM, которые у клиники уже есть, вместо того чтобы строить рядом третью систему.

Аналитика, пиксели и ретаргетинг по загруженным аудиториям

Счётчики и пиксели передают идентификаторы пользователей и события, включая события вида «отправил заявку на странице услуги». Если страница услуги — конкретное медицинское направление, то в стороннюю систему уходит факт интереса конкретного пользователя к конкретной медицинской теме.

Здесь есть простое техническое решение, к которому мы приводим проекты: события в аналитике называть по типу действия и обобщённой группе услуг, а не по конкретному направлению. Маркетинг ничего не теряет — детализация остаётся в CRM, куда сторонние системы не смотрят. Разница между «заявка_онкология» и «заявка_консультация» для отчётности нулевая, а для чувствительности данных принципиальная.

Загрузка базы пациентов в рекламный кабинет для показа рекламы «своим» — операция, которую многие клиники делают не задумываясь, потому что интерфейс предлагает её в два клика. Между тем это передача персональных данных третьему лицу с целью, отличной от той, для которой данные собирались. Если база при этом сегментирована по направлениям, передаётся ещё и признак особой категории.

Что делать вместо загрузки базы

Задачи, ради которых базу обычно грузят, чаще всего решаются иначе. Повторные визиты закрываются сервисными коммуникациями из самой CRM — напоминаниями о приёме и о плановом осмотре, которые не относятся к рекламным рассылкам. Расширение охвата — таргетингом по интересам и географии без загрузки контактов. Исключение уже пришедших из показов — на уровне сегмента внутри собственных систем, а не через выгрузку. Каждый из этих вариантов слабее по точности, но не требует передавать наружу список пациентов с медицинской разметкой.

Уведомление Роскомнадзора об обработке данных

Оператор, приступая к обработке персональных данных с использованием средств автоматизации, обязан уведомить об этом Роскомнадзор. Уведомление подаётся по форме из приложения № 1 к приказу Роскомнадзора от 28.10.2022 № 180 — почтой, через Госуслуги или на сайте ведомства.

Обязанность распространяется шире, чем принято думать: она возникает и в случае, когда организация обрабатывает данные только своих сотрудников и соискателей. Клиника, у которой есть сайт с формой и отдел кадров, точно является оператором — вопрос только в том, подано ли уведомление и соответствует ли оно реальности.

Второй момент важнее первого. Уведомление, поданное когда-то давно, описывает цели и категории данных на тот момент. Если с тех дней клиника открыла филиалы, запустила онлайн-запись, подключила коллтрекинг и начала делать рассылки — фактическая обработка вышла за рамки заявленной. Уведомление нужно актуализировать, а не считать разово закрытой задачей.

С 30 мая 2025 года штраф за непредставление уведомления существенно вырос: для организаций и индивидуальных предпринимателей — до 300 тысяч рублей, для должностных лиц — до 50 тысяч рублей.

Согласие, которое действительно получено

Согласие на обработку данных должно быть конкретным, информированным и осознанным. На практике это означает несколько требований к форме на сайте, которые легко проверить самому.

Последний пункт выпадает чаще остальных, а он единственный, который позволяет что-то доказать. Если текст политики менялся, а в CRM лежит только галочка без версии, то через год установить, с чем именно согласился пациент, невозможно. Технически это решается просто: вместе с заявкой сохраняются дата, время и идентификатор редакции текста, а сами редакции складываются в архив с датами публикации.

Ещё одно место, где согласие расползается, — сторонние формы. Виджет обратного звонка, форма записи от агрегатора, встроенный календарь онлайн-записи внешнего сервиса: у каждого свой текст согласия и свой чекбокс, часто не совпадающие с тем, что клиника считает своим. Их нужно либо привести к общему тексту, либо честно учитывать как отдельные точки со своими условиями.

Что делать со старой базой контактов

Отдельный разговор — контакты, собранные годы назад по короткой форме «имя и телефон». Согласия на маркетинговую рассылку по ним, скорее всего, нет: тогда собирали данные для оказания услуги, а не для коммуникаций.

