Любая клиника с данными пациентов — оператор персональных данных. С 2025 года штрафы выросли до миллионов рублей, а запись звонков нужно вести строго по закону.
Оставьте заявку на бесплатный анализ звонков — покажем, как легально записывать и анализировать звонки клиники по 152-ФЗ и где вы теряете пациентов на первом контакте. Без оплаты и обязательств — берём 5 клиник в месяц.
Про «персональные данные» вспоминают, когда приходит проверка или случается утечка. А между тем любая клиника — от кабинета одного врача до сети — по закону является оператором персональных данных со всеми вытекающими обязанностями. И в 2025 году эта тема из формальности превратилась в реальный финансовый риск: штрафы выросли в разы, появились оборотные санкции за утечки, а Роскомнадзор стал строже.
Разберём по делу: почему клиника — это оператор персональных данных, что она обязана сделать, какие штрафы действуют с 2025 года и — отдельно — как во всё это вписывается запись телефонных разговоров, без которой сегодня не работает ни один контроль качества. Оговорка сразу: статья носит справочный характер, точные требования и суммы сверяйте с актуальной редакцией закона и разъяснениями Роскомнадзора.
Почему клиника — это всегда оператор персональных данных
Оператор персональных данных — это любая организация или ИП, которые обрабатывают данные людей: собирают, хранят, используют. Как только клиника записывает пациента и заносит его фамилию, телефон и причину обращения, она уже обрабатывает персональные данные — а значит, является оператором со всеми обязанностями по Федеральному закону № 152-ФЗ «О персональных данных».
Как только клиника завела карту пациента, она — оператор персональных данных, даже если это кабинет одного врача.
Более того, у клиник самый чувствительный тип данных. Сведения о состоянии здоровья, диагнозах и лечении относятся к специальной категории персональных данных — закон защищает их строже всего и требует отдельного согласия пациента на их обработку. То есть медицинская клиника обрабатывает не просто ФИО и телефон, а именно ту категорию данных, к которой у закона максимальные требования.
Отсюда вывод, который многие руководители недооценивают: «мы слишком маленькие, нас это не касается» — не работает. Обязанности оператора одинаковы и для сети, и для одного кабинета. Разница только в масштабе последствий при нарушении.
Что обязана сделать клиника-оператор
Базовый набор обязанностей оператора персональных данных выглядит так:
- Уведомить Роскомнадзор о намерении обрабатывать персональные данные — до начала обработки. Прежние исключения, позволявшие не подавать уведомление, в основном отменены, поэтому сегодня это касается практически всех клиник. Уведомление подаётся бесплатно через сайт Роскомнадзора.
- Получить согласие пациента на обработку персональных данных, а на данные о здоровье (специальная категория) — письменное согласие. С 1 сентября 2025 года согласие оформляется отдельным документом — его нельзя «зашивать» в договор или другие бумаги.
- Назначить ответственного за организацию обработки персональных данных.
- Принять и опубликовать политику обработки персональных данных (обычно её размещают на сайте клиники).
- Обеспечить защиту данных — организационные и технические меры, чтобы данные не утекли и не попали к посторонним.
- Хранить базы с данными граждан РФ на серверах в России (локализация); с 1 июля 2025 года первичная запись данных должна происходить именно в базе на территории РФ.
Ничего экзотического здесь нет — это стандартный набор, который клиника проходит один раз и потом поддерживает. Проблема обычно не в сложности, а в том, что до дела руки не доходят, пока не появится риск штрафа. А риск в 2025 году вырос кратно.
Штрафы в 2025–2026: почему это перестало быть формальностью
Раньше штрафы за нарушения в сфере персональных данных были символическими, и многие относились к теме как к бумажной формальности. Всё изменил Федеральный закон № 420-ФЗ от 30 ноября 2024 года: поправки к статье 13.11 КоАП РФ вступили в силу 30 мая 2025 года и подняли суммы в разы.
Согласие пациента на обработку данных, особенно данных о здоровье, — не формальность, а прямая обязанность оператора.
Ключевые цифры для юридических лиц (на 2026 год):
- Обработка данных без письменного согласия, когда оно обязательно, — штраф 300 000–700 000 ₽ (ч. 2 ст. 13.11 КоАП).
- Неуведомление Роскомнадзора о начале обработки — 100 000–300 000 ₽ (ч. 10 ст. 13.11).
- Утечка персональных данных — отдельные крупные штрафы в зависимости от масштаба: 3–5 млн ₽ при утечке данных от 1 до 10 тысяч человек, 5–10 млн ₽ — до 100 тысяч и 10–15 млн ₽ — свыше 100 тысяч человек (ч. 12–14 ст. 13.11).
- Повторная утечка — оборотный штраф: от 1% до 3% совокупной годовой выручки компании, но не менее 20 млн ₽ (ч. 15 ст. 13.11).
