152-ФЗ для стоматологии: согласие пациента, фото до и после и документы
Стоматологии чаще всего ищут образец согласия пациента на обработку персональных данных. Для лечения такое согласие не нужно. Клиника с медицинской лицензией обрабатывает сведения о здоровье без согласия, потому что ее сотрудники обязаны хранить врачебную тайну (п. 4 ч. 2 ст. 10 152-ФЗ). Согласие нужно на то, что выходит за рамки лечения. Это фото до и после в соцсетях и рекламные рассылки. На публикацию фото согласие нужно письменное, потому что снимок раскрывает врачебную тайну.
Когда согласие пациента не нужно
Для сведений о здоровье в 152-ФЗ есть отдельное основание. Их можно обрабатывать без согласия для диагноза и лечения, если этим занимается тот, кто профессионально ведет медицинскую деятельность и обязан хранить врачебную тайну (п. 4 ч. 2 ст. 10). Стоматология с лицензией под это подходит. Врачебную тайну хранит не только врач. Эта обязанность лежит на администраторе и на любом сотруднике, который узнал сведения о пациенте по работе (ч. 2 ст. 13 323-ФЗ).
ФИО, телефон и паспортные данные для договора на платные услуги клиника обрабатывает, чтобы заключить и исполнить договор с пациентом (п. 5 ч. 1 ст. 6 152-ФЗ). Отдельное согласие на это тоже не требуется.
Информированное добровольное согласие на медицинское вмешательство (ИДС) к 152-ФЗ не относится. Его требует закон об охране здоровья перед любым вмешательством (ч. 1 ст. 20 323-ФЗ). Многие клиники вместе с ИДС дают подписать и согласие на обработку персональных данных. Нарушения в этом нет, но для публикации фото закон требует отдельного согласия. Согласие на рассылки тоже удобнее брать отдельно, чтобы пациент мог отказаться только от рекламы.
| Что делает клиника | Нужно ли согласие |
|---|---|
| Лечит, ведет медицинскую карту, делает снимки | Нет, п. 4 ч. 2 ст. 10 152-ФЗ |
| Заключает договор на платные услуги | Нет, п. 5 ч. 1 ст. 6 152-ФЗ |
| Принимает запись через сайт | Нет, у формы нужна ссылка на политику |
| Публикует фото до и после или видео приема | Да, письменное |
| Публикует отзыв с именем или фото пациента | Да, письменное |
| Передает снимки с именем пациента врачу другой клиники | Да, письменное, его можно включить в ИДС |
| Присылает акции и скидки | Да, отдельное согласие на рекламу |
Фото до и после
Снимки до и после показывают, что человек лечился в клинике и что у него было с зубами. По 323-ФЗ эти сведения составляют врачебную тайну (ч. 1 ст. 13). Раскрыть их клиника может только с письменного согласия пациента (ч. 3 ст. 13).
Для 152-ФЗ публикация на сайте или в соцсетях считается распространением. Согласие на распространение оформляют отдельно от других согласий, и пациент вправе указать, что публиковать нельзя (ч. 1 и 9 ст. 10.1). Изображение человека по ст. 152.1 ГК тоже обнародуют только с его согласия. Исключение для позирования за плату здесь не работает, ведь платит пациент, а не клиника.
Если на снимке только зубы крупным планом, без лица, имени и отметки страницы пациента, узнать человека по нему трудно. Улыбка вместе с губами и частью лица, видео с приема или отметка в соцсети уже указывают на конкретного человека. Поэтому согласие стоит брать на любую съемку, которую вы собираетесь публиковать.
Снимки для медицинской карты и плана лечения делают в рамках лечения, согласие на них по 152-ФЗ не нужно. Согласие понадобится, когда эти же снимки захотят выложить в соцсети.
Все требования к публикации удобно закрыть одним бланком, отдельным от договора и ИДС.
