Персональные данные пациентов в маркетинге клиники: 152-ФЗ на практике

Почему для клиники это отдельная история

Любая компания, собирающая заявки через сайт, обрабатывает персональные данные. Но клиника попадает в особый режим: сведения о состоянии здоровья закон относит к особой категории персональных данных (статья 10 Федерального закона № 152-ФЗ). Для них действуют более строгие правила обработки и несопоставимо более высокие штрафы за утечку.

Ключевая ошибка, которую мы видим у клиник чаще всего, — уверенность, что особая категория начинается там, где появляется диагноз. На практике достаточно контекста. Если из заявки видно, что человек записывается к онкологу, в наркологию, на прерывание беременности или на лечение бесплодия, то это уже сведения о состоянии здоровья конкретного человека — даже если в форме были только имя и телефон. Название услуги в заявке работает как диагноз.

Проверить это на своём сайте просто. Откройте список страниц, с которых приходят заявки, и посмотрите на их названия глазами постороннего человека. Если по факту заявки можно сделать содержательное предположение о состоянии здоровья обратившегося — вы обрабатываете особую категорию. У многопрофильной клиники таких страниц обычно десятки, у стоматологии — почти все, у психотерапевтического центра — все без исключения.

Из этого следует практический вывод, который меняет постановку задачи: маркетинговый контур клиники нельзя проектировать по общим правилам. Формы, коллтрекинг, чат-виджеты, CRM, сквозная аналитика и рекламные пиксели — это не «инструменты привлечения», а точки обработки данных, часть из которых относится к особой категории. Разница между обычным бизнесом и клиникой здесь не в подходе, а в цене ошибки.

Что в маркетинге клиники считается обработкой персональных данных

Перечислим то, что обычно не попадает в поле зрения маркетолога, потому что выглядит как техническая настройка, а не как работа с данными.

Формы на сайте и онлайн-запись

Самая очевидная точка — и одновременно та, где чаще всего нет корректного согласия. Форма записи почти всегда содержит имя, телефон и выбор услуги или специалиста. Комбинация «телефон + направление к врачу» — это уже данные о здоровье.

Отдельная проблема — формы, которые ставились в разное время разными людьми. У клиники, которая живёт лет пять, обычно сосуществуют форма в шапке, форма в футере, всплывающее окно, форма на странице каждой услуги и калькулятор стоимости. Часть из них ведёт на почту, часть в CRM, часть — в обе стороны, и у части нет ни чекбокса, ни ссылки на политику. Их нужно инвентаризировать целиком, а не выборочно.

Коллтрекинг

Сервис подмены номеров записывает звонки, связывает номер с рекламной кампанией и хранит запись разговора. В разговоре пациент называет симптомы. Запись звонка в клинику — это, по сути, документ с данными о состоянии здоровья, который хранится у сторонней компании.

Это не значит, что коллтрекинг нельзя использовать: без него медицинский маркетинг слепнет, потому что значительная доля обращений в клинику идёт именно звонком. Это значит, что с поставщиком нужны корректные договорные отношения, а не просто оплаченная подписка, и что срок хранения записей должен быть осознанным решением, а не настройкой по умолчанию.

Чат-виджеты и мессенджеры

Переписка с пациентом в виджете на сайте почти всегда содержит описание жалоб — люди пишут в чат подробнее, чем говорят по телефону. При этом виджет обычно сторонний сервис, часто с серверами за пределами России, а история переписки хранится в его личном кабинете неопределённо долго.

CRM и медицинская информационная система

Здесь данные хранятся уже целенаправленно, и с этим обычно всё в порядке. Проблема возникает на стыках: когда маркетинг выгружает данные из МИС в CRM, из CRM в сервис рассылок, из рассылок в рекламный кабинет для похожих аудиторий. Каждая такая передача — самостоятельное действие с данными, у которого должно быть собственное основание. «Данные и так наши» здесь не работает: основание привязано к цели, а не к владению.

Аналитика и рекламные пиксели

Счётчики и пиксели передают идентификаторы пользователей и события, включая события вида «отправил заявку на странице услуги». Если страница услуги — конкретное медицинское направление, то в стороннюю систему уходит факт интереса конкретного пользователя к конкретной медицинской теме.

Здесь есть простое техническое решение, к которому мы приводим проекты: события в аналитике называть по типу действия и обобщённой группе услуг, а не по конкретному направлению. Маркетинг ничего не теряет — детализация остаётся в CRM, куда сторонние системы не смотрят.

