Если вы психолог и принимаете заявки на консультацию через сайт, вам нужно разобраться с одним важным вопросом: как работать с персональными данными клиентов по закону. Многие специалисты уверены, что их маленькая практика не попадет под пристальное внимание регулятора. Это заблуждение. С 2025 года Роскомнадзор проверяет сайты в автоматическом режиме, а штрафы выросли в десятки раз.
В этой статье разберем по шагам, что нужно сделать, чтобы собирать заявки легально, избежать санкций и защитить данные клиентов. А о том, как выстроить стабильный поток заявок без агрессивного маркетинга, мы писали в отдельном материале — «Как психологу получать заявки без холодных звонков и активных продаж».
Designed by ChatGPT
Что такое персональные данные в работе психолога
Персональные данные — это любая информация, которая позволяет идентифицировать конкретного человека. Для психолога это не только имя, телефон и адрес электронной почты клиента. К персональным данным относятся и сведения о состоянии здоровья, семейном положении, личной истории, жалобах и анамнезе. Это уже специальная категория персональных данных, которая требует особого подхода.
Важно понимать. Даже если вы работаете самозанятым, без ИП и без сотрудников, вы все равно обрабатываете персональные данные. Запись имени клиента в электронном календаре, хранение переписки в мессенджере или использование онлайн-формы для записи — все это считается обработкой персональных данных по закону.
Кто такой оператор персональных данных и почему это про вас
Оператор персональных данных — это тот, кто самостоятельно или совместно с другими лицами организует обработку персональных данных, а также определяет цели обработки. Если вы собираете заявки на сайте, храните контакты клиентов, ведете переписку в мессенджерах или используете CRM-систему — вы оператор персональных данных.
Закон не делает исключений для психологов-самозанятых или тех, кто работает в одиночку. Статус оператора присваивается автоматически, как только вы начинаете систематически обрабатывать данные клиентов с помощью компьютера, телефона или любого другого цифрового устройства. Статус самозанятого удобен для старта практики, но юридические обязанности он не отменяет — подробно о том, чем самозанятость отличается от ИП и какой статус выбрать психологу, мы рассказывали в отдельной статье.
Когда нужно уведомлять Роскомнадзор
Уведомление Роскомнадзора обязательно, если вы обрабатываете персональные данные с использованием средств автоматизации. Это значит, что если хотя бы часть данных хранится в цифровом виде — на компьютере, телефоне, в облаке, на сайте — уведомлять нужно.
Есть три исключения, когда уведомление не требуется:
- Обработка ведется исключительно на бумажных носителях без использования средств автоматизации.
- Данные обрабатываются в государственных информационных системах для защиты безопасности государства и общественного порядка.
- Обработка связана с обеспечением транспортной безопасности.
Для психолога, работающего через сайт, мессенджеры или электронную почту, эти исключения не подходят. Уведомление нужно подать до начала обработки персональных данных. Если вы уже собираете заявки, но еще не уведомили Роскомнадзор, сделайте это как можно скорее.
Designed by ChatGPT
Какие данные считаются персональными на сайте психолога
Когда клиент заполняет форму на вашем сайте, он передает вам персональные данные. Вот что подпадает под определение закона:
- фамилия, имя, отчество;
- номер телефона;
- адрес электронной почты;
- данные, которые клиент сообщает в процессе консультирования: состояние здоровья, личная история, жалобы, семейное положение;
- IP-адрес и cookie-файлы, которые фиксирует сайт;
- записи сессий, аудио- и видеозаписи консультаций.
Если вы используете онлайн-аналитику, например Яндекс Метрику, она тоже собирает данные о посетителях сайта. Это нужно учитывать при подготовке документов.
Какие документы подготовить до подачи уведомления в Роскомнадзор
Перед тем как отправить уведомление в Роскомнадзор, подготовьте несколько документов. Они понадобятся и для регистрации, и для дальнейшей работы:
- Политика обработки персональных данных. Это документ, который размещается на сайте и содержит информацию о том, какие данные вы собираете, для чего, как храните и как защищаете. Политика должна быть доступна по прямой ссылке с каждой страницы сайта, обычно в футере.
- Согласие на обработку персональных данных. Это отдельный документ, который клиент подтверждает перед отправкой заявки. С 1 сентября 2025 года согласие должно оформляться как самостоятельный документ — его нельзя «прятать» в договоре или пользовательском соглашении (ч. 1 ст. 9 Федерального закона № 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). В нем указываются цели обработки, перечень данных, срок действия согласия и способ его отзыва.
