Суть спора
Пациент обратился в медицинскую клинику с досудебной претензией. Для рассмотрения претензии и подготовки ответа медклиника наняла частных юристов и передала им претензию.
Имеет ли право в данном случае медицинская организация передавать юристам претензию, если в ней указаны данные о пациенте?
Мнения судов
Суды в трёх инстанциях заключили, что в медицинская организация не имеет права передавать третьим лицам сведения о пациенте, так как это персональные данные пациента. При этом. не имеет никакого значения, что это юристы, которые призваны дать ответ на досудебную претензию.
Следует отметить, что в рассматриваемом случае доступ к медицинской документации пациента предоставлен не был.
Роскомнадзор
До судебного разбирательства пациентка, подписав предварительно мировое соглашение по возникшему с медорганизацией спору, обратилась в Роскомнадзор с жалобой по факту разглашения её персональных данных третьим лицам.
Роскомнадзор признал действия клиники как незаконную обработку (распространение без согласия субъекта ПДн и в отсутствие законных оснований) персональных данных пациентки.
Ситуацию усугубляло ещё и то, что разглашённые сведения относились к специальной категории - о случаях обращения за медицинской помощью.
В итоге надзорный орган направил медклинике требование о недопущении нарушений и прекращении обработки персональных данных пациента юрфирмой.
Клиника не согласна
В суд в данном случае обратилась именно медицинская организация, а не пациентка. Клиника пыталась оспорить выводы Роскомнадзора, но безуспешно. Выводы суда были такими:
- По закону сбор, обработка, передача, распространение персональных данных возможны только с согласия субъекта персональных данных, при этом согласие должно быть конкретным;
Под персональными данными понимается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.
- Пациентка не давала согласия клинике на передачу персональных данных юрфирме и не давала согласия юридической компании на обработку своих персональных данных;
- Операторам и иным лицам, получившим доступ к персональным данным, т.е. любой информации, относящейся прямо или косвенно к физическому лицу, запрещено раскрывать третьим лицам и распространять персональные данные без согласия субъекта;
- Пациентка не являлась стороной по договору между клиникой и юридической компанией. Этот договор не относится к обработке персональных данных клиентки при оказании медицинских услуг;
- Клиника в жалобе на Роскомнадзор мотивирует свой поступок тем, что ей была необходима квалифицированная юридическая помощь. По мнению клиники, ознакомление юриста с претензией клиентки является исключением из общего правила о письменном согласии на обработку персональных данных.
Клиника ссылается на п. 6 ч. 2. ст. 10 Закона о ПДн, из которого следует, что обработка персональных данных о состоянии здоровья допускается в случаях, если:
"обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия"
Этот довод клиники судом отклонён, так как основан на ошибочном понимании указанной нормы права. В данном случае ознакомление с претензией клиентки, где содержались сведения о её состоянии здоровья, предоставлено клиникой своему поверенному на досудебной стадии урегулирования спора, что требовало получение согласия субъекта персональных данных.
Что это всё значит
Поскольку суд делает оговорку о том, что нарушение вызвано раскрытием данных на досудебной стадии, из этого следует, что на стадии подготовки возражений на иск такое раскрытие было бы правомерным.
Как быть на досудебной стадии
Ситуация с юридической помощью на досудебной стадии не является безвыходной. Претензию надо было просто обезличить, то есть простыми словами замазать в ней Ф.И.О. пациентки и по возможности сведения медицинского характера.
P.S.
В случае с медицинскими данными с мнением судов сложно не согласиться, но в иных случаях как-то мы и закон параноидально относимся к защите персональных данных, и это часто доходит до абсурда.
