Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Оформление согласия на обработку персональных данных (ПДн) — это обязательная процедура для любой медицинской организации. С вступлением в силу новых поправок к 152-ФЗ «О персональных данных» (в частности, с 1 сентября 2025 года) требования к форме и содержанию документа существенно ужесточились. В данной статье мы подробно разберем актуальные правовые нормы, структуру правильного согласия, частные случаи (фото/видео, врачебная тайна) и предоставим универсальный образец для клиники.

Правовая база: что изменилось с 2025 года?

Согласно Федеральному закону от № 152-ФЗ «О персональных данных» (ред. на 2025–2026 гг.), а также разъяснениям Роскомнадзора, согласие должно соответствовать принципу ПДн (Предметное, Детальное, Надежное) — то есть быть:

Конкретным — четко прописана цель (например: «для оформления пациента в базу клиники», «для ведения медицинской документации», «для оплаты услуг через банк»).
Предметным, перечислены конкретные категории данных (ФИО, контакты, СНИЛС, polis OMS, медицинские показания, биометрия).
Информированным, пациент знает, кто оператор, куда передаются данные, каковы его права.
Однозначным — действие, выражающее волю (подпись, галочка в ЛК, нажатие кнопки «Согласен»), не допускает двоякого толкования.

Важно: Использование старых шаблонов (до 2025 года) без доработки создает риск штрафов от Роскомнадзора (ст. 13.11 КоАП РФ) и претензий со стороны пациентов.

Обязательные реквизиты согласия (Чек-лист для клиники)

Любой бланк согласия, используемый в медицинской организации, должен содержать следующие блоки:

Реквизиты Оператора: Полное наименование (ООО/ИП/ГБУЗ), ИНН/ОГРН, юридический и фактический адрес (), контактный телефон/email DPO (уполномоченного по защите ПДн).
Данные Субъекта (Пациента): ФИО полностью, дата рождения, паспортные данные (серия/номер — ), адрес регистрации (), контактный телефон (), email (), СНИЛС (), полис ОМС/ДМС.
Категории обрабатываемых ПДн: Общие (ФИО, контакты), Специальные (состояние здоровья, врачебная тайна, раса/национальность при необходимости), Биометрические (фото, видео, отпечатки пальцев для СКУД — только с отдельным выделенным согласием).
Цели обработки (каждая цель — отдельной строкой):
- Ведение медицинской документации (история болезни, амбулаторная карта).
- Взаиморасчеты с ОМС/ДМС/пациентом.
- Информирование о результатах обследований, записи на прием (SMS, Email, пуш-уведомления).
- Качественный контроль (опросы удовлетворенности).
- Маркетинговые рассылки (только при отдельном согласии!).
- Публикация фото/видео отзывов и результатов лечения (отдельный пункт/бланк).
Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (третьим лицам, см. п. 6), обезличивание, блокирование, удаление, уничтожение.
Передача третьим лицам (Получателям): Обязательно указать категории получателей:
- Территориальный фонд ОМС / Страховые компании ДМС.
- Лаборатории и диагностические центры (если анализы сдаются во внешней лабе).
- ЕМИАС / ЕРЗ / ФРМР / ЕГИСЗ (госистемы).
- Банки (эквайринг), курьерские службы (доставка отчетов), IT-подрядчики (CRM, сайт) — только по договорам поручения (ст. 28 152-ФЗ).
Трансграничная передача: Указать, производится ли она (обычно «не производится» или перечислить страны/сервисы, например, облачные серверы за рубежом).
Срок действия и порядок отзыва: Срок (например, «до достижения целей обработки» или «25 лет» / «75 лет» для мед. документации по закону). Порядок отзыва: письменное заявление оператору (адрес *), последствия отзыва (невозможность оказания услуг по ОМС/Договору).
Права субъекта ПДн (ст; 14 152-ФЗ): Доступ, исправление, блокирование, удаление, обжалование в Роскомнадзор/суд.
Подпись пациента / Законного представителя: Расшифровка подписи, дата. Для детей до 14 лет — подпись родителя/опекуна с приложением документов, подтверждающих полномочия. Для детей 14–18 лет, собственная подпись ребенка + подпись представителя.

Специфические виды согласий в клинике (Не объединяйте в один документ!)

Практика Роскомнадзора и судов показывает: один «простыней» бланк на все случаи жизни — нарушение принципа предметности. Рекомендуется использовать пакет документов:

Основное согласие на обработку ПДн для оказания мед. помощи

Обязательно для каждого пациента при первом визите. Охватывает цели 1–5 из списка выше. Без него клиника не имеет права создавать историю болезни (кроме экстренной помощи).