Честных вариантов здесь немного. Можно провести кампанию по повторному получению согласия — обратиться к базе один раз с понятным объяснением и предложением подтвердить готовность получать сообщения. Отклик будет ниже, чем хочется, зато остаток базы станет пригодным для работы. Можно ограничить использование старой базы задачами, для которых она собиралась, — сервисные сообщения о записи и напоминания о приёме к маркетинговым рассылкам не относятся. Чего делать не стоит — продолжать рассылать по ней акции, рассчитывая, что никто не пожалуется: жалоба одного человека открывает проверку всей базы.

С точки зрения экономики решение обычно проще, чем кажется. База, собранная без основания для рассылок, всё равно работает плохо: люди не помнят, откуда клиника взяла их контакт, и реагируют отписками и жалобами. Кампания по повторному согласию режет объём, но оставляет ту часть, которая действительно читает и записывается. Дальше с ней можно работать спокойно и предсказуемо.

Трансграничная передача и зарубежные сервисы

Это самый недооценённый пункт в маркетинговом стеке. Статья 12 закона № 152-ФЗ в редакции, действующей с 1 марта 2023 года, требует до начала передачи данных за пределы России отдельно уведомить Роскомнадзор о намерении такую передачу осуществлять — это не то же самое, что уведомление об обработке. Два разных документа, две разные обязанности. Роскомнадзор по результатам рассмотрения может запретить или ограничить передачу. Если решения нет, передача считается согласованной.

По разъяснениям Роскомнадзора использование Google Analytics квалифицируется как трансграничная передача персональных данных. То же логически относится к любому счётчику, виджету, CRM или сервису рассылок с инфраструктурой за рубежом.

Это не автоматический запрет. Но чтобы использовать такой сервис правомерно, требуется набор действий: уведомить пользователей о сборе и обработке данных этими сервисами, получить на это согласие и подать в Роскомнадзор уведомление о намерении передавать данные за границу. С мая 2025 года продолжение использования зарубежной аналитики без выполнения требований к трансграничной передаче создаёт прямой риск штрафа.

Практический вывод для клиники простой: чем чувствительнее тематика, тем меньше смысла держать данные пациентов в зарубежном контуре. Российские аналитические и коллтрекинговые сервисы закрывают задачи медицинского маркетинга полностью, и переход на них снимает целый класс рисков вместо того, чтобы им управлять. Мы обычно предлагаем считать это не уступкой регулированию, а упрощением: одна юрисдикция, один набор договоров, одна точка ответственности.

Что спросить у поставщика сервиса до подключения

Клиника отвечает за данные пациентов и в том случае, когда фактически их хранит подрядчик. Поэтому выбор коллтрекинга, CRM, чата или сервиса рассылок — это в том числе юридическое решение. Вопросы, которые стоит задать до подключения, а не после:

Право пациента требовать удаления своих данных клиника обязана обеспечить, а сделать это она может только теми средствами, которые есть у сервиса. Поэтому вопрос про удаление — не формальность, а проверка того, сможет ли клиника вообще выполнить обращение, когда оно поступит.

Если поставщик отвечает на эти вопросы быстро и документально — это хороший знак сам по себе, независимо от содержания ответов. Если отвечает уклончиво, стоит поискать альтернативу до, а не после проверки.

Сколько стоит ошибка

Ответственность в этой области была существенно усилена: изменения в Кодекс об административных правонарушениях, введённые Федеральным законом от 30.11.2024 № 420-ФЗ, вступили в силу 30 мая 2025 года. До этой даты отдельной ответственности именно за утечку специальных категорий персональных данных Кодекс не устанавливал.

Для сравнения: годовой бюджет на маркетинг у большинства частных клиник меньше нижней границы штрафа за одну утечку данных о здоровье. Это меняет расчёт — расходы на приведение контура в порядок сопоставимы с месячным бюджетом на продвижение, а риск измеряется десятками миллионов. При этом штраф — не единственная и, возможно, не главная потеря: в медицине утечка данных пациентов бьёт по тому самому доверию, на котором держится вся воронка записи.

