Частые нарушения на сайте медорганизации
Роскомнадзор при мониторинге сайтов медицинских организаций обычно обращает внимание не только на наличие обязательной информации о деятельности медицинской организации, но и на то, как на сайте организован сбор персональных данных.
Нарушения, как правило, связаны с отсутствием правового основания для обработки, не ознакомление с документами оператора в отношении обработки персональных данных, размещение на сайте сведений без согласия субъектов.
1. Нет политики обработки персональных данных
Одно из самых частых нарушений — отсутствие на сайте политики в отношении обработки персональных данных либо размещение формального, неадаптированного документа. Роскомнадзор исходит из того, что пользователь должен иметь возможность заранее ознакомиться с целями, составом, способами и сроками обработки персональных данных, а также с порядком реализации своих прав.
Если политика есть, но в ней не отражены реальные способы обработки данных, например формы записи на прием, онлайн-обратная связь, личный кабинет, метрические сервисы или иные сторонние виджеты, это также рассматривается как нарушение требований закона.
2. Формы записи без согласия
Типовая ошибка — наличие на сайте формы записи на прием, заявки на звонок или обратной связи, в которой запрашиваются имя, телефон, e-mail или иные данные, но не реализован отдельный механизм по получению согласия на обработку персональных данных. По 152-ФЗ согласие должно быть конкретным, информированным и сознательным, а оператор обязан доказать факт его получения.
Недостаточно и общей фразы вроде «нажимая кнопку, вы соглашаетесь с политикой конфиденциальности». Согласие на ознакомление с политикой не тождественно согласию на обработку персональных данных, если из формы нельзя однозначно понять цель сбора, объем данных и действия оператора.
3. Предустановленные или неясные чек-боксы
Нарушением считается и ситуация, когда чек-бокс уже отмечен по умолчанию, либо формулировка согласия слишком общая. Пользователь должен сам совершить активное действие, подтверждающее волеизъявление.
Для медицинской организации особенно важно, чтобы в согласии были указаны конкретные цели: запись на прием, обратный звонок, направление уведомлений, передача информации через электронные каналы связи, если это действительно используется.
4. Отсутствие уведомления о cookie и аналитики
Роскомнадзор обращает внимание на подключение аналитических модулей и иных интернет-сервисов, через которые собираются данные пользователей сайта. Если посетитель не уведомлен о таком сборе, не может отказаться от него или не понимает, какие именно данные обрабатываются, это может образовывать нарушение требований к законности и прозрачности обработки.
Особый риск возникает, когда в политике не указано, какие данные собираются через такие сервисы, для каких целей, кому они передаются и есть ли трансграничная передача. Если используется иностранный сервис, нужно отдельно оценивать требования статьи 12 152-ФЗ о трансграничной передаче.
5. Избыточный сбор данных
Еще одна частая проблема — сбор на сайте данных, которые не нужны для заявленной цели. Например, для предварительной записи на прием обычно достаточно имени и контакта для связи, а запрос лишних сведений без правового основания противоречит принципу соразмерности обработки.
152-ФЗ прямо требует, чтобы содержание и объем персональных данных соответствовали заявленным целям, а сами данные не были избыточными. Это одна из наиболее частых ошибок в онлайн-формах медицинских организаций.
6. Публикация данных сотрудников без правового основания
На сайтах медицинских организаций часто размещают ФИО, должности, сведения об образовании, квалификации, фото врачей и иных работников. Публикация сведений о работниках в объеме большем, нежели предусмотрено законодательством о медицинской деятельности, требует наличия согласия на распространение персональных данных.
Судебная практика подтверждает, что размещение на сайте сведений о работниках без надлежащего правового основания может повлечь административную ответственность по статье 13.11 КоАП РФ.
При этом, отдельно стоит отметить о том, что размещаемые данные должны поддерживаться в актуальном состоянии.