Ретаргетинг по загруженным аудиториям

Загрузка базы пациентов в рекламный кабинет для показа рекламы «своим» — операция, которую многие клиники делают не задумываясь, потому что интерфейс предлагает её в два клика. Между тем это передача персональных данных третьему лицу с целью, отличной от той, для которой данные собирались. Если база при этом сегментирована по направлениям, передаётся ещё и признак особой категории.

Три обязанности, о которых чаще всего забывают

Уведомление Роскомнадзора об обработке данных

Оператор, приступая к обработке персональных данных с использованием средств автоматизации, обязан уведомить об этом Роскомнадзор. Уведомление подаётся по форме из приложения № 1 к приказу Роскомнадзора от 28.10.2022 № 180 — почтой, через Госуслуги или на сайте ведомства.

Обязанность распространяется шире, чем принято думать: она возникает и в случае, когда организация обрабатывает данные только своих сотрудников и соискателей. Клиника, у которой есть сайт с формой и отдел кадров, точно является оператором — вопрос только в том, подано ли уведомление и соответствует ли оно реальности.

Второй момент важнее первого. Уведомление, поданное когда-то давно, описывает цели и категории данных на тот момент. Если с тех дней клиника открыла филиалы, запустила онлайн-запись, подключила коллтрекинг и начала делать рассылки — фактическая обработка вышла за рамки заявленной. Уведомление нужно актуализировать, а не считать разово закрытой задачей.

С 30 мая 2025 года штраф за непредставление уведомления существенно вырос: для организаций и индивидуальных предпринимателей — до 300 тысяч рублей, для должностных лиц — до 50 тысяч рублей.

Согласие, которое действительно получено

Согласие на обработку данных должно быть конкретным, информированным и осознанным. На практике это означает несколько требований к форме на сайте, которые легко проверить самому:

• чекбокс согласия не проставлен заранее — пациент отмечает его сам;
• из текста рядом с формой понятно, кто оператор, какие данные собираются и для чего;
• политика обработки данных доступна по ссылке с той же страницы, а не спрятана в подвале одного раздела;
• если данные попадают в рассылку или рекламный кабинет, это отдельная цель, и на неё нужно отдельное согласие — «согласен со всем» не работает;
• факт согласия фиксируется вместе с заявкой: дата, время, версия текста, с которым человек согласился.

Последний пункт выпадает чаще остальных, а он единственный, который позволяет что-то доказать. Если текст политики менялся, а в CRM лежит только галочка без версии, то через год установить, с чем именно согласился пациент, невозможно.

Что делать со старой базой

Отдельный разговор — контакты, собранные годы назад по короткой форме «имя и телефон». Согласия на маркетинговую рассылку по ним, скорее всего, нет: тогда собирали данные для оказания услуги, а не для коммуникаций.

Честных вариантов здесь немного. Можно провести кампанию по повторному получению согласия — обратиться к базе один раз с понятным объяснением и предложением подтвердить готовность получать сообщения. Отклик будет ниже, чем хочется, зато остаток базы станет пригодным для работы. Можно ограничить использование старой базы задачами, для которых она собиралась, — сервисные сообщения о записи и напоминания о приёме к маркетинговым рассылкам не относятся. Чего делать не стоит — продолжать рассылать по ней акции, рассчитывая, что никто не пожалуется: жалоба одного человека открывает проверку всей базы.

Трансграничная передача

Это самый недооценённый пункт в маркетинговом стеке. Статья 12 закона № 152-ФЗ в редакции, действующей с 1 марта 2023 года, требует до начала передачи данных за пределы России отдельно уведомить Роскомнадзор о намерении такую передачу осуществлять — это не то же самое, что уведомление об обработке. Два разных документа, две разные обязанности.

Роскомнадзор по результатам рассмотрения может запретить или ограничить передачу. Если решения нет, передача считается согласованной.

Google Analytics и другие зарубежные сервисы

По разъяснениям Роскомнадзора использование Google Analytics квалифицируется как трансграничная передача персональных данных. То же логически относится к любому счётчику, виджету, CRM или сервису рассылок с инфраструктурой за рубежом.

Это не автоматический запрет. Но чтобы использовать такой сервис правомерно, требуется набор действий: уведомить пользователей о сборе и обработке данных этими сервисами, получить на это согласие и подать в Роскомнадзор уведомление о намерении передавать данные за границу. С мая 2025 года продолжение использования зарубежной аналитики без выполнения требований к трансграничной передаче создаёт прямой риск штрафа.

