Мы проверили сайты медклиник на соответствие закону: что нашли у 36 клиник
Медицинский сайт — зона повышенного регуляторного внимания. Здесь одновременно работают три закона: 152-ФЗ о персональных данных, 323-ФЗ об охране здоровья и 38-ФЗ о рекламе. Каждый из них — самостоятельное основание для штрафа. Роскомнадзор, Росздравнадзор и ФАС действуют независимо друг от друга, и суммы санкций складываются.
В июне 2026 года мы провели пилотный скан 36 сайтов медицинской тематики автосканером ScanBase. Ниже — реальные цифры, разбор ключевых нарушений и чек-лист для руководителя клиники.
Как мы проверяли: методология пилота
Выборка — 36 сайтов медицинской тематики: частные клиники, медцентры, стоматологии, лаборатории и несколько государственных учреждений для сравнения — из разных регионов РФ. Проверка проводилась автоматическим сканером ScanBase: он рендерит страницы как браузер, обходит внутренние разделы, читает текст документов и анализирует внешние подключения.
Скан проводился 18 июня 2026 года. Данные хранятся во внутренней базе; в статью идёт только агрегат.
Что нашёл автосканер: цифры по 36 сайтам
Средний балл соответствия по выборке — 52 из 100. Иными словами, типичный медицинский сайт выполняет требования закона примерно наполовину.
Профильные нарушения (323-ФЗ и 38-ФЗ)
| Признак нарушения | Доля клиник | Норма | Риск штрафа |
|---|---|---|---|
| Реклама медуслуг без предупреждения о противопоказаниях | 46% (11 из 24) | ч. 7 ст. 24 38-ФЗ, ст. 14.3 КоАП | до 500 000 ₽ |
| Медицинская лицензия не опубликована на сайте | 46% (11 из 24) | ст. 79 ФЗ-323, ПП РФ № 736 | ~30 000 ₽ + риск по ЗоЗПП |
| Политика конфиденциальности не покрывает спецкатегорию ПДн (здоровье) | 38% (5 из 13 с формами сбора) | ст. 10 и ст. 9 152-ФЗ | до 300 000 ₽ |
Базовые нарушения 152-ФЗ
| Признак нарушения | Доля | Норма |
|---|---|---|
| Передача данных за рубеж без уведомления РКН — через Google Analytics (13/13), reCAPTCHA (7/7), Google Fonts (6/6), Meta Pixel (3/3) | 100% из тех, кто использует зарубежные сервисы | ст. 12 152-ФЗ |
| Нет или неполное согласие на обработку ПДн в формах | 48% (14 из 29) | ст. 9 152-ФЗ |
| Нет cookie-баннера | 38% (11 из 29) | рекомендательная норма |
| Неполные сведения об операторе ПДн | 24% (7 из 29) | 152-ФЗ |
Разбор главных нарушений
1. Реклама медуслуг без дисклеймера о противопоказаниях
Каждый рекламный блок медицинских услуг — баннер, слайдер, карточка акции — обязан содержать предупреждение: «Имеются противопоказания. Необходима консультация специалиста» (ч. 7 ст. 24 38-ФЗ). Сканер фиксирует отсутствие этого текста как признак нарушения. У 46% проверенных частных клиник такого предупреждения нет ни на одном рекламном блоке сайта. Штраф по ст. 14.3 КоАП для юрлица — до 500 000 ₽.
2. Медицинская лицензия не опубликована
По ст. 79 ФЗ-323 и Постановлению Правительства № 736 медицинская организация обязана размещать сведения о лицензии в открытом доступе. На практике это значит: номер лицензии, орган, выдавший её, перечень разрешённых видов деятельности. У 46% клиник в выборке этих сведений нет. Отдельный риск — иски потребителей по ЗоЗПП при оказании услуг без подтверждённой лицензии на сайте.
3. Политика не покрывает спецкатегорию «здоровье»
Данные о состоянии здоровья — это спецкатегория персональных данных по ст. 10 152-ФЗ. Их обработка требует отдельного явного согласия, которое должно быть описано в политике конфиденциальности. Стандартная шаблонная политика этого не содержит. Сканер выявил признак нарушения у 38% клиник, имеющих формы записи или онлайн-анкеты.
4. Трансграничная передача данных без уведомления РКН
Если на сайте установлен Google Analytics, reCAPTCHA, Google Fonts или Meta Pixel — данные посетителей (IP-адрес, поведение на сайте) передаются на серверы в США. По ст. 12 152-ФЗ оператор обязан уведомить РКН о трансграничной передаче до её начала. Среди проверенных клиник, использующих зарубежные сервисы, признак нарушения зафиксирован в 100% случаев: ни одна не подала уведомление.
