Имеет ли право организация запрашивать сведения, составляющие врачебную тайну, без согласия гражданина?

Является ли затребованная организация сведений врачебной тайной и охраняется ли она

К любой информации о факте обращения за медицинской помощью, состоянии здоровья, диагнозе и лечении закон относится как к врачебной тайне — доступ к ней по общему правилу закрыт:

1. Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну.
   — ч. 1 ст. 13 ФЗ № 323-ФЗ

Отдельный, ещё более строгий режим установлен для сведений о психиатрической помощи и о психическом здоровье (то, что граждане называют «учёт в ПНД», «состою на учёте»):

Сведения о факте обращения гражданина за психиатрической помощью, состоянии его психического здоровья и диагнозе психического расстройства, иные сведения, полученные при оказании ему психиатрической помощи, составляют врачебную тайну, охраняемую законом.
— ст. 9 Закона РФ № 3185-1 «О психиатрической помощи…»

Сведения о здоровье — это специальная категория персональных данных, обработка которой запрещена, кроме прямо названных исключений:

1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2 1 настоящей статьи.
   — ч. 1 ст. 10 ФЗ № 152-ФЗ

Для Вас это означает: если организация в ходе оформления документов сама запрашивала или истребовала справки, выписки, заключения о состоянии здоровья (в том числе о наблюдении в психоневрологическом или наркологическом диспансере, о диагнозе, о факте лечения), она имела дело именно с врачебной тайной и специальной категорией персональных данных. Ваше предположение, что при отсутствии письменного согласия это незаконно, в общем соответствует закону.

Вывод: запрошенные сведения относятся к врачебной тайне и специальной категории персональных данных; их сбор и обработка без Вашего согласия или иного законного основания не допускаются. Обязанность доказать наличие основания (в том числе согласия) лежит на самой организации-операторе, а не на Вас:

1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
   — ч. 3 ст. 9 ФЗ № 152-ФЗ

Какие основания позволяют раскрыть сведения без согласия гражданина и применимы ли они к этой организации

Разглашение врачебной тайны другим лицам допускается только с письменного согласия гражданина или его законного представителя:

1. Не допускается разглашение сведений, составляющих врачебную тайну, в том числе после смерти человека, лицами, которым они стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей, за исключением случаев, установленных частями 3 и 4 настоящей статьи.
   — ч. 2 ст. 13 ФЗ № 323-ФЗ

1. Разглашение сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях, использования в учебном процессе и в иных целях допускается с письменного согласия гражданина или его законного представителя.
   — ч. 3 ст. 13 ФЗ № 323-ФЗ

Закон допускает предоставление сведений и без согласия — но только по закрытому перечню оснований из ч. 4 ст. 13, и главное из них, о котором Вы упомянули (полиция, следствие, суд, прокуратура), сформулировано так:

1. по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органов прокуратуры в связи с осуществлением ими прокурорского надзора, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля за применением принудительных мер медицинского характера, назначенных в соответствии с частью второй 1 статьи 102 Уголовного кодекса Российской Федерации , за поведением условно осужденного, осужденного, в отношении которого отбывание наказания отсрочено, и лица, освобожденного условно-досрочно , а также в связи с исполнением осужденным обязанности пройти лечение от наркомании и медицинскую и (или) социальную реабилитацию, по запросу органов внутренних дел в связи с осуществлением административного надзора за лицами, освобожденными из мест лишения свободы, либо в связи с участием в наблюдении за лицами, больными алкоголизмом и (или) наркоманией и представляющими опасность для окружающих, за лицами, страдающими хроническими и затяжными психическими расстройствами с тяжелыми стойкими или часто обостряющимися болезненными проявлениями, в отношении которых установлено диспансерное наблюдение в связи со склонностью таких лиц к совершению общественно опасных действий, в целях предупреждения совершения указанными лицами преступлений и административных правонарушений, а также в связи с проверкой зарегистрированных в установленном порядке заявлений и сообщений о совершенных лицами, страдающими хроническими и затяжными психическими расстройствами с тяжелыми стойкими или часто обостряющимися болезненными проявлениями, в отношении которых установлено диспансерное наблюдение в связи со склонностью таких лиц к совершению общественно опасных действий, преступлениях, административных правонарушениях и о происшествиях, разрешение которых отнесено к компетенции полиции
   — п. 3 ч. 4 ст. 13 ФЗ № 323-ФЗ