Практический вывод для клиники простой: чем чувствительнее тематика, тем меньше смысла держать данные пациентов в зарубежном контуре. Российские аналитические и коллтрекинговые сервисы закрывают задачи медицинского маркетинга полностью, и переход на них снимает целый класс рисков вместо того, чтобы им управлять. Мы обычно предлагаем считать это не уступкой регулированию, а упрощением: одна юрисдикция, один набор договоров, одна точка ответственности.

Что спросить у поставщика сервиса

Клиника отвечает за данные пациентов и в том случае, когда фактически их хранит подрядчик. Поэтому выбор коллтрекинга, CRM, чата или сервиса рассылок — это в том числе юридическое решение. Вопросы, которые стоит задать до подключения, а не после:

1. Где физически находятся серверы? Ответ «в облаке» — не ответ. Нужна страна.
2. Готовы ли вы заключить договор поручения на обработку персональных данных? У сервисов, работающих с российским рынком, такой договор обычно есть в готовом виде. Отсутствие — сигнал.
3. Какие данные вы храните и сколько времени? Особенно про записи звонков и историю чатов: срок хранения по умолчанию часто «бессрочно».
4. Как настраивается удаление? Должна быть возможность удалить данные конкретного человека по обращению — это его право, и клиника обязана его обеспечить.
5. Кто из сотрудников поставщика имеет доступ к содержимому? К записям разговоров и переписке, а не к обезличенной статистике.
6. Передаёте ли вы данные дальше? Многие сервисы используют субподрядчиков для транскрибации, аналитики или хостинга.
7. Что происходит с данными при расторжении договора? Выгружаются, удаляются, остаются в архиве?

Если поставщик отвечает на эти вопросы быстро и документально — это хороший знак сам по себе, независимо от содержания ответов. Если отвечает уклончиво, стоит поискать альтернативу до, а не после проверки.

Сколько стоит ошибка

Ответственность в этой области была существенно усилена: изменения в Кодекс об административных правонарушениях, введённые Федеральным законом от 30.11.2024 № 420-ФЗ, вступили в силу 30 мая 2025 года. До этой даты отдельной ответственности именно за утечку специальных категорий персональных данных Кодекс не устанавливал.

Сейчас картина такая:

• Разглашение специальных категорий персональных данных — к ним относятся и сведения о состоянии здоровья: штраф для юридических лиц от 15 до 20 млн рублей.
• Повторное нарушение — оборотный штраф от 1 до 3% годовой выручки, но не менее 20 млн рублей.
• Непредставление уведомления об обработке — до 300 тысяч рублей для организаций и индивидуальных предпринимателей, до 50 тысяч для должностных лиц.

Для сравнения: годовой бюджет на маркетинг у большинства частных клиник меньше нижней границы штрафа за одну утечку данных о здоровье. Это меняет расчёт — расходы на приведение контура в порядок сопоставимы с месячным бюджетом на продвижение, а риск измеряется десятками миллионов. При этом штраф — не единственная и, возможно, не главная потеря: в медицине утечка данных пациентов бьёт по тому самому доверию, на котором держится вся воронка записи.

ЕГИСЗ: почему это касается и маркетинга

Передача сведений в единую государственную информационную систему в сфере здравоохранения обязательна для всех медицинских организаций независимо от размера и формы собственности — включая стоматологические кабинеты и частную практику. Основание — постановление Правительства РФ от 01.06.2021 № 852. Штраф для юридического лица за нарушение — от 100 до 200 тысяч рублей.

К маркетингу это относится через один практический момент. Если запись пациента уже проходит через медицинскую информационную систему, то аналитику имеет смысл строить от неё, а не поднимать вторую, параллельную базу «для маркетинга». Вторая база — это второй контур с теми же требованиями к защите, второй источник расхождений в цифрах и вдвое больше поверхности для утечки. Мы почти всегда рекомендуем сводить сквозную аналитику к МИС и CRM, которые у клиники уже есть, вместо того чтобы строить рядом третью систему.

Четыре заблуждения, которые дороже всего стоят

«У нас маленькая клиника, до нас не дойдут». Проверки в этой области инициируются в том числе по обращению гражданина. Одна жалоба пациента, которому пришла рассылка без согласия, работает независимо от размера организации. Требования к обработке данных не масштабируются вместе с выручкой.

«Мы не публикуем диагнозы, значит особой категории нет». Особая категория возникает не в момент публикации, а в момент обработки. Заявка на приём к профильному специалисту — это уже сведения о здоровье, даже если она никуда дальше CRM не пошла.

