Оператор персональных данных: клиника в 2026

Любая клиника с данными пациентов это оператор персональных данных. С 2025 года штрафы выросли до миллионов рублей, а запись звонков нужно вести строго по закону.

Оставьте заявку на бесплатный анализ звонков: покажем, как легально записывать и анализировать звонки клиники по 152-ФЗ и где вы теряете пациентов на первом контакте. Без оплаты и обязательств, берём 5 клиник в месяц.

Про «персональные данные» вспоминают, когда приходит проверка или случается утечка. А между тем любая клиника, от кабинета одного врача до сети, по закону является оператором персональных данных со всеми вытекающими обязанностями. И в 2025 году эта тема из формальности превратилась в реальный финансовый риск: штрафы выросли в разы, появились оборотные санкции за утечки, а Роскомнадзор стал строже.

Разберём по делу: почему клиника — это оператор персональных данных, что она обязана сделать, какие штрафы действуют с 2025 года и, отдельно, как во всё это вписывается запись телефонных разговоров, без которой сегодня не работает ни один контроль качества. Оговорка сразу: статья носит справочный характер, точные требования и суммы сверяйте с актуальной редакцией закона и разъяснениями Роскомнадзора.

Почему клиника — это всегда оператор персональных данных

Оператор персональных данных — это любая организация или ИП, которые обрабатывают данные людей: собирают, хранят, используют. Как только клиника записывает пациента и заносит его фамилию, телефон и причину обращения, она уже обрабатывает персональные данные, а значит, является оператором со всеми обязанностями по Федеральному закону № 152-ФЗ «О персональных данных».

Как только клиника завела карту пациента, она уже оператор персональных данных, даже если это кабинет одного врача.

Более того, у клиник самый чувствительный тип данных. Сведения о состоянии здоровья, диагнозах и лечении относятся к специальной категории персональных данных: закон защищает их строже всего и требует отдельного согласия пациента на их обработку. То есть медицинская клиника обрабатывает не просто ФИО и телефон, а именно ту категорию данных, к которой у закона максимальные требования.

Отсюда вывод, который многие руководители недооценивают: «мы слишком маленькие, нас это не касается» не работает. Обязанности оператора одинаковы и для сети, и для одного кабинета. Разница только в масштабе последствий при нарушении.

Что обязана сделать клиника-оператор

Базовый набор обязанностей оператора персональных данных выглядит так:

• Уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Прежние исключения, позволявшие не подавать уведомление, в основном отменены, поэтому сегодня это касается практически всех клиник. Уведомление подаётся бесплатно через сайт Роскомнадзора.
• Получить согласие пациента на обработку персональных данных, а на данные о здоровье (специальная категория) взять письменное согласие. С 1 сентября 2025 года согласие оформляется отдельным документом, его нельзя «зашивать» в договор или другие бумаги.
• Назначить ответственного за организацию обработки персональных данных.
• Принять и опубликовать политику обработки персональных данных (обычно её размещают на сайте клиники).
• Обеспечить защиту данных: организационные и технические меры, чтобы данные не утекли и не попали к посторонним.
• Хранить базы с данными граждан РФ на серверах в России (локализация); с 1 июля 2025 года первичная запись данных должна происходить именно в базе на территории РФ.

Ничего экзотического здесь нет, это стандартный набор, который клиника проходит один раз и потом поддерживает. Проблема обычно не в сложности, а в том, что до дела руки не доходят, пока не появится риск штрафа. А риск в 2025 году вырос кратно.

Штрафы в 2025–2026: почему это перестало быть формальностью

Раньше штрафы за нарушения в сфере персональных данных были символическими, и многие относились к теме как к бумажной формальности. Всё изменил Федеральный закон № 420-ФЗ от 30 ноября 2024 года: поправки к статье 13.11 КоАП РФ вступили в силу 30 мая 2025 года и подняли суммы в разы.

Согласие пациента на обработку данных, особенно данных о здоровье, это не формальность, а прямая обязанность оператора.

