Имеет ли право медцентр передавать результаты анализов и медосмотра курьеру без конверта и куда жаловаться на разглашение медицинской тайны

Являются ли результаты медосмотра врачебной тайной и вправе ли медцентр передавать их в открытом виде

Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну. 2. Не допускается разглашение сведений, составляющих врачебную тайну, в том числе после смерти человека, лицами, которым они стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей, за исключением случаев, установленных частями 3 и 4 настоящей статьи.
— ч. 1, 2 ст. 13 ФЗ от 21.11.2011 № 323-ФЗ

Результаты общего анализа крови, мочи, флюорографии и осмотров врачей — это именно «иные сведения, полученные при медицинском обследовании», прямо отнесённые законом к врачебной тайне. Передача этого пакета в открытом виде (без конверта, в стопке) означает доступ к нему неограниченного круга лиц — что и есть разглашение, запрещённое ч. 2 ст. 13, кроме прямо перечисленных в ч. 3–4 исключений (согласие самого пациента либо запросы органов дознания, следствия, суда, прокуратуры, ОВД и т.п.). Курьер и сотрудники отдела кадров работодателя к таким субъектам не относятся.

соблюдать врачебную тайну, в том числе конфиденциальность персональных данных, используемых в медицинских информационных системах; 5) обеспечивать применение разрешенных к применению в Российской Федерации лекарственных препаратов, специализированных продуктов лечебного питания, медицинских изделий, дезинфекционных, дезинсекционных и дератизационных средств; 6) предоставлять пациентам достоверную информацию об оказываемой медицинской помощи, эффективности методов лечения, используемых лекарственных препаратах и о медицинских изделиях; 7) информировать граждан в доступной форме, в том числе с использованием сети "Интернет", об осуществляемой медицинской деятельности и о медицинских работниках медицинских организаций, об уровне их образования и об их квалификации, а также предоставлять иную определяемую уполномоченным федеральным органом исполнительной власти необходимую для проведения независимой оценки качества условий оказания услуг медицинскими организациями информацию; (В редакции федеральных законов от 21.07.2014 № 256-ФЗ ; от 05.12.2017 № 392-ФЗ ) 8) обеспечивать профессиональную подготовку, переподготовку и повышение квалификации медицинских работников в соответствии с трудовым законодательством Российской Федерации; 9) информировать органы внутренних дел в порядке, установленном уполномоченными федеральными органами исполнительной власти, в случаях, установленных пунктом 5 части 4 статьи 13 настоящего Федерального закона;
— п. 4 ч. 1 ст. 79 ФЗ от 21.11.2011 № 323-ФЗ

Закон возлагает на медицинскую организацию прямую обязанность соблюдать врачебную тайну и конфиденциальность. Значит и медцентр, передающий документы, и его сотрудники, готовившие их к передаче, несут самостоятельную обязанность обеспечить, чтобы данные не попали к посторонним. Медцентр отвечает за способ передачи независимо от того, кто именно является получателем.

Допускается выдача заключения в форме электронного документа, подписанного усиленной квалифицированной электронной подписью, посредством передачи по защищенным каналам связи, исключающим возможность несанкционированного доступа к информации третьих лиц, и с соблюдением требований законодательства Российской Федерации о защите персональных данных. 17. Заключение составляется в трех экземплярах, один экземпляр которого не позднее 5 рабочих дней выдается лицу, поступающему на работу, второй экземпляр Заключения приобщается к медицинской карте, оформляемой в медицинской организации, в которой проводился предварительный осмотр, третий - направляется работодателю. При наличии доступа у медицинской организации в единую государственную информационную систему в сфере здравоохранения заключение в форме электронного документа в соответствии с порядком организации системы документооборота в сфере охраны здоровья в части ведения медицинской документации в форме электронных документов вносится медицинской организацией не позднее 5 рабочих дней в единую государственную информационную систему в сфере здравоохранения. Заключение в форме электронного документа может передаваться по защищенным каналам связи, с соблюдением требований законодательства Российской Федерации о защите персональных данных. III. Порядок проведения периодических осмотров 18.
— п. 16 Порядка, утв. Приказом Минздрава России от 28.01.2021 № 29н

Заключение составляется в трех экземплярах, один экземпляр которого не позднее 5 рабочих дней выдается лицу, поступающему на работу, второй экземпляр Заключения приобщается к медицинской карте, оформляемой в медицинской организации, в которой проводился предварительный осмотр, третий - направляется работодателю.
— п. 17 Порядка, утв. Приказом Минздрава России от 28.01.2021 № 29н

Порядок проведения медосмотров прямо предусматривает механизм передачи: либо заключение выдаётся работодателю отдельным экземпляром, либо передаётся в электронной форме «по защищенным каналам связи, исключающим возможность несанкционированного доступа к информации третьих лиц, и с соблюдением требований законодательства о защите персональных данных». Открытая бумажная стопка без конверта этим требованиям очевидно не соответствует. Важно при этом разграничить объём данных: приказ регулирует передачу именно «Заключения» (в нём — вывод о наличии/отсутствии противопоказаний и группа здоровья), а не всего пакета анализов и осмотров. Если работодателю передаётся весь пакет с анализами, это выходит за рамки установленного порядка.

