GDPR для сайта клиники: согласия, cookies и данные на серверах в ЕС

GDPR для сайта клиники: распределение ролей

Когда клиника принимает пациентов из стран ЕС или запускает сайт на других языках, вопрос защиты данных пациентов в ЕС возникает сразу. Здесь важно разделить две части работы. Юридическая – какие данные можно собирать, на каком основании, как долго хранить и что написать в политике – принадлежит юристу клиники. Техническая – как сайт собирает согласия, когда запускает аналитику, где хранит данные и у кого к ним есть доступ – принадлежит нам. GDPR для сайта клиники с нашей стороны означает именно техническую часть, и эту границу мы четко фиксируем в договоре.

Согласия в формах

Медицинский сайт собирает данные в нескольких местах: запись на прием, заявка на консультацию, смета, подписка на новости. Для каждой формы настраиваем отдельные пункты согласия: обработка заявки отдельно, рассылка отдельно, со ссылкой на политику конфиденциальности рядом. Без обязательного согласия форма не отправляется. Тексты согласий готовит юрист клиники, мы ставим их в каждую языковую версию. Формы сайта не принимают файлы, поэтому медицинские документы не попадают в заявки случайно: администратор объясняет пациенту, как передать их безопасно.

Cookies, аналитика и реклама

Большинство медицинских сайтов использует аналитику и рекламные пиксели. Баннер cookies на платформе Light-med имеет две кнопки: согласиться или отказаться. Пока баннер включен, GA4, GTM и пиксель Meta ждут согласия посетителя и не запускаются до него. Технические cookies, без которых не работают формы, действуют всегда. Если пациент отказался от аналитики, часть визитов не попадет в отчеты – мы объясняем клинике, как это учитывать при оценке рекламы. Нужен ли баннер именно вашему сайту и какой текст в нем должен быть, решает юрист.

Где хранятся данные

Сайт и данные из форм хранятся на серверах в странах ЕС. Заявки приходят в админку клиники, поэтому данные пациентов не расходятся по личным ящикам и мессенджерам сотрудников. Обмен данными идет через HTTPS, файлы с результатами в кабинете пациента хранятся в зашифрованном виде. Ежедневные резервные копии позволяют восстановить данные после сбоя.

У кого есть доступ

Для GDPR медицинский сайт должен обеспечить две одинаково важные вещи: чтобы доступ к данным был только у нужных людей и чтобы это можно было показать. На платформе каждый сотрудник получает роль с правами только к своим разделам. Администраторы входят с двухфакторным подтверждением. Журнал доступа фиксирует, кто и когда просматривал или менял данные. Доступ уволенного сотрудника или подрядчика закрывается сразу.

Владелец и распорядитель

Клиника – владелец персональных данных пациентов, мы – распорядитель по договору и обрабатываем данные по инструкциям клиники. Договор распорядителя подписываем в электронном виде. Тексты, фото, прайс и данные пациентов принадлежат клинике. Для юриста готовим техническое описание сайта: формы и поля, cookies и сторонние сервисы, место хранения данных, роли доступа. С этим описанием ему проще подготовить документы.

Чего мы не делаем

Мы не выдаем сертификатов соответствия, не пишем юридических заключений и не оцениваем, достаточно ли мер для конкретной клиники. GDPR для сайта клиники с нашей стороны – это технические настройки, которые делают сайт таким, как описано в ваших документах. Оставьте заявку, и мы бесплатно оценим текущий сайт и рассчитаем стоимость настроек.