Согласие на публикацию фото и видео пациента
Я, ____________________ (ФИО пациента), телефон или электронная почта ____________________, разрешаю ____________________ (наименование клиники, адрес, ИНН, ОГРН) публиковать мои фотографии и видеозаписи, сделанные до, во время и после лечения, и сведения о проведенном лечении.
Даю письменное согласие на разглашение этих сведений, составляющих врачебную тайну (ч. 3 ст. 13 Федерального закона № 323-ФЗ), и согласие на их распространение (ст. 10.1 Федерального закона № 152-ФЗ).
Цель: рассказ о работе клиники на сайте и в соцсетях.
Страницы, где будут опубликованы материалы: ____________________ (адреса сайта и страниц клиники).
Разрешаю публиковать: ☐ снимки зубов без лица ☐ снимки с лицом ☐ видео ☐ имя ☐ описание лечения.
Запреты и условия (по желанию): ____________________ (например, не указывать имя).
Передача полученных данных (по желанию): ☐ только по внутренней сети клиники ☐ с использованием сети «Интернет» ☐ без передачи.
Срок действия согласия: ____________________. Согласие можно отозвать в любой момент, направив требование с ФИО, контактами и перечнем данных. Действие согласия прекращается с момента получения требования (ч. 12 и 13 ст. 10.1 Федерального закона № 152-ФЗ).
Дата ____________ Подпись ____________ / ____________________
За пациента младше 14 лет согласие подписывает родитель. С 14 до 18 лет безопаснее взять подписи и подростка, и родителя. Подробности в статье про согласие на фото и видеосъемку ребенка.
Снимки, карты и зуботехническая лаборатория
При сборе данные граждан России записывают и хранят в базах на территории России (ч. 5 ст. 18 152-ФЗ). Это касается медицинской программы, облачного хранилища снимков и резервных копий. Узнайте у поставщика программы, где стоят его серверы.
Зубному технику не нужно знать, кто пациент. Пишите в наряде номер карты вместо фамилии, и сведения о пациенте не выйдут за пределы клиники. Если лаборатории нужно имя, это уже раскрытие врачебной тайны, на него нужно письменное согласие пациента. Такое согласие можно включить в ИДС (ч. 3 ст. 13 323-ФЗ).
Снимок можно отдать или отправить самому пациенту, это его сведения. Врачу другой клиники для консультации снимок с именем передают только с письменного согласия пациента.
Запись на прием и рассылки
Для записи через сайт согласие не нужно. Человек сам просит записать его на прием, а данные нужны, чтобы заключить с ним договор (п. 5 ч. 1 ст. 6 152-ФЗ). Под кнопкой формы хватит строки со ссылкой на политику конфиденциальности. Если в форме есть поле «Что беспокоит», в него попадут сведения о здоровье. Клиника обрабатывает их для лечения, но в политике их нужно перечислить.
Напоминание о приеме касается только этого пациента и ничего не продвигает, поэтому рекламой не считается. Сообщения об акциях и скидках на чистку или имплантацию считаются рекламой. На них нужно предварительное согласие пациента (ч. 1 ст. 18 закона «О рекламе»). Как его оформить, разобрано в статье про согласие на рекламную рассылку.
Сайт клиники можно бесплатно проверить сканером Privadoc. Он найдет политику, проверит формы записи и покажет, запускаются ли счетчики до согласия на cookie.
Какие документы нужны стоматологии
- Политика конфиденциальности. В ней перечислены сведения о здоровье, цели обработки и сотрудники, у которых есть к ним доступ. На сайте политика должна открываться по ссылке у каждой формы записи.
- Уведомление в Роскомнадзор. Его подают до начала обработки (ч. 1 ст. 22). Для каждой цели в нем указывают категории данных, в том числе сведения о здоровье (ч. 3.1 ст. 22).
- Приказ о назначении ответственного. Клиника-организация назначает ответственного за обработку данных всегда (ч. 1 ст. 22.1).
- Согласие на публикацию фото и видео. Отдельный бланк для пациентов, чьи снимки попадут на сайт или в соцсети.
- Согласие на рекламную рассылку. Отдельная пустая галочка или бланк, если клиника присылает акции.
