Ужесточение контроля за персональными данными в 2026 году: автоматизация поиска нарушений ботами

В 2026 году контроль Роскомнадзора за обработкой персональных данных вышел на принципиально новый уровень. Автоматические боты теперь круглосуточно сканируют все сайты в зонах .ru, .рф и .su, выявляют нарушения и мгновенно передают их на ручную проверку. Предписания уже приходят разным организациям, а на устранение нарушений дают всего 10 дней. Для медицинских организаций это не просто очередная «бумажная» проверка — это реальная угроза многомиллионных штрафов и серьёзного удара по репутации.

Почему именно медицинские организации сейчас в зоне максимального риска

Медицина — это особая сфера. Мы работаем не просто с контактными данными, а со специальными категориями персональных данных (сведения о здоровье, диагнозы, результаты лабораторных исследований, электронная медицинская карта).

Добавьте сюда:

• формы онлайн-записи на приём;
• пациентские кабинеты и личные аккаунты;
• отзывы и истории лечения на сайте;
• фото и видео врачей и пациентов;
• чат-боты и мессенджеры для консультаций;
• передачу третьим лицам в маркетинговых целях;
• интеграции с ЕГИСЗ, Госуслугами, лабораторными сервисами и МИС.

Каждый из этих элементов бот РКН проверяет автоматически. Самые частые «красные флаги» в медицине: предустановленные галочки согласий, устаревшее уведомление в реестре операторов, несоответствие политики обработки реальным процессам клиники и использование иностранных сервисов аналитики.

Полный чек-лист 2026 года для медицинской организации

1. Уведомление об обработке персональных данных в реестре РКН

Документ должен быть подан до начала любой обработки и обновляться при каждом изменении (при этом предыдущие версии сохраняем не просто так). Обязательно укажите все цели обработки, категории данных (включая специальные), получателей и меры защиты. Отсутствие актуального уведомления — одно из самых частых оснований для предписаний.

2. Политика обработки и защиты персональных данных

Разместите в самом заметном месте сайта (обычно в футере + всплывающее окно при первом посещении). Добавьте прямые ссылки на каждой странице, где собираются данные. Политика должна быть «живой» — точно отражать, что происходит в вашей клинике: цели, сроки хранения, получатели (включая подрядчиков), порядок отзыва согласия.

3. Согласия на обработку ПД

Чекбоксы должны быть отдельными для каждой цели (запись на приём, обработка медицинских данных, маркетинг, публикация отзыва, размещение фото врача).

Никаких предустановленных галочек!

Для специальных категорий (здоровье) — только явное, информированное и предметное согласие в виде отдельного документа или формы.

Пациент может отозвать согласие в любой момент — у вас должен быть готовый регламент с обработкой такого обращения за 30 дней. Но мы уже писали, что даже при наличии отзыва согласия, клиника не во всех случаях эту обработку прекратит. Но об этом мы писали в Закрытом клубе. Присоединяйтесь!

4. Аналитика и cookies — важное уточнение 2026 года

Google Analytics полностью под запретом. С 1 июля 2025 года вступили в силу поправки, которые запрещают первоначальный сбор и хранение данных российских пользователей на иностранных серверах. GA собирает данные на серверах Google в США, поэтому его использование теперь незаконно.

Что делать: полностью удалите GA и Google Tag Manager. Переходите на Яндекс.Метрику (с настройкой полной локализации данных в РФ) или другие российские сервисы — Roistat, Calltouch, Matomo (self-hosted). Все выбранные инструменты обязательно укажите в политике и уведомлении в реестре РКН.

5. Организационные меры защиты

• Приказом назначьте ответственного за обработку ПД.
• Все сотрудники подписывают обязательство о неразглашении и согласие на обработку персональных данных.
• Проводите ежегодное обязательное обучение (с фиксацией в журнале).
• Ведите журналы: учёта доступа, уничтожения данных, инцидентов.
• Технические меры (Постановление Правительства No 1119)
• Определите уровень защищённости ПД (для медицины обычно УЗ-1 или УЗ-2). Обеспечьте шифрование, резервное копирование, контроль доступа. МИС должна соответствовать Приказу Минздрава No 911н и интегрироваться с ЕГИСЗ только по защищённым каналам.
• Порядок действий при утечке или инциденте
• Уведомить РКН и ФСБ в течение 24 часов + 72 часа на полное расследование. Разработайте внутренний регламент реагирования — это обязательное требование.
• Дополнительно для медицины
• Фото и ФИО врачей на сайте — только с их письменным согласием на распространение или по договору позирования за плату.
• Отзывы пациентов — отдельное согласие + возможность удаления по запросу.
• Телефония, чат-боты и мессенджеры — только российские сервисы с локализацией данных.
• Маркетинг и рассылки — исключительно с согласия и возможностью отписки в один клик.
• Что делать, если уже пришло предписание
• Не паникуйте. У вас есть 10 дней. Алгоритм действий:
• Зафиксируйте дату получения.
• Проведите внутренний аудит в течение 2–3 дней.
• Устраните нарушения (чаще всего — обновление политики и согласий).
• Подготовьте мотивированный ответ РКН с доказательствами исправлений.
• Если нужно — привлекайте внешнего юриста по 152-ФЗ.
• Наши практические рекомендации по внедрению
• Проведите комплексный аудит сайта, МИС и всех интеграций. Лучше сделать это с привлечением специализированной компании — это быстрее и дешевле, чем потом платить штрафы.
• Встройте вопросы обработки персональных данных в повседневные процессы.
• Перейдите на полностью российский стек (аналитика, хостинг, облака, мессенджеры). WA и TG – трансграничная передача персональных данных. Теоретически это опасно. Теоретически, потому что реальная практика не сформированна.
• Обновляйте все документы минимум раз в год — законодательство меняется очень быстро.
• Обучите команду. Один неграмотный администратор может привести к утечке и многомиллионному штрафу.
• Расширенный чек-лист самопроверки (распечатайте и проверьте)
• Уведомление в реестре РКН актуально и содержит все цели и категории?
• Политика ПД опубликована и соответствует реальности?
• Все формы имеют отдельные неактивные по умолчанию чекбоксы?
• Google Analytics и другие иностранные сервисы полностью удалены?
• Назначен ответственный, ведутся все журналы?
• Есть регламент отзыва согласия и реагирования на утечки?
• МИС соответствует Приказу No 911н? Сертификаты ФСТЭК/ФСБ?

Соблюдение этих требований — это не просто «чтобы не оштрафовали». Прозрачная и честная работа с данными пациентов сегодня становится мощным конкурентным преимуществом. Пациенты всё чаще выбирают клиники, которые открыто рассказывают, как защищают их информацию.

Тема защиты персональных данных в медицинских организациях сейчас очень активно обсуждается в профессиональном сообществе. Интересные материалы регулярно появляются на Habr.com, vc.ru, klerk.ru и специализированных медицинских порталах. Мы рекомендуем следить за обновлениями — ситуация продолжает развиваться.

Если вам нужны готовые шаблоны документов, помощь с аудитом сайта или полное сопровождение по приведению клиники в соответствие 152-ФЗ — пишите нам. Мы работаем именно с медицинскими организациями и знаем все нюансы отрасли.