Аудит сайта клиники по 152-ФЗ: 9 ошибок

Для клиники сайт — это формы записи, обратного звонка и вызова врача на дом. В них человек оставляет имя, телефон и дату рождения, а в свободном поле сообщения может написать что угодно, в том числе о здоровье. Цена ошибки здесь выше, чем на обычном сайте. За утечку сведений о здоровье юридическому лицу грозит штраф от 10 до 15 млн ₽ (ч. 16 ст. 13.11 КоАП), а при повторе — от 1 до 3% годовой выручки, но не менее 25 млн ₽ (ч. 18).

Коротко: 12 замечаний (9 существенных и 3 рекомендации), 7 пунктов в порядке, 6 вопросов, которые мы задали клинике. Хотите сразу проверить свой сайт? Перейти к чек-листу или скачать PDF.

Короткие разборы отдельных ошибок мы публикуем в нашем VK.

Что оказалось в порядке

Аудит ищет не только ошибки, поэтому начнём с хорошего:

• политика опубликована и доступна со всех страниц, где собираются данные (ст. 18.1 ч. 2; штраф за её отсутствие для юрлица — 30–60 тыс. ₽, ч. 3 ст. 13.11 КоАП);
• оператор указан и внесён в реестр Роскомнадзора (ст. 22 ч. 1; без уведомления — 100–300 тыс. ₽, ч. 10 ст. 13.11 КоАП);
• чекбоксы согласия не отмечены заранее;
• по данным клиники, данные за границу не передаются, базы и серверы находятся в России;
• форма отзыва не публикует телефон и e-mail, биометрия не собирается.

Девять ошибок, которые нашёл аудит

1. Cookie-баннер, который ничего не решает

Баннер предлагает одну кнопку согласия, выбора нет. Мы проверили, что происходит в браузере: запросы к сервису аналитики уходят независимо от баннера. Дополнительно согласие на cookie «зашито» в отправку формы заявки, а отдельного документа о cookie на сайте нет.

Отдельной нормы о cookie в 152-ФЗ нет. Но если cookie и сопутствующие данные позволяют определить человека, они персональные (ст. 3 п. 1), и согласие на них должно быть конкретным, информированным и однозначным (ст. 9 ч. 1). Поэтому мы говорим о расхождении с принципом осознанного согласия, а не об установленном нарушении.

КАК ИСПРАВИТЬ. Опубликовать документ о cookie (какие файлы, зачем, чьи сервисы, сколько хранятся). В баннере сделать кнопки «Принять» и «Отклонить», убрать согласие на cookie из чекбоксов форм. Необязательные скрипты запускать только после выбора.

КАК ПРОВЕРИТЬ. Откройте сайт в режиме разработчика (вкладка Network) и не нажимайте на баннер. Запросов к аналитике быть не должно.

В VK мы разбирали эту проверку по шагам.

2. Один чекбокс на два действия

На странице записи стоит одна галочка: «даю согласие» и «ознакомлен с политикой» одновременно. Ссылка ведёт только на политику. Отдельного текста согласия нет. Из политики человек не может узнать, на что соглашается: там нет цели «запись на приём», перечня данных, срока.

Закон требует согласия конкретного, информированного, однозначного и оформленного отдельно от иных документов (ст. 9 ч. 1). Когда нужна письменная форма, например для сведений о здоровье, в согласии должны быть цель, перечень данных, оператор, действия, срок и способ отзыва (ст. 9 ч. 4, ст. 10 ч. 2 п. 1). Для юрлица штраф за обработку без письменного согласия, когда оно требуется, или за неполный состав сведений в нём — 300–700 тыс. ₽, при повторе 1–1,5 млн ₽ (ч. 2 и 2.1 ст. 13.11 КоАП). Оговорка: согласие не единственное основание, для договора и медицинской деятельности закон предусматривает другие (ст. 6 ч. 1 п. 5, ст. 10 ч. 2 п. 4).

КАК ИСПРАВИТЬ. Подготовить отдельный документ согласия. На каждой форме поставить отдельный чекбокс со ссылкой на него, а политику вынести отдельной строкой без слов «ознакомлен».

КАК ПРОВЕРИТЬ. Чекбокс ведёт на отдельный документ, и в нём есть все пункты из ст. 9 ч. 4.

3. Политика разрешает прятать согласие в чужих документах

В политике сказано, что согласие может быть «встроено» в другой документ, который подписывает человек. Рядом стоит неточная ссылка на закон: случаи обработки без согласия указаны не в «п. 2 ст. 6», а в ст. 6 ч. 1 п. 2–11.

