Частная клиника попросила СНИЛС при МРТ и взяла копию: чем это грозит и что делать

Законен ли запрос СНИЛС и копии документа — «показывать его нельзя»?

Распространённое мнение о том, что СНИЛС «нельзя показывать вообще», юридически неверно. СНИЛС (страховой номер индивидуального лицевого счёта) — это обычные персональные данные, а не документ или секретная запись:

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных
   — п. 1, 2 ст. 3 ФЗ № 152-ФЗ «О персональных данных»

Ограничения носят не абсолютный, а целевой характер: оператор (клиника) вправе обрабатывать только те данные, которые отвечают заявленной цели, и не вправе собирать избыточные:

1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки
   — п. 5 ст. 5 ФЗ № 152-ФЗ

При оказании платных медицинских услуг договор в обязательном порядке фиксирует «данные документа, удостоверяющего личность» потребителя (п. 23 Правил предоставления платных медицинских услуг, утв. Постановлением Правительства РФ № 736 от 11.05.2023) — то есть паспортные данные и копия паспорта для идентификации пациента и оформления договора являются нормой. СНИЛС в этот перечень обязательных реквизитов не входит, но используется клиниками для отчётов и взаимодействия с ЕГИСЗ/ОМС, если клиника участвует в таких информационных системах; данные о состоянии здоровья, к которым относится и сам факт МРТ, отнесены к специальной категории и обрабатываются в медико-профилактических целях медицинской организацией с обязанностью хранить врачебную тайну:

1. обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну
   — подп. 4 п. 2 ст. 10 ФЗ № 152-ФЗ

Вывод: сам по себе сбор СНИЛС и копии паспорта частной клиникой при платном МРТ не является автоматически незаконным, если цели обработки соответствовали сбору (идентификация пациента, договор, медицинская документация). Нарушение возникает тогда, когда данные выходят за пределы этих целей, собираются без надлежащего согласия либо используются несовместимо с целью сбора. То есть «грозить» вам лично чем-либо передача этих данных не может — риски несут те, кто их неправомерно обработает.

Как потребовать удаления данных: отзыв согласия и уничтожение

Механизм защиты — письменное обращение к оператору. Согласие на обработку вы дали свободно и можете его отозвать:

1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона
   — п. 2 ст. 9 ФЗ № 152-ФЗ

Бремя доказывания законности сбора лежит на клинике, а не на вас:

1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора
   — п. 3 ст. 9 ФЗ № 152-ФЗ

Субъект персональных данных вправе требовать уничтожения данных, не являющихся необходимыми для заявленной цели обработки:

1. Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав
   — п. 1 ст. 14 ФЗ № 152-ФЗ

Оператор обязан отвечать на такой запрос и предоставлять сведения, в том числе о том, кому могли быть переданы ваши данные, в течение 10 рабочих дней (с правом продления ещё на 5):

1. Сведения, указанные в части 7 настоящей статьи, предоставляются субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя
   — п. 3 ст. 14 ФЗ № 152-ФЗ

При отзыве согласия оператор обязан прекратить обработку и, если сохранение данных более не требуется для целей, уничтожить их в срок не более 30 дней с даты поступления отзыва:

1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
   — п. 5 ст. 21 ФЗ № 152-ФЗ

Важная оговорка: полное уничтожение ВСЕХ данных не всегда возможно — медицинская организация обязана хранить первичную медицинскую документацию (само исследование, договор, информированное согласие) в течение установленных сроков, поскольку это касается уже не только персональных данных, но и врачебной тайны и доказательств оказанной услуги. Отзыв согласия не даёт права требовать стирания сведений, которые клиника обязана хранить по закону (например, по п. 2 ч. 1 ст. 6 ФЗ № 152-ФЗ — исполнение возложенных законом обязанностей). Поэтому формулируйте требование максимально конкретно: прекратить обработку СНИЛС и копии паспорта как избыточных (если они не нужны для исполнения договора и отчётности), уведомить обо всех, кому данные могли быть переданы, и подтвердить уничтожение.

Вывод: вы вправе письменно потребовать (с фиксацией входящего номера или заказным письмом) прекращения обработки и уничтожения СНИЛС и копии документа как избыточных; клиника обязана ответить в срок до 10 рабочих дней, а при отзыве согласия — прекратить обработку и уничтожить данные в срок до 30 дней, кроме тех сведений, которые обязана хранить по закону.