- Локальный акт о защите персональных данных. Это внутренний документ, который описывает порядок работы с данными в вашей практике: кто имеет доступ, какие меры защиты применяются, что делать при утечке.
Подготовка документов — самая частая точка затыка на старте: политика, согласие и локальный акт должны отражать реальную практику, а не быть скопированы из чужого шаблона. Системно разобраться в юридическом оформлении частной практики помогает программа «Бизнес в сфере психологии» от «АСТ»: в учебном плане есть модули «Составление документов: договор, согласия, политики» и «Защита данных и рабочие процедуры», а также блоки о налогах и организации практики. Обучение дистанционное, по итогам выдается удостоверение о повышении квалификации или сертификат.
Designed by ChatGPT
Как подать уведомление в Роскомнадзор
Уведомление подается через официальный портал Роскомнадзора. Есть три способа:
- Электронно через сайт Роскомнадзора с использованием усиленной квалифицированной электронной подписи.
- Через портал Госуслуги с подтвержденной учетной записью.
- В бумажном виде — лично или по почте в территориальный орган Роскомнадзора по месту регистрации.
Форма уведомления утверждена приказом Роскомнадзора от 28 октября 2022 года № 180. В ней нужно указать сведения об операторе, цели обработки, категории субъектов данных, перечень обрабатываемых данных, место хранения базы, меры по обеспечению безопасности и сведения о трансграничной передаче данных, если используются иностранные сервисы.
Роскомнадзор рассматривает уведомление и в течение тридцати дней вносит оператора в реестр. Проверить свое присутствие в реестре можно на сайте ведомства по ИНН или наименованию.
Штрафы за нарушение 152-ФЗ: сколько может заплатить психолог
С 30 мая 2025 года действует новая редакция статьи 13.11 КоАП РФ (внесена Федеральным законом от 08.08.2024 № 266-ФЗ), и штрафы выросли в десятки раз. Вот что может грозить психологу:
- нарушение закона о персональных данных в целом: для граждан, в том числе самозанятых, — от 10 000 до 15 000 рублей; для ИП — от 50 000 до 100 000 рублей; для организаций — от 150 000 до 300 000 рублей;
- обработка персональных данных без согласия, когда оно обязательно: для ИП и должностных лиц — до 300 000 рублей; для юридических лиц — до 700 000 рублей;
- неуведомление Роскомнадзора о намерении обрабатывать персональные данные: для ИП и организаций — от 100 000 до 300 000 рублей;
- неуведомление об утечке персональных данных — от 1 000 000 до 3 000 000 рублей;
- утечка специальных категорий данных (в том числе сведений о здоровье) — от 10 000 000 до 15 000 000 рублей; утечка биометрических данных — от 15 000 000 до 20 000 000 рублей.
При повторных нарушениях санкции жестче: за повторную утечку коммерческим организациям и ИП грозят оборотные штрафы — от 1 до 3% годовой выручки. С 30 мая 2025 года также отменена скидка 50% за досрочную уплату штрафов по составам статьи 13.11 КоАП РФ.
Роскомнадзор проверяет сайты с помощью автоматизированных систем. Даже если у вас маленькая практика, алгоритм может обнаружить отсутствие политики конфиденциальности или неправильно оформленное согласие. Кроме того, проверки часто начинаются по жалобам клиентов или недобросовестных конкурентов.
Designed by ChatGPT
Согласие на обработку персональных данных на сайте: требования 2025 года
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. А с 1 сентября 2025 года действует еще одно требование: согласие оформляется отдельно от любых других документов, которые подписывает клиент, — договора, оферты, пользовательского соглашения. Объединять несколько согласий в одну галочку нельзя.
Вот что должно содержать согласие:
- ФИО и адрес субъекта данных.
- ФИО и адрес оператора: для самозанятого — собственные данные, для ИП — реквизиты из ЕГРИП.
- Цель обработки: запись на консультацию, ведение клиентской базы, информирование об услугах.
- Перечень персональных данных: имя, телефон, электронная почта, данные о состоянии здоровья.
- Перечень действий с данными: сбор, хранение, использование, удаление.
- Срок действия согласия: обычно до достижения цели или до отзыва.
- Способ отзыва согласия: например, письмо на электронную почту.
- Подпись субъекта. В электронной форме это проставление галочки в чек-боксе.
Чек-бокс с согласием должен быть неотмеченным по умолчанию. Кнопка отправки формы не должна работать без проставленной галочки. Рядом с чек-боксом нужна ссылка на полную версию согласия и политику конфиденциальности.
