Согласие пациента на обработку персональных данных: что учесть клинике

Когда клинике нужно согласие пациента, а когда нет

Сведения о состоянии здоровья относятся к специальным категориям персональных данных. Часть 1 статьи 10 152-ФЗ запрещает их обработку, кроме случаев из частей 2 и 2.1. Письменное согласие пациента — одно из оснований (п. 1 ч. 2 ст. 10), но не единственное.

Пункт 4 части 2 статьи 10 допускает обработку данных о здоровье без согласия в медико-профилактических целях, для установления диагноза, оказания медицинских и медико-социальных услуг. Условие: обработку ведёт лицо, которое профессионально занимается медицинской деятельностью и обязано хранить врачебную тайну. Отдельное основание — защита жизни и здоровья пациента, когда получить согласие невозможно.

Исключение привязано к цели, а не ко всем данным клиники. Одни и те же ФИО и телефон пациента могут обрабатываться без согласия для записи на лечение и только с согласием для рекламной рассылки.

Что попадает под исключение для медицинских целей

Логика закона такая: исключение п. 4 ч. 2 ст. 10 покрывает медицинские цели, а для целей, не связанных с оказанием медицинской помощи, клинике нужно другое основание — как правило, согласие пациента.

Скорее всего, под исключение попадают:

• диагностика, лечение, профилактика;
• ведение медицинской карты и протокола приёма;
• запись на приём и напоминания о визите, если они нужны для оказания услуги.

Скорее всего, требуют согласия:

• маркетинговые рассылки и программы лояльности;
• передача данных партнёрам не для лечения, если её не требует закон;
• публикация отзывов, фото «до и после», историй пациентов;
• аудиозапись не для лечебных целей и передача данных в ИИ-сервисы.

Граница трактуемая. Напоминание о визите одни юристы считают частью услуги, другие — коммуникацией, которой нужно отдельное основание. Практичный подход: перечислить все цели обработки в политике обработки персональных данных клиники и для каждой указать основание.

Врачебная тайна и персональные данные

Врачебная тайна (ст. 13 323-ФЗ) и режим персональных данных (152-ФЗ) работают параллельно. Первый отвечает на вопрос, кому клиника вправе раскрыть сведения о пациенте. Второй — на каком основании и в каком объёме она их обрабатывает.

Статья 13 323-ФЗ содержит закрытый перечень случаев раскрытия тайны без согласия пациента, например по запросу органов дознания, следствия или суда. Перечень меняется, его стоит сверять с действующей редакцией. Основание для обработки по 152-ФЗ не даёт права раскрывать тайну, и наоборот.

Требования к форме и содержанию согласия по ст. 9 152-ФЗ

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Пациент должен понимать, кто обрабатывает его данные, зачем, какие именно и что с ними будет. Формулировка «на любые цели в соответствии с законодательством» этим требованиям не отвечает.

Для данных о здоровье нужна письменная форма; 152-ФЗ приравнивает к ней электронный документ, подписанный электронной подписью. С 1 сентября 2025 года согласие оформляется отдельно от иных документов (разбор Гаранта). Для клиники это минимум три документа: договор на платные услуги, ИДС и согласие на обработку персональных данных. При онлайн-записи согласие тоже должно быть отдельным действием, а не строкой в пользовательском соглашении.

Из каких разделов состоит согласие

Раздел	Зачем нужен	Где чаще ошибаются
Оператор и его реквизиты	Пациент знает, кто отвечает за данные	Торговое название вместо юрлица, нет адреса
Субъект и представитель	Фиксирует, чьи данные и кто подписал	Нет данных законного представителя для детей
Цели обработки	Определяют весь остальной объём	Одна общая цель на всё
Перечень данных	Ограничивает сбор	«Любые сведения» без привязки к цели
Действия с данными	Сбор, хранение, передача и т.д.	Полный список из закона без анализа
Третьи лица и поручение обработки	Лаборатории, IT-подрядчики, сервисы рассылок	Подрядчики не названы, нет договора поручения
Трансграничная передача	Если данные уходят за рубеж	Не учтены зарубежные облака и ИИ-сервисы
Срок и порядок отзыва	Право пациента отозвать согласие	Не указан канал отзыва
Способ подписания	Доказательство согласия	Электронное согласие без способа подтвердить подпись

Цели лучше разнести по отдельным согласиям: например, маркетинг — отдельно от сервисных уведомлений. Тогда отказ от рассылки не блокирует остальное.