Закон прямо требует обратного: согласие оформляется отдельно от других документов (ст. 9 ч. 1). Политика, которая допускает иное, закрепляет практику, на которую в законе нет опоры.

КАК ИСПРАВИТЬ. Убрать фразу о «внедрении» согласия, написать, что оно оформляется отдельно, и исправить ссылку на «пункты 2–11 части 1 статьи 6».

КАК ПРОВЕРИТЬ. В политике нет ни одной формулировки, допускающей согласие внутри иного документа.

4. Политика написана для магазина, а не для клиники

В политике нет пациентов и медицинских услуг. Субъекты названы как подрядчики, заказчики и контрагенты, цель — «основная деятельность по Уставу». Зато в перечне данных есть СНИЛС, платёжные реквизиты, данные для учётной записи и точная геолокация. Таких полей на формах сайта нет, а регистрации и личного кабинета, судя по проверенным страницам, тоже нет.

Обработка ограничивается заранее определёнными целями, а объём данных не должен быть избыточным (ст. 5 ч. 2, 5). Сведения о здоровье — специальная категория со своими основаниями (ст. 10 ч. 1–2). Для юрлица штраф за обработку вне предусмотренных законом случаев или несовместимую с целями сбора — 150–300 тыс. ₽ (ч. 1 ст. 13.11 КоАП).

КАК ИСПРАВИТЬ. Описать каждую цель отдельным блоком: цель, субъекты, перечень данных, основание, способы, срок. Выделить цели: запись и обратный звонок, медицинские услуги, отзывы, аналитика, кадры. Убрать данные и цели, которых нет в реальных процессах.

КАК ПРОВЕРИТЬ. Перечни данных в политике совпадают с полями реальных форм.

5. Бессрочное хранение

В политике срок обработки прямо назван неограниченным.

Данные хранятся не дольше, чем требуют цели, если срок не задан законом или договором (ст. 5 ч. 7). После достижения цели их уничтожают, как правило, в течение 30 дней (ст. 21 ч. 4). Бессрочное хранение заявок увеличивает и последствия возможной утечки: за утечку данных 1–10 тыс. человек штраф для юрлица — 3–5 млн ₽ (ч. 12 ст. 13.11 КоАП).

КАК ИСПРАВИТЬ. Для каждой цели указать срок и документ, на который он опирается: закон, приказ или решение оператора. Для медицинской документации срок берётся из профильного документа Минздрава.

КАК ПРОВЕРИТЬ. У каждой цели в политике есть срок и основание.

В VK мы показали, как выглядит правильная формулировка срока.

6. Отзывы с именем без отдельного согласия

На форме отзыва есть согласие на обработку данных и на cookie, но нет отдельного согласия на публикацию. В уже опубликованных отзывах встречаются упоминания лечения, беременности и детей.

Публикация имени и текста для всех посетителей — распространение (ст. 3 п. 5). Согласие на него оформляется отдельно (ст. 10.1 ч. 1), молчание согласием не считается (ч. 8), а по требованию автора распространение прекращают в течение трёх рабочих дней (ч. 12–14). Если в тексте сведения о здоровье, это уже специальная категория.

КАК ИСПРАВИТЬ. Добавить отдельный необязательный чекбокс на публикацию отзыва и имени и описать в политике, как удалить отзыв по просьбе автора.

КАК ПРОВЕРИТЬ. На форме есть отдельная галочка, в политике описан порядок удаления.

7. Сервисы на сайте есть, в политике их нет

На всех страницах подключён счётчик аналитики, на странице контактов встроена карта. В политике о них ни слова, а общая оговорка гласит, что данные третьим лицам без письменного согласия не передаются.

Политика должна описывать цели, данные и способы обработки (ст. 18.1 ч. 1 п. 2). Если сервис получает IP-адрес и сведения об устройстве, об этом надо сказать.

КАК ИСПРАВИТЬ. Назвать каждый сервис, цель, категории данных и получателя.

КАК ПРОВЕРИТЬ. Список сервисов в политике совпадает с реальными запросами сайта.

8. Раздел о передаче данных за границу, которой нет

Политика даёт оператору право передавать данные в другие страны и хранить их там, причём «по письменному согласию». По словам клиники, ничего за границу не уходит.