- Неуведомление Роскомнадзора об утечке — отдельный штраф от 1 до 3 млн ₽.
И это перестало быть теорией: в 2026 году арбитражные суды начали рассматривать первые дела о крупных утечках по новым нормам. Для медицинских данных, которые относятся к специальной категории, риск особенно высок. Точные суммы зависят от состава нарушения — конкретику стоит сверять по действующей редакции КоАП РФ, но общий вектор ясен: цена небрежности теперь измеряется миллионами.
Запись звонков и персональные данные: как клинике не нарушить закон
Теперь то, что напрямую касается управления клиникой. Сегодня невозможно контролировать качество работы регистратуры, не записывая звонки: без записи вы не узнаете, как администраторы отвечают пациентам, где теряют записи и почему уходят обращения. Но запись телефонного разговора — это тоже обработка персональных данных, причём двойная: и голос, и содержание разговора (жалобы, диагнозы) относятся к охраняемым данным.
Запись звонка — это обработка персональных данных: и голос, и содержание разговора защищены законом.
Здесь важно не путать два разных случая. Закон охраняет тайну переговоров и наказывает за перехват чужих разговоров, к которым человек не имеет отношения (статья 138 УК РФ). Но к записи собственных входящих звонков это не относится: записывать и анализировать свои звонки клиника вправе — это законно, если соблюсти несколько правил:
- Предупредить о записи. В начале разговора звучит голосовое уведомление вроде «разговор записывается в целях контроля качества». Так пациент проинформирован, а его продолжение разговора трактуется как согласие.
- Использовать записи только для заявленной цели — контроля качества и обучения, а не для чего-то постороннего.
- Закрепить работу с записями внутри клиники — в политике обработки ПДн и в трудовых договорах с сотрудниками, чьи разговоры анализируются.
- Обеспечить защиту записей так же, как других персональных данных: ограниченный доступ, хранение в России.
Именно так и устроена речевая аналитика для клиник. Она переводит все звонки в текст и показывает руководителю, где теряются пациенты — но делает это в рамках закона: с уведомлением о записи, для цели контроля качества и с защитой данных. То есть правильно выстроенный контроль звонков не создаёт юридический риск, а наоборот, помогает навести порядок и в качестве обслуживания, и в работе с персональными данными.
Частые вопросы
Является ли клиника оператором персональных данных? Да. Любая клиника, которая обрабатывает данные пациентов (ФИО, телефон, сведения о здоровье), по закону является оператором персональных данных и обязана выполнять требования 152-ФЗ — независимо от размера, будь то сеть или кабинет одного врача.
Нужно ли клинике уведомлять Роскомнадзор? Да, в подавляющем большинстве случаев. Уведомление о намерении обрабатывать персональные данные подаётся до начала обработки, бесплатно, через сайт Роскомнадзора. Прежние исключения в основном отменены, поэтому сегодня это касается практически всех клиник.
Можно ли записывать телефонные разговоры с пациентами? Да, клиника вправе записывать свои входящие звонки для контроля качества, если предупреждает о записи (обычно голосовым уведомлением в начале разговора), использует записи только для этой цели и обеспечивает их защиту. Работу с записями закрепляют в политике обработки ПДн и трудовых договорах.
Какие штрафы за нарушение закона о персональных данных в 2026 году? С 30 мая 2025 года (ФЗ № 420-ФЗ) ответственность по статье 13.11 КоАП РФ ужесточена. Для юрлиц: обработка без письменного согласия — 300 000–700 000 ₽, неуведомление Роскомнадзора — 100 000–300 000 ₽, утечка данных — от 3–5 до 10–15 млн ₽ в зависимости от масштаба, повторная утечка — оборотный штраф 1–3% годовой выручки (не менее 20 млн ₽). Точные суммы стоит сверять по действующей редакции КоАП.
Данные о здоровье — это особые данные? Да. Сведения о состоянии здоровья относятся к специальной категории персональных данных, которую закон защищает строже всего. Их обработка требует отдельного согласия пациента и повышенных мер защиты.
Что запомнить
Клиника — это оператор персональных данных по умолчанию, с первого записанного пациента. Обязанности стандартные: уведомить Роскомнадзор, взять согласия, назначить ответственного, принять политику, защитить данные. С 2025 года пренебрегать этим стало дорого — штрафы выросли до сотен тысяч и миллионов рублей, особенно за утечки.
Запись звонков в эту картину вписывается спокойно: контролировать качество телефонных разговоров можно и нужно, если делать это по закону — с уведомлением о записи, для понятной цели и с защитой данных. Тогда вы получаете и управляемое качество обслуживания, и юридическую чистоту.
Оставьте заявку на бесплатный анализ звонков — мы разберём с помощью речевой аналитики до 100 звонков вашей клиники строго по 152-ФЗ, покажем, где теряются пациенты на первом контакте, и что с этим делать. Без оплаты и обязательств — берём 5 клиник в месяц.