«За данные отвечает подрядчик, у нас с ним договор». Договор распределяет обязанности между вами и подрядчиком, но перед пациентом и регулятором оператором остаётся клиника. Ответственность договором не передаётся.

«Мы поставили галочку про согласие, значит всё закрыто». Галочка без корректного текста, без фиксации версии и без отдельного согласия на маркетинг закрывает форму визуально, а не юридически. Это самая распространённая ситуация из всех, что мы встречаем при аудите.

Чек-лист: как проверить свой маркетинговый контур

Этот список можно пройти самостоятельно за один вечер. Он не заменяет юридический аудит, но показывает, есть ли проблема вообще.

1. Подано ли уведомление в Роскомнадзор об обработке персональных данных — и совпадают ли указанные в нём цели с тем, что клиника делает сейчас?
2. Выпишите все сервисы, куда попадают данные пациента: формы, коллтрекинг, чат, CRM, МИС, рассылки, счётчики, рекламные кабинеты. Список обычно оказывается длиннее, чем ожидалось.
3. Отметьте те из них, чья инфраструктура находится за пределами России. Для каждого — подано ли уведомление о намерении осуществлять трансграничную передачу?
4. Соберите список всех форм на сайте, включая всплывающие окна и калькуляторы. Для каждой: есть ли чекбокс, не проставлен ли он заранее, есть ли ссылка на политику, куда уходят данные?
5. Проверьте, есть ли отдельное согласие на маркетинговые коммуникации — оно нужно отдельно от согласия на оказание услуги.
6. Фиксируется ли факт согласия вместе с заявкой: дата, время, версия текста?
7. Записи звонков: где хранятся, сколько времени, кто имеет доступ, есть ли договор поручения с поставщиком коллтрекинга.
8. Загружали ли базу пациентов в рекламные кабинеты для похожих аудиторий или ретаргетинга — и на каком основании?
9. Названия событий в аналитике: не передаётся ли в сторонние системы медицинское направление конкретного пользователя?
10. Есть ли процедура на случай обращения пациента с требованием удалить его данные — и кто в клинике за неё отвечает?

Если хотя бы в трёх пунктах ответ «не знаю» — это нормальная стартовая позиция, но контур нужно разбирать.

С чего начать

Порядок действий, который мы считаем разумным, если разбирать всё сразу невозможно.

Сначала — то, что закрывается быстро и снимает больше всего риска. Проверить и подать уведомление в Роскомнадзор, если его нет или оно устарело. Привести в порядок формы и согласия на сайте — это работа на несколько дней. Убрать из контура зарубежные сервисы, которые не критичны и легко заменяются российскими аналогами. Переименовать события в аналитике так, чтобы они не выдавали медицинское направление.

Затем — то, что требует решений. Разобраться с коллтрекингом, записями звонков и сроками их хранения. Определиться, что делать со старой базой контактов. Свести аналитику к одному источнику вместо параллельных баз. Пройти с поставщиками список вопросов из раздела выше и заменить тех, кто на них не отвечает.

И параллельно — юридическая часть. Политика обработки данных, приказ о назначении ответственного, перечень обрабатываемых данных, договоры поручения с обработчиками, процедура ответа на обращения субъектов. Это делает юрист, а не маркетолог.

Границы нашей ответственности

Мы отвечаем за маркетинговый контур: за то, какие сервисы в нём стоят, как между ними ходят данные, что написано в формах и текстах и как настроена аналитика. Мы не оказываем юридических услуг и не выдаём заключений о соответствии. Вопросы лицензирования, договорной базы, локальных нормативных актов и представления интересов при проверке — зона профильного юриста, и мы всегда рекомендуем привлекать его к этой части работы.

Все суммы и нормы в статье приведены по состоянию на июль 2026 года. Ответственность в этой области менялась дважды за последние два года, поэтому перед принятием решений стоит проверить действующую редакцию нормативных актов.

Если нужно посмотреть на маркетинговый контур клиники со стороны — что в нём стоит, куда уходят данные и где риск не оправдан результатом, — это входит в бесплатную диагностику в рамках медицинского маркетинга. Про ограничения самой рекламы медицинских услуг мы разбирали отдельно в материале о ФЗ-38, про требования поисковых систем к медицинскому контенту — в статье об E-E-A-T и YMYL, а про то, как выстроить аналитику записи на базе CRM, — в разделе внедрения CRM.