Методика · 30 августа 2026 г.

Персональные данные пациентов в опросах: что можно спрашивать, а что нет

Персональные данные пациентов в опросах регулируются строже, чем данные обычного клиента, потому что сведения о здоровье закон относит к специальной категории — той же, что судимости и религиозные убеждения. Опрос об удовлетворённости приёмом, где случайно спросили про диагноз или жалобы, юридически превращается из обычной анкеты в обработку специальной категории данных, а для неё требуется отдельное, более строгое согласие. Большинству клиник эта сложность вообще не нужна: сервисный опрос можно построить так, чтобы медицинских сведений в нём не было в принципе. Ниже — что относится к специальной категории, что можно спрашивать без лишних рисков и как оформить это правильно.

Почему данные о здоровье — особая категория

Закон о персональных данных выделяет отдельную группу сведений, обработка которых по умолчанию запрещена и разрешается только при явном письменном согласии или отдельных законных основаниях: данные о здоровье, диагнозах, судимости, религиозных и политических взглядах. Логика простая — утечка таких данных вредит человеку сильнее и иначе, чем утечка имени и телефона, поэтому и защита строже. Для клиники это означает: любой вопрос в анкете, из которого можно понять состояние здоровья пациента, автоматически переводит весь опрос в более строгий режим обработки данных.

Стоит сразу отделить два разных источника обязательств: медицинскую информационную систему клиники, где данные о диагнозах и лечении хранятся законно и в силу самой природы медицинской деятельности, и опрос об удовлетворённости сервисом, который решает совершенно другую задачу и не должен по умолчанию пересекаться с медицинской документацией. Смешение этих двух контуров — типичная ошибка, которая возникает не из злого умысла, а просто потому, что при составлении анкеты никто не задавал себе вопрос, какая именно категория данных получится в каждом конкретном поле формы.

Важно понимать, что категория данных определяется не намерением, а содержанием ответа. Вопрос «удовлетворены ли вы результатом лечения» формально не спрашивает про диагноз, но открытый комментарий пациента вроде «после операции стало только хуже» уже раскрывает и факт операции, и её результат. Формулировка вопроса должна быть спроектирована так, чтобы структурно не провоцировать раскрытие таких сведений даже в свободном тексте, а не полагаться на то, что пациент сам не станет упоминать лишнего.

Есть и менее очевидный источник риска — метаданные самого опроса. Если ссылка на анкету рассылается через систему записи и содержит в адресе или в теле письма название процедуры или отделения, простое сопоставление списка получателей с содержанием рассылки уже даёт стороннему наблюдателю информацию о том, какое лечение проходил конкретный человек, даже если сама анкета не задаёт ни одного медицинского вопроса. Такие технические детали часто выпадают из внимания при обсуждении содержания вопросов, хотя утечка происходит именно на этом уровне, а не в самих ответах пациента.

Что можно спрашивать без специального согласия

Сервисные вопросы — про организацию визита, время ожидания, вежливость персонала, понятность объяснений — не относятся к специальной категории данных и обрабатываются на общих основаниях, как и в любом другом бизнесе. Это касается и общей оценки готовности рекомендовать врача или клинику: сама по себе оценка не раскрывает диагноз, если формулировка вопроса не привязана к конкретному заболеванию или процедуре явно.

Сюда же в целом относятся вопросы про организационные аспекты, которые на первый взгляд кажутся медицинскими, но на деле таковыми не являются: удобство записи, скорость получения результатов анализов на руки, работа регистратуры по телефону. Эти вопросы говорят про процесс обслуживания, а не про содержание самого лечения, и их можно задавать так же свободно, как в любой другой сфере услуг. Граница проходит не по слову «медицинский» в широком смысле, а строго по тому, раскрывает ли ответ состояние здоровья конкретного человека.

Как формулировать открытый вопрос безопасно

Полностью свободный открытый вопрос вроде «что хотите добавить» — самый частый источник непреднамеренного сбора медицинских данных: пациент вправе написать туда что угодно, включая подробности состояния здоровья. Безопаснее сузить формулировку рамкой сервиса: «что можно улучшить в организации приёма» вместо общего «ваши комментарии». Формулировка не запрещает пациенту написать про здоровье, но статистически заметно снижает долю таких ответов, потому что явно направляет мысль в сторону организационной, а не медицинской темы.

