152-ФЗ для ветеринарной клиники: что обязан сделать владелец
152-ФЗ для ветеринарной клиники — не формальность «для банков и больниц», а закон, который касается каждой клиники, где клиент оставляет ФИО и телефон. Ключевой момент, который владельцы часто понимают неправильно: вы обрабатываете персональные данные не животных, а их хозяев — имя, номер телефона, email из формы записи. Данные самого пациента (кличка, порода, история прививок) персональными данными не являются, но это не освобождает от закона: контакты владельца — уже полноценные ПДн. Минимальный набор обязанностей выглядит так: подать уведомление в Роскомнадзор до начала обработки, опубликовать на сайте политику обработки персональных данных и брать согласие — с 1 сентября 2025 года отдельным документом, а не галочкой «согласен со всем сразу». Штраф за неуведомление РКН для юрлица — от 100 000 до 300 000 ₽, поэтому дешевле потратить один вечер на документы, чем спорить с инспектором. Ниже — разбор каждой обязанности и чек-лист из 7 пунктов.
Какие данные клиники считаются персональными?
Персональные данные — это любая информация, которая относится к конкретному физическому лицу. В ветеринарной клинике это данные владельцев животных:
- ФИО клиента в форме записи и в карточке CRM;
- номер телефона и email;
- адрес, если вы оформляете выезд на дом;
- переписка в чате или мессенджере, где клиент представился и оставил контакты.
Данные самого пациента — кличка, порода, вес, диагнозы — под 152-ФЗ не подпадают: закон защищает людей, а не животных. Но как только рядом с кличкой появляется телефон хозяина, вся запись превращается в персональные данные человека, и на неё распространяются требования закона.
Основания обработки перечислены в статье 6 152-ФЗ. Для клиники рабочих оснований по сути два: согласие клиента и исполнение договора, стороной которого он является. Для клиники основное рабочее основание — согласие: его проще предъявить при проверке, чем доказывать договорную конструкцию по каждой анкете.
Практический вывод: если у вас есть форма записи, чат на сайте или клиентская база в Excel — вы уже оператор персональных данных. Размер клиники значения не имеет.
Нужно ли уведомлять Роскомнадзор?
Да. Статья 22 152-ФЗ требует уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Если клиника уже работает с клиентской базой, а уведомления нет — тянуть не стоит: подать его лучше сейчас, чем после запроса регулятора.
Уведомление подаётся через портал персональных данных Роскомнадзора (pd.rkn.gov.ru). В форме нужно указать:
- наименование и реквизиты оператора (клиники);
- категории данных и категории субъектов (клиенты, сотрудники);
- цели обработки (запись на приём, информирование, ведение клиентской базы);
- меры защиты и место хранения данных.
Частое возражение: «мы маленькие, нас это не касается». Касается: исключения из статьи 22 узкие, и типичная клиника с онлайн-записью и базой клиентов под них не подпадает. Если сомневаетесь — сверьтесь с текстом статьи или задайте вопрос юристу, но рассчитывать «на авось» не стоит: неуведомление — отдельный состав в КоАП с конкретной вилкой штрафа.
Отдельно проверьте актуальность уже поданного уведомления: если клиника переехала, сменила юрлицо или начала обрабатывать новые категории данных, сведения нужно обновить.
Что писать в политике обработки персональных данных?
Политика обработки ПДн — публичный документ, который должен быть доступен любому посетителю сайта. На практике удобно держать её отдельной страницей и ссылаться на неё из подвала сайта и из каждой формы.
Что должно быть внутри, чтобы документ был рабочим, а не декоративным:
- полное наименование оператора и контакты для обращений по вопросам данных;
- какие категории данных обрабатываются: ФИО, телефон, email клиентов, данные сотрудников;
- цели обработки — сформулированные конкретно: запись на приём, напоминания о визите, ведение клиентской базы, а не «улучшение качества обслуживания»;
- правовые основания (согласие, договор — см. статью 6 152-ФЗ);
- кому данные передаются: CRM, чат-бот, сервис рассылок — по поручению оператора;
- сроки хранения и порядок уничтожения;
- как клиент может узнать, какие данные о нём хранятся, потребовать их уточнения или удаления и отозвать согласие.
