Колл-центр и мессенджеры в клинике: как напоминать о приёме и не нарушить закон

Продолжаем цикл «Персональные данные на практике: от хаоса к системе». Мы уже разобрали специальную категорию медицинских данных и режим врачебной тайны. Сегодня — как выстроить дистанционную коммуникацию с пациентами: колл-центр, звонки, мессенджеры и электронная почта.

Что изменилось: три разных слоя правил

Здесь часто путают три нормы. Разделим их сразу.

1. С 1 марта 2023 года — ч. 8 ст. 10 149-ФЗ «Об информации…»
Ряду организаций (госорганы, банки, финорганизации, госкомпании и др.) запрещено использовать иностранные мессенджеры при оказании госуслуг, выполнении госзадания и при передаче персональных данных, платёжной и иной конфиденциальной информации. Перечень сервисов Роскомнадзор публиковал еще в 2023 году (Discord, Snapchat, Skype for Business, Microsoft Teams, Threema, Viber, WhatsApp, WeChat, Telegram).

2. С 1 июня 2025 года — Федеральный закон № 41-ФЗ
Для отдельного перечня субъектов (госорганы и подведомственные организации, банки, операторы связи, маркетплейсы, компании с госучастием и др.) расширен запрет: нельзя информировать граждан и общаться с клиентами через иностранные мессенджеры — в том числе отвечать пациенту, если он написал первым.

3. С 30 мая 2025 года — Федеральный закон № 420-ФЗ (ст. 13.11 КоАП)
Выросли штрафы за утечки персональных данных, неуведомление об утечке и иные нарушения по 152-ФЗ. Это отдельная история, не «штраф за использование мессенджера» как такового.

Вывод: запрет мессенджеров и ответственность за утечки — разные основания. В статье разберём оба, но не смешиваем.

Кого касается запрет на иностранные мессенджеры

Запрет адресован организациям из перечня установленного законом.

Под запрет в полном объёме попадают, как правило:

• государственные и муниципальные медицинские организации;
• медорганизации, работающие по ОМС или в рамках государственного задания;
• организации с госучастием более 50%.

Частная клиника без ОМС формально не попадает под прямой запрет 41-ФЗ на иностранные мессенджеры. Но это не означает «можно всё»: остаются требования 152-ФЗ (спецкатегория — здоровье), 323-ФЗ (врачебная тайна), требования к передаче ПДн третьим лицам, с 1 сентября 2025 года — отдельное согласие на обработку ПДн (ФЗ № 156-ФЗ), плюс риски трансграничной передачи при использовании зарубежных сервисов (ст. 12 152-ФЗ).

Практическая рекомендация: даже частным клиникам разумно выровнять процессы «как у госорганизаций» — меньше споров при проверке и жалобах.

Какие каналы считать допустимыми

Закон запрещает иностранные мессенджеры для организаций из перечня. Прямой нормы «использовать только ПО из реестра российского софта» в тексте 41-ФЗ нет, но на практике для госудурственных медицинских организаций и клиник работающих по ОМС безопаснее опираться на российские каналы:

• VK Мессенджер, MAX, Яндекс.Мессенджер;
• SMS и телефония оператора связи;
• корпоративная почта на инфраструктуре в РФ (с политикой ИБ);
• личный кабинет пациента, ЕПГУ, медицинские информационные системы — для официальной выдачи документов.

Иностранные мессенджеры из перечня РКН (Telegram, WhatsApp, Viber и др.) для организаций из перечня — не использовать для коммуникации с пациентами и передачи любых персональных и медицинских сведений.

Колл-центр и напоминания о приёме: что можно

Колл-центр — нормальный инструмент, если соблюдать границы.

Обычно без лишних рисков:

• напоминание о записи (дата, время, адрес подразделения);
• подтверждение или перенос визита;
• уточнение контактных данных, если это уже предусмотрено согласием.

Нельзя без отдельного основания:

• сообщать диагноз, результаты анализов, детали лечения;
• обсуждать медицинские сведения с родственником, если нет согласия пациента на разглашение врачебной тайны этому лицу (исключения — по ч. 4 ст. 13 323-ФЗ, например несовершеннолетние);
• передавать данные аутсорсинговому колл-центру без договора поручения на обработку ПДн и без указания в согласии пациента, что обработку ПДн может вести подрядчик.