• Формулируйте открытый вопрос с явной рамкой: про организацию, а не про состояние здоровья.
• Не включайте в анкету поле «диагноз» или «жалобы», даже если это кажется полезным для контекста.
• Если нужно уточнить тип приёма, используйте общую категорию, а не медицинский термин.
• Просматривайте свободные ответы на этапе настройки: если тема здоровья регулярно всплывает, меняйте формулировку.

Отдельный случай — анкеты для узких направлений, где сама тема приёма уже раскрывает чувствительную информацию: например, опрос по итогам визита в кабинет психиатра или нарколога сам по себе называет категорию помощи, даже если ни один вопрос прямо не касается диагноза. В таких направлениях стоит заранее предусмотреть отдельное согласие на обработку, оформленное до отправки анкеты, а не полагаться на общую формулировку согласия, принятую для сервисных опросов остальной клиники.

Похожая логика применима и к репродуктивной медицине, онкологии, инфекционным заболеваниям — направлениям, где сам факт обращения уже воспринимается пациентом как личная и часто скрываемая информация. Здесь стоит быть особенно аккуратными даже с нейтральной сервисной формулировкой: письмо с темой, называющей отделение напрямую, может само по себе оказаться нежелательным раскрытием, если попадёт на глаза другому члену семьи пациента. Разумная практика — использовать в теме письма нейтральное название клиники без указания конкретного профиля отделения.

Отдельное согласие: когда оно обязательно

Прежде чем оформлять отдельное согласие, стоит задать себе прямой вопрос: действительно ли данные о результате лечения нужны именно в этом опросе, или их проще получить из уже существующей медицинской документации, где они и так фиксируются по другому правовому основанию. Дублирование сбора одних и тех же сведений в разных системах увеличивает и объём хранимых чувствительных данных, и число мест, где может произойти утечка, без пропорционального увеличения пользы для клиники.

Если данные о результате лечения всё же нужны — например, для внутренней статистики эффективности определённой процедуры, — это законно, но требует отдельного письменного согласия именно на обработку данных о здоровье, отдельно от общего согласия на обработку персональных данных, которое пациент обычно подписывает при первом визите. Общее согласие на маркетинговые рассылки или сервисные опросы не покрывает данные специальной категории — это разные правовые основания, и подменять одно другим нельзя.

На практике многие клиники решают эту задачу иначе, чем через дополнительное согласие, — обезличивая данные до того, как они попадают в аналитику. Если для исследования эффективности процедуры не требуется знать, кто именно из пациентов оставил конкретный ответ, а важна только совокупная статистика, ответы можно собирать без прямой привязки к личности: без имени и телефона в самой форме, только с обобщённым признаком вроде типа процедуры и месяца визита. Обезличенные данные не подпадают под тот же строгий режим, что данные, которые можно связать с конкретным человеком, и это часто закрывает задачу проще, чем оформление отдельного согласия.

Обезличивание работает только если оно сделано действительно строго: набор косвенных признаков — редкая процедура, конкретная дата, узкий возрастной диапазон — способен позволить восстановить личность пациента даже без прямого указания имени, особенно в небольшой клинике с малым потоком пациентов по этому направлению. Прежде чем полагаться на обезличивание как на способ избежать отдельного согласия, стоит проверить, действительно ли набор оставшихся признаков не позволяет вычислить конкретного человека при небольшом потоке пациентов.

1. Определите, действительно ли вам нужны данные специальной категории, или хватит сервисных вопросов.
2. Если нужны — оформите отдельное согласие с явным указанием цели обработки.
3. Храните такие ответы отдельно от общей базы сервисных опросов, с более строгим доступом.
4. Ограничьте срок хранения и назначьте ответственного за доступ к этим данным.

Хранение и доступ

Правильно и грамотно оформленное согласие снимает только правовой риск самой обработки данных, но не отменяет техническую защиту уже собранных сведений, — этим отдельным вопросом стоит заняться не менее внимательно.