Типичная ошибка — скачать шаблон «политики для интернет-магазина» и не адаптировать: в тексте остаются чужие цели обработки, чужие категории данных, а иногда и чужое юрлицо. При проверке такой документ работает против клиники: он показывает, что реальная обработка не соответствует заявленной. Потратьте час, пройдитесь по шаблону и приведите каждый пункт в соответствие с тем, что вы действительно делаете с данными.
Какие штрафы за нарушения 152-ФЗ?
С 30 мая 2025 года действует редакция статьи 13.11 КоАП (закон 420-ФЗ). Для владельца клиники два ключевых состава:
| Нарушение | Норма | ИП | Юрлицо |
|---|---|---|---|
| Неуведомление Роскомнадзора об обработке ПДн | ч. 10 ст. 13.11 КоАП | 30 000–50 000 ₽ | 100 000–300 000 ₽ |
| Обработка без письменного согласия (там, где оно требуется) | ч. 3 ст. 13.11 КоАП | 10 000–20 000 ₽ | 30 000–60 000 ₽ |
Два наблюдения по таблице.
Во-первых, неуведомление — самый «дорогой» из типичных для клиники составов, при том что исправляется он проще всего: заполнить форму на портале РКН явно дешевле, чем спорить о штрафе до 300 000 ₽.
Во-вторых, не стоит воспринимать нижнюю границу вилки за обработку без согласия как «приемлемую цену вопроса»: точек сбора данных у клиники много — формы, чат, анкеты в регистратуре, — а корректное согласие настраивается один раз.
Как правильно взять согласие в форме записи?
Требования к согласию описаны в статье 9 152-ФЗ: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года согласие оформляется отдельным документом — прятать его в пользовательское соглашение или оферту больше нельзя.
Шаг 1. Разведите документы
На сайте должно быть два разных текста: политика обработки персональных данных (общий документ о том, как клиника работает с данными) и согласие (короткий документ, который клиент принимает при отправке формы). Ссылки на оба — рядом с каждой формой, где клиент оставляет контакты.
Шаг 2. Чекбокс без галочки по умолчанию
Согласие должно быть сознательным действием клиента. Предустановленная галочка этому требованию не соответствует: клиент должен поставить её сам. Один чекбокс — одно согласие; если вы хотите ещё и рассылку, это отдельный чекбокс.
Шаг 3. Проверьте текст согласия
Минимум, который должен видеть клиент: кто оператор (полное название юрлица или ИП), какие данные собираются (ФИО, телефон, email), для каких целей (запись на приём, напоминания) и как согласие можно отозвать.
Шаг 4. Не забудьте про офлайн и чат-бот
Согласие нужно не только на сайте. Бумажная анкета в регистратуре — та же точка сбора данных: к ней прикладывается тот же текст согласия с подписью клиента, и эти листы нужно где-то упорядоченно хранить. С чат-ботами принцип тот же, что и с формами: до того как клиент оставил телефон, бот должен показать запрос согласия со ссылками на политику и текст согласия — сообщением с кнопкой подтверждения или явной формулировкой перед полем контакта.
Частые ошибки, которые встречаются в формах записи клиник:
- галочка согласия предзаполнена — клиент ничего сознательно не подтверждал;
- ссылка «политика конфиденциальности» ведёт на несуществующую страницу или на чужой шаблон;
- одно согласие «на всё сразу»: и на запись, и на рекламную рассылку, и на передачу «партнёрам»;
- в тексте согласия не назван оператор — клиент формально не знает, кому даёт данные.
Каждая из этих ошибок исправляется за час силами того, кто делал сайт. Как устроить саму запись — форму, сценарий диалога, передачу в CRM — мы разобрали отдельно в статье про онлайн-запись в ветклинику.