Правила для колл-центра:

1. Согласие на обработку ПДн — до начала звонков (часто при записи на приём; с 01.09.2025 — отдельным документом, не «пунктом в договоре»; согласия, полученные до 01.09.2025, переоформлять не обязательно).
2. В согласии — цель: «информирование о записи, напоминания о визите», канал: телефон/SMS.
3. Идентификация — перед обсуждением чувствительных сведений убедиться, что говорите с пациентом или законным представителем.
4. Регламент — кто, кому и какую информацию может сообщать; журнал инцидентов.

Практические сценарии

Сценарий 1. Пациент просит результаты анализов в WhatsApp

Государственная, муниципальная клиника или работа по ОМС
Нельзя — даже по просьбе пациента. Ответ через WhatsApp для такой организации — риск по ст. 13.11.2 КоАП (штраф для юрлица от 100 000 до 700 000 руб.). В 2025 году Роскомнадзор публиковал прецедент со штрафом банку 200 000 руб. за сообщение клиенту через WhatsApp — по аналогии риск высок и для медорганизаций из перечня.

Частная клиника без ОМС
Формального запрета по 41-ФЗ нет, но остаются:

• врачебная тайна (323-ФЗ);
• спецкатегория ПДн (152-ФЗ) — письменное согласие;
• возможная трансграничная передача (ст. 12 152-ФЗ);
• приказ Минздрава № 789н — для официальной выдачи меддокументов предусмотрены в основном ЕПГУ / сертифицированные каналы, а не личный мессенджер.

Практическое решение: отдельное письменное согласие на передачу конкретных сведений через "название канала" (лучше — российский мессенджер, личный кабинет, защищённая почта клиники). В согласии — предупреждение о рисках, без формулировки «вся ответственность на пациенте»: клиника ответственность полностью не снимает.

Сценарий 2. Колл-центр звонит напомнить о приёме

Нужно ли отдельное согласие?
Да, нужно правовое основание на обработку ПДн (ФИО, телефон, факт записи). Обычно — согласие при записи с пунктом о напоминаниях по телефону/SMS.

Внешний колл-центр — договор поручения на обработку ПДн + указание подрядчика в согласии (с 01.09.2025 — отдельное согласие на передачу каждому третьему лицу, если требуется по новым правилам).

Напоминание о дате приёма — не разглашение диагноза; режим врачебной тайны здесь не нарушается, если не озвучиваете медицинские сведения.

Сценарий 3. Передача данных между медицинскими организациями

Можно ли без согласия пациента?
Да, в рамках обмена между медорганизациями для оказания медпомощи — п. 8 ч. 4 ст. 13 323-ФЗ (направление, госпитализация, обмен через МИС). Параллельно соблюдайте 152-ФЗ (передача ПДн, меры защиты, договоры между операторами при необходимости).

Сценарий 4. Отправка выписки или анализов на email

Официальная выдача медицинских документов — по приказу Минздрава от 31.07.2020 № 789н: в электронном виде — в первую очередь личный кабинет на ЕПГУ, гос. и мед. информационные системы, использование УКЭП. Произвольный личный email пациента этим порядком не предусмотрен.

Пересылка на личную почту даже с согласием — повышенный риск (конфиденциальность, врачебная тайна, утечка). Если клиника всё же использует email — отдельное согласие, минимизация данных, шифрование где возможно, прописать в политике ИБ; для государственных медицинских организаций — лучше, не использовать.

Сценарий 5. Передача данных лаборатории или IT-подрядчику

Допустима при:

• конкретном согласии пациента (кому, какие данные, зачем) — с учётом правил с 01.09.2025;
• договоре поручения на обработку ПДн;
• мерах защиты у подрядчика и фиксации передачи.

Без этого — нарушение и по 152-ФЗ, и по 323-ФЗ, если уходят сведения, составляющие врачебную тайну.