Вывод: ситуация неправомерна. Результаты медосмотра — врачебная тайна (ч. 1 ст. 13 ФЗ-323), и медцентр не вправе передавать их в открытом виде, доступном посторонним; допустима лишь передача заключения установленным порядком — отдельным экземпляром либо по защищённым каналам связи. Есть смысл предъявлять претензии: формально нарушены и обязанность медорганизации соблюдать конфиденциальность (п. 4 ч. 1 ст. 79 ФЗ-323), и порядок передачи документов.

Режим персональных данных о здоровье и обязанности оператора

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2 1 настоящей статьи. (В редакции Федерального закона от 24.04.2020 № 123-ФЗ ) 2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; 2) обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10 1 настоящего Федерального закона; (В редакции Федерального закона от 30.12.2020 № 519-ФЗ) 2 1 ) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии; (Дополнение пунктом - Федеральный закон от 25.11.2009 № 266-ФЗ) 2 2 ) обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года № 8-ФЗ "О Всероссийской переписи населения"; (Дополнение пунктом - Федеральный закон от 27.07.2010 № 204-ФЗ) 2 3 ) обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;
— ч. 1 ст. 10 ФЗ от 27.07.2006 № 152-ФЗ

Данные о состоянии здоровья — специальная категория персональных данных, обработка которой по общему правилу запрещена. Исключения для медосмотров всё же есть: обработка допускается в медико-профилактических целях и по трудовому законодательству (п. 2³, 4 ч. 2 ст. 10). Однако наличие основания для обработки не отменяет требований к защите — оно лишь делает саму обработку законной, не освобождая от обязанности обеспечить её безопасность.

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. 2. Обеспечение безопасности персональных данных достигается, в частности: 1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных; 2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных; 3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; 3 1 ) применением для уничтожения персональных данных прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации; (Дополнение пунктом - Федеральный закон от 08.08.2024 № 233-ФЗ) 4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
— ч. 1 ст. 19 ФЗ от 27.07.2006 № 152-ФЗ

И медцентр, и работодатель — каждый в своей части — выступают операторами персональных данных и обязаны принимать правовые, организационные и технические меры против неправомерного доступа. Передача папки с анализами без конверта таковой мерой не является. Если неправомерная передача персональных данных состоялась, оператор обязан в установленный срок уведомить об инциденте уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) — за неисполнение этой обязанности отдельно установлена ответственность.

Вывод: обработка сведений о здоровье в рамках медосмотра допустима, но обе организации как операторы обязаны обеспечить их защиту от постороннего доступа; открытая передача это требование нарушает и создаёт у оператора обязанность отреагировать на инцидент. Формально применимы составы ст. 13.11 КоАП РФ, включая специальный состав для утечек данных о здоровье.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— ч. 1 ст. 13.11 КоАП РФ

Обработка, несовместимая с целями сбора, либо за пределами установленных законом случаев влечёт штраф до 300 тыс. руб. для юридического лица.

Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей специальную категорию персональных данных, - влекут наложение административного штрафа на граждан в размере от трехсот тысяч до четырехсот тысяч рублей; на должностных лиц - от одного миллиона до одного миллиона трехсот тысяч рублей; на юридических лиц - от десяти миллионов до пятнадцати миллионов рублей.
— ч. 16 ст. 13.11 КоАП РФ

Отдельно следует учитывать повышенный состав: если неправомерная передача затронула специальную категорию персональных данных (сведения о здоровье), штраф для оператора-юрлица составляет от 10 до 15 млн руб. Именно эта норма делает угрозу реальной и мотивирует организации защищаться от подобных инцидентов.

Трудовой аспект: какой объём данных работодатель вправе получать и как должен их защищать

не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции; передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций. (В редакции Федерального закона от 30.06.2006 № 90-ФЗ)
— ст. 88 ТК РФ

Это ключевая норма для работодателя: он вправе запрашивать о здоровье работника только те сведения, которые относятся к возможности выполнения трудовой функции, — то есть вывод о годности и противопоказаниях, но не весь пакет анализов и осмотров. Получение работодателем полной медицинской документации (кровь, флюорография, результаты осмотров гинеколога и т.п.) выходит за эти пределы.

разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций; не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции; передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций. (В редакции Федерального закона от 30.06.2006 № 90-ФЗ)
— ст. 88 ТК РФ

Доступ к персональным данным должен предоставляться только специально уполномоченным лицам. Курьер, перевозящий открытую стопку, и любой прохожий в офисе такими лицами не являются. Даже внутри отдела кадров данные о здоровье нельзя считать доступными всем — только тем, кому они нужны для конкретной функции.

защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном настоящим Кодексом и иными федеральными законами; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) 8) работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) 9) работники не должны отказываться от своих прав на сохранение и защиту тайны; 10) работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.
— п. 7 ст. 86 ТК РФ

Закон прямо обязывает работодателя обеспечивать защиту данных работника за свой счёт и знакомить работников под роспись с порядком обработки. Если локальный порядок не обеспечивает конфиденциальность при передаче меддокументов, работодатель нарушает и эти требования.

Вывод: работодатель вправе получить лишь заключение о пригодности/группе здоровья, а не весь пакет меддокументов; перевозка открытой стопки нарушает ст. 86 и 88 ТК РФ. Отсюда следуют конкретные требования к работодателю: передавать данные медосмотра в закрытом виде (конверт/опись) или электронно по защищённым каналам, ограничить круг лиц, имеющих доступ, и ознакомить работников с локальным порядком обработки персональных данных.

Последствия для нарушителей: административная, уголовная и гражданско-правовая ответственность

Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 и статьей 17.13 настоящего Кодекса, - (В редакции федеральных законов от 09.04.2007 № 45-ФЗ, от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей ; на должностных лиц - от сорока тысяч до пятидесяти тысяч рублей или дисквалификацию на срок до трех лет; на юридических лиц - от ста тысяч до двухсот тысяч рублей .
— ст. 13.14 КоАП РФ

Ст. 13.14 КоАП РФ прямо карает разглашение информации с ограниченным доступом лицом, получившим к ней доступ по служебным обязанностям: для должностных лиц — штраф до 50 тыс. руб. или дисквалификация до 3 лет, для юрлиц — до 200 тыс. руб. Именно по этой статье квалифицируется разглашение врачебной тайны сотрудником медцентра или кадровиком.

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2. Те же деяния, совершенные лицом с использованием своего служебного положения, - наказываются штрафом в размере от ста тысяч до трехсот тысяч рублей
— ч. 1, 2 ст. 137 УК РФ

Если разглашение сведений о частной жизни (к которым относится и состояние здоровья) совершено лицом с использованием служебного положения, это уже уголовный состав с наказанием от штрафа до лишения свободы. Открытая передача медицинских документов создаёт риск и для этой квалификации при доказанности распространения.

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ

Нарушение врачебной тайны и правил обработки персональных данных посягает на личные неимущественные права и нематериальные благополучается — это даёт основание требовать денежной компенсации морального вреда через суд, независимо от имущественного ущерба.

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле. 2. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах.
— п. 1, 2 ст. 152.2 ГК РФ

Передача и разглашение информации о частной жизни без согласия гражданина запрещены, а между сторонами обязательства действует отдельный запрет на разглашение. Работник вправе обратиться в суд с требованием о пресечении дальнейшего распространения и, при наличии материальных носителей, об удалении такой информации.

Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном настоящим Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами. (В редакции федеральных законов от 30.06.2006 № 90-ФЗ; от 07.05.2013 № 99-ФЗ) Раздел IV. РАБОЧЕЕ ВРЕМЯ Глава 15. ОБЩИЕ ПОЛОЖЕНИЯ
— ст. 90 ТК РФ

ТК РФ замыкает систему: лица, виновные в нарушении законодательства о персональных данных, привлекаются к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности. То есть «ругаться» имеет прямой смысл — нарушения влекут реальные меры для медцентра и работодателя.

Вывод: за открытую передачу медицинских документов предусмотрена ответственность по ст. 13.14 и ст. 13.11 КоАП РФ (вплоть до штрафов в миллионы рублей для юрлица-оператора), при разглашении сведений о частной жизни служебным лицом — по ст. 137 УК РФ, а также право требовать компенсации морального вреда по ст. 151 ГК РФ.

Куда жаловаться и как защитить свои права

По содержанию найденных норм надзорные полномочия распределяются так:

• Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных. Именно сюда подаётся жалоба на неправомерную обработку/передачу персональных данных о здоровье (ст. 10, 19, ФЗ-152), а также уведомление об инциденте утечки. Это основной адресат по «персональному» аспекту, включая составы ст. 13.11 КоАП РФ.
• Росздравнадзор — федеральный орган надзора в сфере здравоохранения; контролирует соблюдение медорганизацией требований, включая лицензионные, и качество/безопасность медицинской деятельности. Жалоба на медцентр, нарушивший врачебную тайну и порядок передачи документов, адресуется сюда (нарушение п. 4 ч. 1 ст. 79 ФЗ-323).
• Роспотребнадзор (территориальный орган) — сюда, согласно п. 22 Порядка № 29н, работодатели ряда сфер направляют списки работников на медосмотры; он же осуществляет санитарно-эпидемиологический надзор. Как адресат по самому факту разглашения — второстепенен, но применим, если ваш работодатель относится к поднадзорным сферам.
• Государственная инспекция труда (ГИТ / Роструд) — по нарушению работодателем ст. 86, 88 ТК РФ (неправомерный запрос и передача данных о здоровье, ненадлежащая защита данных работника).
• Прокуратура — по факту нарушения закона о персональных данных и врачебной тайны в порядке общего надзора; также можно заявить в полицию при признаках ст. 137 УК РФ.

