152-ФЗ для психолога: какие документы нужны и что делать с записями о клиентах

Психолог тоже оператор, даже без сайта

Оператором закон называет того, кто сам организует обработку данных и решает, зачем она нужна (п. 2 ст. 3 152-ФЗ). Психолог на самозанятости решает это сам, поэтому за данные клиентов отвечает лично. Где идет запись, неважно. Блокнот, таблица, Telegram и онлайн-запись на сайте одинаково считаются обработкой персональных данных.

Обычно психолог собирает имя и телефон для записи, переписку в мессенджере, анкету перед первой встречей, заметки по сессиям и данные об оплате. Кто-то еще записывает консультации на аудио или видео.

Если вы работаете без сайта и хотите понять, что из требований относится к вам, пройдите самопроверку из пяти вопросов. Она бесплатная и занимает минуту. Если уже ясно, что вы оператор, документы можно оформить сразу, от 590 руб.

Заметки о состоянии клиента считаются данными о здоровье

Статья 10 152-ФЗ относит сведения о состоянии здоровья к специальным категориям данных. Обрабатывать их можно только в случаях из ч. 2 этой статьи. Для медицины там есть отдельное основание, но оно касается тех, кто профессионально занимается медицинской деятельностью и обязан хранить врачебную тайну (п. 4 ч. 2 ст. 10). Психолог-консультант без медицинской лицензии под него не подходит. Остается согласие клиента в письменной форме (п. 1 ч. 2 ст. 10).

Закон не делит заметки психолога на медицинские и бытовые. Он говорит о сведениях о состоянии здоровья. Тревога, депрессия, нарушения сна, зависимость, диагноз, который клиент назвал сам, лекарства, которые он принимает, относятся именно к ним. Такие сведения появляются в заметках почти у каждого клиента, поэтому письменное согласие я советую брать у всех.

На юридических форумах этот вопрос задают так: относятся ли записи психолога без лицензии к специальным категориям и нужно ли при этом уведомлять Роскомнадзор. На первую часть ответ «да», если в записях есть сведения о состоянии клиента. На вторую тоже «да», об уведомлении ниже.

Что должно быть в письменном согласии

Требования к письменному согласию перечислены в ч. 4 ст. 9 152-ФЗ. В бланке должно быть следующее.

• ФИО и адрес клиента, номер паспорта, дата его выдачи и кем выдан.
• Ваши ФИО и адрес.
• Цель обработки и перечень данных, включая сведения о состоянии здоровья.
• Что вы делаете с данными и как: записываете, храните, уничтожаете.
• Срок действия согласия и порядок его отзыва.
• Подпись клиента.

Подписать можно бумажный бланк. Равнозначен ему электронный документ, подписанный электронной подписью. Обычная галочка в форме на сайте письменным согласием не считается.

Паспортные данные смущают и клиентов, и психологов. Без них согласие не отвечает требованиям закона. Объясните клиенту, зачем это: бланк фиксирует, на что именно он согласился, и защищает его так же, как вас.

Онлайн-консультации и где хранить заметки

Если консультация идет через зарубежный сервис видеосвязи, данные клиента попадают на его серверы за границей. Это трансграничная передача (ст. 12 152-ФЗ). До ее начала подают отдельное уведомление в Роскомнадзор. В страну, которой нет в перечне стран с адекватной защитой, передавать данные можно только после того, как истекут 10 рабочих дней на рассмотрение уведомления. США в перечне нет. Проще всего проводить консультации через российские сервисы, например Яндекс Телемост или VK Звонки.

С заметками похожая история. При сборе данные граждан России нельзя записывать и хранить в базах за рубежом (ч. 5 ст. 18 152-ФЗ). Заметки о клиентах в Google Документах или Notion под это правило не подходят. Храните их на своем устройстве с паролем или в российском облаке.

Переписку в мессенджере тоже стоит держать в рамках. Чем меньше в чате сведений о состоянии клиента, тем меньше риск, если телефон потеряется. Подробности лучше обсуждать на сессии.

Супервизия и разбор случаев

Когда вы показываете случай супервизору или группе коллег, вы передаете сведения о клиенте третьим лицам. Если по рассказу нельзя понять, о ком речь, это уже не персональные данные. Уберите имя, город, место работы и редкие детали биографии. Если без них не обойтись, на такую передачу нужно отдельное согласие клиента.

Клиенты-подростки

За ребенка до 14 лет согласие дает родитель или другой законный представитель. С 14 до 18 лет безопаснее получить согласие и от подростка, и от родителя. На сведения о здоровье согласие в обоих случаях нужно письменное. В бланке тогда указывают данные представителя и документ, который подтверждает его полномочия, например свидетельство о рождении (п. 2 ч. 4 ст. 9).

Какие документы нужны психологу

1. Политика конфиденциальности. В ней ваши ФИО и ИНН, какие данные вы собираете, включая сведения о здоровье, зачем и где их храните. Если у вас есть сайт или страница записи, политика должна открываться по ссылке рядом с формой.
2. Письменное согласие на обработку сведений о здоровье. Бланк с реквизитами из ч. 4 ст. 9, который клиент подписывает до первой сессии.
3. Уведомление в Роскомнадзор. Его подают до начала обработки (ч. 1 ст. 22). Для каждой цели в нем указывают категории данных, в том числе сведения о здоровье (ч. 3.1 ст. 22). Исключение для малого бизнеса одно: записи ведутся только на бумаге, без телефона, почты и таблиц.

На форумах встречается утверждение, что уведомление отменили в 2023 году. Это неверно. Части 1 и 2 ст. 22 действуют, и исключений из обязанности всего три.

В Privadoc эти три документа входят в Базовый пакет для самозанятых. Если в анкете отметить «Данные о состоянии здоровья», согласие выйдет в письменной форме, с полями для паспортных данных клиента. Если у вас есть сайт или страница записи на конструкторе, проверьте ее снаружи: сканер Privadoc бесплатно найдет политику, проверит форму и счетчики и покажет первые находки.

Сколько стоят ошибки

Суммы по ст. 13.11 КоАП, которые действуют с 30 мая 2025 года:

Если за одну проверку Роскомнадзор найдет несколько нарушений, штраф назначат один, по самой строгой части. Подробнее в статье про штрафы по 152-ФЗ.

Что сделать за вечер

1. Выпишите, где лежат данные клиентов: телефон, мессенджер, таблица, заметки, облако.
2. Перенесите заметки из зарубежных сервисов на свое устройство или в российское облако.
3. Подготовьте бланк письменного согласия и давайте его на подпись до первой сессии.
4. Опубликуйте политику на сайте или подготовьте ее как документ, который отправляете клиенту перед записью.
5. Подайте уведомление в Роскомнадзор на pd.rkn.gov.ru. Порядок разобран в статье «Как подать уведомление в Роскомнадзор».

Часто задаваемые вопросы