Обратите внимание на границы этого основания: оно охватывает органы дознания и следствия, суд, прокуратуру, уголовно-исполнительную систему и полицию (органы внутренних дел) — и только в связи с расследованием, судебным разбирательством, надзором, исполнением наказания, административным надзором либо проверкой конкретных заявлений и сообщений, отнесённых к её компетенции. Аналогичные исключения есть и в ФЗ № 152-ФЗ для отдельных специальных случаев (например, медико-профилактические цели у медицинского работника, установление и осуществление прав, правосудие), но общая логика та же: обычная сторонняя организация (работодатель, страховая, учебное заведение, кадровое агентство) в этом перечне не названа.

Отсюда следует ответ и на Ваш вопрос о том, имеет ли право «только полиция» делать запросы: строго говоря, не только она — круг уполномоченных органов шире (дознание, следствие, суд, прокуратура, УИС, отдельные контролирующие полномочия по наркомании/алкоголизму), — но Ваша организация почти наверняка в него не входит. Поэтому её самостоятельный запрос в ПНД/НД либо требование принести такие справки без Вашего письменного согласия является незаконным.

Вывод: допустимо раскрывать сведения о здоровье либо с Вашим письменным согласием, либо по исчерпывающим основаниям ч. 4 ст. 13 ФЗ № 323-ФЗ. Если Ваша организация не является органом из этого перечня, действующим в рамках перечисленных процедур, оснований у неё нет, и требование о предоставлении сведений (собственный запрос или давление на Вас) неправомерно. Если формально Ваше письменное согласие всё-таки было, проверяйте его конкретность, предметность и однозначность:

Ветка «согласие было подписано/оформлено» — когда требование может быть расценено как основанное на согласии

Если при оформлении документов Вы подписывали согласие (часто в виде пункта в анкете, заявлении, договоре), организация может ссылаться именно на него. Такая позиция выдерживает проверку только при соблюдении требований к согласию:

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным .
   — ч. 1 ст. 9 ФЗ № 152-ФЗ

1. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
   — п. 1 ч. 2 ст. 10 ФЗ № 152-ФЗ

Требования к письменному согласию специально установлены и по содержанию — в нём должны быть указаны, в частности, цель обработки, перечень персональных данных, перечень действий, срок действия согласия и способ его отзыва. Согласие, «растворённое» в тексте договора или анкеты, без ясного указания на обработку данных о здоровье, целей и срока, не отвечает признакам конкретности, предметности и однозначности и не легитимирует получение врачебной тайны.

Вывод: если согласие на обработку сведений о здоровье оформлено неотдельно, без конкретного перечня данных, целей, срока и порядка отзыва либо отсутствует вовсе, обработка и истребование сведений незаконны. Если же согласие подписано надлежаще (отдельно, конкретно, с указанием данных о здоровье и целей), требование организации в этой части может быть правомерным.

Может ли организация просто «потребовать принести справку» самому гражданину

Даже если организация не направляла запрос в медицинские учреждения, а лишь требовала от Вас принести справки, это тоже является обработкой специальной категории персональных данных: истребуя, собирая и храня такие документы, организация становится оператором, действующим с Вашими данными о здоровье. Закон запрещает обработку этой категории данных, кроме прямо названных случаев:

1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2 1 настоящей статьи.
   — ч. 1 ст. 10 ФЗ № 152-ФЗ

Обработка здесь допускается главным образом при письменном согласии субъекта (ч. 2 ст. 10 ФЗ № 152-ФЗ) либо по иным названным в той же норме основаниям. Гражданско-правовой запрет на сбор информации о частной жизни без согласия действует независимо от того, от кого сведения получены — от медицинского учреждения или от Вас лично:

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
   — п. 1 ст. 152.2 ГК РФ

Вывод: без Вашего письменного согласия или иного основания, прямо указанного в ч. 2 ст. 10 ФЗ № 152-ФЗ, требование «принесите справку из ПНД/НД» является неправомерной обработкой данных о здоровье, а её сбор и хранение запрещены в силу ч. 1 ст. 10 ФЗ № 152-ФЗ и п. 1 ст. 152.2 ГК РФ.