Практический порядок: сначала письменная претензия в адрес медцентра и работодателя с требованием прекратить передачу документов в открытом виде и обеспечить конфиденциальность (передача в закрытом виде либо по защищённым каналам). При отсутствии реакции — жалобы в Роскомнадзор и Росздравнадзор (при трудовом нарушении — в ГИТ), при необходимости — в прокуратуру. Параллельно можно заявить требование о компенсации морального вреда в суд.

Вывод: жаловаться имеет смысл и есть основания. Основной адресат по персональным данным — Роскомнадзор, по нарушению врачебной тайны медцентром — Росздравнадзор, по трудовому нарушению работодателя — ГИТ; дополнительно прокуратура и (при разглашении) полиция. Наиболее эффективно — одновременное обращение к обоим нарушителям с письменной претензией, а затем в надзорные органы.

Сроки и порядок исполнения требований

По содержанию прочитанных норм сроки и адресаты закрепляются так:

Письменное обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в соответствии с их компетенцией, рассматривается в течение 30 дней со дня регистрации письменного обращения, за исключением случая, указанного в части 1 1 настоящей статьи. (В редакции Федерального закона от 24.11.2014 № 357-ФЗ ) 1 1 . Письменное обращение, поступившее высшему должностному лицу субъекта Российской Федерации (руководителю высшего исполнительного органа государственной власти субъекта Российской Федерации) и содержащее информацию о фактах возможных нарушений законодательства Российской Федерации в сфере миграции, рассматривается в течение 20 дней со дня регистрации письменного обращения. (Дополнение частью - Федеральный закон от 24.11.2014 № 357-ФЗ ) 2. В исключительных случаях, а также в случае направления запроса, предусмотренного частью 2 статьи 10 настоящего Федерального закона, руководитель государственного органа или органа местного самоуправления, должностное лицо либо уполномоченное на то лицо вправе продлить срок рассмотрения обращения не более чем на 30 дней, уведомив о продлении срока его рассмотрения гражданина, направившего обращение.
— ч. 1 ст. 12 ФЗ от 02.05.2006 № 59-ФЗ

Жалоба в Роскомнадзор, Росздравнадзор, ГИТ или прокуратуру — это письменное обращение в госорган по компетенции, которое рассматривается в течение 30 дней со дня регистрации с возможностью продления ещё на 30 дней в исключительных случаях; о продлении гражданина обязаны уведомить. То есть надзорная реакция по вашей жалобе должна наступить в пределах месяца.

Общий срок исковой давности составляет три года со дня, определяемого в соответствии со статьей 200 настоящего Кодекса. 2. Срок исковой давности не может превышать десять лет со дня нарушения права, для защиты которого этот срок установлен, за исключением случаев, установленных Федеральным законом от 6 марта 2006 года № 35-ФЗ "О противодействии терроризму" и Федеральным законом от 30 ноября 2010 года № 327-ФЗ "О передаче религиозным организациям имущества религиозного назначения, находящегося в государственной или муниципальной собственности" . (В редакции федеральных законов от 02.11.2013 № 302-ФЗ, от 10.06.2026 № 167-ФЗ) (Статья в редакции Федерального закона от 07.05.2013 № 100-ФЗ)
— ст. 196 ГК РФ, п. 1

По требованию о компенсации морального вреда действует общий срок исковой давности — три года со дня, когда работник узнал о нарушении (здесь — о разглашении/открытой передаче данных медосмотра), с потолком в десять лет со дня нарушения. Поскольку нарушение повторяется при каждом очередном медосмотре, отсчёт для каждого эпизода ведётся заново.

Вывод: письменная претензия сначала — обоим нарушителям (медцентру и работодателю); письменное обращение в надзорный орган рассматривается в течение 30 дней (с возможным продлением до 60) по ч. 1 ст. 12 ФЗ-59. Иск о компенсации морального вреда можно подать в течение трёх лет (ст. 196 ГК РФ). Органы и сроки согласованы: Роскомнадзор и Росздравнадзор — по факту разглашения, ГИТ — по нарушению работодателем ст. 86, 88 ТК РФ, прокуратура/полиция — при признаках ст. 137 УК РФ.