Пациент имеет право отозвать согласие на обработку персональных данных и потребовать их удаления — это называют правом на забвение. Клиника обязана отреагировать в срок, который задаёт закон, но удалить всё сразу нельзя: медицинская документация хранится по обязательным срокам Минздрава. Разбираем, что удаляется, а что остаётся, как система и голосовой робот помечают и обрабатывают такой запрос и как оформить аудит удаления, чтобы подтвердить исполнение.
Право на забвение пациента — это его возможность отозвать согласие на обработку данных и потребовать их удаления. Клиника обязана рассмотреть запрос в установленный законом срок, удалить то, что не защищено обязательными сроками хранения, и подтвердить действие. Часть данных при этом остаётся: медкарта хранится по нормам Минздрава, и стереть её по требованию нельзя.
Задача сводится к тому, чтобы отделить удаляемое от обязательного к хранению. Система должна уметь помечать запрос, разграничивать типы данных и фиксировать факт исполнения.
Разберём процесс по шагам: от отзыва согласия до аудита удаления и того, какую роль в нём играет голосовой робот.
Согласие на обработку данных пациент даёт добровольно — и так же может его отозвать. С этого момента клиника теряет основание обрабатывать данные для тех целей, где согласие было единственным основанием, например для маркетинговых рассылок. Запрос на удаление — это оформленное требование убрать данные, которые больше не нужно хранить по закону.
Важно различать две вещи: отзыв согласия прекращает обработку на будущее, а требование удаления касается уже накопленных данных. Часто они приходят вместе, но правовые последствия у них разные.
Клиника не обязана удалять данные, которые она хранит на другом законном основании — например, по медицинскому законодательству. Об этом исключении дальше.
Отзыв согласия и удаление данных — не синонимы, хотя пациенты часто подают их одним обращением. Отзыв согласия останавливает дальнейшую обработку по этому основанию: клиника перестаёт звонить, писать, использовать данные для рекламы. Удаление — физическое или логическое стирание записей, которое возможно только для тех данных, что не защищены обязательными сроками хранения.
На практике это значит: после отзыва согласия маркетинговый контакт останавливается сразу, а медкарта продолжает храниться до истечения установленного срока. Смешивать эти два действия нельзя.
Система должна поддерживать оба сценария раздельно: флаг «обработка запрещена» и запрос «удалить то, что можно удалить».
Медицинская документация — исключение из права на удаление. Медицинская карта и связанные документы хранятся по срокам, которые устанавливает медицинское законодательство и приказы Минздрава, а не желанием сторон. Пока этот срок не истёк, клиника обязана хранить карту, даже если пациент отозвал согласие и просит всё стереть. Это законная обязанность, а не отказ клиники.
Сроки хранения зависят от типа документа и исчисляются годами — по разным категориям это от 5 до 25 лет и более. Удалить карту раньше срока клиника не вправе.
Поэтому корректный ответ пациенту звучит так: маркетинговые данные удалим, обработку прекратим, но медкарту обязаны хранить до конца установленного срока.
Разделите данные на две группы. Удалить по запросу можно то, что хранится на основании согласия и не входит в медицинскую документацию: маркетинговые контакты, согласие на рассылку, записи звонков вне медкарты, пометки для рекламы. Нельзя удалить то, что защищено обязательными сроками: саму медкарту, документы учёта, данные бухгалтерского и налогового хранения.
Практичный подход — заранее разметить в системе, какое поле к какой категории относится. Тогда обработка запроса не превращается в ручной разбор каждой записи.
Закон о персональных данных задаёт срок, в который оператор обязан ответить на обращение субъекта. По общему правилу рассмотреть запрос и дать ответ нужно в течение установленного законом периода — как правило, до 30 дней с момента обращения. Молчание или отказ без основания — нарушение, за которое отвечает клиника.
Отсчёт начинается с даты, когда клиника получила и идентифицировала обращение. Поэтому важно фиксировать момент поступления запроса — это часть аудита.
Если часть данных удалить нельзя, в срок нужно не удалить их, а мотивированно объяснить пациенту причину — со ссылкой на обязательные сроки хранения.
Запрос пациент подаёт способом, который клиника заранее описала в политике обработки данных: письменно, через личный кабинет, по электронной почте или устно с последующей идентификацией. Ключевое требование — подтвердить, что запрос исходит именно от субъекта данных, а не от постороннего. Без идентификации удалять данные по чужой просьбе опасно.
Голосовой канал тоже может быть точкой входа: пациент звонит и говорит, что отзывает согласие. Робот обязан корректно зафиксировать такое обращение и передать его на обработку.
Юридические рамки работы с данными в звонках подробно разобраны в материале про 152-ФЗ и голосовые боты.
Технически запрос на удаление — это не мгновенное стирание, а статус в карточке. Система ставит пометку «запрошено удаление» и «согласие отозвано», после чего блокирует данные для маркетинга и обработки, а удаляемые поля ставит в очередь на стирание. Такой подход позволяет исполнить требование и одновременно сохранить обязательное к хранению.
