Можно ли ограничить доступ к интимным фото из клиники или потребовать их удаления, если подписано согласие?

Правовая квалификация фотографий и правовой режим согласия на их обработку

Фотографии обнажённого тела до и после операции — это одновременно (1) информация о состоянии здоровья, то есть специальная категория персональных данных, и (2) информация о частной жизни, интимной сфере. Значит, к ним применяется усиленный режим: обработка таких данных по общему правилу не допускается и возможна лишь по специальным основаниям.

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2 1 настоящей статьи. (В редакции Федерального закона от 24.04.2020 № 123-ФЗ ) 2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; 2) обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10 1 настоящего Федерального закона; (В редакции Федерального закона от 30.12.2020 № 519-ФЗ ) 2 1 ) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии; (Дополнение пунктом - Федеральный закон от 25.11.2009 № 266-ФЗ ) 2 2 ) обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года № 8-ФЗ "О Всероссийской переписи населения"; (Дополнение пунктом - Федеральный закон от 27.07.2010 № 204-ФЗ ) 2 3 ) обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 25.07.
— п. 1 ст. 10 ФЗ № 152-ФЗ

Это ключевая норма для вашей ситуации: снимки обнажённого тела до/после пластической операции безусловно касаются "состояния здоровья" и "интимной жизни", то есть попадают в перечень специальных категорий. Их хранение в архиве клиники само по себе — уже обработка, для которой нужно законное основание.

1. обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
   — п. 4 ч. 2 ст. 10 ФЗ № 152-ФЗ

Здесь важный нюанс, работающий в вашу пользу: "медицинское" основание (без согласия) допускает обработку только тогда, когда она необходима в медико-профилактических целях — для диагноза, лечения, медико-социальных услуг — и только лицом, обязанным хранить врачебную тайну. Демонстрация фото "всему архиву" и доступ к ним любого сотрудника, кто "заходит в архив", с целями диагностики и лечения уже никак не связаны. Поэтому ссылка клиники на "медицинскую необходимость" не оправдывает широкий круг доступа.

Второе основание — ваше согласие. К нему закон предъявляет жёсткие требования.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
— п. 1 ст. 9 ФЗ № 152-ФЗ

Обратите внимание на последнюю фразу: с 2022 года согласие на обработку персональных данных должно быть оформлено отдельным документом, а не "внутри" общей бумаги на медицинское вмешательство. Если вы подписывали одну общую бумагу, где про фото была пара строк, — согласие оформлено ненадлежащим образом.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
— п. 3 ст. 9 ФЗ № 152-ФЗ

Бремя доказывания лежит на клинике, а не на вас. Это прямо отвечает на ваш вопрос "что делать, если скажут, что я сама подписала согласие": если клиника ссылается на согласие, именно она обязана доказать, что оно было получено законно и в надлежащей форме — с указанием цели, перечня данных, действий, срока и способа отзыва. Отсутствие этих реквизитов в подписанной вами бумаге — довод в вашу пользу, а не против вас.

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
— п. 2 ст. 9 ФЗ № 152-ФЗ

Отсюда прямой ответ на главный вопрос: согласие не является необратимым. Подпись под согласием не лишает вас права его отозвать — это закреплено законом. Единственная оговорка: оператор может продолжить обработку без вашего согласия, только если есть самостоятельное основание из перечня закона (например, п. 2–11 ч. 1 ст. 6 или п. 4 ч. 2 ст. 10 ФЗ-152). Для фото "для архива" такого самостоятельного основания нет, поскольку после достижения цели (оценка результата операции) необходимость в хранении отпадает.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— ст. 7 ФЗ № 152-ФЗ, п. 6

Эта норма — фундамент для вашего требования об ограничении доступа: лица, получившие доступ к персональным данным, обязаны не раскрывать и не распространять их без вашего согласия. Показ или "предоставление" снимков любому сотруднику, не участвующему в вашем лечении, — это уже распространение/предоставление персональных данных без согласия. Требование ограничить доступ только лечащим врачом — это не каприз, а требование исполнить ст. 7 закона.