Согласие на обработку специальных категорий ПДн (Состояние здоровья, Врачебная тайна)

Хотя ст. 22 152-ФЗ разрешает обработку без согласия для оказания мед. помощи (в целях профилактики, диагностики, лечения), лучшей практикой является получение явного согласия на разглашение врачебной тайны страховщикам (ДМС), работодателям (при профосмотрах) или родственникам.

Согласие на распространение изображения (Фото/Видео)

Критически важный момент 2024–2026 гг; Публикация фото «до/после», видео-отзывов, стримов операций на сайте клиники, в соцсетях (ВК, Telegram, Rutube) или на личной странице врача с логотипом клиники требует отдельного, конкретного согласия на обнародование (распространение) (ст. 10.1 152-ФЗ, ст. 152.1 ГК РФ).

В согласии должно быть указано: где именно будет опубликовано (сайт клиники, профиль врача в соцсетях, наружная реклама), срок публикации, территория (РФ/мир).
Пациент имеет право запретить использование своего изображения в любой момент.
Пример из практики: «Между клиникой и хирургом достигнута договоренность об использовании фото/видео на странице хирурга с логотипом клиники, но без логотипа хирурга. От пациентов получены согласия: (1) на обработку ПДн, (2) на распространение, (3) на сайтах клиники, (4) в сети Интернет и на страницах данного хирурга».

Согласие на получение рекламных/информационных рассылок (Маркетинг)

Обязательно по ФЗ «О рекламе» (ст. 18) и 152-ФЗ. Не может быть предустановленной галочкой. Пациент должен активно поставить галочку/подписать отдельный пункт: «Соглашаюсь на получение новостей, акций, напоминаний о профосмотрах на телефон и email ».

Согласие на передачу данных в госсистемы (ЕМИАС, ФРМР, ЕГИСЗ)

Часто оформляется как отдельный пункт в основном согласии или отдельный бланк при подключении к региональным системам.

Образец бланка «Согласие на обработку персональных данных» (Актуально на 2026 год)

Ниже приведен универсальный шаблон. Текст в квадратных скобках [ ] и масках * подлежит обязательной замене на реальные данные клиники и пациента. Рекомендуется печать на бланке клиники в 2-х экземплярах (один пациенту, один в историю болезни/архив).

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

(для оказания медицинской помощи и сопутствующих услуг)

г. [Город] «___» _____________ 202_ г.

Я, [ФИО пациента полностью], дата рождения [ДД.ММ.ГГГГ], паспорт: серия № , выдан [Кем выдан] [Дата выдачи], код подразделения , проживающий по адресу: , СНИЛС , полис ОМС (далее — Субъект ПДн), действуя свободно, своей волей и в своем интересе, а также в интересах несовершеннолетнего ребенка / подопечного (при необходимости зачеркнуть ненужное),

ДАЮ СВОЕ СОГЛАСИЕ

ООО «[Название клиники]» (ИНН , ОГРН ), юр. адрес: , фактический адрес: , тел. , email: (далее — Оператор), на обработку моих персональных данных, а также персональных данных несовершеннолетнего ребенка / подопечного (ФИО ребенка: [ФИО ребенка], ДР: [ДД.ММ.ГГГГ], СНИЛС: , полис ОМС: ), со следующими условиями:

Категории обрабатываемых персональных данных:

Общие: ФИО, дата и место рождения, паспортные данные, адрес регистрации/проживания, контактные телефоны, адрес электронной почты, СНИЛС, данные полиса ОМС/ДМС, данные о работодателе (для ДМС/профосмотров).
Специальные (чувствительные): данные о состоянии здоровья (диагнозы, назначения, результаты обследований, история болезни), данные о расовой/национальной принадлежности (при клинической необходимости), генетические данные, биометрические данные (фото для идентификации в СКУД/ЭМК — при отдельном указании).

Цели обработки персональных данных:

Ведение медицинской документации (история болезни, амбулаторная карта, рецепты, направления) в соответствии с приказами Минздрава РФ.
Осуществление взаиморасчетов за оказанные услуги (в т.ч. через банковские организации-эквайеры).
Информирование Субъекта ПДн о состоянии здоровья, результатах исследований, записях на прием, изменении графика работы врачей (по телефону, SMS, Email, мессенджерам, пуш-уведомлениям в приложении клиники).
Взаимодействие с государственными информационными системами здравоохранения (ЕМИАС, ФРМР, ЕРЗ, ЕГИСЗ, РЭМД) для формирования единой цифровой истории пациента.
Проведение внутреннего контроля качества оказания медицинской помощи (анонимные опросы удовлетворенности).
(При наличии отдельной галочки/подписи) Направление информационных и рекламных материалов (рассылки акций, напоминаний о профилактике) — только при наличии отдельного подтверждения ниже.

