1. Медицинская карта — это база персональных данных особой категории, а не просто бумажный носитель.
Любая запись в карте (ФИО, диагноз, фото «до/после», результаты анализов) попадает под строгую защиту 152-ФЗ. Согласно закону, обработка таких данных требует не просто согласия, а письменного информированного добровольного согласия (ИДС). Отсутствие правильно оформленного ИДС или его хранение в ненадежном месте (например, в общем доступе или зарубежных облаках) квалифицируется как грубое нарушение, влекущее штрафы до 6 млн рублей для юрлиц.

2. Фото «до и после» в портфолио клиники или личном блоге врача — это распространение биометрических и медицинских данных.
Кейс из практики: публикация фото пациента с подписью услуги без отдельного письменного согласия на распространение данных (ст. 10.1 152-ФЗ) ведет к штрафу от 300 тыс. рублей. Аргумент «пациент сам прислал фото в WhatsApp» или «он был доволен результатом» не работает в суде. Для публикации в соцсетях или на сайте нужно отдельное согласие, где четко прописана цель использования изображения.

3. Мессенджеры и скриншоты переписок с пациентами — зона высокого юридического риска.
Переписка в рабочих чатах или личных мессенджерах содержит персональные данные. Пересылка скриншотов с данными пациента коллегам для консультации допустима только внутри закрытого профессионального контура и при обезличивании. Публикация или передача третьим лицам переписки, содержащей сведения о здоровье (врачебная тайна + персональные данные), может повлечь уголовную ответственность по ст. 137 УК РФ (штраф до 300 тыс. руб. или лишение свободы до 4 лет при публичном распространении).

4. Облачные сервисы и CRM: удобство против закона.
Хранение баз пациентов в Google Таблицах, зарубежных CRM или непроверенных сервисах записи — это трансграничная передача данных (ст. 12 152-ФЗ). Если сервер находится в стране без адекватной защиты (США, ЕС), требуется сложная процедура уведомления Роскомнадзора и получения согласия пациента. Утечка данных из-за взлома такого аккаунта или ухода сотрудника с доступом приводит к штрафам до 6–18 млн рублей. Решение: использование российских сертифицированных МИС (медицинских информационных систем) с серверами в РФ.

5. ИДС должно быть конкретным, информированным и отзывным.
Галочка «Я согласен с политикой конфиденциальности» на сайте клиники не заменяет полноценное ИДС на медицинское вмешательство и обработку персональных данных. В документе должны быть четко прописаны: какие именно данные собираются, с какой целью, кто имеет к ним доступ и как пациент может отозвать согласие. Регулярный аудит (раз в квартал) базы согласий и доступов сотрудников — лучшая защита от проверок Роскомнадзора, который теперь использует автоматизированный мониторинг.