Последствия для нарушителя: ответственность и денежная компенсация

За разглашение информации с ограниченным доступом — а врачебная тайна именно к такой относится — исполнитель, получивший доступ к ней по службе, привлекается к административной ответственности:

Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей
— ст. 13.14 КоАП РФ

Если незаконно собираются или распространяются сведения о частной жизни без согласия гражданина, возможна уже уголовная ответственность — именно этим составом охватываются сведения о здоровье как личная тайна:

1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия
   — ч. 1 ст. 137 УК РФ

Нарушение даёт Вам право на денежную компенсацию морального вреда вне зависимости от убытков:

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ

1. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
   — ч. 2 ст. 24 ФЗ № 152-ФЗ

Вывод: нарушение позволяет требовать: привлечения виновных к административной ответственности по ст. 13.14 КоАП РФ (в случае незаконного разглашения), в серьёзных случаях — по ч. 1 ст. 137 УК РФ (незаконное собирание/распространение сведений о частной жизни), а также компенсации морального вреда по ст. 151 ГК РФ и ч. 2 ст. 24 ФЗ № 152-ФЗ. Компенсация морального вреда взыскивается независимо от возмещения убытков и может взыскиваться в том числе в суде по месту Вашего жительства.

Что делать: жалобы и защита

Соберите доказательства: сохраните текст требования/анкеты с условием о справках, копию направленного или переданного документа, переписку, ответы из медицинской организации (если запрос был направлен ею) — они подтвердят факт и субъекта обработки. Затем:

• письменно отзовите любое ранее данное согласие на обработку данных о здоровье и потребуйте прекратить обработку и уничтожить уже полученные сведения;
• подайте жалобу в территориальный орган Роскомнадзора (уполномоченный орган по защите прав субъектов персональных данных) — он проверяет операторов и составляет протоколы по ст. 13.14 КоАП РФ;
• при необходимости — жалоба в Росздравнадзор (если запрос исходит от медицинской организации) и в прокуратуру;
• при отказе — иск в суд о компенсации морального вреда и пресечении обработки.

Вывод: действовать нужно по линии защиты персональных данных (Роскомнадзор), а в спорных случаях — через суд с требованием компенсации морального вреда; административная и уголовная ответственность нарушителя — дополнительный аргумент. Если организация уже незаконно получила сведения из ПНД/НД, привлекайте к ответу и медицинскую организацию, разгласившую данные без согласия, и организацию, их запросившую.

Сроки, доказательства и исполнение

Согласие на обработку персональных данных не является «вечным»: субъект вправе отозвать его, а оператор может продолжить обработку без согласия лишь при наличии самостоятельного законного основания:

1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
   — ч. 2 ст. 9 ФЗ № 152-ФЗ

Для иска о компенсации морального вреда и убытков действует общий срок исковой давности:

Общий срок исковой давности составляет три года со дня, определяемого в соответствии со статьей 200 настоящего Кодекса. 2. Срок исковой давности не может превышать десять лет со дня нарушения права, для защиты которого этот срок установлен, за исключением случаев, установленных Федеральным законом от 6 марта 2006 года № 35-ФЗ "О противодействии терроризму" и Федеральным законом от 30 ноября 2010 года № 327-ФЗ "О передаче религиозным организациям имущества религиозного назначения, находящегося в государственной или муниципальной собственности" . (В редакции федеральных законов от 02.11.2013 № 302-ФЗ, от 10.06.2026 № 167-ФЗ) (Статья в редакции Федерального закона от 07.05.2013 № 100-ФЗ)
— п. 1 ст. 196 ГК РФ

По доказательствам: именно на организации (операторе) лежит бремя подтверждения того, что согласие было получено или имелось иное законное основание (это прямо следует из приведённой выше ч. 3 ст. 9 ФЗ № 152-ФЗ). Вам достаточно зафиксировать сам факт требования: сохраните анкету/заявление с пунктом о справках, переписку, отказ в оформлении документов, ответ медицинской организации на запрос — эти документы подтверждают и субъект обработки, и отсутствие у Вас намерения передавать сведения.