Перечень действий с персональными данными, на которые дается согласие:

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ) третьим лицам (см. п. 5), обезличивание, блокирование, удаление, уничтожение персональных данных. Обработка осуществляется как с использованием средств автоматизации (АИС «Название CRM/МИС», сайт, приложение), так и без таковых (бумажные носители).

Срок действия согласия и порядок его отзыва:

Настоящее согласие действует до достижения целей обработки, установленных настоящим документом и законодательством РФ в области здравоохранения (сроки хранения медицинской документации — в соответствии с Приказом Минздрава РФ от № 263н, т.е. не менее 25 лет для истории болезни, 75 лет для отдельных форм), если иное не установлено законом.

Субъект ПДн имеет право отозвать настоящее согласие путем направления письменного уведомления Оператору по адресу: * (или через Личный кабинет на сайте / приложении). Отзыв согласия не влечет за собой незаконность обработки, совершенной до получения уведомления об отзыве. Последствия отзыва: невозможность дальнейшего оказания медицинской помощи по договору/ОМС/ДМС (кроме экстренной), прекращение информационных рассылок, удаление учетной записи в ЛК (с сохранением мед. документации по закону).

Передача персональных данных третьим лицам (Получателям):

Оператор вправе передавать персональные данные следующим категориям получателей исключительно в целях, указанных в п. 2, и на основании договоров поручения (ст. 28 152-ФЗ) или закона:

Территориальному фонду ОМС / Страховым медицинским организациям (СМО) / Страховым компаниям ДМС — для оплаты и экспертизы качества.
Медицинским организациям (лабораториям, патологоанатомическим бюро, консилиумным центрам) — для проведения дополнительных исследований/консилиумов.
Государственным информационным системам здравоохранения (ЕМИАС, ФРМР, ЕРЗ, ЕГИСЗ, РЭМД).
Банковским организациям — для проведения платежей по банковским картам.
Подрядчикам Оператора (IT-поддержка CRM/МИС, колл-центр, курьерская доставка отчетов, сервисы SMS/Email-рассылок) — строго по договорам поручения с обеспечением конфиденциальности.
Уполномоченным государственным органам (Роскомнадзор, Прокуратура, Следственные органы, Суды) — по основаниям, предусмотренным законом.

Трансграничная передача:

Трансграничная передача персональных данных на территорию иностранных государств не производится / производится (указать страну, основание и меры защиты, например: «хранение резервных копий в облаке AWS в Франкфурте на основании Стандартных договорных условий»).

Меры защиты персональных данных:

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных в соответствии с требованиями 152-ФЗ и подзаконными актами (Приказ ФСТЭК от № 21, Приказ ФСБ от № 334).

Права Субъекта персональных данных (ст. 14 152-ФЗ):

Я информирован(а) о своих правах: право на доступ к своим ПДн, право на уточнение/блокирование/уничтожение неполных/неверных/незаконно полученных ПДн, право на получение информации о передаче ПДн третьим лицам, право на отзыв согласия, право на обжалование действий Оператора в Роскомнадзор (адрес: 109012, г. Москва, ул. Китагородский проезд, д. 7, корп. 1, тел. *) или в суд.

Отдельное согласие на получение рекламных/информационных рассылок (Маркетинг):

☐ ДА, Я СОГЛАШАЮСЬ на получение от ООО «[Название клиники]» информационных и рекламных сообщений (новости, акции, напоминания о профилактике, поздравления) на мой телефон (SMS, WhatsApp, Telegram, Viber, звонки) и email в соответствии с ФЗ «О рекламе» и 152-ФЗ. Согласие действует до отзыва уведомлением Оператору любым удобным способом (STOP-SMS, ссылка отписки в письме, заявление в клинике).

☐ НЕТ, Я НЕ СОГЛАШАЮСЬ на получение рекламных рассылок (информирование о записи на прием и результатах анализов будет осуществляться в рабочем порядке).

Подтверждение ознакомления с Политикой конфиденциальности:

Я подтверждаю, что ознакомлен(а) с «Политикой конфиденциальности» ООО «[Название клиники]», опубликованной на сайте [URL сайта] и доступной на стойке регистрации, в которой подробно описаны порядок и условия обработки моих персональных данных.

__________________________ / [ФИО пациента / Законного представителя]

(Подпись) (Расшифровка подписи)

Для заполнения представителем клиники:

Документ, удостоверяющий личность / полномочия представителя:

__________________________________________________

Подпись сотрудника, принявшего согласие: _____________ / [ФИО сотрудника]

Особенности оформления для разных категорий пациентов

Дети до 14 лет

Согласие подписывает родитель, усыновитель, опекун или попечитель. К бланку обязательно приложить копии: паспорта представителя, свидетельства о рождении ребенка, документа, подтверждающего полномочия (свидетельство об усыновлении, решение органа опеки, доверенность нотариальная). В бланке указываются данные ребенка (Субъекта ПДн) и данные представителя.