Даже сервисные ответы, не относящиеся к специальной категории, стоит хранить с ограничением доступа: не всей клинике, а только тем, кому эта информация нужна по работе — обычно администратору и руководителю отделения. Данные специальной категории, если они всё же собираются, требуют более строгого разграничения: доступ по явному списку сотрудников, отдельный от общей CRM-системы клиники контур хранения, и обязательное удаление по истечении заявленного в согласии срока, а не бессрочное хранение «на будущее».

Отдельного внимания требует ситуация увольнения или смены обязанностей сотрудника, у которого был доступ к чувствительным ответам. Права доступа к данным специальной категории нужно отзывать сразу же, а не по общему регламенту увольнения, который может занимать несколько дней. Практика показывает, что именно бывшие сотрудники с сохранившимся доступом — частая причина утечек, не связанная со злым умыслом текущего персонала клиники, а с банальной задержкой в отзыве прав после кадрового изменения.

Срок хранения стоит определять исходя из цели сбора, а не устанавливать формально одинаковым для всех типов данных. Сервисная оценка приёма теряет актуальность быстро и не требует долгого хранения; данные для исследования эффективности лечения могут быть нужны дольше, но и здесь срок должен быть конечным и указанным в согласии, а не подразумеваемым по умолчанию.

Ограничения

Разграничение сервисных и медицинских данных снижает юридический риск, но не устраняет его полностью: даже аккуратно сформулированный вопрос не гарантирует, что пациент не напишет в свободном поле что-то чувствительное по собственной инициативе. Клиника должна быть готова к такому сценарию заранее — иметь регламент, что делать с подобным ответом, если он всё же поступил, а не действовать по ситуации в момент обнаружения. Второе ограничение — правила меняются, и формулировки согласий стоит периодически сверять с актуальной практикой, а не полагаться на однажды составленный текст навсегда.

Третье ограничение касается самой природы анкетного инструмента: он хорошо подходит для сбора сервисной оценки и структурированных ответов, но не заменяет юридическую консультацию по конкретной ситуации клиники. Особенности регионального законодательства, специфика конкретного медицинского профиля, объём собираемых данных за пределами одной анкеты — всё это требует разбора с профильным юристом, а инструкции общего характера, включая эту статью, дают только отправную точку для такого разбора, а не окончательный ответ на все случаи.

Типичные ошибки

Список ниже собирает ошибки, которые встречаются в реальных анкетах медицинских организаций чаще всего. Большинство из них не связаны со злым умыслом — просто анкету составляли по шаблону обычного клиентского опроса, не подумав о специфике медицинских данных отдельно.

• Спрашивать про диагноз или симптомы в общей анкете удовлетворённости сервисом.
• Оставлять полностью свободный открытый вопрос без ограничивающей рамки формулировки.
• Считать общее согласие на обработку персональных данных достаточным для данных о здоровье.
• Хранить чувствительные ответы вместе с общей базой сервисных опросов без разграничения доступа.
• Не устанавливать срок хранения для данных специальной категории.
• Игнорировать риск в узких направлениях, где сама тема приёма уже раскрывает чувствительную информацию.

С чего начать

Проверьте действующую анкету клиники на один конкретный вопрос: может ли ответ на неё раскрыть диагноз, процедуру или состояние здоровья пациента. Если такие вопросы есть, замените их сервисной формулировкой без медицинского контекста или, если данные действительно нужны, оформите отдельное согласие под конкретную цель. В сервисе «До Сути» опрос можно собрать так, чтобы весь набор вопросов оставался в рамках сервисной оценки без единого поля, требующего специального согласия, — это самый простой способ снять юридический риск с большинства типовых клиник.

После этого стоит один раз пройтись по всей цепочке рассылки опроса, а не только по содержанию самих вопросов: проверить тему письма или сообщения, содержимое ссылки, название файла, если результаты выгружаются в таблицу. Как показывает пункт про метаданные выше, риск утечки часто прячется не в формулировке вопроса, а в технических деталях доставки анкеты, которые обычно настраивают один раз и потом не пересматривают годами. Такая проверка занимает час, а закрывает самую незаметную категорию рисков во всей этой теме.