Пометка запускает связанную логику: рассылки останавливаются, робот перестаёт использовать контакт для исходящих, а удаляемые данные обрабатываются по расписанию.
Как звонок может автоматически запускать цепочку действий в CRM, показано в материале про триггерные сценарии в CRM.
Голосовой робот не удаляет данные самостоятельно — это было бы опасно. Его задача узкая: распознать, что пациент отзывает согласие или просит удаления, зафиксировать обращение в карточке и передать его ответственному сотруднику. Робот ставит пометку и эскалирует, а решение об удалении принимает человек в рамках регламента клиники.
Так устроено намеренно: удаление — необратимое действие с юридическими последствиями, и автоматизировать его без контроля нельзя. Робот ускоряет приём обращения, но не заменяет проверку.
При этом сам робот собирает только необходимый минимум данных и не хранит лишнего — это снижает объём, который вообще придётся удалять.
Записи звонков и маркетинговые контакты — типичные кандидаты на удаление после отзыва согласия, если они не являются частью медкарты. Аудиозаписи и расшифровки, которые велись для контроля качества или рекламы, при отзыве согласия должны быть удалены или обезличены. Маркетинговый профиль пациента отключается от рассылок и стирается из рекламных сегментов.
Здесь важно не удалить лишнего: если запись звонка привязана к оказанию помощи, она может подпадать под обязательное хранение. Разметка категорий снова выручает.
Как устроен поиск и работа с расшифровками звонков, разобрано в материале про поиск по расшифровкам звонков.
Когда данные удалить нельзя, но снизить риск нужно, применяют псевдонимизацию. Медкарту стереть до срока запрещено, зато можно ограничить к ней доступ и отделить прямые идентификаторы, чтобы данные использовались только по назначению. Для аналитики и отчётности вместо реальных имён используют обезличенные или псевдонимизированные наборы, где личность не раскрывается.
Это компромисс между двумя обязанностями: хранить медкарту по закону и минимизировать использование персональных данных. Псевдонимизация не заменяет удаление, но снижает поверхность риска.
Кто и на каком уровне имеет доступ к медданным, разобрано в материале про права доступа к медданным в CRM.
Удаление без следа — плохая практика: клиника должна уметь доказать, что запрос исполнен корректно и в срок. Поэтому каждый шаг фиксируется в журнале: когда поступил запрос, что удалено, что оставлено и почему, кто подтвердил. Аудит-лог превращает удаление из «стёрли и забыли» в контролируемую и проверяемую операцию.
Такой журнал защищает и пациента, и клинику: пациент получает подтверждение, а клиника — доказательство исполнения на случай проверки регулятором.
Важно логировать и обоснованный отказ: если медкарту удалить нельзя, в журнале остаётся причина со ссылкой на срок хранения.
Частые ошибки — удалить медкарту по требованию вопреки срокам хранения, проигнорировать запрос и пропустить срок ответа, стереть данные без идентификации заявителя или, наоборот, отказать во всём под предлогом медицинской тайны. Каждая крайность создаёт риск: либо нарушение сроков хранения, либо нарушение права пациента. Баланс задаёт заранее описанный регламент.
Ещё одна ошибка — удалять данные из основной базы, но забывать про резервные копии, выгрузки и рекламные системы. По разным оценкам, до 30% запросов исполняются лишь частично именно из-за забытых копий. Удаление должно охватывать все копии удаляемых данных.
Отсутствие аудита — тоже ошибка: без журнала клиника не сможет подтвердить, что исполнила запрос правильно.
Закон о персональных данных даёт субъекту право отозвать согласие и требовать прекращения обработки и удаления данных, обрабатываемых с нарушением или без основания. Одновременно закон допускает хранение данных на других основаниях — в том числе по медицинскому законодательству. Право на забвение реализуется в этих рамках: удаляется удаляемое, хранится обязательное.
Практический вывод для клиники: нужен документированный процесс, который различает основания обработки и умеет исполнить запрос частично, объяснив остальное. Текст закона доступен на consultant.ru.
Как персональные данные корректно обрабатываются в исходящем обзвоне, разобрано в материале про 152-ФЗ и персональные данные в обзвоне.
Начните с карты данных: какие данные о пациенте хранятся, на каком основании и в каких системах. Затем разметьте, что удаляемо по запросу, а что защищено сроками хранения. Опишите регламент приёма и исполнения запроса, назначьте ответственного и включите аудит-лог. Робот в этой схеме принимает обращение и эскалирует, но не удаляет сам.
Такая подготовка превращает пугающий запрос на забвение в понятную операцию, которую система исполняет предсказуемо и в срок.
Проверить, как голосовой робот принимает и фиксирует обращение об отзыве согласия, можно бесплатно 7 дней без карты и убедиться, что он собирает только необходимый минимум данных.
7 дней бесплатно, без карты. Подключение к вашему номеру за 15 минут.