По исполнению: письменное требование о прекращении обработки и уничтожении незаконно полученных сведений исполняется оператором; при отказе — жалоба в Роскомнадзор, которая по итогам проверки может завершиться предписанием и протоколом по ст. 13.14 КоАП РФ, а компенсация морального вреда взыскивается по решению суда и подлежит исполнению в общем порядке исполнительного производства.

Вывод: отозвать согласие и потребовать прекращения обработки можно в любой момент; за защитой прав обращайтесь в Роскомнадзор (по данным о здоровье) и в суд с иском о компенсации морального вреда; для обращения к административной и уголовной ответственности нарушителя — в Роскомнадзор, прокуратуру и органы полиции. Общий срок исковой давности — три года, но требования о пресечении продолжающегося нарушения обработки давностью не заблокированы.

Смежное право: как пациент сам распоряжается сведениями о здоровье

Ваше право знакомиться со своей медицинской документацией и получать на её основе документы и выписки установлено непосредственно законом:

1. Пациент либо его законный представитель имеет право непосредственно знакомиться с медицинской документацией, отражающей состояние его здоровья, и получать на основании такой документации консультации у других специалистов. Супруг (супруга), близкие родственники (дети, родители, усыновленные, усыновители, родные братья и родные сестры, внуки, дедушки, бабушки) либо иные лица, указанные пациентом или его законным представителем в письменном согласии на разглашение сведений, составляющих врачебную тайну, или информированном добровольном согласии на медицинское вмешательство, имеют право непосредственно знакомиться с медицинской документацией пациента, в том числе после его смерти, если пациент или его законный представитель не запретил разглашение сведений, составляющих врачебную тайну.
   — ч. 4 ст. 22 ФЗ № 323-ФЗ

1. Пациент либо его законный представитель имеет право по запросу, направленному в том числе в электронной форме, получать отражающие состояние здоровья пациента медицинские документы (их копии) и выписки из них, в том числе в форме электронных документов.
   — ч. 5 ст. 22 ФЗ № 323-ФЗ

Это право принадлежит именно пациенту (либо лицам, прямо указанным им в письменном согласии). Отсюда следует важный вывод для Вашей ситуации: организация не может «заместить» Вас в этих правомочиях — получить справку из ПНД/НД вместо Вас она вправе только при наличии Вашего письменного согласия либо будучи органом из перечня ч. 4 ст. 13 ФЗ № 323-ФЗ. Если организация пыталась заказать документы о Вашем здоровье без этого, она вторглась в режим врачебной тайны, а не воспользовалась «вашим» правом на информацию.

С другой стороны, то обстоятельство, что именно Вы как пациент вправе получать свои медицинские документы, не даёт организации основания понуждать Вас приносить их: само по себе «Вы можете получить справку» не равно «Вы обязаны передать её организации». Передача Вами сведений третьему лицу — это тоже распоряжение ими, и оно правомерно только как свободное волеизъявление (согласие) либо при прямом предписании закона для данного отношения.

Вывод: право на получение медицинских документов принадлежит Вам лично и не может быть переложено организацией на себя без согласия; требование принести справки без законного основания остаётся неправомерным независимо от того, кто их фактически передаст — медорганизация или Вы сами.

Полномочия уполномоченных органов по пресечению нарушения

Роскомнадзор и иные уполномоченные органы вправе не только проверять оператора, но и требовать уточнения, блокирования или уничтожения данных, полученных незаконным путём, и принимать меры по прекращению обработки:

1. требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 21.07.2014 № 242-ФЗ ) 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона;
   — п. 3, 3.1 ч. 1 ст. 23 ФЗ № 152-ФЗ

Это подтверждает и завершает механизм защиты: обращение в Роскомнадзор может закончиться не только протоколом по ст. 13.14 КоАП РФ, но и предписанием о прекращении обработки и уничтожении незаконно полученных сведений о Вашем здоровье.

Вывод: органы защиты прав субъектов персональных данных полномочны обязать нарушителя прекратить обработку и уничтожить сведения, полученные незаконным путём; в сочетании с судебным иском о компенсации морального вреда это закрывает как пресекательную, так и компенсационную составляющую защиты.