Обязательная информация по 118 - Н
Помимо выполнения требований Федерального Закона «О персональных данных», медицинской организации необходимо руководствоваться Приказом Минздрава № 118н от 13.03.2025, который закрепляет перечень обязательных сведений, подлежащий размещению на сайте. На практике распространены нарушения, когда на сайте отсутствуют данные о лицензии, контактных телефонах, режиме работы, структуре, правах пациентов, ценах на платные услуги, сведениях о медработниках.
Частая ошибка — размещение неполного комплекта сведений либо ссылки на документы, которые не позволяют пользователю быстро получить обязательную информацию в понятной и доступной форме. Нередко сайт формально содержит раздел, но фактически не раскрывает нужные данные либо содержит устаревшие версии документов.
1. Неполные сведения о лицензии
По новым требованиям сайт должен содержать сведения о лицензии в установленной форме, а также актуальную информацию, позволяющую проверить действующий статус лицензии. Практически значимым нарушением остается размещение устаревшего скана без нужных реквизитов либо отсутствие удобной ссылки на сведения из реестра.[6][5]
Для надзора важно не наличие «какого-то файла», а соответствие способа размещения и состава сведений действующим требованиям приказа № 118н.[5][1]
2. Нет сведений о врачах в нужном объеме
Сайты нередко ограничиваются списком фамилий врачей без обязательных сведений о должности, образовании, аккредитации и графике работы. Если раздел о специалистах не соответствует актуальному регламенту, это считается нарушением обязательных требований к информации о деятельности медорганизации.
3. Отсутствуют обязательные разделы для пациентов
На сайтах часто не размещают сведения о правах и обязанностях пациента, о платных услугах, о территориальной программе госгарантий, о порядке обращения, о контролирующих и надзорных органах.
Что делать прямо сейчас
Нарушения, как правило, связаны с отсутствием правового основания для обработки, не ознакомление с документами оператора в отношении обработки персональных данных, размещение на сайте сведений без согласия субъектов.
1. Нет политики обработки персональных данных
Одно из самых частых нарушений — отсутствие на сайте политики в отношении обработки персональных данных либо размещение формального, неадаптированного документа. Роскомнадзор исходит из того, что пользователь должен иметь возможность заранее ознакомиться с целями, составом, способами и сроками обработки персональных данных, а также с порядком реализации своих прав.
Если политика есть, но в ней не отражены реальные способы обработки данных, например формы записи на прием, онлайн-обратная связь, личный кабинет, метрические сервисы или иные сторонние виджеты, это также рассматривается как нарушение требований закона.
2. Формы записи без согласия
Типовая ошибка — наличие на сайте формы записи на прием, заявки на звонок или обратной связи, в которой запрашиваются имя, телефон, e-mail или иные данные, но не реализован отдельный механизм по получению согласия на обработку персональных данных. По 152-ФЗ согласие должно быть конкретным, информированным и сознательным, а оператор обязан доказать факт его получения.
Недостаточно и общей фразы вроде «нажимая кнопку, вы соглашаетесь с политикой конфиденциальности». Согласие на ознакомление с политикой не тождественно согласию на обработку персональных данных, если из формы нельзя однозначно понять цель сбора, объем данных и действия оператора.
3. Предустановленные или неясные чек-боксы
Нарушением считается и ситуация, когда чек-бокс уже отмечен по умолчанию, либо формулировка согласия слишком общая. Пользователь должен сам совершить активное действие, подтверждающее волеизъявление.
Для медицинской организации особенно важно, чтобы в согласии были указаны конкретные цели: запись на прием, обратный звонок, направление уведомлений, передача информации через электронные каналы связи, если это действительно используется.
4. Отсутствие уведомления о cookie и аналитики
Роскомнадзор обращает внимание на подключение аналитических модулей и иных интернет-сервисов, через которые собираются данные пользователей сайта. Если посетитель не уведомлен о таком сборе, не может отказаться от него или не понимает, какие именно данные обрабатываются, это может образовывать нарушение требований к законности и прозрачности обработки.