Куда жаловаться и какая ответственность грозит клинике

Если клиника откажет или не ответит, у вас два невзаимоисключающих пути — надзорный орган и суд:

1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке
   — ст. 17 ФЗ № 152-ФЗ, п. 1

Надзорный орган — Роскомнадзор (федеральный орган исполнительной власти, уполномоченный по защите прав субъектов персональных данных). Он рассматривает обращения о соответствии содержания и способов обработки данных целям, вправе требовать уточнения/блокирования/уничтожения и даже приостанавливать или прекращать обработку:

1. Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 1 1 . (Дополнение частью - Федеральный закон от 22.02.2017 № 16-ФЗ ) (Утратила силу - Федеральный закон от 11.06.2021 № 170-ФЗ ) 2. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение
   — п. 1, 2 ст. 23 ФЗ № 152-ФЗ

1. Уполномоченный орган по защите прав субъектов персональных данных имеет право: 1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 21.07.2014 № 242-ФЗ ) 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона
   — п. 3 ст. 23 ФЗ № 152-ФЗ

Клиника, допустившая неправомерную обработку, несёт административную ответственность. Если СНИЛС/копия паспорта обрабатывались сверх цели или без надлежащего письменного согласия (а согласие на специальную категорию данных о здоровье должно быть письменным), применяются крупные штрафы:

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей
   — ч. 1 ст. 13.11 КоАП РФ

1. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей
   — ч. 2 ст. 13.11 КоАП РФ

Если клиника не выполнит ваше требование об уничтожении избыточных данных в срок — отдельный состав:

1. Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до сорока тысяч рублей; на юридических лиц - от пятидесяти тысяч до девяноста тысяч рублей
   — ч. 5 ст. 13.11 КоАП РФ

Если не предоставит запрошенную информацию об обработке — ещё один состав:

1. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до тридцати тысяч рублей; на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей
   — ч. 4 ст. 13.11 КоАП РФ

За фактическое нарушение прав субъекта персональных данных (а не только за отказ в выдаче сведений) предусмотрено возмещение морального вреда в судебном порядке, независимо от имущественного вреда:

1. Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность. (В редакции Федерального закона от 25.07.2011 № 261-ФЗ ) 2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков
   — ст. 24 ФЗ № 152-ФЗ, п. 1

Вывод: жалоба подаётся в территориальный орган Роскомнадзора (письменно или через форму на сайте); при отказе или нарушении — иск в суд о защите прав субъекта персональных данных (возможно с требованием компенсации морального вреда). Клинике за избыточную обработку или обработку без письменного согласия грозит штраф до 300 000–700 000 рублей (ч. 1, 2 ст. 13.11 КоАП РФ), за неисполнение требования об уничтожении — до 90 000 рублей (ч. 5). Дополнительно можно подать жалобу в прокуратуру в общем порядке (ст. 10 ФЗ № 59-ФЗ) — она надзирает за исполнением законодательства о персональных данных.

Реальные риски от передачи СНИЛС и копии документа — и как их снизить

Для самой пациентки передача СНИЛС и копии паспорта никакой «ответственности» или угрозы не создаёт — это ваши данные, а не чьи-то чужие. Реальный риск носит иной характер: при утечке из базы клиники (взлом, продажа, халатность сотрудника) связка «ФИО + паспорт + СНИЛС» используется мошенниками для оформления микрозаймов, сим-карт или подделки документов на чужое имя.

Юридически защита здесь двоякая. Во-первых, сам факт МРТ и все сведения о здоровье охраняются врачебной тайной, разглашение которой без вашего согласия запрещено под страхом ответственности:

1. Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну. 2. Не допускается разглашение сведений, составляющих врачебную тайну, в том числе после смерти человека, лицами, которым они стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей, за исключением случаев, установленных частями 3 и 4 настоящей статьи
   — ч. 1, 2 ст. 13 ФЗ № 323-ФЗ «Об основах охраны здоровья граждан»

Это означает: распространять данные вправе только с вашего письменного согласия, а незаконное разглашение влечёт ответственность клиники и работника (вплоть до уголовной ответственности по ст. 137 УК РФ при умышленном сборе/распространении сведений о частной жизни). Во-вторых, срок хранения данных ограничен целью их обработки — после достижения цели данные подлежат уничтожению либо обезличиванию:

1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей
   — п. 7 ст. 5 ФЗ № 152-ФЗ

Практические меры для снижения риска: (1) направить в клинику письменный запрос по ст. 14 ФЗ № 152-ФЗ о том, какие данные, с какой целью и кому переданы; (2) отозвать согласие на обработку избыточных данных; (3) раз в полгода-год бесплатно проверять свою кредитную историю через Госуслуги (БКИ) на предмет появления неоформленных вами займов; (4) если поступят звонки/СМС о кредитах или штрафах, которых вы не оформляли, — немедленно фиксировать и обращаться в банк/МФО и полицию (ст. 159 УК РФ — мошенничество).

Вывод: самой пациентке передача данных ничем не грозит; угроза существует только от возможной утечки или недобросовестного использования клиникой, а для её минимизации достаточно запросить информацию об обработке, отозвать согласие на избыточные данные и периодически проверять кредитную историю.