Вывод: ваши фото — специальная категория персональных данных (здоровье, интимная жизнь), их обработка правомерна только при наличии действительного, отдельно оформленного согласия либо сугубо в медико-профилактических целях. Согласие является отзываемым; ссылка клиники на "вы сами подписали" правового значения не имеет — доказывать законность и надлежащий объём согласия обязана сама клиника. Доступ "всего архива" к таким снимкам не соответствует ст. 7 и ст. 10 ФЗ-152, поэтому требование об ограничении доступа либо удалении фото правомерно.

Право потребовать удаления фото и отозвать согласие: порядок и сроки

Вы вправе не ограничиваться сужением доступа, а потребовать полного уничтожения снимков. Закон даёт вам несколько взаимодополняющих инструментов.

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
— ч. 5 ст. 21 ФЗ № 152-ФЗ

Это основной механизм: направив клинике письменный отзыв согласия, вы запускаете её обязанность прекратить обработку и уничтожить данные в срок не более 30 дней с даты поступления отзыва. Обратите внимание на формулировку "в случае, если сохранение персональных данных более не требуется для целей обработки" — по фото до/после операции цель (оценка результата) достигается сразу после использования, поэтому дальнейшее бессрочное хранение "для архива" законом не поддерживается.

{}

Параллельно действует право, не связанное с отзывом согласия как таковым: вы можете потребовать уточнения, блокирования или уничтожения данных, если они незаконно получены или не нужны для заявленной цели.

Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— п. 1 ст. 14 ФЗ № 152-ФЗ

Здесь важно, что это самостоятельное требование: даже если клиника будет утверждать, что согласие у неё есть, вы можете требовать уничтожения данных со ссылкой на то, что они не являются необходимыми для заявленной цели ("архив для сравнения до/после" перестаёт быть актуальным) или получены незаконно (ненадлежаще оформленное согласие).

Если клиника не исполнит требование добровольно, включается механизм принудительного прекращения неправомерной обработки.

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя
   — ч. 3 ст. 21 ФЗ № 152-ФЗ

Эта норма задаёт короткие сроки: 3 рабочих дня — прекратить неправомерную обработку; до 10 рабочих дней — уничтожить данные, если правомерность обеспечить невозможно. Клиника обязана письменно уведомить вас об уничтожении. Требование об уничтожении с указанием, что данные обрабатывались с нарушением закона, активирует именно этот ускоренный порядок.

Также вы вправе использовать предусмотренный законом механизм "запрета на распространение", если вам нужно не только прекратить внутренний доступ, но и юридически связать клинику запретом передавать эти данные куда-либо.

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
— ч. 1 ст. 10.1 ФЗ № 152-ФЗ

1. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.
   — ч. 4 ст. 10.1 ФЗ № 152-ФЗ

Это работает так: если в согласии не было отдельного пункта о согласии на распространение (а его почти никогда не бывает в клиниках), клиника в принципе не вправе никому передавать ваши фото — она обрабатывает их "без права распространения". Любая передача снимков третьему лицу автоматически становится нарушением.

Вывод: вы можете выбрать любую из двух стратегий либо применить их вместе. (1) Ограничить доступ — потребовать предоставления доступа к снимкам только лечащему врачу (а также иным лицам, участвующим в обследовании и лечении), со ссылкой на ст. 7 и ст. 10 ФЗ-152. (2) Потребовать уничтожения — направить письменный отзыв согласия (по п. 2 ст. 9 ФЗ-152) и (или) требование об уничтожении данных как не необходимых для цели (п. 1 ст. 14 ФЗ-152); срок исполнения — до 30 дней по отзыву согласия и 3–10 рабочих дней при выявлении неправомерной обработки (ч. 3, 5 ст. 21 ФЗ-152). Об уничтожении клиника обязана вас письменно уведомить.

Врачебная тайна: почему широкий доступ к снимкам неправомерен даже при наличии согласия

Даже если согласие было подписано, оно не отменяет режим врачебной тайны. Фотографии вашего тела до/после операции — это сведения, полученные при медицинском обследовании и лечении, то есть составная часть врачебной тайны.

Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну.
— ч. 1 ст. 13 ФЗ № 323-ФЗ

Не допускается разглашение сведений, составляющих врачебную тайну, в том числе после смерти человека, лицами, которым они стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей, за исключением случаев, установленных частями 3 и 4 настоящей статьи.
— ч. 2 ст. 13 ФЗ № 323-ФЗ

Обратите внимание на слова "лицами, которым они стали известны при исполнении трудовых, должностных, служебных и иных обязанностей". Это означает: доступ к таким сведениям имеют не "все сотрудники, кто заходит в архив", а только те, кому сведения нужны в связи с исполнением обязанностей по вашему лечению. Бесконтрольный доступ третьих сотрудников прямо противоречит ч. 2 ст. 13 ФЗ-323.

Разглашение сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях, использования в учебном процессе и в иных целях допускается с письменного согласия гражданина или его законного представителя. Согласие на разглашение сведений, составляющих врачебную тайну, может быть выражено также в информированном добровольном согласии на медицинское вмешательство.
— ч. 3 ст. 13 ФЗ № 323-ФЗ

Из этой нормы следует два вывода для вашей ситуации. Во-первых, разглашение сведений, составляющих врачебную тайну, третьим лицам (в том числе работникам, не участвующим в вашем лечении) допускается только с вашего письменного согласия, данного на разглашение — а не на обработку персональных данных. Это два разных согласия. Во-вторых, даже письменное согласие на разглашение должно быть конкретным: оно должно определять, кому и какие сведения могут быть раскрыты. Подписанная вами "какая-то бумага" с невнятной формулировкой, если она не называет конкретных получателей, не создаёт права показывать ваши фото всем сотрудникам.

Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну.
— ч. 1 ст. 13 ФЗ № 323-ФЗ

Дополнительно закон закрепляет, что сведения о состоянии здоровья предоставляются пациенту лично лечащим врачом или иными медработниками, непосредственно участвующими в обследовании и лечении.

Информация о состоянии здоровья предоставляется пациенту лично лечащим врачом или другими медицинскими работниками, принимающими непосредственное участие в медицинском обследовании и лечении.
— ч. 2 ст. 22 ФЗ № 323-ФЗ

Это подтверждает и интересующий вас вопрос о круге лиц: закон сам очерчивает круг — лечащий врач и медицинские работники, участвующие в обследовании и лечении. Именно на этот круг (плюс сотрудники, обеспечивающие обработку в объёме, необходимом для этих целей) и следует ориентироваться, формулируя требование об ограничении доступа.

Вывод: фотографии до/после операции охватываются режимом врачебной тайны (ч. 1 ст. 13 ФЗ-323). Разглашение таких сведений допустимо только с отдельного письменного согласия на разглашение либо в исчерпывающих случаях ч. 4 ст. 13 ФЗ-323 (например, по запросу органов следствия и суда), к которым "доступ сотрудников архива клиники" не относится. Ваше требование ограничить доступ только лечащим врачом и иными мед работниками, участвующими в лечении, соответствует и ч. 2 ст. 13 ФЗ-323, и ч. 2 ст. 22 ФЗ-323.

Гражданско-правовая защита: удаление изображения, требование о пресечении распространения и компенсация

Помимо режима персональных данных и врачебной тайны, ваши фото защищаются нормами ГК РФ об изображении и частной жизни — а это даёт независимое право требовать удаления, не зависящее от наличия или отсутствия согласия.

Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина.
— п. 1 ст. 152.1 ГК РФ

Эта норма защищает изображение гражданина как таковое: использование и обнародование фотографии допускаются только с согласия. Съёмка "для архива" — это разрешение на конкретное использование, и оно не означает согласия на любые иные формы использования; при отзыве согласия дальнейшее использование лишается основания.