Из-за сведений о здоровье медицинской программе нужен более высокий уровень защищенности, чем обычной базе клиентов. При угрозах 3-го типа и базе до 100 тысяч пациентов это УЗ-3, при большей базе УЗ-2 (ПП № 1119). Подробнее в статье про акт уровня защищенности.
В Privadoc политика, согласие для форм сайта и уведомление в РКН входят в Базовый пакет, для организаций он стоит 790 руб., для ИП 590 руб. Положение о защите данных и приказ об ответственном есть в Расширенном пакете, согласие на распространение и акт уровня защищенности в пакете Про. Сравнить пакеты можно на странице тарифов для организаций.
Сколько стоят ошибки
Суммы по ст. 13.11 КоАП, которые действуют с 30 мая 2025 года:
| Нарушение | ИП | Организация |
|---|---|---|
| Фото или отзыв пациента без письменного согласия (ч. 2) | 100 000-300 000 ₽ | 300 000-700 000 ₽ |
| Не подано уведомление в Роскомнадзор (ч. 10) | 100 000-300 000 ₽ | 100 000-300 000 ₽ |
| Данные записаны в базу за рубежом (ч. 8) | 1-6 млн ₽ | 1-6 млн ₽ |
| Политика не опубликована (ч. 3) | 10 000-20 000 ₽ | 30 000-60 000 ₽ |
Если за одну проверку Роскомнадзор найдет несколько нарушений, штраф назначат один, по самой строгой части. За разглашение врачебной тайны в КоАП есть и своя статья 13.14, штраф для клиники по ней от 100 до 200 тысяч рублей. Подробнее в статье про штрафы по 152-ФЗ.
Что сделать за неделю
- Найдите в соцсетях клиники фото и видео пациентов и проверьте, есть ли на них письменные согласия. Публикации без согласия лучше убрать.
- Подготовьте бланк согласия на публикацию и давайте его пациенту до съемки.
- Замените фамилии в нарядах для лаборатории номерами карт.
- Узнайте у поставщиков медицинской программы и облака, где хранятся данные.
- Проверьте форму записи на сайте и подайте уведомление в Роскомнадзор, если его еще нет. Порядок разобран в статье «Как подать уведомление в Роскомнадзор».
Документы для стоматологии
Политика конфиденциальности, согласие и уведомление в РКН с вашими реквизитами. Согласие на публикацию фото пациентов есть в пакете Про. Для организаций от 790 руб., для ИП от 590 руб.
Выбрать пакет документовЧасто задаваемые вопросы
Для лечения нет. Клиника с медицинской лицензией обрабатывает сведения о здоровье без согласия, потому что ее сотрудники обязаны хранить врачебную тайну (п. 4 ч. 2 ст. 10 152-ФЗ). Согласие нужно на публикацию фото и отзывов пациентов и на рекламные рассылки.
Нет, если по снимку можно узнать человека. Фото раскрывает врачебную тайну, а разглашать ее можно только с письменного согласия пациента (ч. 3 ст. 13 323-ФЗ). Публикация к тому же считается распространением персональных данных, на нее нужно отдельное согласие (ст. 10.1 152-ФЗ).
Информированное добровольное согласие пациент дает на медицинское вмешательство по ст. 20 323-ФЗ, без него лечить нельзя. Согласие на обработку персональных данных относится к 152-ФЗ, и для лечения оно не требуется. В ИДС можно включить разрешение передавать сведения о пациенте, например в лабораторию (ч. 3 ст. 13 323-ФЗ).
Лучше передавать заказ с номером карты вместо фамилии, тогда лаборатория не узнает, кто пациент. Если без имени не обойтись, нужно письменное согласие пациента на разглашение врачебной тайны. Его можно включить в ИДС.
Да, до начала обработки данных (ч. 1 ст. 22 152-ФЗ). В уведомлении указывают и сведения о здоровье пациентов. Исключение есть только для данных, которые ведут исключительно на бумаге, а запись, карты и снимки в клиниках ведут в программах.