Создание сайтов для медицинских клиник и стоматологий по 152-ФЗ. Устраним нарушения, если пришло предписание Роскомнадзора

Любая клиника, у которой на сайте есть форма записи, кнопка обратного звонка или счётчик аналитики, собирает персональные данные пациентов. С точки зрения закона это делает клинику оператором персональных данных, а данные о здоровье относятся к специальной категории — к ним 152-ФЗ предъявляет самые строгие требования. Роскомнадзор это проверяет: не только по жалобам, но и дистанционным мониторингом сайтов из открытых источников. Несоответствие оборачивается предписанием об устранении, а за ним — административным делом и штрафом. Мы делаем клиникам сайты по этим требованиям и помогаем тем, кому предписание или письмо о нарушениях уже пришло.

Сайт в подарок и сайт за деньги — это два разных предложения

На страницах сайта вы могли увидеть полосу «Сайт-визитка в подарок», а сюда попасть по объявлению, где сайт для клиники стоит денег. Противоречия здесь нет: это два разных предложения, и вот чем они отличаются.

• Сайт-визитка в подарок — тем, кто заказывает у нас лицензирование клиники. Это бонус к оплаченной услуге, а не самостоятельное предложение: вы платите за лицензирование, а сайт-визитку по требованиям 152-ФЗ мы делаем сверх него и отдельно не выставляем. Мы в этот момент и так ведём проект клиники, поэтому такой сайт обходится нам недорого — отсюда и возможность его подарить. Предложение ограничено по сроку, актуальные условия подтвердит менеджер на звонке.
• Отдельный заказ сайта — платная работа по договору. Она нужна, когда лицензия у вас уже есть или лицензирование вам не требуется; когда сайт делали не мы, а привести его к 152-ФЗ надо; когда пришло предписание Роскомнадзора и нарушения нужно снять в срок; когда типовой визитки под задачи клиники мало. Здесь мы считаем стоимость по объёму работ и фиксируем её в договоре.

Требования закона выполняются одинаково в обоих случаях — разница не в качестве, а в объёме работ и в том, за что вы платите. Если вам нужны и лицензия, и сайт, скажите об этом на первом звонке: менеджер сразу скажет, попадаете ли вы под подарок и хватит ли визитки под вашу задачу.

Сайт отдельным заказом: что входит, сколько стоит, сколько занимает

Что входит

• Аудит того, что есть сейчас. Инвентаризируем все формы и потоки данных: куда уходят заявки, где физически стоит база, какие счётчики и внешние скрипты подключены, есть ли политика, согласия и уведомление в РКН. На выходе — отчёт о несоответствиях. Это часть бесплатного аудита клиники: до договора и без обязательств.
• Новый сайт или доработка вашего. Формы записи и обратного звонка с непредзаполненным согласием, cookie-баннер, политика, доступная с любой страницы, корректно подключённая аналитика.
• Обязательные сведения о клинике. Реквизиты, лицензия, режим работы, условия оказания платных услуг и информирование о том, что помощь можно получить бесплатно по программе госгарантий, — то, за отсутствие чего наказывают по статьям 14.5, 14.8 и 6.30 КоАП (таблица ниже).
• Юридические документы. Политика обработки, раздельные целевые согласия — включая отдельное на данные о здоровье, — внутренний пакет оператора и назначение ответственного за обработку.
• Уведомление в Роскомнадзор. Готовим и подаём уведомление об обработке, проверяем, что клиника числится в реестре операторов.
• Размещение в России. При необходимости переносим сайт и первичную базу на российский хостинг и убираем зарубежные зависимости, из-за которых данные посетителя уходят за границу.

Сколько стоит

Цену определяют четыре вещи: делаем сайт с нуля или дорабатываем ваш; сколько на нём форм и внешних сервисов; нужен ли перенос на российский хостинг; нужен ли пакет документов оператора и подача уведомления. Поэтому порядок такой: сначала бесплатно смотрим сайт, затем называем сумму и фиксируем её в договоре. Заочно, не видя сайта, стоимость не называем: сумма, названная наугад, на договоре всё равно изменится, и разговор придётся начинать сначала.

Сколько занимает

Точный срок называем вместе с ценой — после того, как посмотрим сайт. Порядок работ всегда один: сначала то, что проверяющий видит с первого захода (согласия на формах, cookie-баннер, ссылка на политику, отложенная загрузка счётчиков), затем документы и уведомление в РКН, затем инфраструктура — перенос, если он нужен. Если у вас на руках предписание, график строим под срок, указанный в нём.