Типичные ошибки при оформлении согласия

Это наблюдения из практики оформления документов, а не официальная позиция регулятора:

• согласие «на все случаи» с размытыми целями;
• согласие внутри договора, анкеты или оферты — после 156-ФЗ прямое нарушение требования об отдельном документе;
• смешение согласия на обработку данных с ИДС;
• маркетинговые цели без отдельного согласия;
• не описан процесс отзыва: кто принимает заявление и что происходит с данными;
• электронное согласие через галочку на сайте без механизма идентификации пациента.

Согласие на обработку ПДн и ИДС: в чём разница

Информированное добровольное согласие по ст. 20 323-ФЗ — согласие на медицинское вмешательство: суть, риски, альтернативы и последствия отказа. Согласие на обработку персональных данных регулирует использование информации о пациенте. Разные основания, разные документы и разный срок действия.

Критерий	Согласие на обработку ПДн	ИДС
Назначение	Использование данных пациента	Медицинское вмешательство
Норма	Ст. 9 и 10 152-ФЗ	Ст. 20 323-ФЗ
Кто оформляет	Оператор (клиника)	Медицинский работник с пациентом
Содержание	Цели, данные, действия, срок, отзыв	Суть вмешательства, риски, альтернативы
Можно ли объединять	Нет: с 01.09.2025 оформляется отдельно	Отдельный документ по 323-ФЗ

С появлением ИИ-инструментов граница становится заметнее. В профильных юридических публикациях 2026 года (lawinfo.ru) отмечают, что универсального ИДС недостаточно для прозрачности, когда данные пациента обрабатывает ИИ-система.

Передача данных в ЕГИСЗ: нужно ли согласие пациента

Это самая спорная часть темы, поэтому начнём с того, что прямо написано в нормах.

• Медицинские организации — поставщики информации в ЕГИСЗ (ст. 91.1 323-ФЗ), а срок регистрации документов в РЭМД задан Положением о ЕГИСЗ.
• В РЭМД регистрируются сведения о медицинской документации, «по составу которых невозможно определить состояние здоровья гражданина», и сведения о клинике, где документ создан и хранится (п. 15 Положения о ЕГИСЗ). Сам документ остаётся в клинике.
• Доступ других медицинских работников к электронной документации пациента через РЭМД предоставляется с согласия пациента, а сам пациент получает доступ к своим документам, в том числе через Госуслуги (п. 16 Положения).
• Статья 13 323-ФЗ допускает обмен сведениями между медицинскими организациями, в том числе через медицинские информационные системы, в целях оказания медицинской помощи — с учётом требований законодательства о персональных данных.

При этом юристы по-разному отвечают на вопрос, нужно ли частной клинике отдельное согласие на передачу СЭМД в РЭМД. Часть считает, что нужно, и сама отмечает конфликт этого вывода с лицензионными требованиями (medik-pravo). Минздрав, по данным отраслевого издания, считает непередачу СЭМД частными клиниками нарушением права граждан на доступ к своим документам на Госуслугах (n3health). Формулировки для своих документов клинике стоит согласовать с юристом.

Поэтому запрос «согласие пациента на передачу данных в ЕГИСЗ образец» не имеет корректного универсального ответа: бланк, закрывающий спорный вопрос одной формулировкой, создаёт ложное ощущение защищённости. Как клиника подключается к ЕГИСЗ, описано в статье Подключение клиники к ЕГИСЗ: ФРМО, ФРМР, РЭМД и ИЭМК пошагово, а обязанности и санкции — в статье ЕГИСЗ для частной клиники: обязанности, сроки, штрафы и проверка.

Аудиозапись приёма: что говорит закон о персональных данных

Голос — персональные данные. Запись приёма содержит ещё и сведения о здоровье, то есть врачебную тайну, поэтому автоматически попадает в режим специальных категорий.

Вопрос о биометрических персональных данных (ст. 11 152-ФЗ) решается через цель. Классическая позиция: голос становится биометрией, когда его используют для установления личности, а запись разговора для фиксации содержания без голосовой аутентификации биометрией не считается. Однозначной судебной позиции именно по записи голоса на приёме нет, поэтому формулировки локальных документов стоит согласовать с юристом.

Может ли врач вести аудиозапись приёма

Ответ зависит от того, кто и зачем записывает.

Клиника. Запись для контроля качества, документирования или расшифровки — обработка данных о здоровье оператором. Показательный пример — приказ Депздрава Москвы № 1241 от 20.12.2023 об аудиоконтроле амбулаторного приёма. Юристы Кормед рекомендуют получать письменное согласие пациента, если аудиозапись не укладывается во внутренний или ведомственный контроль качества, со ссылкой на ст. 13 323-ФЗ и ст. 10 152-ФЗ.

