В согласиях на обработку персональных данных многих учреждений встречается такая формулировка:
"Потребитель (пациент) дает согласие оператору (медицинской организации) на передачу персональных данных, в том числе составляющих врачебную тайну, иным лицам, осуществляющим обработку персональных данных по поручению оператора, если обработка будет поручена таким лицам".
Из подобного текста невозможно установить наименование или фамилию, имя, отчество и адрес компаний, осуществляющих обработку персональных данных пациента по поручению оператора.
Так, согласно пп. 6 п. 4 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных", согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
Таким образом, не поименованные лица, фактически становясь операторами либо лицами, получившими доступ к персональным данным потребителя (пациента), не становятся обязанными сохранять конфиденциальность таких данных.
Подписав подобное условие в согласии на обработку персональных данных потребитель фактически соглашается с возможностью обработки его персональных данных третьими лицами, что нарушает установленные законом специальные требования к письменному согласию субъекта персональных данных.
Указанные выводы подтверждаются материалам судебной практики.
Например, Постановлением Девятого арбитражного апелляционного суда от 22.01.2018 № 09АП-66369/2017 по делу № А40-155310/17:
Подобные условия ущемляют права потребителя посредством предоставления третьему лицу необоснованного права на обработку персональных данных потребителя без получения от такого потребителя соответствующего согласия в письменной форме, установленной законом.
Указанное условие не охвачено самостоятельной волей и интересом потребителя, поскольку согласие потребителя, в данном случае, определено наличием напечатанного текста...
Идентичные выводы содержат Постановление Одиннадцатого арбитражного апелляционного суда от 28.04.2018 № 11АП-4544/2018 по делу № А65-35933/2017; Постановление Тринадцатого арбитражного апелляционного суда от 20.02.2018 № 13АП-34099/2017 по делу № А56-56720/2017; Постановление Двадцатого арбитражного апелляционного суда от 11.01.2018 № 20АП-7785/2017 по делу № А09-12418/2017 и другие.
Компании-нарушители привлекаются к административной ответственности по ч. 2 ст. 14.8 КоАП РФ - за включение в договор условий, ущемляющих права потребителя, установленные законодательством о защите прав потребителей (штраф 10-20 т.р.).
Таким образом, в согласии на обработку персональных данных должен быть закрытый перечень лиц, которым оператор может поручить обработку персональных данных. С указанием наименования / ФИО и адреса таких лиц.