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
— п. 1 ст. 152.2 ГК РФ

Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах.
— п. 2 ст. 152.2 ГК РФ

Нормы о частной жизни прямо охватывают "сбор, хранение, распространение и использование" любой информации о частной жизни, к которой относятся и фото обнажённого тела. Особенно важна ч. 2 ст. 152.2 ГК РФ для вашей ситуации: стороны обязательства (вы и клиника как исполнитель медицинской услуги) не вправе разглашать ставшую известной при исполнении обязательства информацию, если соглашением прямо не предусмотрена возможность разглашения. То есть право знакомиться с вашими снимками не следует автоматически из факта "доступа в архив" — таких сотрудников надо прямо уполномочить, иначе это разглашение.

В случаях, когда информация о частной жизни гражданина, полученная с нарушением закона, содержится в документах, видеозаписях или на иных материальных носителях, гражданин вправе обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих соответствующую информацию, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации невозможно.
— п. 4 ст. 152.2 ГК РФ

Это — механизм принудительного уничтожения: вы вправе обратиться в суд с требованием об удалении информации, содержащейся в материальных носителях (снимках), и о пресечении или запрещении дальнейшего её распространения, вплоть до изъятия и уничтожения носителей без компенсации. А если фото попали в интернет (например, на сайт клиники или в соцсети) — действует специальное право требовать удаления изображения из сети.

Если изображение гражданина, полученное или используемое с нарушением пункта 1 настоящей статьи, распространено в сети "Интернет", гражданин вправе требовать удаления этого изображения, а также пресечения или запрещения дальнейшего его распространения.
— п. 3 ст. 152.1 ГК РФ

Отдельно про "фиксацию" права на защиту: нематериальные блага защищаются как пресечением нарушений, так и признанием факта нарушения судом.

Нематериальные блага защищаются в соответствии с настоящим Кодексом и другими законами в случаях и в порядке, ими предусмотренных, а также в тех случаях и пределах, в каких использование способов защиты гражданских прав (статья 12) вытекает из существа нарушенного нематериального блага или личного неимущественного права и характера последствий этого нарушения. В случаях, если того требуют интересы гражданина, принадлежащие ему нематериальные блага могут быть защищены, в частности, путем признания судом факта нарушения его личного неимущественного права, опубликования решения суда о допущенном нарушении, а также путем пресечения или запрещения действий, нарушающих или создающих угрозу нарушения личного неимущественного права либо посягающих или создающих угрозу посягательства на нематериальное благо.
— п. 2 ст. 150 ГК РФ

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ, п. 2

Эта статья — денежный механизм: нарушение личных неимущественных прав даёт вам право требовать компенсации морального вреда. Для нашей ситуации это ключевой рычаг: клинике выгоднее добровольно уничтожить фото, чем доводить дело до суда.

Размер компенсации морального вреда определяется судом в зависимости от характера причиненных потерпевшему физических и нравственных страданий, а также степени вины причинителя вреда в случаях, когда вина является основанием возмещения вреда. При определении размера компенсации вреда должны учитываться требования разумности и справедливости. Характер физических и нравственных страданий оценивается судом с учетом фактических обстоятельств, при которых был причинен моральный вред, и индивидуальных особенностей потерпевшего. Глава 60. Обязательства вследствие неосновательного обогащения
— п. 1 ст. 1101 ГК РФ

Размер компенсации определяется судом с учётом характера страданий, степени вины и требований разумности и справедливости. Поскольку фото — обнажённого тела, интимная сфера, и доступ к ним получил неопределённый круг сотрудников, суд, при доказанности нарушения, оценивает нравственные страдания как значительные.

Вывод: даже независимо от режима персональных данных, вы вправе требовать удаления фото (п. 4 ст. 152.2 ГК РФ), пресечения их распространения и компенсации морального вреда (ст. 151, п. 1 ст. 1101 ГК РФ). Внутренний доступ сотрудников клиники к вашим снимкам без прямого уполномочия — это разглашение информации, полученной при исполнении обязательства, нарушающее п. 2 ст. 152.2 ГК РФ. Если фото окажутся где-либо опубликованы — включается дополнительно п. 1 и 3 ст. 152.1 ГК РФ.