Дети 14–18 лет

Согласие подписывает самостоятельно ребенок (ст. 26 ГК РФ, ст. 54 ФЗ-323) И один из родителей/законных представителей. Оба подписывают один бланк (две колонки подписей) или два отдельных бланка.

Недееспособные / ограниченно дееспособные взрослые

Подписывает опекун/попечитель по решению суда/органа опеки. Приложение решения суда/акта органа опеки обязательно.

Электронное согласие (Личный кабинет, сайт, терминал в клинике)

Допускается (ст. 9 152-ФЗ), если обеспечивается идентификация субъекта (ЭЦП, Госуслуги, SMS-код, биометрия в терминале). В системе должен фиксироваться: IP-адрес, User-Agent, время, версия текста согласия (хеш документа). Текст на экране должен быть идентичен бумажному бланку.

Хранение и учет согласий (Внутренний контроль)

Журнал учета согласий: Вести в бумажном или электронном виде (номер, дата, ФИО пациента, вид согласия, срок, отметка о выдаче копии пациенту).
Срок хранения: Сами бланки согласий хранятся не менее срока хранения медицинской документации, к которой они относятся (обычно 25–75 лет).
Версионность: При изменении текста согласия (новые цели, новые получатели) — выпускается новая версия (v1.1, v1.2). Старое согласие архивируется, пациенту предлагается подписать новую версию при следующем визите.
Уведомление Роскомнадзора: Если клиника обрабатывает ПДн без согласия на законных основаниях (ст. 6 152-ФЗ: исполнение договора, закон, защита жизни) — уведомление Роскомнадзора о назначении Оператора ПДн (до 2022 г.) больше не требуется, но обязательно публикация Политики конфиденциальности на сайте и наличие Уполномоченного по защите ПДн (Данные ДПО в реестре Роскомнадзора — по желанию, но рекомендуется);

Типичные ошибки клиник (Чек-лист для аудита)

Отсутствие целей: Фраза «для нужд клиники» — НЕДОПУСТИМО. Только конкретные цели.
Скрытая передача в CRM/Маркетинг: Передача данных колл-центру или маркетинговому агентству без указания их в списке получателей и без договора поручения (ст. 28 152-ФЗ).
Объединение «Всё в одном»: Один бланк на мед; помощь + реклама + фото/видео + биометрия. Нарушение принципа предметности.
Отсутствие информации о правах субъекта: Нет ссылки на ст. 14 152-ФЗ, нет адреса Роскомнадзора.
Пропуск категории «Специальные ПДн»: Не написано явно: «соглашаюсь на обработку данных о здоровье / врачебной тайне».
Неактуальные реквизиты Оператора: Старый адрес, смененное название ЮЛ, отсутствие контактов ДПО.
Фото/видео без отдельного согласия на обнародование: Выкладывание «До/После» в Instagram/VK/Сайт без бланка «Согласие на распространение изображения».

Грамотное оформление согласия на обработку персональных данных — это не просто формальность для избежания штрафов (до 18 млн руб. за повторное нарушение), а основа доверия пациента и информационной безопасности клиники. Ключевые шаги к комплаенсу на 2026 год:

Провести аудит текущих бланков на соответствие требованиям «Предметность, Конкретность, Информированность, Однозначность».
Разделить единый бланк на пакет: Основное (мед. помощь) + Маркетинг + Фото/Видео + Биометрия (СКУД).
Обновить Политику конфиденциальности на сайте (ссылка в согласии должна вести на актуальную версию).
Заключить договоры поручения (ст. 28 152-ФЗ) со всеми подрядчиками, имеющими доступ к ПДн (CRM, SMS-шлюзы, колл-центры, бухгалтерия-аутсорс, IT-поддержка).
Обучить администраторов и врачей правилам выдачи бланков, объяснению прав пациента и фиксации факта выдачи копии пациенту.
Настроить в МИС/CRM обязательные поля для отметки о наличии подписанных согласий (галочки: «Основное», «Реклама», «Фото») перед открытием карты/записью.

Примечание: Данная статья носит информационный характер и не является юридической консультацией. Текст образца требует адаптации под специфику вашей клиники (виды услуг, используемые ИС, структура подрядчиков) и согласования с юристом организации / ДПО перед внедрением.

Материал подготовлен на основе актуальных на положений 152-ФЗ, разъяснений Роскомнадзора, судебной практики и открытых источников (КонсультантПлюс, ГАРАНТ, Ф.Док, практика клиник «МОСИТАЛЬМЕД», «АВА-ПЕТЕР» и др.). Реквизиты организаций и пациентов в примерах замаскированы (*).