Далее, результаты диагностики, особенно если они касаются здоровья или психологических особенностей, могут относиться к специальной категории персональных данных. В силу части 1 статьи 10 Федерального закона «О персональных данных» обработка таких данных (в том числе передача) по общему правилу не допускается. Исключения, когда обработка возможна без согласия, перечислены в части 2 этой же статьи. В вашей ситуации ни одно из них не применимо: речь не идет о защите жизни и здоровья при невозможности получить согласие (пункт 3), а условие договора и прямой отказ родителя исключают иные основания. Следовательно, передача результатов диагностики третьим лицам (городскому отделу образования) возможна только с вашего письменного согласия.
Обработка специальных категорий персональных данных, касающихся ... состояния здоровья, ... не допускается, за исключением случаев, предусмотренных частями 2 и 2.1 настоящей статьи.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 10
Статья 6 того же закона устанавливает общие основания обработки персональных данных. Согласие субъекта (пункт 1 части 1) — одно из них. Другое основание — обработка необходима для осуществления функций, возложенных законодательством (пункт 2 части 1). Однако, если детский сад ссылается на обязательную передачу данных в городской отдел образования, нужно выяснить, какой именно закон или нормативный акт прямо возлагает на детский сад такую обязанность. Сама по себе отсылка к «обязательному требованию» без ссылки на конкретный федеральный закон не является достаточным основанием. Если такой закон отсутствует, то действует общее правило: обработка осуществляется с согласия. Вы, отзывая согласие или не давая его, делаете передачу незаконной.
Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Принцип добровольности и конкретности согласия закреплен в статье 9 Федерального закона «О персональных данных». Вы вправе не давать согласие вообще, а если уже дали — отозвать его в любой момент. После отзыва согласия сад должен прекратить передачу данных, если только нет иного законного основания (пункт 2 части 1 статьи 6). Поскольку вы считаете передачу незаконной, вы можете отозвать согласие, и это будет означать запрет на распространение результатов.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Что касается ссылок работников сада на обязательный мониторинг системы образования (статья 97 Закона об образовании), то эта норма устанавливает информационную открытость, но не обязывает передавать обезличенные или персональные данные конкретных детей без согласия родителей. Статья 97 не содержит прямого указания на передачу индивидуальных результатов диагностики в отдел образования — как правило, такие данные передаются в агрегированном (обезличенном) виде. Поэтому данный довод не может оправдать передачу персональных данных без вашего согласия.
Таким образом, ваше право отказаться от передачи результатов диагностики прямо вытекает из федерального закона. Условие договора с детским садом о необходимости согласия родителей на передачу данных является лишь конкретизацией этих норм и имеет приоритет перед любыми муниципальными или региональными актами, которые не основаны на федеральном законе. Вы можете аргументировать свой отказ ссылкой на подпункт 6 пункта 3 статьи 44 Закона об образовании (право отказаться от обследования и не передавать результаты) и на статьи 6, 9, 10 Закона о персональных данных (необходимость согласия на передачу, особенно если данные касаются здоровья).