В эпоху цифровизации здравоохранения запись на прием к врачу через сайты клиник, агрегаторы или мобильные приложения стала нормой. Однако удобство онлайн-записи несет в себе риски утечки чувствительной информации. Медицинские данные относятся к особым категориям персональных данных (ст. 10 ФЗ-152), и их защита требует строгого соблюдения законодательства и гигиены кибербезопасности со стороны самого пациента.
Правовая база: что гарантирует закон (152-ФЗ)
Основным документом, регулирующим отношения в этой сфере, является Федеральный закон от № 152-ФЗ «О персональных данных». Согласно ему, любая медицинская организация (ГАУЗ, частная клиника, онлайн-сервис) автоматически становится оператором персональных данных и несет полную ответственность за их защиту.
Ключевые права пациента (субъекта персональных данных):
- Право на информацию: знать, какие данные собираются, зачем и как долго хранятся.
- Право на доступ: требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных или незаконно полученных данных (ст. 14, п. 1.3.2).
- Право на отзыв согласия: в любой момент вы можете отозвать согласие на обработку, после чего оператор обязан прекратить обработку и уничтожить данные в течение 30 дней (если иное не предусмотрено законом).
- Право на анонимность: если для записи достаточно имени и телефона, клиника не имеет права требовать паспортные данные на этапе первичной записи (рекомендации по разработке мед. ПО, 2026).
Принцип минимальной достаточности: меньше данных — меньше рисков
Один из главных принципов защиты — data minimization (минимизация данных). Чем меньше информации вы передаете на этапе записи, тем ниже ущерб при возможной утечке.
Что действительно нужно для записи:
- Имя (для обращения).
- Контактный телефон (для подтверждения и напоминаний).
- Email (опционально, для отправки чека/согласия).
Чего НЕ следует сообщать при онлайн-записи:
- Номер и серию паспорта (до личного визита в регистратуру).
- СНИЛС и номер полиса ОМС (до оформления карты пациента).
- Диагноз или подробности жалоб в открытых полях комментариев (это медицинская тайна).
- Банковские реквизиты (оплата должна проходить через защищенные платежные шлюзы PCI DSS, а не через чат/форму).
Важно: Согласно лучшим практикам разработки медицинского ПО (2026), согласие на обработку ПДн должно получаться явно и раздельно (через чек-бокс на сайте/в приложении) до отправки формы записи.
Техническая безопасность: как проверить надежность сервиса
Прежде чем нажать кнопку «Записаться», оцените техническую защиту ресурса:
Защищенное соединение (HTTPS/TLS)
Адресная строка браузера должна показывать замочек и начинаться с https://. При отсутствии защиты соединения (HTTP) данные передаются в открытом виде. Рекомендуется использовать расширения браузеров (например, HTTPS Everywhere), принудительно перенаправляющие на безопасную версию сайта.
Наличие Политики конфиденциальности
В футере сайта должна быть ссылка на документ, где прописано:
- Какие данные собираются.
- Сроки хранения (например, факты оказания услуг хранятся не менее срока, установленного законом о мед. деятельности или бух. учете).
- Порядок уничтожения данных (автоматический или ручной по внутренним регламентам).
- Контакты ДСО (должностного лица по защите данных) или оператора.
Двухфакторная аутентификация (2FA) в личном кабинете
Если сервис предлагает личный кабинет с историей посещений и рецептами, вход должен быть защищен 2FA (SMS, push, TOTP). Используйте сложные уникальные пароли (менеджеры паролей помогут их сгенерировать и хранить).
Специфика медицинской конфиденциальности
Медицинская тайна охраняется ст. 13 ФЗ-323 «Об основах охраны здоровья граждан в РФ». Нарушение влечет уголовную ответственность (ст. 137 УК РФ).
Особенности онлайн-сервисов (агрегаторов):
- Агрегаторы (сайты записи к врачам) тоже являются операторами ПДн. Они обязаны уведомить Роскомнадзор об обработке данных (Приказ Роскомнадзора № 94 от ).
- Автоматические уведомления (SMS/Email/пуш) о записи не должны содержать диагноз или ФИО врача узкого профиля (психиатр, венеролог и т.д.) в открытом виде.
- При использовании телемедицины (видеоконсультаций) убедитесь, что используется сквозное шифрование (E2EE).
Чек-лист: как защитить себя при записи на прием
| Действие | Почему это важно |
|---|---|
| Проверьте HTTPS (замочек в адресной строке) | Защита от перехвата данных в локальной сети (Wi-Fi кафе, метро). |
| Заполните только обязательные поля (обычно помечены *) | Соблюдение принципа минимальной достаточности (Art. 5 GDPR / 152-ФЗ). |
| Не пишите диагноз в поле «Комментарий» | Поле может быть незащищенным, видеть его администраторы колл-центра. |
| Используйте отдельный email/телефон для мед. сервисов | Снижает риск профилирования и фишинга на основной почте. |
| Прочитайте Политику конфиденциальности (раздел «Сроки хранения») | Понять, когда ваши данные будут уничтожены после окончания лечения. |
| Сохраните скриншот подтверждения записи | Доказательство факта передачи данных на случай споров. |
| При утечке — пишите в Роскомнадзор и прокуртуру | Уполномоченный орган имеет право проводить проверки и штрафовать оператора. |
Что делать, если права нарушены?
Если вы обнаружили утечку данных, спам от третьих лиц после записи или отказ клиники удалить данные по вашему требованию:
- Напишите официальное претензию оператору (через форму на сайте, почту ДСО или почту России с уведомлением). Требуйте уточнить/удалить данные согласно ст. 21 152-ФЗ.
- Обратитесь в Роскомнадзор (через портал «Персональные данные» или Госуслуги). Укажите ФИО должностного лица оператора, если известны.
- Обратитесь в суд о защите прав субъекта ПДн (возмещение морального вреда, принуждение к действию).
Защита личных данных при записи на прием — это совместная ответственность клиники (оператора) и пациента. Организация должна обеспечивать техническую и организационную защиту по 152-ФЗ и приказам Роскомнадзора, а пациент, соблюдать гигиену безопасности: минимизировать передаваемые данные, проверять защищенность канала связи и знать свои права на контроль за информацией. Помните: медицинская тайна не терпит лишних глаз, а ваша осторожность — лучший антивирус.
Материал подготовлен на основе актуального законодательства РФ (152-ФЗ, 323-ФЗ), рекомендаций Роскомнадзора и лучших практик информационной безопасности в здравоохранении (данные на ).