Почему это важно настроить один раз и правильно: по данным клиник, работающих с 24VetChat, около 40% обращений приходит вне рабочих часов. То есть заметная часть согласий собирается автоматически, без администратора, — и если форма или бот настроены с нарушением, оно тиражируется каждую ночь.
Что такое обезличивание и зачем оно клинике?
Обезличивание — это обработка данных так, что без дополнительной информации их нельзя соотнести с конкретным человеком. Требования к нему устанавливает Приказ Роскомнадзора № 140, который применяется с 1 сентября 2025 года.
Зачем это клинике на практике: обезличенные данные можно использовать для аналитики и передавать подрядчикам с меньшими рисками — например, когда сервис строит статистику по обращениям или обучает модели на диалогах. Если ваш подрядчик заявляет, что работает с обезличенными данными, стоит уточнить, соответствует ли его методика именно Приказу № 140, а не «мы просто убрали фамилии».
Тема техническая, и пересказывать приказ здесь целиком нет смысла — подробный разбор с примерами для клиник есть в отдельной статье про обезличивание по Приказу № 140.
Мессенджеры и переписка с клиентами
Здесь важно не впадать в крайности. Прямого запрета вести переписку с клиентами в конкретном мессенджере в 152-ФЗ нет, и пугать владельцев «нелегальным WhatsApp» было бы недобросовестно. Но есть объективное обстоятельство: серверы зарубежных мессенджеров находятся вне России, и клиника никак не управляет тем, где физически хранится переписка, в которой клиенты оставляют имена и телефоны.
Поэтому осторожный подход выглядит так: консультировать клиента можно в удобном ему канале, а вот собирать и хранить персональные данные — через каналы, где хранение организовано в РФ: форму и виджет на собственном сайте, телефонию, российские CRM. Мы в 24VetChat исходим именно из этой логики: бот работает в виджете на сайте клиники и в Telegram, а сами данные диалогов и контактов хранятся на серверах в России (Timeweb Cloud, Москва).
Чек-лист владельца: 7 пунктов
Пройдитесь по списку — на каждый пункт должен быть ответ «да» с документом или ссылкой, а не «вроде бы».
- Уведомление в Роскомнадзор подано (ст. 22 152-ФЗ), сведения в нём актуальны.
- Политика обработки персональных данных опубликована на сайте и доступна с каждой формы.
- Согласие оформлено отдельным документом (требование ст. 9 с 01.09.2025), а не пунктом оферты.
- Во всех точках сбора — форма записи, чат-бот, анкета в регистратуре — согласие запрашивается до отправки данных, чекбокс не предзаполнен.
- В клинике есть конкретный человек, который отвечает за вопросы персональных данных и знает, где хранятся согласия.
- С каждым подрядчиком, который видит данные клиентов (CRM, чат-бот, сервис рассылок), заключено поручение на обработку — DPA.
- Вы знаете, в какой стране физически хранятся данные клиентов у каждого подрядчика, и можете это подтвердить.
Если по всем семи пунктам «да» — базовый уровень соответствия 152-ФЗ у клиники закрыт.
Как проверить SaaS-подрядчика за 5 минут?
Любой сервис, который обрабатывает данные ваших клиентов по вашему поручению, — обработчик. Оператором при этом остаётесь вы, и при нарушении вопросы регулятор задаст в первую очередь клинике. Поэтому подрядчика стоит проверять до подключения — вот пять вопросов, на которые он обязан ответить быстро и конкретно.
- Есть ли DPA — договор-поручение на обработку данных? Без него передача данных подрядчику юридически не оформлена.
- Где физически находятся серверы? Правильный ответ — конкретный: страна и дата-центр, а не «в надёжном облаке».
- Кто оператор, а кто обработчик? Корректная схема: оператор — клиника, сервис — обработчик по поручению, данные принадлежат клинике.
- Подано ли у самого подрядчика уведомление в РКН?
- Как забрать данные при расторжении? Срок и формат экспорта должны быть зафиксированы, а не обещаны «по договорённости».