Описана деятельность, которой не ведётся. К тому же механизма «согласие вместо уведомления» в ст. 12 нет: до передачи оператор уведомляет Роскомнадзор (ч. 3), а базы данных граждан РФ должны находиться в России (ст. 18 ч. 5). Если бы данные действительно хранились за рубежом, штраф для юрлица составил бы 1–6 млн ₽ (ч. 8 ст. 13.11 КоАП).

КАК ИСПРАВИТЬ. Заменить раздел одной фразой: трансграничная передача не осуществляется, базы находятся в России.

КАК ПРОВЕРИТЬ. Текст политики совпадает с фактами.

9. Нет порядка обращений и порядка уничтожения данных

Политика перечисляет право требовать уничтожения данных, но не говорит, куда писать, в какие сроки отвечает оператор и как данные уничтожаются. Ссылки на внутренний документ клиники об этом тоже нет.

Сроки здесь жёсткие: ответ на запрос — 10 рабочих дней с возможным продлением на 5 (ст. 14 ч. 3, ст. 20 ч. 1), исправление неточных данных — 7 рабочих дней (ст. 20 ч. 3), прекращение неправомерной обработки — 3 рабочих дня (ст. 21 ч. 3), уничтожение — 30 дней (ст. 21 ч. 4–5). Штрафы для юрлиц: за непредоставление информации субъекту — 40–80 тыс. ₽ (ч. 4 ст. 13.11), за неисполнение требования об уничтожении в срок — 50–90 тыс. ₽ (ч. 5).

КАК ИСПРАВИТЬ. Добавить в политику разделы «Порядок обращений» и «Уничтожение данных» и подготовить внутренний документ: кто уничтожает, как, в какие сроки и как это фиксируется.

КАК ПРОВЕРИТЬ. В политике есть порядок и сроки, а внутренний документ можно предъявить.

В VK мы разобрали, что такое внутренний документ об уничтожении данных и как он выглядит.

Три рекомендации

Это не нарушения, но тексту они помогают:

• добавить дату и версию политики, определить термины и исправить сквозную нумерацию;
• указать на странице «Контакты» и в подвале оператора, реквизиты и контакт ответственного за организацию обработки (ст. 22.1);
• дополнить перечень прав: подтверждение факта обработки, сведения о лицах с доступом, возражение против автоматизированного решения, отказ от рекламы (ст. 14 ч. 7, ст. 16 ч. 3, ст. 15 ч. 2).

Вопросы к клинике: что не видно на сайте

Сайт показывает только внешнюю сторону. Как данные живут внутри — в медицинской информационной системе, на почте, в мессенджерах — известно только самому оператору, поэтому мы задали ему шесть вопросов:

1. Попадают ли сведения о здоровье в свободные поля форм или по телефону, и на каком основании они обрабатываются?
2. Какие сроки хранения установлены для заявок, медицинской документации, кадровых документов и отзывов?
3. Как на практике уничтожаются данные заявок и составляется ли акт?
4. Есть ли договор с разработчиком медицинской информационной системы, в котором определены данные, действия, цели и безопасность (ст. 6 ч. 3)?
5. Назначен ли ответственный за обработку и есть ли внутренние документы по ст. 18.1? Совпадают ли сведения в уведомлении Роскомнадзора с новыми целями (ст. 22 ч. 7)?
6. Используются ли телефоны и e-mail из заявок для рекламных звонков и сообщений? Для этого нужно отдельное предварительное согласие (ст. 15 ч. 1).

Чек-лист: проверьте свой сайт самостоятельно

Каждую из девяти ошибок можно найти у себя за один заход. Идите по строкам таблицы:

Хотите проверить всё по полному списку? Скачайте PDF-чек-лист: 27 пунктов с основаниями из закона. Его можно распечатать и отмечать пункты.

Что входит в аудит сайта

Мы проверяем сайт по тексту 152-ФЗ и по связанным нормам: политику, формы, согласия, cookie, сторонние сервисы, отзывы и то, как всё это согласуется между собой. Внутренняя часть — приказы, договоры с подрядчиками, процедура уничтожения данных — проверяется по документам оператора, поэтому аудит заканчивается вопросами, на которые клиника отвечает сама.

Мы проводим такие аудиты и готовим документы: политику обработки персональных данных, тексты согласий и политику cookie, под реальные формы и сервисы сайта.

Итоги аудита в цифрах

Если вы хотите знать, сколько таких пунктов нашлось бы на вашем сайте, напишите нам.

Источники: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; КоАП РФ, ст. 13.11.