Что такое специальные персональные данные?

Специальные категории персональных данных - это сведения о расе, национальности, политических взглядах, религии, состоянии здоровья, интимной жизни и судимости человека, перечень дан в статье 10 ФЗ-152. По умолчанию их обработка запрещена: разрешение действует только в конкретных случаях из той же статьи, чаще всего при отдельном письменном согласии субъекта. Диагноз в форме записи к врачу - ровно такой случай.

Письменное согласие на обработку специальных данных - это не строчка в общей политике сайта, а отдельный документ или отдельный экран с явным "да", где человек понимает, какие именно сведения о здоровье собираются и зачем. Обычный чекбокс "согласен с политикой конфиденциальности" для диагноза не подходит: он покрывает только имя, телефон и email, то есть иные персональные данные, но не специальную категорию.

Для медицинского сайта добавляются и технические требования: данные о диагнозах нужно хранить отдельно от общей базы клиентов, ограничить доступ к ним по ролям - регистратор не должен видеть то же, что видит врач, - а передачу данных в CRM или мессенджер администратора шифровать. Статья 10 предусматривает исключения без согласия, например если обработка нужна для оказания медицинской помощи и сам субъект не может дать согласие, но это скорее ситуация приёмного покоя, чем формы записи на сайте.

На практике для формы записи это значит три вещи: отдельный экран согласия именно на обработку данных о здоровье, чёткое описание, кто увидит диагноз и зачем, и техническое разделение доступа в CRM клиники. Для медицинской организации риски выше, чем для обычного интернет-магазина, поэтому такую форму стоит согласовать с юристом до запуска, а не после первой жалобы пациента.