Медицинская CRM отличается от обычной не набором полей, а тем, что часть данных в неё нельзя класть в принципе. Границу задают два независимых режима, и их регулярно путают.
Первый — 152-ФЗ. Данные о состоянии здоровья относятся к специальной категории персональных данных (ст. 10), их обработка допускается по закрытому перечню оснований.
Второй — 323-ФЗ. Врачебной тайной, согласно ч. 1 ст. 13, признаются сведения о самом факте обращения гражданина за оказанием медицинской помощи, о состоянии здоровья и диагнозе. Практическое следствие пропускают почти все: карточка «Иванов записан на 14:00» — это уже сведения, составляющие врачебную тайну. Не когда вы выгрузите диагнозы, а с первого дня. Разглашение запрещено (ч. 2), а перечень случаев, когда согласие не требуется (ч. 4), закрытый — маркетинга в нём нет.
Отдельное согласие на продвижение. По ст. 15 152-ФЗ обработка персональных данных для продвижения услуг путём прямых контактов допускается только с предварительного согласия, причём обработка считается совершённой без согласия, пока оператор не доказал обратное. Бремя доказывания лежит на клинике. Отсюда вывод, неприятный для многих отделов маркетинга: реактивация «спящих» пациентов на основании согласия, подписанного для оказания медицинской помощи, этим согласием не покрывается.
Что изменилось с 1 сентября 2025 года. Федеральный закон № 156-ФЗ от 24.06.2025 дополнил ст. 9 152-ФЗ: согласие оформляется отдельным документом. Его нельзя спрятать внутри договора, оферты или анкеты и нельзя объединять с согласием на рекламные рассылки. Обратной силы у нормы нет — согласия, подписанные раньше, переподписывать не требуется.
Инженерный ответ — минимизация. В CRM передаём: идентификатор пациента из МИС, контакты, факт и статус записи, направление или категорию услуги, врача, филиал, сумму, источник обращения. Не передаём: диагнозы, анамнез, результаты исследований, протоколы приёма, назначения. База с персональными данными граждан РФ размещается на серверах в России (ч. 5 ст. 18 152-ФЗ).
Подрядчик, который настраивает такую систему, становится лицом, обрабатывающим данные по поручению оператора: ст. 6 ч. 3 требует договора-поручения с перечнем данных и операций, а по ч. 5 ответственность перед пациентом остаётся на клинике. Поэтому договор-поручение мы подписываем всегда, а не по запросу. Это не юридическая консультация: нормы менялись в 2024–2025 годах, и подробный разбор с датой актуализации вынесен на отдельную страницу — CRM и персональные данные пациентов.