Правовой анализ ситуации основан на нормах Федерального закона «О персональных данных» (152-ФЗ), Гражданского кодекса РФ и КоАП РФ. Для начала необходимо установить, что СНИЛС, номер полиса ОМС и паспортные данные относятся к персональным данным — любая информация, относящаяся к прямо или косвенно определённому физическому лицу. Согласно ст.3 Федерального закона №152-ФЗ, под персональными данными понимается любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Сбор данных на дому является формой обработки, поскольку сбор входит в перечень действий, составляющих обработку (п.3 ст.3).
"Статья 3 содержит определения: персональные данные (п.1), оператор (п.2), обработка персональных данных (п.3), включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.3
Поликлиника как медицинская организация является оператором персональных данных. Обработка допускается с согласия субъекта либо в иных случаях, предусмотренных законом. Часть 1 ст.6 152-ФЗ устанавливает, что обработка персональных данных должна осуществляться с соблюдением принципов и правил и допускается, в частности, с согласия субъекта (п.1) или когда это необходимо для осуществления и выполнения возложенных законодательством на оператора функций (п.2). В данном случае поликлиника может ссылаться на выполнение обязанностей по ведению регистров прикреплённого населения, оказанию медицинской помощи — эти функции установлены законодательством об ОМС. Однако сбор данных на дому, а не в стенах учреждения, не является типичным способом исполнения таких обязанностей. Если такой способ прямо не предусмотрен нормативным актом, то единственным законным основанием остаётся добровольное согласие гражданина.
"1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;"
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.6
Поскольку сбор происходит вне медицинского учреждения и инициирован самой поликлиникой, гражданин вправе потребовать чёткого обоснования законности такого способа. Если ему не разъяснят, что сбор обязателен в силу закона, он может отказаться. Статья 18 152-ФЗ возлагает на оператора обязанность при сборе персональных данных предоставить субъекту по его просьбе информацию, предусмотренную частью 7 статьи 14, а также, если предоставление данных является обязательным в силу закона, разъяснить юридические последствия отказа. В рассматриваемой ситуации гражданину не были представлены такие разъяснения; более того, он сам сомневается в обязательности сбора.
"Статья 18. Обязанности оператора при сборе персональных данных. 1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона. 2. Если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.18
Согласие на обработку персональных данных должно отвечать требованиям ст.9 152-ФЗ: оно даётся свободно, своей волей и в своём интересе, должно быть конкретным, предметным, информированным, сознательным и однозначным. Кроме того, согласие должно быть оформлено отдельно от иных документов. При визите на дом гражданин не подписывал отдельного документа о согласии; сам факт передачи данных на дом не равноценен такому согласию. Отсутствие оформленного в установленном порядке согласия делает обработку (включая сбор) неправомерной.
"Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.9
Особого внимания заслуживает документ, предъявленный представителем, — копия приказа и.о. главного врача без номера, только с датой и подписью. Вопрос полномочий представителя регулируется Гражданским кодексом. Согласно ст.182 ГК РФ, полномочие может быть основано на доверенности, указании закона либо акте уполномоченного государственного органа или органа местного самоуправления. Приказ главного врача не является актом государственного органа, это внутренний локальный акт организации. Для представительства перед третьими лицами (гражданами) по сбору персональных данных необходимо прямое письменное уполномочие — доверенность, как это следует из ст.185 ГК РФ. Подпись и дата на копии приказа без номера не позволяют однозначно идентифицировать поручение и не подтверждают, что именно этот сотрудник уполномочен на сбор конкретных данных. Полномочие может явствовать из обстановки (например, форма, бейдж), но в данном случае обстановка — приход домой — не создаёт типичной ситуации, когда гражданин может довериться без дополнительных проверок.
"1. Сделка, совершенная одним лицом (представителем) от имени другого лица (представляемого) в силу полномочия, основанного на доверенности, указании закона либо акте уполномоченного на то государственного органа или органа местного самоуправления, непосредственно создает, изменяет и прекращает гражданские права и обязанности представляемого. Полномочие может также явствовать из обстановки, в которой действует представитель (продавец в розничной торговле, кассир и т.п.)."
— Гражданский кодекс Российской Федерации (часть первая) от 30.11.1994 № 51-ФЗ, ст.182
"1. Доверенностью признается письменное уполномочие, выдаваемое одним лицом другому лицу или другим лицам для представительства перед третьими лицами. 3. Письменное уполномочие на совершение сделки представителем может быть представлено представляемым непосредственно соответствующему третьему лицу, которое вправе удостовериться в личности представляемого и сделать об этом отметку на документе, подтверждающем полномочия представителя."