Ключевые цифры для юридических лиц (на 2026 год):

• Обработка данных без письменного согласия, когда оно обязательно: штраф 300 000–700 000 ₽ (ч. 2 ст. 13.11 КоАП).
• Неуведомление Роскомнадзора о начале обработки: 100 000–300 000 ₽ (ч. 10 ст. 13.11).
• Утечка персональных данных: отдельные крупные штрафы в зависимости от масштаба: 3–5 млн ₽ при утечке данных от 1 до 10 тысяч человек, 5–10 млн ₽ до 100 тысяч и 10–15 млн ₽ свыше 100 тысяч человек (ч. 12–14 ст. 13.11).
• Повторная утечка: оборотный штраф: от 1% до 3% совокупной годовой выручки компании, но не менее 20 млн ₽ (ч. 15 ст. 13.11).
• Неуведомление Роскомнадзора об утечке: отдельный штраф от 1 до 3 млн ₽.

И это перестало быть теорией: в 2026 году арбитражные суды начали рассматривать первые дела о крупных утечках по новым нормам. Для медицинских данных, которые относятся к специальной категории, риск особенно высок. Точные суммы зависят от состава нарушения, конкретику стоит сверять по действующей редакции КоАП РФ, но общий вектор ясен: цена небрежности теперь измеряется миллионами.

Запись звонков и персональные данные: как клинике не нарушить закон

Теперь то, что напрямую касается управления клиникой. Сегодня невозможно контролировать качество работы регистратуры, не записывая звонки: без записи вы не узнаете, как администраторы отвечают пациентам, где теряют записи и почему уходят обращения. Но запись телефонного разговора — это тоже обработка персональных данных, причём двойная: и голос, и содержание разговора (жалобы, диагнозы) относятся к охраняемым данным.

Запись звонка — это обработка персональных данных: и голос, и содержание разговора защищены законом.

Здесь важно не путать два разных случая. Закон охраняет тайну переговоров и наказывает за перехват чужих разговоров, к которым человек не имеет отношения (статья 138 УК РФ). Но к записи собственных входящих звонков это не относится: записывать и анализировать свои звонки клиника вправе, это законно, если соблюсти несколько правил:

• Предупредить о записи. В начале разговора звучит голосовое уведомление вроде «разговор записывается в целях контроля качества». Так пациент проинформирован, а его продолжение разговора трактуется как согласие.
• Использовать записи только для заявленной цели: контроля качества и обучения, а не для чего-то постороннего. Если разбором занимается ОКК на аутсорсе, поручение на обработку оформляется договором.
• Закрепить работу с записями внутри клиники: в политике обработки ПДн и в трудовых договорах с сотрудниками, чьи разговоры анализируются.
• Обеспечить защиту записей так же, как других персональных данных: ограниченный доступ, хранение в России.

Именно так и устроена речевая аналитика для клиник. Она переводит все звонки в текст и показывает руководителю, где теряются пациенты, но делает это в рамках закона: с уведомлением о записи, для цели контроля качества и с защитой данных. То есть правильно выстроенный контроль звонков не создаёт юридический риск, а наоборот, помогает навести порядок и в качестве обслуживания, и в работе с персональными данными.

Что запомнить

Клиника — это оператор персональных данных по умолчанию, с первого записанного пациента. Обязанности стандартные: уведомить Роскомнадзор, взять согласия, назначить ответственного, принять политику, защитить данные. С 2025 года пренебрегать этим стало дорого: штрафы выросли до сотен тысяч и миллионов рублей, особенно за утечки.

Запись звонков в эту картину вписывается спокойно: контролировать качество телефонных разговоров можно и нужно, если делать это по закону: с уведомлением о записи, для понятной цели и с защитой данных. Тогда вы получаете и управляемое качество обслуживания, и юридическую чистоту.

Оставьте заявку на бесплатный анализ звонков: мы разберём с помощью речевой аналитики до 100 звонков вашей клиники строго по 152-ФЗ, покажем, где теряются пациенты на первом контакте, и что с этим делать. Без оплаты и обязательств, берём 5 клиник в месяц.

Узнайте, сколько пациентов теряется на телефоне

Мы возьмём до 100 реальных звонков ваших администраторов, разметим по медицинскому чек-листу и покажем в отчёте, где теряются записи и сколько это стоит клинике. Тридцать минут разбора со мной, без оплаты, карты и договора.

Оставить заявку на бесплатный разбор звонков