Репутационную часть стоит проговорить отдельно, потому что она не измеряется постановлением. Пациент, узнавший, что его обращение к профильному специалисту где-то всплыло, не пишет жалобу — он просто больше не приходит и отговаривает знакомых. В медицине это и есть основной канал привлечения, и восстанавливать его дороже и дольше, чем платить штраф.

Заблуждения, чек-лист и порядок работ

Четыре заблуждения, которые дороже всего стоят

«У нас маленькая клиника, до нас не дойдут». Проверки в этой области инициируются в том числе по обращению гражданина. Одна жалоба пациента, которому пришла рассылка без согласия, работает независимо от размера организации. Требования к обработке данных не масштабируются вместе с выручкой.

«Мы не публикуем диагнозы, значит особой категории нет». Особая категория возникает не в момент публикации, а в момент обработки. Заявка на приём к профильному специалисту — это уже сведения о здоровье, даже если она никуда дальше CRM не пошла.

«За данные отвечает подрядчик, у нас с ним договор». Договор распределяет обязанности между вами и подрядчиком, но перед пациентом и регулятором оператором остаётся клиника. Ответственность договором не передаётся.

«Мы поставили галочку про согласие, значит всё закрыто». Галочка без корректного текста, без фиксации версии и без отдельного согласия на маркетинг закрывает форму визуально, а не юридически. Это самая распространённая ситуация из всех, что мы встречаем при аудите.

Чек-лист: как проверить свой маркетинговый контур

Этот список можно пройти самостоятельно за один вечер. Он не заменяет юридический аудит, но показывает, есть ли проблема вообще.

1. Подано ли уведомление в Роскомнадзор об обработке персональных данных — и совпадают ли указанные в нём цели с тем, что клиника делает сейчас?
2. Выпишите все сервисы, куда попадают данные пациента: формы, коллтрекинг, чат, CRM, МИС, рассылки, счётчики, рекламные кабинеты. Список обычно оказывается длиннее, чем ожидалось.
3. Отметьте те из них, чья инфраструктура находится за пределами России. Для каждого — подано ли уведомление о намерении осуществлять трансграничную передачу?
4. Соберите список всех форм на сайте, включая всплывающие окна и калькуляторы. Для каждой: есть ли чекбокс, не проставлен ли он заранее, есть ли ссылка на политику, куда уходят данные?
5. Проверьте, есть ли отдельное согласие на маркетинговые коммуникации — оно нужно отдельно от согласия на оказание услуги.
6. Фиксируется ли факт согласия вместе с заявкой: дата, время, версия текста?
7. Записи звонков: где хранятся, сколько времени, кто имеет доступ, есть ли договор поручения с поставщиком коллтрекинга.
8. Загружали ли базу пациентов в рекламные кабинеты для похожих аудиторий или ретаргетинга — и на каком основании?
9. Названия событий в аналитике: не передаётся ли в сторонние системы медицинское направление конкретного пользователя?
10. Есть ли процедура на случай обращения пациента с требованием удалить его данные — и кто в клинике за неё отвечает?

Если хотя бы в трёх пунктах ответ «не знаю» — это нормальная стартовая позиция, но контур нужно разбирать.

В каком порядке всё это делать

Порядок действий, который мы считаем разумным, если разбирать всё сразу невозможно.

Границы нашей ответственности

Мы отвечаем за маркетинговый контур: за то, какие сервисы в нём стоят, как между ними ходят данные, что написано в формах и текстах и как настроена аналитика. Мы не оказываем юридических услуг и не выдаём заключений о соответствии. Вопросы лицензирования, договорной базы, локальных нормативных актов и представления интересов при проверке — зона профильного юриста, и мы всегда рекомендуем привлекать его к этой части работы. Практически это выглядит так: маркетинг приносит юристу карту контура и перечень передач, а юрист превращает её в документы и формулировки. Ни одна из сторон не справляется с этим в одиночку.