Для ориентира — как эти ответы выглядят у нас: 24VetChat подписывает DPA с каждой клиникой; серверы — Timeweb Cloud, Москва; оператор данных — ООО «ЛАНИЯ», уведомление в РКН подано; языковая модель — GigaChat (Сбер, российская юрисдикция); экспорт диалогов и контактов — в течение 3 рабочих дней по запросу. Если подрядчик не отвечает на эти пять вопросов за 5 минут — это само по себе ответ.
И честная оговорка напоследок: никакой сервис не подаст за вас уведомление в Роскомнадзор и не напишет политику обработки — это обязанности клиники как оператора, и переложить их нельзя. Чат-бот закрывает точку сбора данных и снимает рутину с администратора, но не заменяет базовую «гигиену» по 152-ФЗ. Если хотите посмотреть, как выглядит запись через бота с корректным сбором контактов, — можно попробовать 7 дней бесплатно: отмена в любой момент, без штрафов.
Частые вопросы
Считаются ли данные животного персональными данными?
Нет. Персональные данные — это информация о физических лицах, поэтому кличка, порода, вес и история прививок питомца сами по себе под 152-ФЗ не подпадают. Но клиника обрабатывает данные владельцев: ФИО, телефон, email, иногда адрес. Как только контакты хозяина оказываются в одной записи с данными животного, вся карточка становится персональными данными человека, и на неё распространяются требования закона — основания обработки, согласие, защита. Поэтому позиция «мы лечим животных, закон не про нас» — опасное заблуждение: обязанности оператора возникают с первой анкеты клиента, а не с какого-то порога по числу записей.
Нужно ли небольшой ветклинике уведомлять Роскомнадзор?
Да, в подавляющем большинстве случаев нужно. Статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор до начала обработки персональных данных, и размер бизнеса значения не имеет: требование одинаково для сети клиник и кабинета с одним врачом. Исключения в законе узкие, и типичная клиника с клиентской базой и онлайн-записью под них не подпадает. Уведомление подаётся через портал персональных данных Роскомнадзора. Штраф за неуведомление по части 10 статьи 13.11 КоАП — от 30 000 до 50 000 рублей для ИП и от 100 000 до 300 000 рублей для юридических лиц.
Что изменилось в правилах согласия с 1 сентября 2025 года?
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом. Практика «одна галочка — и согласие, и оферта, и рассылка разом» больше не работает: клиенту нужно дать отдельный текст согласия, где указано, кто оператор, какие данные и для каких целей обрабатываются. Для сайта клиники это означает отдельный чекбокс со ссылкой на текст согласия у каждой формы, где клиент оставляет контакты: записи на приём, обратного звонка, чата. Галочка не должна стоять по умолчанию — согласие по статье 9 152-ФЗ должно быть сознательным и однозначным.
Можно ли записывать клиентов через зарубежные мессенджеры?
Прямого запрета в 152-ФЗ нет, и утверждать, что переписка в зарубежном мессенджере автоматически означает нарушение, было бы неверно. Но есть объективный факт: серверы таких сервисов находятся вне России, и клиника не управляет тем, где хранится переписка с контактами клиентов. Поэтому осторожный подход — собирать персональные данные через каналы, где хранение организовано в РФ: форма и виджет на собственном сайте, телефония, российские CRM. Разумный компромисс — консультировать клиента в удобном ему канале, а данные для записи фиксировать в системе с хранением в России.
Кто отвечает за данные, если клиника пользуется чат-ботом или CRM?
Оператором остаётся клиника: именно она определяет цели обработки и отвечает перед клиентами и Роскомнадзором. Сервис — чат-бот, CRM, платформа рассылок — выступает обработчиком и действует по поручению клиники. Это поручение оформляется договором на обработку персональных данных (DPA): без него передача данных подрядчику юридически не оформлена. Перед подключением любого сервиса проверьте: есть ли DPA, где физически находятся серверы, подано ли у подрядчика собственное уведомление в РКН и как быстро он вернёт данные при расторжении. Например, 24VetChat подписывает DPA с каждой клиникой, хранит данные в РФ и выгружает диалоги и контакты в течение трёх рабочих дней.