Почему два основания опаснее, чем одно
Кроме того, медицинская тематика — в зоне повышенного внимания: жалобы пациентов, конкурентная разведка и мониторинг рекламы в интернете инициируют проверки чаще, чем в других отраслях. РКН уже обкатывает автоматический мониторинг сайтов — именно так выявлялись нарушения трансграничной передачи у иностранных компаний в 2026 году. Медклиники — следующая очевидная группа риска.
Чек-лист: что должно быть на сайте медклиники
Пройдитесь по пунктам — каждый отмеченный снижает вероятность штрафа.
Выполнено: 0/10
- ✓На сайте опубликован номер медицинской лицензии, орган-лицензиатор и перечень разрешённых видов деятельности (ст. 79 ФЗ-323, ПП № 736)
- ✓Каждый рекламный блок медуслуг содержит предупреждение о противопоказаниях и необходимости консультации специалиста (ч. 7 ст. 24 38-ФЗ)
- ✓Политика конфиденциальности явно описывает обработку данных о здоровье как спецкатегорию (ст. 10 152-ФЗ)
- ✓В каждой форме записи или анкете есть ссылка на политику и отдельная галочка согласия на обработку ПДн (ст. 9 152-ФЗ)
- ✓Подано уведомление в РКН о трансграничной передаче данных, если используются Google Analytics, Meta Pixel, reCAPTCHA или аналоги (ст. 12 152-ФЗ)
- ✓На сайте есть cookie-баннер с информацией о типах используемых файлов cookie
- ✓Указаны полные реквизиты оператора персональных данных: наименование, ИНН, адрес, контакт (152-ФЗ)
- ✓Согласие на обработку медицинских данных (для телемедицины, онлайн-анкет) оформлено отдельно от общего согласия на ПДн
- ✓Клиника подала уведомление в РКН об обработке персональных данных (ст. 22 152-ФЗ)
- ✓Все формы сбора данных работают по HTTPS, данные не передаются в открытом виде
Частые вопросы
Да. 152-ФЗ и 323-ФЗ не делают исключений для государственных медицинских организаций — они обрабатывают персональные данные пациентов точно так же. Различие может быть в административной ответственности: для должностных лиц и госорганов штрафы по КоАП ниже, чем для коммерческих юрлиц, но обязанность соблюдать закон одинакова.
Административный штраф по ст. 14.3 КоАП РФ за нарушение законодательства о рекламе: для юридического лица — от 100 000 до 500 000 ₽. ФАС возбуждает дела в том числе по жалобам конкурентов и пациентов. Дисклеймер должен быть читаемым (не мелким шрифтом на фоне) и присутствовать в каждом рекламном блоке медуслуг — не только на отдельной странице.
Да, ст. 79 ФЗ-323 обязывает медорганизацию предоставлять пациентам сведения о лицензии. На практике это реализуется через размещение на сайте — в разделе «О клинике» или «Документы». Достаточно указать номер лицензии, выдавший орган, дату выдачи и виды деятельности. Скан лицензии не обязателен, но рекомендуется.
Google Analytics передаёт данные о посетителях (IP, поведение, браузер) на серверы Google в США. По ст. 12 152-ФЗ это трансграничная передача ПДн: до её начала нужно уведомить РКН. Для медицинских сайтов риск выше: по IP и паттернам поведения можно косвенно идентифицировать человека, интересующегося определёнными медуслугами — это приближается к обработке данных о здоровье. Замена на Яндекс.Метрику снимает проблему трансграничной передачи, но не освобождает от остальных обязанностей.
Автоматическую проверку можно запустить бесплатно на scanbase.ru: введите адрес сайта, сканер проверит наличие политики конфиденциальности, cookie-баннера, внешних подключений и ряда других параметров. Результат готов менее чем за минуту и даёт отправную точку для разговора с юристом о полном соответствии.
Проверьте сайт вашей клиники за минуту
Автосканер ScanBase проверит внешние подключения, наличие политики, cookie-баннер и передачу данных за рубеж — бесплатно
Запустить проверку →Данные: пилотный скан 36 сайтов медицинской тематики, 18.06.2026. Методология — автоматическая проверка ScanBase. Конкретные организации не называются; в статье — только агрегированные данные по выборке.