Процедура реализации прав: куда обращаться, сроки и ответственные лица

Первый шаг — письменное обращение к оператору. У вас есть право запросить у клиники сведения об обработке ваших данных, включая ключевой для вас вопрос — сроки хранения и круг лиц с доступом.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей: 1) подтверждение факта обработки персональных данных оператором; 2) правовые основания и цели обработки персональных данных; 3) цели и применяемые оператором способы обработки персональных данных; 4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона; 5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом; 6) сроки обработки персональных данных, в том числе сроки их хранения;
— п. 7 ст. 14 ФЗ № 152-ФЗ

Особенно важны пункты 4 и 6 приведённой нормы — они прямо отвечают на ваш вопрос ("кто именно сможет смотреть снимки" и "про срок хранения ничего не помню"): клиника обязана сообщить вам и сведения о лицах, которые имеют доступ к персональным данным, и сроки обработки и хранения.

Сведения, указанные в части 7 настоящей статьи, предоставляются субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Оператор предоставляет сведения, указанные в части 7 настоящей статьи, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 4.
— п. 3 ст. 14 ФЗ № 152-ФЗ

Срок ответа — 10 рабочих дней (может быть продлён на 5 рабочих дней с мотивированным уведомлением). Запрос должен содержать паспортные данные, сведения о договоре/обращении (например, номер договора на оказание услуг, дата) и подпись; можно направить в электронной форме с электронной подписью.

Второй шаг — если откажут или проигнорируют. Тогда включается право на обжалование.

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
— п. 1 ст. 17 ФЗ № 152-ФЗ

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
— п. 2 ст. 17 ФЗ № 152-ФЗ

Уполномоченным органом по защите прав субъектов персональных данных является Роскомнадзор; туда можно подать жалобу, а за компенсацией морального вреда и убытками — в суд. Одновременно можно обратиться в прокуратуру (надзор) и, при наличии признаков преступления, в органы следствия.

Ответственность, нависающая над клиникой. Это ваш аргумент в переговорах.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
— ч. 2 ст. 13.11 КоАП РФ

Обработка персональных данных без надлежащего письменного согласия — штраф для юридического лица от 300 тыс. до 700 тыс. рублей; должностного лица — от 100 тыс. до 300 тыс. рублей.

Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до сорока тысяч рублей; на юридических лиц - от пятидесяти тысяч до девяноста тысяч рублей.
— ч. 5 ст. 13.11 КоАП РФ

Невыполнение требования об уточнении/блокировании/уничтожении данных в срок — штраф для юридического лица от 50 тыс. до 90 тыс. рублей. То есть даже само игнорирование вашего требования наказуемо.

Кто персонально отвечает. Основной оператор и ответчик — медицинская организация (клиника); её сотрудники несут дисциплинарную (ТК РФ), а должностные лица — административную ответственность; при доказанном незаконном распространении сведений — уголовную.

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации
— ч. 1 ст. 137 УК РФ

Те же деяния, совершенные лицом с использованием своего служебного положения, - наказываются штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо принудительными работами на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового, либо арестом на срок до шести месяцев, либо лишением свободы на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет.
— ч. 2 ст. 137 УК РФ

Квалифицирующий признак ч. 2 ст. 137 УК РФ ("с использованием служебного положения") прямо рассчитан на врачей и иных сотрудников клиники, получивших доступ к сведениям по работе. Применительно к фото обнажённого тела и сведений о состоянии здоровья это требует отдельной оценки органов следствия.

Подсудность и давность. Если дело дойдёт до суда, вы вправе искать суд по своему месту жительства.

Иски о защите прав субъекта персональных данных, в том числе о возмещении убытков и (или) компенсации морального вреда, могут предъявляться также в суд по месту жительства истца.
— ч. 6.1 ст. 29 ГПК РФ

Общий срок исковой давности составляет три года со дня, определяемого в соответствии со статьей 200 настоящего Кодекса.
— ст. 196 ГК РФ, п. 1

Общий срок исковой давности — три года. Для требований о пресечении длящегося нарушения (непрекращающееся хранение и возможное распространение) течение срока исчисляется по правилам ст. 200 ГК РФ, поэтому обращение следует направлять незамедлительно — уже сам факт продолжения хранения после вашего требования образует нарушение.