Designed by ChatGPT
Данные клиента на сессии: согласие, записи и сроки хранения
В процессе консультирования клиент рассказывает о своей личной жизни, здоровье, отношениях. Это специальные категории персональных данных. Их обработка требует отдельного согласия, которое не следует объединять с согласием на запись через сайт. Для онлайн-консультаций можно использовать электронное согласие, но для работы с данными о здоровье надежнее иметь и бумажный вариант.
Записи сессий, конспекты, аудио- и видеозаписи — это тоже персональные данные. Для записи сессии получайте отдельное согласие, где описана цель записи и порядок ее хранения. Сами записи храните в защищенном месте с ограниченным доступом.
Сроки хранения зависят от формата помощи. Если вы врач и оказываете психиатрическую (медицинскую) помощь, документы хранятся не менее пятидесяти лет — это требование статьи 41 Закона РФ от 02.07.1992 № 3185-1 «О психиатрической помощи и гарантиях прав граждан при ее оказании». Для психологов без медицинского образования обязательный 50-летний срок законом не установлен: сроки хранения и порядок уничтожения документов стоит закрепить в локальном акте или политике обработки персональных данных, а записи сессий хранить в защищенном виде.
Хранение персональных данных: какие сервисы можно использовать психологу
Требование о локализации действует давно: базы данных с персональными данными граждан России должны находиться на территории страны (ч. 5 ст. 18 закона № 152-ФЗ, требование применяется с 1 сентября 2015 года). Дополнительно с 1 сентября 2025 года ужесточились правила трансграничной передачи: до передачи данных за рубеж нужно уведомить Роскомнадзор и дождаться разрешения, а передавать данные можно только в страны из специального перечня с адекватным уровнем защиты.
Designed by ChatGPT
Вот что нужно проверить в своей практике:
- Хостинг сайта. Должен быть российским или иметь серверы в России.
- CRM-система. Используйте российские решения или те, которые локализованы в РФ.
- Почта. Предпочтительнее российские сервисы, например Яндекс Почта или Mail.ru.
- Мессенджеры. Переписка, содержащая персональные данные клиентов, в сервисах с серверами за рубежом может расцениваться как трансграничная передача данных. Для обмена документами безопаснее российские решения.
- Аналитика. Яндекс Метрика работает на российской инфраструктуре. Google Analytics подразумевает передачу данных за рубеж и требует отдельных мер: согласия пользователей и уведомления Роскомнадзора о трансграничной передаче.
Если вы все же используете иностранный сервис, это нужно указать в уведомлении Роскомнадзора и пройти процедуру согласования трансграничной передачи данных.
Как защитить данные клиентов на практике
Защита персональных данных — это не только бумажные документы, но и реальные действия. Вот базовый чек-лист для психолога:
- Используйте сложные пароли на всех устройствах и сервисах.
- Включите двухфакторную аутентификацию везде, где это возможно.
- Храните записи сессий в зашифрованном виде.
- Не пересылайте данные клиентов через открытые каналы связи.
- Регулярно делайте резервные копии данных.
- Удаляйте персональные данные клиентов по истечении срока хранения или по запросу.
- Назначьте ответственного за защиту персональных данных. Даже если вы работаете один, это должны быть вы — назначение оформляется приказом или пунктом локального акта.
Почему юридическая грамотность важна для психолога
Психолог работает с людьми в состоянии уязвимости. Клиент доверяет специалисту свои самые сокровенные переживания. Конфиденциальность — основа терапевтических отношений: клиент должен знать, в каких случаях информация остается между вами, а в каких специалист вправе или обязан ее раскрыть. Юридическая грамотность помогает не только избежать штрафов, но и укрепить доверие. Когда клиент видит на сайте политику конфиденциальности, понятное согласие и профессиональный подход к защите данных, он чувствует себя в безопасности.
Кроме того, знание законодательства позволяет психологу уверенно отвечать на вопросы клиентов о том, как используются их данные, кто имеет к ним доступ и как долго они хранятся. Это часть профессиональной этики. Тесно связанная тема — границы деятельности психолога: когда лицензия не нужна, а когда помощь становится медицинской услугой. Разобрать эти границы помогает наша статья о лицензировании и оформлении частной практики.
Designed by ChatGPT
Как повышение квалификации помогает в работе с персональными данными
Психологическая практика постоянно меняется. Появляются новые форматы работы, новые сервисы, новые требования законодательства. Чтобы оставаться в правовом поле и поддерживать высокий уровень профессионализма, важно регулярно обновлять знания.