— Гражданский кодекс Российской Федерации (часть первая) от 30.11.1994 № 51-ФЗ, ст.185
Копия приказа без номера не отвечает требованиям к оформлению доверенности, поэтому у гражданина есть все основания усомниться в полномочиях представителя. Гражданин вправе не предоставлять данные до предъявления надлежащей доверенности.
Обязанность оператора обеспечить защиту персональных данных закреплена в ст.19 152-ФЗ. При сборе на дому поликлиника должна принять правовые, организационные и технические меры, чтобы исключить неправомерный доступ, копирование, утрату данных. В частности, представитель должен иметь при себе средства защиты (закрытые конверты, журнал регистрации), а сам сбор должен проводиться в условиях, обеспечивающих конфиденциальность (отсутствие посторонних лиц). В ситуации, когда данные диктуются устно или передаются на бумаге без контроля, риск утечки высок. Если поликлиника не может гарантировать такие меры, её действия неправомерны.
"1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.19
Конфиденциальность персональных данных охраняется ст.7 152-ФЗ, обязывающей оператора и иных лиц, получивших доступ к данным, не раскрывать их третьим лицам без согласия. Если сбор производится с нарушением, и данные попадают к неуполномоченным лицам, это является нарушением данной нормы.
"Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст.7
Неприкосновенность частной жизни и личная тайна защищены ст.150 ГК РФ. Паспортные данные, СНИЛС, полис ОМС могут составлять личную тайну, поскольку раскрывают сведения о здоровье, социальном положении. Сбор таких данных на дому без надлежащих оснований создаёт угрозу нарушения нематериальных благ. Гражданин вправе требовать пресечения таких действий.
"Статья 150. Нематериальные блага: 1. ... неприкосновенность частной жизни, личная и семейная тайна ... неотчуждаемы и непередаваемы. 2. Нематериальные блага защищаются в соответствии с настоящим Кодексом и другими законами ... путем пресечения или запрещения действий, нарушающих или создающих угрозу нарушения личного неимущественного права либо посягающих или создающих угрозу посягательства на нематериальное благо."
— Гражданский кодекс Российской Федерации (часть первая) от 30.11.1994 № 51-ФЗ, ст.150
Ответственность за нарушение законодательства о персональных данных предусмотрена ст.24 152-ФЗ. В частности, ст.13.11 КоАП РФ устанавливает административную ответственность за обработку персональных данных в случаях, не предусмотренных законодательством, либо обработку без согласия в письменной форме, когда такое согласие требуется. Если поликлиника проводит сбор без законных оснований или без письменного согласия, её действия подпадают под признаки данного правонарушения.
"Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных. 1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, ... влечет наложение административного штрафа. 2. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, ... влечет наложение административного штрафа."
— Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ, ст.13.11
Кроме того, ст.13.14 КоАП РФ (в приведённом фрагменте — 13.14.1) предусматривает ответственность за незаконное получение информации с ограниченным доступом, к которой относятся персональные данные. Если сбор проводится без законных оснований, это может квалифицироваться по данной статье. Уголовный кодекс в ст.137 устанавливает ответственность за незаконное собирание сведений о частной жизни лица без его согласия. В случае доказанного умысла и наступления последствий возможна и уголовно-правовая оценка.
"Статья 13.14.1 КоАП РФ устанавливает ответственность за незаконное получение информации с ограниченным доступом, к которой относятся персональные данные (СНИЛС, полис ОМС, паспорт). Если сбор данных представителем поликлиники на дому осуществляется без законных оснований или с нарушением порядка, это может квалифицироваться по данной статье."
— Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ, ст.13.14
"1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия ... наказываются ..."
— Уголовный кодекс Российской Федерации от 13.06.1996 № 63-ФЗ, ст.137
Таким образом, сбор персональных данных на дому может быть признан законным только при наличии добровольного информированного согласия гражданина, оформленного отдельно, и надлежащего подтверждения полномочий представителя (доверенность, а не копия приказа без номера). Отсутствие таких условий делает действия поликлиники неправомерными, а гражданин вправе отказаться от предоставления данных без негативных последствий, если не доказана обязательность такого сбора в силу закона. Для защиты своих прав можно обратиться с жалобой в Роскомнадзор или прокуратуру.
