Защита персональных данных в организациях здравоохранения при работе с отзывами пациентов

Материал подготовлен с использованием правовых актов по состоянию на 23 сентября 2026 г.

Разбираются вопросы защиты персональных данных и врачебной тайны в организации здравоохранения при работе с отзывами пациентов.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Закон от 18.06.1993 № 2435-XII «О здравоохранении» (далее – Закон № 2435-XII)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

Ежедневно практически каждая организация здравоохранения получает отзывы от своих пациентов посредством различных каналов связи. При этом в зависимости от способа их приема могут разниться правовые основания обработки персональных данных лиц, их оставивших. При этом, учитывая специальное правовое регулирование в сфере здравоохранения (ст. 46 Закона № 2435-XII), иногда желание отстоять свою репутацию может повлечь для организации здравоохранения определенные риски.

Далее рассматриваются основные способы получения обратной связи от пациентов, нюансы работы с отзывами и требования, которые организации здравоохранения обязаны соблюдать с точки зрения защиты персональных данных и врачебной тайны.

Защита персональных данных при внесении записей в книгу замечаний и предложений

Одним из способов получения обратной связи от пациентов является внесение записей в книгу замечаний и предложений (далее – КЗиП).

Порядок ведения такой книги установлен постановлением Совета Министров от 12.11.2025 № 635 «О вопросах, связанных с рассмотрением обращений граждан и юридических лиц» (далее – Постановление № 635). Поскольку КЗиП содержит записи различных физлиц, с точки зрения защиты персональных данных необходимо обеспечить их недоступность. Пунктом 2 Положения о порядке выдачи, ведения и хранения книги замечаний и предложений, утв. Постановлением № 635, предусмотрено, что КЗиП предъявляется в развернутом виде на очередной свободной для заполнения странице, исключая ознакомление гражданина с записями, внесенными в книгу другими гражданами.

На практике такое ограничение ознакомления может быть сделано закрытием плотным листом бумаги со скрепками предыдущих записей с нанесением предупреждающей надписи о недопустимости совершения любых действий с записями заявителей, внесенными в КЗиП.

Обработка персональных данных лица, внесшего запись, будет осуществляться на основании абз. 20 ст. 6, абз. 17 п. 2 ст. 8 Закона № 99-З.

Защита персональных данных при публикации отзывов на интернет-сайте организации здравоохранения

Зачастую интернет-сайты организаций здравоохранения позволяют пациенту оставить отзыв об оказанной услуге в специальной форме обратной связи, и затем такие отзывы публикуются.

В рассматриваемом случае организации здравоохранения необходимо обеспечить наличие правового основания для размещения таких отзывов в отношении персональных данных как пациента, так и медработника, о работе которого публикуется отзыв.

В обоих случаях надлежащим правовым основанием будет выступать согласие пациента и согласие медработника (абз. 8 ст. 6 Закона № 99-З на обработку персональных данных медработника в данном случае распространяться не будет, поскольку это не связано с его трудовой функцией).

В соответствии с п. 2, 3 ст. 5 Закона № 99-З согласие субъекта персональных данных может быть получено в письменной форме, в виде электронного документа или в иной электронной форме (посредством указания (выбора) субъектом персональных данных определенной информации (кода) после получения CMC-сообщения, сообщения на адрес электронной почты; проставления субъектом персональных данных соответствующей отметки на интернет-ресурсе; других способов, позволяющих установить факт получения согласия субъекта персональных данных).

В рассматриваемом случае согласие можно получить следующими способами:

● согласие пациента может быть получено в иной электронной форме посредством проставления отметки в чек-боксе в форме обратной связи;

● согласие медработника может быть получено как в письменной форме (наряду с иными целями обработки его персональных данных, требующих согласия), так и в иной электронной форме (например, посредством используемых в организации информационных ресурсов).

Вариантом анализируемой ситуации может выступать обработка отзывов, поступающих на электронную почту организации здравоохранения. Для размещения таких отзывов на сайте организации здравоохранения либо на ее страницах в соцсетях также требуется получить согласие лица на обработку его персональных данных. Оно может быть получено посредством направления ответного сообщения на электронную почту лица с разъяснением всех условий обработки персональных данных и просьбой дать согласие.

Защита персональных данных при размещении отзывов в отношении организации здравоохранения на интернет-сервисах

Широко используемыми способами оставить отзыв является его размещение в сервисах Google/Yandex. Такие отзывы публикуются уже не самой организацией здравоохранения, а напрямую пациентом в сети Интернет, и потому с точки зрения законодательства о защите персональных данных организация здравоохранения не должна обеспечить наличие правового основания для такой обработки.

Вместе с тем реакция организации здравоохранения на информацию, указанную в отзыве, может быть различной: от отказа размещения ответа на отзыв до подробного разъяснения деталей оказанной услуги с целью защиты своей деловой репутации. В последнем случае рекомендуется соблюдать осторожность, чтобы не распространить сведения, составляющие врачебную тайну пациента.

В соответствии с ч. 6 ст. 46 Закона № 2435-XII информация о факте обращения пациента за медпомощью и состоянии его здоровья, сведения о наличии заболевания, диагнозе, возможных методах оказания медпомощи, рисках, связанных с медицинским вмешательством, а также возможных альтернативах предлагаемому медицинскому вмешательству, иные сведения, в т.ч. личного характера, полученные при оказании пациенту медпомощи, а в случае смерти – и информация о результатах патологоанатомического исследования составляют врачебную тайну.

Исходя из анализа положений ст. 46 Закона № 2435-XII, информация, составляющая врачебную тайну, может быть предоставлена третьим лицам как с согласия пациента, так и без его согласия в случаях, прямо предусмотренных ст. 46 Закона № 2435-XII и иными законодательными актами.

Таким образом, даже сам факт обращения за медпомощью является врачебной тайной, и если в ответе на отзыв организация здравоохранения раскрывает как факт обращения данного пациента, так и подробности состояния его здоровья, вид оказанной помощи, его результаты, не получая при этом согласие пациента, – она нарушает требования законодательства.

Для недопущения подобного нарушения организациям здравоохранения рекомендуется в ответе на отзывы предложить пациенту в случае наличия претензий к качеству оказанной услуги обратиться в организацию здравоохранения лично либо посредством официальных каналов связи или оставить свои контактные данные для связи с целью решения возникшей проблемы.

Защита персональных данных при публикации отзывов в соцсетях

Организации здравоохранения, имеющие аккаунты в соцсетях, с целью продвижения своих услуг используют различные формы взаимодействия со своими пациентами, в т.ч. делают репосты размещенных ими отзывов.

В отношении такой информации Закон № 99-З использует термин «общедоступные персональные данные»: ими являются персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательных актов.

Размещая отзыв в своем личном аккаунте, субъект персональных данных делает свои персональные данные, указанные в отзыве, общедоступными. Это позволяет организации здравоохранения осуществлять репост отзывов, используя правовое основание, предусмотренное абз. 19 ст. 6 или абз. 2 п. 2 ст. 8 Закона № 99-З.