Оформление согласия на обработку персональных данных (ПДн) — это обязательная процедура для любой медицинской организации (МО), будь то государственная поликлиника, частная клиника или стоматология. Поскольку медицинские данные относятся к специальной категории персональных данных (сведения о здоровье), к их обработке применяются особые, усиленные требования законодательства.

В статье подробно разбираем актуальные на 29 сентября 2026 года требования к форме согласия, изменениям, вступившим в силу с 1 сентября 2025 года, структуре документа и распространенным ошибкам.

Правовая основа: какие законы регулируют процесс

Деятельность медицинских организаций по обработке ПДн регулируется двумя ключевыми федеральными законами:

• 152-ФЗ «О персональных данных» — основной закон, устанавливающий общие принципы, права субъектов и обязанности операторов.
• 323-ФЗ «Об основах охраны здоровья граждан в РФ» (ст. 13, 41) — устанавливает режим врачебной тайны и специфику обработки медицинской информации.

Важно: Врачебная тайна охраняется строже, чем обычные персональные данные. Раскрытие сведений о здоровье пациента без его согласия допускается только в исключительных случаях, прямо перечисленных в ст. 13 ФЗ-323 (угроза жизни пациента, защита прав других лиц, исполнение судебных решений и др.).

Ключевые изменения с 1 сентября 2025 года

Согласно поправкам к 152-ФЗ и рекомендациям Роскомнадзора, актуальным на 2026 год, введены новые требования к форме и содержанию согласия:

1. Единые отраслевые стандарты (Отраслевые стандарты согласия): Роскомнадзор утвердил рекомендуемые формы согласия для разных сфер, включая здравоохранение. Использование этих стандартов дает оператору презумпцию соблюдения требований закона (ч. 5.1 ст. 9 152-ФЗ).
2. Обязательные реквизиты: Согласие должно содержать конкретный перечень данных, цель обработки, перечень действий с данными, срок действия или условие прекращения, а также сведения об операторе.
3. Форма документа: Согласие должно быть получено в документарной форме (бумажном) или в форме электронного документа, подписанного усиленной квалифицированной электронной подписью (УКЭП) пациента или через ЕСИА (Госуслуги). Простая галочка на сайте («Я согласен») для медицинских данных недостаточна.
4. Отдельное хранение: Оригинал согласия (или его нотариально заверенная копия/электронный аналог с УКЭП) должен храниться отдельно от медицинской карты, в защищенном доступе месте.

Структура и обязательные реквизиты образца согласия

Ниже приведена структура рекомендуемого образца согласия, соответствующего требованиям ст. 9 152-ФЗ и отраслевым стандартам Минздрава/Роскомнадзора.

Блок 1: Реквизиты оператора (Медицинской организации)

• Полное наименование (ООО «Клиника «Здоровье», ГБУЗ «Городская поликлиника №1» и т.д.).
• ИНН / ОГРН / ОГРНИП.
• Юридический и фактический адрес.
• Контактные данные уполномоченного по защите ПДн (ФИО, телефон, email).

Блок 2: Реквизиты субъекта персональных данных (Пациента)

• ФИО полностью.
• Дата и место рождения.
• Документ, удостоверяющий личность (паспорт РФ: серия, номер, кем выдан, когда, код подразделения).
• СНИЛС (обязательно для идентификации в ЕМИАС/ЕРМИС).
• Контактные данные (телефон, email) для уведомлений.

Блок 3: Перечень обрабатываемых персональных данных (Конкретизация)

Нельзя писать «любые персональные данные». Необходимо перечислить категории:

• Общие данные: ФИО, паспорт, СНИЛС, адрес, контакты.
• Специальные категории (ст. 10 152-ФЗ): Сведения о состоянии здоровья (диагнозы, результаты анализов, назначения, история болезни), биометрические данные (фото для идентификации, отпечатки пальцев — если применяются), раса/национальность (если собирается для эпидемиологических целей).
• Данные о платежеспособности (реквизиты карт, полис ОМС/ДМС) — если оплата услуг.

Блок 4: Цели обработки (Должны быть конкретными)

1. Оказание медицинской помощи (в т.ч. экстренной).
2. Ведение медицинской документации (история болезни, амбулярная карта).
3. Взаиморасчеты с Territorial Fund ОМС / страховыми компаниями (ДМС).
4. Информирование пациента о записи, результатах, акциях (требует отдельного флага согласия на рассылки).
5. Качество и безопасность мед. помощи (внутренние аудиты, экспертизы).
6. Взаимодействие с госорганами (Роспотребнадзор, Минздрав, суды, в установленном законом порядке).

Блок 5: Перечень действий с персональными данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление), извлечение, использование, передача (третьим лицам, лабораториям, страховщикам, госорганам), обезличивание, блокирование, удаление, уничтожение.

Блок 6: Передача третьим лицам (Критически важный пункт)

В согласии обязательно должен быть перечень категорий получателей:

• Страховые медицинские организации (СМО) — для ОМС/ДМС.
• Внешние лаборатории и диагностические центры.
• Информационные системы здравоохранения (ЕМИАС, ЕРМИС, региональные системы).
• Аптечные организации (для рецептурного заказа).
• Нотариусы/суды/следственные органы, только по основаниям закона.

Передача данных за рубеж требует отдельного выделенного согласия и проверки адекватности защиты в стране-получателе.