Мы — компания ЦАЛ (бренд «Лицздрав»), офис в Уфе. Работаем по всей России дистанционно и с выездом: сайт, документы и подачу уведомления полностью организуем удалённо.

За что приходит предписание на сайт клиники

По итогам мониторинга и проверок Роскомнадзор чаще всего фиксирует одни и те же нарушения. Разберитесь, есть ли они у вас.

• Яндекс.Метрика или другая аналитика работает без cookie-баннера. РКН в разъяснениях относит cookie и IP-адрес к персональным данным, когда они позволяют идентифицировать пользователя; судебная практика по этому вопросу пока неоднородна. Счётчик, который пишет данные посетителя до получения согласия, — типовое замечание, которое ловит автопроверка.
• Форма записи или обратного звонка без согласия. Нет чекбокса, либо галочка проставлена заранее. Закон требует активного действия пользователя — предустановленные галочки не допускаются.
• Нет ссылки на политику обработки персональных данных или она битая. Политика должна быть доступна с любой страницы и соответствовать закону; формулировка «хранение бессрочно» тоже вызывает претензии.
• Сайт или CRM на зарубежном хостинге. Первичный сбор и хранение данных граждан РФ должны идти в базе на территории России. Зарубежные CRM держат базу за рубежом — это вопрос локализации; сервисы вроде Google Analytics и Google Fonts базу не хранят, но передают данные посетителя за границу, и это уже вопрос трансграничной передачи. И то, и другое закон ограничивает.
• В Роскомнадзор не подано уведомление об обработке данных. Клиники нет в реестре операторов, хотя обработка уже ведётся. Это самостоятельное нарушение.

Что 152-ФЗ требует от сайта медорганизации

Если объяснять простым языком, набор требований к сайту клиники такой.

• Политика обработки персональных данных (ст. 18.1). Отдельная постоянная страница со ссылкой в футере каждой страницы: цели, основания, перечень данных, сроки хранения, права субъекта, контакты и раздел про cookie.
• Согласие субъекта (ст. 9). Согласие оформляется отдельно от оферты и пользовательского соглашения — конкретное, через непредзаполненный чекбокс, текст доступен до отправки формы.
• Данные о здоровье — специальная категория (ст. 10). Если форма собирает жалобу, диагноз или причину обращения, нужно отдельное согласие на обработку данных о здоровье, а сама обработка ведётся в режиме врачебной тайны.
• Локализация в России (ст. 18 ч. 5). Сайт, backend формы и CRM/МИС — на серверах в РФ; данные россиян сначала записываются в российскую базу.
• Уведомление в Роскомнадзор (ст. 22). Подаётся до начала обработки. «Медицинского» исключения нет: наличие сайта с формой и аналитикой — уже основание уведомить.
• Трансграничная передача (ст. 12). Если данные всё же уходят за рубеж, требуется отдельное предварительное уведомление. Для клиники безопаснее исключить такие сервисы вовсе.

Отдельно закон требует внутренний пакет документов и назначенного ответственного за обработку — это проверяют вместе с сайтом.

Уже пришло предписание? Действуем по срокам

Конкретный срок устранения законом не фиксируется — его назначает Роскомнадзор индивидуально в самом предписании, и на практике он исчисляется неделями. Срок идёт с момента получения документа, а его пропуск — это отдельное нарушение со своим штрафом, поверх штрафа за само нарушение. Поэтому важно начать сразу, как только документ на руках.

Мы разбираем предписание по пунктам и выстраиваем план устранения по приоритету срока. Сначала быстрые правки на сайте — согласия на формах, cookie-баннер, восстановленная ссылка на политику, отложенная загрузка Метрики. Затем документы и подача либо актуализация уведомления в РКН. Затем инфраструктура — при необходимости перенос на российский хостинг. Параллельно собираем доказательства устранения: скриншоты форм, обновлённую политику, подтверждение уведомления, договоры с хостером и подрядчиками. По итогу готовим мотивированный письменный ответ в Роскомнадзор в установленный срок с приложениями по каждому пункту. Если дело дошло до административного разбирательства, работаем с юристом: добровольное устранение в срок закон учитывает как смягчающее обстоятельство. Своевременное устранение убирает отдельный штраф за неисполнение предписания и служит смягчающим обстоятельством по основному делу — при этом решение по штрафу за само нарушение остаётся за ведомством.