Вывод: направьте клинике письменный запрос-требование с паспортными данными и ссылкой на договор, указав два варианта: (1) ограничение доступа только лечащим врачом и участвующими в лечении медработниками; (2) отзыв согласия и уничтожение всех снимков в срок до 30 дней (по отзыву согласия) либо 3–10 рабочих дней (при выявлении неправомерной обработки). Одновременно потребуйте сведения о лицах, имеющих доступ, и о сроке хранения. При отказе или бездействии обращайтесь в Роскомнадзор с жалобой и в суд по своему месту жительства (ч. 6.1 ст. 29 ГПК РФ) с требованием об удалении изображения, пресечении распространения и компенсации морального вреда; по факту незаконного распространения сведений — в органы следствия (ст. 137 УК РФ).

Ограничение доступа вместо удаления: как оформить и на что опереться

Вы спрашиваете, можно ли ограничить доступ только лечащим врачом. Можно — и для этого есть самостоятельный правовой механизм, независимый от уничтожения фото.

В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается.
— ч. 9 ст. 10.1 ФЗ № 152-ФЗ

Эта норма даёт вам право установить запреты и условия на обработку ваших персональных данных — и отказ оператора в установлении таких условий не допускается. Применительно к вашей ситуации это означает: вы вправе письменно зафиксировать условие, что доступ к вашим снимкам предоставляется исключительно лечащему врачу и медицинским работникам, непосредственно участвующим в обследовании и лечении, а предоставление доступа иным сотрудникам (администраторам, сотрудникам архива, не участвующим в лечении) запрещено.

При этом важно не смешивать два института. Ст. 10.1 ФЗ-152 регулирует данные, разрешённые для распространения неограниченному кругу лиц. Если вы дали согласие лишь на внутреннюю обработку "для архива", оно не является согласием на распространение, и клиника в силу ч. 4 ст. 10.1 обрабатывает данные "без права распространения". Ваше требование ограничить доступ — это, по сути, восстановление законного режима, при котором доступ к ПДн имеют только лица, которым это необходимо для служебных обязанностей.

Дополнительно режим ограничения круга лиц закреплён нормами о врачебной тайне.

Разглашение сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях, использования в учебном процессе и в иных целях допускается с письменного согласия гражданина или его законного представителя.
— ч. 3 ст. 13 ФЗ № 323-ФЗ

Не допускается разглашение сведений, составляющих врачебную тайну, в том числе после смерти человека, лицами, которым они стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей, за исключением случаев, установленных частями 3 и 4 настоящей статьи.
— ч. 2 ст. 13 ФЗ № 323-ФЗ

Из этих норм следует: разглашение (то есть ознакомление иных лиц) сведений, составляющих врачебную тайну, допускается только с вашего письменного согласия на разглашение, причём оно должно конкретно определять цели и, применительно к вашему запросу, круг получателей. Широкого "доступа всего архива" иные сотрудники клиники не имеют в силу ч. 2 ст. 13 ФЗ-323 — она запрещает разглашение лицам, которым сведения стали известны при исполнении обязанностей, "за исключением случаев, установленных частями 3 и 4". Ваш отказ дать такое согласие (или отзыв ранее данного) вновь делает доступ посторонних сотрудников неправомерным.

Вывод: да, вместо удаления вы вправе потребовать ограничения доступа до круга "лечащий врач + медработники, участвующие в обследовании и лечении". Правовая база: ч. 9 ст. 10.1 ФЗ-152 (право устанавливать условия и запреты обработки, отказ в которых не допускается), ч. 2 и 3 ст. 13 ФЗ-323 (разглашение лишь с письменного согласия), ст. 7 ФЗ-152 (конфиденциальность). Требование оформите письменно — отдельным заявлением с перечнем лиц (или категории лиц), которым запрещается доступ. Подсудность, сроки и органы те же, что описаны выше: при отказе — Роскомнадзор и суд по месту вашего жительства (ч. 6.1 ст. 29 ГПК РФ).