Блок 7: Срок действия и порядок отзыва

• Срок: Обычно указывается «до достижения цели обработки» или «до отзыва», либо конкретная дата (например, 75 лет — срок хранения мед. документации по закону).
• Отзыв: Текст должен содержать: «Согласие может быть отозвано субъектом ПДн или его представителем путем направления письменного уведомления оператору. Отзыв согласия не влечет незаконность обработки, совершенной до получения уведомления об отзыве. В случае отзыва оператор обязан прекратить обработку и уничтожить данные в течение 30 дней (если иное не установлено законом, напр., сроки хранения мед. карт)».

Блок 8: Подпись и дата

• Подпись пациента (или законного представителя — родителя, опекуна, доверенного лица с нотариальной доверенностью).
• Расшифровка подписи.
• Дата подписания.
• При электронном виде — УКЭП или вход через ЕСИА с подтверждением действия.

Образец текста согласия (Шаблон для адаптации)

Особенности для разных категорий пациентов

Несовершеннолетние (до 14 лет)

Согласие подписывает законный представитель (родитель, усыновитель, опекун); К соглашению прикладывается копия свидетельства о рождении ребенка и паспорта представителя, а также документ, подтверждающий полномочия (решение органа опеки при усыновлении/опеке).

Несовершеннолетние 14–18 лет

Пациент подписывает лично совместно с законным представителем (ст. 54 СК РФ, ст. 13 ФЗ-323). Если несовершеннолетний состоит в браке или является полностью дееспособным (эмансипация) — подписывает самостоятельно.

Недееспособные граждане

Согласие дает опекун на основании решения органа опеки и попечительства.

Пациенты в состоянии, не позволяющем выразить волю (экстренная помощь)

Обработка ПДн без согласия допускается (ч. 2 ст. 6, ч. 3 ст. 10 152-ФЗ, ст. 13 ФЗ-323). В медицинской карте делается запись об обстоятельствах. Как только пациент приходит в себя, ему предъявляется согласие на подпись для дальнейшей обработки.

Электронное оформление согласия (ЭДО / ЕСИА / Терминал)

В 2026 году большинство клиник переходят на безбумажный документооборот. Юридически значимы следующие формы:

• ЕСИА (Госуслуги): Пациент авторизуется на терминале или своем телефоне, подтверждает согласие кнопкой «Подписать» (эквивалент УКЭП). Это наиболее предпочтительный способ для идентификации.
• УКЭП пациента: Если у пациента есть свой токен/флешка с квалифицированной подписью.
• ЭДО оператора (СМС-код / Пуш-уведомление): Допустимо только при условии, что система идентификации пациента соответствует требованиям ФСБ/Роскомнадзора (двухфакторная аутентификация, привязка к паспорту/СНИЛС). Простая галочка на сайте без сильной аутентификации для мед. данных незаконна.

Требование: В информационной системе МО должен формироваться аудит-лог (журнал регистрации событий) с фиксацией времени, IP-адреса, метода аутентификации и хэша подписанного документа.

Хранение и защита согласий

• Бумажные оригиналы: Хранятся в запертом помещении/сейфе с ограниченным доступом (ответственный — уполномоченный по защите ПДн или администратор). Срок хранения, не менее срока хранения медицинской карты (обычно 25 или 75 лет).
• Электронные копии: Хранятся в защищенном контуре МИС (Медицинской информационной системе) с разграничением доступа по ролям (RBAC). Обеспечивается целостность (ЭЦП оператора/штампа времени) и конфиденциальность (шифрование БД).
• Уничтожение: После истечения сроков хранения — акт уничтожения (комиссия, протокол, мелюжение/программное стирание по ГОСТ Р 50739-95).

Типичные ошибки и риски проверок Роскомнадзора

Чек-лист для юриста/администратора МО перед внедрением формы

1. [ ] Текст согласия разработан с учетом отраслевого стандарта (приказ Роскомнадзора/Минздрава).
2. [ ] Указаны все категории получателей данных (лабы, СМО, ИС, курьеры, юристы).
3. [ ] Предусмотрена возможность отдельного согласия на рассылки/маркетинг (не смешано с лечением).
4. [ ] Форма адаптирована для несовершеннолетних и недееспособных (блок для представителя).
5. [ ] Настроен процесс получения согласия в электронном виде (ЕСИА/УКЭП) с аудитом.
6. [ ] Утвержден локальный нормативный акт (Политика по обработке ПДн), на который ссылается согласие.
7. [ ] Обучен персонал регистратуры/колл-центра правилам выдачи, объяснения и приема отзывов.
8. [ ] Обеспечено безопасное хранение оригиналов и электронных копий.

Грамотно оформленное согласие на обработку персональных данных — это не просто формальность для избежания штрафов, а основа доверительных отношений с пациентом и правовая защита медицинской организации. В 2026 году фокус регулятора (Роскомнадзора) смещен на прозрачность целей, конкретизацию категорий данных и технологическую надежность получения воли субъекта (ЕСИА, УКЭП).

Использование типовых отраслевых стандартов, регулярный аудит форм юристами МО и автоматизация процесса сбора согласий через МИС/порттал пациента позволяют минимизировать правовые риски и сосредоточиться на основной задаче — оказании качественной медицинской помощи.

Данная статья носит информационный характер и не является юридической консультацией. Для разработки локальных актов и форм документов рекомендуется обратиться к квалифицированному юристу, специализирующемуся на законодательстве о персональных данных и здравоохранении.