Произошла следующая ситуация: детская поликлиника, к которой прикреплены пациенты (дети), получила запрос от администрации летнего оздоровительного лагеря с требованием передать сведения о профилактических прививках детей и перенести эти данные в медицинские книжки лагеря. К запросу приложена доверенность от лагеря.
С правовой точки зрения, здесь затронуты несколько важных правоотношений, связанных с защитой конфиденциальной информации. Во-первых, речь идет о врачебной тайне — сведения о состоянии здоровья, в том числе о проведенных прививках, являются медицинской тайной, разглашение которой допускается только в строго определенных законом случаях. Во-вторых, данные о вакцинации относятся к специальной категории персональных данных (данные о состоянии здоровья), обработка которых требует особых правовых оснований. В-третьих, запрос исходит от юридического лица (лагеря), которое не является медицинской организацией и не оказывает медицинскую помощь, то есть выступает третьим лицом по отношению к врачебной тайне.
Юридически значимым является вопрос о наличии законного основания для передачи таких сведений. Основным и универсальным основанием для раскрытия врачебной тайны и персональных данных третьим лицам является информированное добровольное согласие самого пациента (или его законного представителя — родителя, опекуна) на передачу конкретных данных конкретному получателю. Доверенность, выданная лагерем, не заменяет согласия родителей пациентов, поскольку эта доверенность исходит от лица, которое не является ни пациентом, ни его законным представителем. Она может лишь подтверждать полномочия конкретного сотрудника лагеря на получение информации, но не дает права лагерю требовать такую информацию без согласия родителей.
Также значимо, что в запросе лагерь требует не просто информацию для проверки детей перед отправкой (что могло бы регулироваться требованиями санитарного законодательства для санэпидблагополучия), а прямое копирование данных из медицинских карт в свои «медкнижки». Это указывает на намерение лагеря создать у себя копии документов, содержащих врачебную тайну, для дальнейшего использования, что является обработкой персональных данных и требует соответствующих правовых оснований.
Таким образом, в ситуации затронуты правоотношения по защите врачебной тайны (Федеральный закон об основах охраны здоровья граждан) и защите персональных данных (Федеральный закон о персональных данных). Ключевым вопросом является отсутствие согласия родителей на передачу данных третьему лицу (лагерю) и законность требования лагеря, основанного лишь на собственной доверенности, без ссылки на иные предусмотренные законом основания.
Разрешение вопроса о законности передачи детской больницей лагерю сведений о прививках детей и переносе данных в медкнижки лагеря требует последовательного анализа нескольких правовых институтов. Прежде всего, сведения о состоянии здоровья несовершеннолетнего, включая данные о проведённых прививках, являются врачебной тайной. Это прямо вытекает из ст. 13 Федерального закона «Об основах охраны здоровья граждан в Российской Федерации», которая устанавливает, что любые сведения, полученные при медицинском обследовании и лечении, составляют врачебную тайну, и их разглашение не допускается, за исключением случаев, прямо указанных в законе. В ситуации запроса лагеря речь идёт о передаче персональных медицинских данных третьему лицу (администрации лагеря), которое не является ни законным представителем ребёнка, ни органом, уполномоченным получать такие сведения без согласия. Приложенная к запросу доверенность от лагеря удостоверяет полномочия сотрудника лагеря, но не заменяет согласия родителей или законных представителей детей на обработку их персональных данных. Поэтому больница не вправе передавать карты прививок и переносить данные в медицинские книжки лагеря на основании такого запроса и доверенности.
Статья 13. Соблюдение врачебной тайны. 1. Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну. 2. Не допускается разглашение сведений, составляющих врачебную тайну, ... за исключением случаев, установленных частями 3 и 4 настоящей статьи. 3. Разглашение сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, ... допускается с письменного согласия гражданина или его законного представителя. 4. Предоставление сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя допускается: 1) ... 2) ... 3) по запросу органов дознания и следствия, суда ...
— Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», ст. 13
Дополнительно, Федеральный закон «О персональных данных» устанавливает, что обработка персональных данных (а сведения о прививках относятся к специальным категориям, касающимся здоровья) допускается только при наличии согласия субъекта или его законного представителя. Лагерь в данном случае не является оператором, имеющим законное основание для обработки, и не выступает в качестве субъекта, чьи права защищает ст. 6 этого закона. Предоставление медицинской организацией данных лагерю без согласия родителей будет являться незаконным раскрытием персональных данных, даже если запрос оформлен доверенностью от лагеря — доверенность подтверждает лишь право определённого лица действовать от имени лагеря, но не создаёт основания для получения конфиденциальной информации в обход волеизъявления законных представителей ребёнка.
- Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Кроме того, ст. 7 того же закона прямо возлагает на оператора (в данном случае — детскую больницу) обязанность не раскрывать персональные данные третьим лицам без согласия субъекта. Лагерь является именно третьим лицом, а не стороной, которой данные могут быть переданы в силу закона. Отсутствие согласия родителей делает такую передачу незаконной.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
Закон предъявляет чёткие требования к форме согласия: оно должно быть конкретным, предметным, информированным и сознательным, и даётся субъектом или его представителем. Представителем ребёнка является законный представитель (родитель или опекун), а не лагерь. Даже если бы доверенность была выдана родителями лагерю, она должна была бы содержать явное полномочие на получение медицинских данных. Однако в описанной ситуации доверенность выдана от имени лагеря, а не от родителей, следовательно, она не может рассматриваться как согласие родителей на обработку персональных данных их детей.
Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Если больница всё же передаст сведения без законных оснований, это образует состав административного правонарушения, предусмотренного ст. 13.14 КоАП РФ, влекущего значительные штрафы как на должностных лиц (до 50 000 рублей или дисквалификацию), так и на само юридическое лицо (до 200 000 рублей). Сведения о прививках являются информацией с ограниченным доступом (врачебная тайна), и их разглашение без согласия или без оснований, указанных в ч. 4 ст. 13 323-ФЗ, наказуемо. Запрос лагеря с доверенностью к таким основаниям не относится.
Статья 13.14. Разглашение информации с ограниченным доступом Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 и статьей 17.13 настоящего Кодекса, - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от сорока тысяч до пятидесяти тысяч рублей или дисквалификацию на срок до трех лет; на юридических лиц - от ста тысяч до двухсот тысяч рублей.
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.14
Таким образом, детская больница обязана отказать в удовлетворении запроса лагеря, поскольку отсутствует хотя бы одно из законных оснований для передачи врачебной тайны и персональных данных: нет согласия родителей (законных представителей), нет запроса органа дознания, суда или иного уполномоченного органа, указанного в ч. 4 ст. 13 323-ФЗ. Доверенность от лагеря не создаёт правового основания для доступа к медицинской документации детей. Более того, передача таких данных без согласия будет являться нарушением, влекущим административную ответственность.