Повышение квалификации по психологии помогает не только углубить профессиональные компетенции, но и разобраться в смежных вопросах: этике, правовом регулировании, работе с документацией. «АСТ» предлагает программы, где специалисты получают актуальные знания, применимые в ежедневной практике. Обучение проходит дистанционно, что удобно для практикующих психологов. После завершения курса выдается документ установленного образца, который подтверждает профессиональный уровень и может быть полезен при продвижении услуг.
Часто задаваемые вопросы
-
Нужно ли уведомлять Роскомнадзор, если я работаю самозанятым и у меня нет сайта, только соцсеть?
Да, нужно. Если вы собираете заявки через социальные сети, мессенджеры или любые другие цифровые каналы, вы обрабатываете персональные данные с использованием средств автоматизации и становитесь оператором. Исключение — только полностью бумажная работа без компьютера и телефона. Статус самозанятого обязанности уведомить Роскомнадзор не отменяет.
-
Можно ли не уведомлять Роскомнадзор, если я обрабатываю данные только для исполнения договора?
В законе есть норма, освобождающая от уведомления тех, кто обрабатывает данные исключительно для исполнения договора, если данные не передаются третьим лицам и не используются для маркетинга. Однако на практике Роскомнадзор трактует это исключение узко. Если вы храните данные в цифровом виде, ведете переписку в мессенджерах или используете сайт — уведомление безопаснее подать.
-
Какие данные нельзя собирать без специального согласия?
Специальные категории персональных данных: сведения о состоянии здоровья, расовой принадлежности, политических взглядах, религиозных убеждениях, интимной жизни. Для психолога это прежде всего данные о психическом состоянии клиента, его жалобы и личная история. Согласие на обработку таких данных должно быть отдельным и явно выраженным, а с 1 сентября 2025 года — оформлено отдельным документом.
-
Что делать, если клиент просит удалить его данные?
Клиент имеет право отозвать согласие на обработку персональных данных в любой момент. Вы обязаны прекратить обработку и удалить данные, если их дальнейшее хранение не требуется по закону, а о получении запроса и результатах его рассмотрения сообщить клиенту в течение тридцати дней. Заранее продумайте в политике, какие данные придется сохранить и по какому основанию.
-
Нужно ли получать согласие на аудиозапись сессии?
Да, обязательно. Аудио- и видеозапись относятся к персональным данным и могут содержать специальные категории информации. Для их обработки требуется отдельное согласие с указанием цели записи и срока хранения. Запись считается биометрическими данными, только если используется для установления личности, — но даже в этом случае отдельное согласие обязательно, а утечка такой записи повлечет максимальные штрафы.
-
Можно ли использовать Google Календарь для записи клиентов?
Не стоит. Google Календарь — иностранный сервис: база с персональными данными граждан РФ должна храниться на серверах в России (требование локализации действует с 1 сентября 2015 года), а передача данных за рубеж с 1 сентября 2025 года требует уведомления и разрешения Роскомнадзора. Рекомендуется перейти на российские аналоги: Яндекс Календарь, Mail.ru Календарь или другие решения с серверами в России.
-
Как часто нужно обновлять уведомление в Роскомнадзоре?
Уведомление о намерении обрабатывать персональные данные подается один раз. Если изменились сведения об операторе, целях обработки, категориях данных или месте хранения, нужно направить уведомление об изменении — сделать это следует не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения. Если вы прекратили обработку персональных данных, например закрыли практику, уведомление о прекращении подается в течение десяти рабочих дней.
-
Что делать, если произошла утечка персональных данных?
Нужно как можно скорее, но не позднее 24 часов с момента обнаружения, сообщить в Роскомнадзор о случившемся: указать причины утечки, возможные последствия для клиентов и принятые меры. Затем в течение 72 часов провести внутреннее расследование и направить регулятору его результаты. Скрытие утечки или пропуск сроков карается штрафом от 1 до 3 миллионов рублей, поэтому заранее пропишите порядок действий при инциденте в локальном акте.
Повышение квалификации
Бизнес в сфере психологии
Узнать больше
Выдаем официальные документы
Доступ из любой точки мира
Индивидуальный подход
Материалы доступны круглосуточно
Повышение квалификации
Психология
Узнать больше
Выдаем официальные документы
Доступ из любой точки мира
Индивидуальный подход
Материалы доступны круглосуточно
Консультация
по подбору программы
по подбору программы
Персональный менеджер ответит на любой интересующий вопрос
Получить консультацию
Консультация бесплатна