Врач для себя. Запись для личных заметок формально остаётся обработкой данных о здоровье, но уже вне процессов клиники. Такой сценарий лучше прямо урегулировать внутренним документом, иначе записи оказываются на личных телефонах без контроля доступа.

Пациент. По позиции, изложенной в Российской газете, пациент вправе записывать приём без согласия врача. Врачи возражают, что голос — их персональные данные, и единой позиции в источниках нет. Практичное решение — внутренний регламент: как персонал реагирует на запись и что клиника не вправе запрещать.

Что прописать в регламенте записи приёма

Основа регламента:

• конкретная цель записи и запрет использовать её для других целей;
• отдельное согласие пациента на запись, не смешанное с ИДС и договором;
• уведомление в кабинете, на сайте и при записи на приём;
• право отказаться от записи без ущерба для лечения.

Хранение и подрядчики:

• срок и место хранения аудио и расшифровок, порядок удаления;
• круг лиц с доступом и журналирование доступа;
• договор поручения обработки с внешним сервисом (ч. 3 ст. 6 152-ФЗ), требования о локализации баз данных и трансграничной передаче;
• порядок отзыва согласия и судьба уже сделанных записей.

ИИ-ассистент, который слушает приём

В решении для клиник на платформе VibeLab ИИ-сотрудник «Ассистент врача» слушает приём через диктофон, расшифровывает разговор и заполняет поля открытой формы приёма в МИС клиники на 1С. Врач проверяет, правит, подтверждает и подписывает документ УКЭП, а в ЕГИСЗ его отправляет МИС. Подробнее о механике — в статье Черновик от ИИ, подпись от врача.

С точки зрения персональных данных это сценарий записи приёма клиникой, и регламент из предыдущего раздела нужен до запуска. При подключении любого такого инструмента клиника фиксирует, где и сколько хранятся аудио и расшифровка, кто имеет к ним доступ, как оформлено поручение обработки и что происходит при отказе пациента от записи. Отказ не должен влиять на приём: врач заполняет протокол вручную, как раньше.

Чек-лист для клиники на 2026 год

Вопросы для самопроверки, а не гарантия соответствия:

• Перечислены ли все цели обработки данных и указано ли основание для каждой?
• Оформлено ли согласие отдельным документом, вне договора, анкеты и оферты?
• Разведены ли согласие на обработку ПДн и ИДС?
• Описан ли процесс отзыва согласия: канал, ответственный, действия с данными?
• Есть ли регламент аудиозаписи приёма, включая сценарии с ИИ-расшифровкой?
• Заключены ли договоры поручения обработки с подрядчиками и учтены ли требования локализации?
• Актуальны ли политика обработки ПДн и уведомление Роскомнадзора об обработке?

Частые вопросы

Нужно ли согласие в регистратуре, если пациент пришёл на лечение?

Для обработки данных в целях оказания медицинской помощи действует исключение п. 4 ч. 2 ст. 10 152-ФЗ. Согласие понадобится для целей за пределами лечения: рассылок, отзывов, передачи партнёрам.

Нужно ли новое согласие при каждом визите?

Нет, если цели, состав данных и срок не изменились. При появлении новой цели, например записи приёма, нужно отдельное согласие.

Что делать, если пациент отозвал согласие?

Прекратить обработку для целей, на которые давалось согласие. Обработка по другим основаниям, включая медицинские цели и обязанности по закону, может продолжаться. Порядок стоит заранее прописать с юристом.

Можно ли собирать согласие электронно?

Да, если электронный документ подписан электронной подписью и клиника может подтвердить, кто подписал. Галочка на сайте без идентификации пациента такую проверку обычно не проходит.

Где взять образец согласия пациента на 2026 год?

Шаблон из интернета описывает чужие цели и процессы. Надёжнее собрать документ по структуре из таблицы выше и проверить его с юристом клиники.

Что в итоге

Необходимость согласия пациента зависит от цели обработки. Для диагностики и лечения закон даёт узкое исключение: всё, что выходит за рамки медицинской помощи, требует отдельного согласия, а с сентября 2025 года — отдельного документа. ИДС решает другую задачу и не заменяет согласие на обработку данных. Передача сведений в ЕГИСЗ и аудиозапись приёма — зоны, где позиции юристов и регулятора расходятся, и решения здесь стоит принимать осознанно, а не копировать бланк.

Материал не является юридической консультацией: сверяйте документы с актуальными редакциями 152-ФЗ, 323-ФЗ и КоАП, включая суммы штрафов по ст. 13.11. Если клиника планирует ИИ-расшифровку приёма, начните с регламента согласия, а результат инструмента оцените на пилоте. Как устроено решение для клиник на платформе VibeLab, можно посмотреть на странице продукта.