Ответственность: не смешивайте составы

За иностранные мессенджеры (для организаций из перечня) — ст. 13.11.2 КоАП

• должностные лица: 30 000–50 000 руб.;
• юридические лица: 100 000–700 000 руб.

За разглашение врачебной тайны — ст. 13.14 КоАП

• граждане: 5 000–10 000 руб.;
• должностные: 40 000–50 000 руб. (или дисквалификация до 3 лет);
• юрлица: 100 000–200 000 руб.
  Дела по ст. 13.11 и 13.14 возбуждает прокурор (ст. 28.4 КоАП).

За утечки и иные нарушения по ПДн — ст. 13.11 КоАП (420-ФЗ, с 30.05.2025)

Зависит от масштаба и повторности. Первичные утечки — фиксированные штрафы (вплоть до миллионов). Повторные крупные инциденты — до 1–3% годовой выручки, но не менее 20–25 млн и не более 500 млн руб. для организаций (ч. 15, 18). Не каждая «отправка сведений в чат» автоматически даёт 500 млн — важны масштаб, категория данных и повторность.

За неуведомление Роскомнадзора о начале обработки ПДн — ч. 10 ст. 13.11

• юрлица и ИП: 100 000–300 000 руб.

При грубом разглашении врачебной тайны возможна уголовная ответственность (ст. 137 УК РФ).

Как законно выстроить коммуникацию: 6 шагов

Шаг 1. Утвердите отдельное согласие на обработку ПДн (новые — с 01.09.2025 только отдельным документом).

Шаг 2. Для каналов с медицинским содержанием — отдельное согласие (или блок в информированном согласии на вмешательство): какие сведения, какой канал, срок, отзыв.

Шаг 3. Определите статус клиники: гос/ОМС → иностранные мессенджеры исключить; частная без ОМС → минимизировать зарубежные каналы для медданных.

Шаг 4. Регламент колл-центра и запросов (суд, родственники, адвокаты) — кто отвечает, что проверяет, как фиксирует выдачу.

Шаг 5. Договоры поручения с колл-центром, лабораторией, МИС, облаком.

Шаг 6. Обучение персонала + аудит каналов раз в квартал (мессенджеры на телефонах сотрудников — частый сюрприз на проверке).

Тест: готова ли клиника к законной коммуникации?

Ответьте «да» или «нет»:

1. Согласие на обработку ПДн оформлено отдельным документом (для новых пациентов — с 01.09.2025)?
2. В согласии указаны цели и каналы связи (телефон, SMS, email, мессенджер)?
3. При аутсорсинге колл-центра есть договор поручения?
4. Сотрудники знают: напоминание о приёме ≠ озвучивание диагноза?
5. Вы понимаете, попадаете ли вы под запрет 41-ФЗ (гос, ОМС, госучастие)?
6. Для передачи медицинских сведений не используются иностранные мессенджеры (или есть чёткая политика для частной клиники)?
7. Есть регламент при утечке и жалобе пациента?
8. Проводится аудит каналов связи (включая личные телефоны сотрудников)?

Результат:

• 8 «да» — низкий риск.
• 1–2 «нет» — закройте пробел (согласие, регламент, каналы).
• 3+ «нет» — высокий риск; нужен аудит процессов.

Для медицинских организаций: углублённый тест

На нашем сайте — тест для больниц, стоматологий, лабораторий и врачебных кабинетов: медданные, врачебная тайна, утечки.

1. https://synlawtech.ru/security/pd-test
2. 12 вопросов, ~3 минуты
3. Результат и рекомендации
4. При необходимости — заявка на консультацию

Подписывайтесь на канал «Синтез закона и технологий».

Дальше в цикле:

• обезличивание медицинских данных для исследований;
• утечки 2025–2026: сроки и алгоритм действий;
• полный чек-лист по ПДн для малого бизнеса.

Вопросы по вашей ситуации — в комментариях.

Переходим от хаоса к системе. Вместе.

Материал носит информационный характер и не заменяет консультацию юриста или специалиста по информационной безопасности. Для юридически значимых решений сверяйтесь с актуальными текстами законов и официальными разъяснениями.