Особый риск возникает, когда в политике не указано, какие данные собираются через такие сервисы, для каких целей, кому они передаются и есть ли трансграничная передача. Если используется иностранный сервис, нужно отдельно оценивать требования статьи 12 152-ФЗ о трансграничной передаче.
5. Избыточный сбор данных
Еще одна частая проблема — сбор на сайте данных, которые не нужны для заявленной цели. Например, для предварительной записи на прием обычно достаточно имени и контакта для связи, а запрос лишних сведений без правового основания противоречит принципу соразмерности обработки.
152-ФЗ прямо требует, чтобы содержание и объем персональных данных соответствовали заявленным целям, а сами данные не были избыточными. Это одна из наиболее частых ошибок в онлайн-формах медицинских организаций.
6. Публикация данных сотрудников без правового основания
На сайтах медицинских организаций часто размещают ФИО, должности, сведения об образовании, квалификации, фото врачей и иных работников. Публикация сведений о работниках в объеме большем, нежели предусмотрено законодательством о медицинской деятельности, требует наличия согласия на распространение персональных данных.
Судебная практика подтверждает, что размещение на сайте сведений о работниках без надлежащего правового основания может повлечь административную ответственность по статье 13.11 КоАП РФ.
При этом, отдельно стоит отметить о том, что размещаемые данные должны поддерживаться в актуальном состоянии.
Обязательная информация по 118 - Н
Помимо выполнения требований Федерального Закона «О персональных данных», медицинской организации необходимо руководствоваться Приказом Минздрава № 118н от 13.03.2025, который закрепляет перечень обязательных сведений, подлежащий размещению на сайте. На практике распространены нарушения, когда на сайте отсутствуют данные о лицензии, контактных телефонах, режиме работы, структуре, правах пациентов, ценах на платные услуги, сведениях о медработниках.
Частая ошибка — размещение неполного комплекта сведений либо ссылки на документы, которые не позволяют пользователю быстро получить обязательную информацию в понятной и доступной форме. Нередко сайт формально содержит раздел, но фактически не раскрывает нужные данные либо содержит устаревшие версии документов.
1. Неполные сведения о лицензии
По новым требованиям сайт должен содержать сведения о лицензии в установленной форме, а также актуальную информацию, позволяющую проверить действующий статус лицензии. Практически значимым нарушением остается размещение устаревшего скана без нужных реквизитов либо отсутствие удобной ссылки на сведения из реестра.[6][5]
Для надзора важно не наличие «какого-то файла», а соответствие способа размещения и состава сведений действующим требованиям приказа № 118н.[5][1]
2. Нет сведений о врачах в нужном объеме
Сайты нередко ограничиваются списком фамилий врачей без обязательных сведений о должности, образовании, аккредитации и графике работы. Если раздел о специалистах не соответствует актуальному регламенту, это считается нарушением обязательных требований к информации о деятельности медорганизации.
3. Отсутствуют обязательные разделы для пациентов
На сайтах часто не размещают сведения о правах и обязанностях пациента, о платных услугах, о территориальной программе госгарантий, о порядке обращения, о контролирующих и надзорных органах.
Что делать прямо сейчас
- Проверьте форму записи и обратной связи: если вы собираете имя, телефон, e-mail или иные данные, рядом должно быть отдельное и понятное согласие на обработку персональных данных. Одной ссылки на «политику конфиденциальности» недостаточно.
- Уберите лишние поля из форм. Для предварительной записи обычно не нужны паспортные данные, сведения о здоровье и другие избыточные сведения.
- Разместите на сайте актуальную политику обработки персональных данных. В ней должны быть цели обработки, состав данных, сроки хранения, права пациента и сведения о cookie и сторонних сервисах.
- Если на сайте стоят счетчики аналитики или виджеты, проверьте, предупреждаете ли вы пользователя о сборе данных и можно ли отказаться от такой обработки.
Все статьи эксперта