Сбор отзывов кажется простым делом: повесили QR, пациент написал пару строк, готово. Но как только в этих строках появляется имя, телефон или подробности лечения, клиника становится оператором персональных данных и попадает под 152-ФЗ. Разберём, что именно это значит на практике и как настроить сбор отзывов так, чтобы не нарушить закон. Здесь — только про персональные данные в отзыве; всё остальное (тайна, реклама, защита от заказных) собрано в обзорной статье «Отзывы и закон: что клинике можно и нельзя».
Что в отзыве считается персональными данными
Персональные данные — это любая информация, по которой можно определить конкретного человека. В контексте отзыва под это попадает многое:
- имя и фамилия пациента (даже только имя в связке с другими данными);
- телефон, email, аккаунт в соцсетях;
- сведения о здоровье и лечении: диагноз, процедуры, врач, даты визитов.
Сведения о здоровье — это специальная категория персональных данных, к ней требования строже всего. Кроме того, информация о факте обращения к врачу и о лечении — это ещё и врачебная тайна (ст. 13 323-ФЗ). То есть один отзыв может одновременно затрагивать и 152-ФЗ, и врачебную тайну.
Главный принцип: согласие и заявленные цели
У 152-ФЗ несколько законных оснований обработки персональных данных (ст. 6) — согласие, исполнение договора, требование закона. Но для отзывов опираются именно на согласие: данные о здоровье относятся к специальной категории с самыми строгими требованиями, а публикация отзыва прямо требует согласия пациента. Вторая связанная идея — использовать данные разрешено только для тех целей, которые вы заявили, когда брали согласие.
На практике это значит: если пациент оставил телефон, чтобы вы могли разобрать его жалобу, вы не вправе позже использовать этот же контакт для рассылки акций. Цель «обработка обращения» и цель «маркетинг» — разные, и под каждую нужно отдельное основание. Подробнее про оформление согласия именно на рассылки — в статье «Согласие пациента на рассылку с просьбой об отзыве».
Чего нельзя делать с отзывом
- Публиковать контакты пациента. Телефон, email, фамилию полностью — убирайте перед публикацией. Опубликованный положительный отзыв с подписью «Иванова И., 8-9XX...» — это раскрытие персональных данных без должного основания.
- Пересказывать медицинские подробности. Даже с добрыми намерениями нельзя публиковать «вылечили кисту пациентке Марии» — это и врачебная тайна, и спецкатегория данных. Согласие на лечение не равно согласию на публикацию истории болезни.
- Использовать данные не по назначению. Контакт, оставленный для решения проблемы, не должен уходить в маркетинговую базу.
Как оформить сбор отзывов по согласию
- Заранее сформулируйте цели обработки и опишите их в политике конфиденциальности и форме согласия.
- На точке сбора (QR, форма) дайте пациенту понятную информацию о том, кто и зачем собирает данные, со ссылкой на политику.
- Разделяйте согласия: отдельно — на обработку обращения, отдельно — на публикацию отзыва, отдельно — на рассылки.
- Храните данные безопасно: ограниченный доступ, без пересылки контактов в открытых чатах, удаление по истечении цели.
МедШтаб помогает соблюдать эту логику технически. QR на клинику и врача собирает честные отзывы; оценки 1–3★ уходят в приватную очередь для разбора, а не в публичный доступ, 4–5★ пациент сам может отнести на площадки. Накручивать или удалять отзывы за вас мы не будем — пациент волен написать публично с любой оценкой, и это его право.
Это разъяснение, а не юридическая консультация. Перед применением сверьтесь с юристом — практика и формулировки норм меняются.
Источники
- Персональные данные — 152-ФЗ: КонсультантПлюс
- Врачебная тайна — ст. 13 323-ФЗ: КонсультантПлюс