Юлия Аргунова - Врачебная тайна. Вопросы и ответы

5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

6) обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;

7) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством;

7.1) обработка полученных в установленных законодательством Российской Федерации случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора;

8) обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;

9) обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации, государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан.

Обработка специальных категорий персональных данных должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка, если иное не установлено федеральным законом.

Субъект персональных данных дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие должно быть конкретным, информированным и сознательным (ч. 1 ст. 9 Федерального закона «О персональных данных»).

Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер и дату выдачи основного документа, удостоверяющего его личность, сведения о выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер и дату выдачи основного документа, удостоверяющего его личность, сведения о выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных.

Указанные выше требования закона на практике не всегда исполняются. Многие медицинские организации, предлагающие гражданам подписать согласие на обработку своих персональных данных, не осведомляют пациента ни о тех службах, в которые могут быть направлены эти сведения, ни о том, какие именно персональные данные будут переданы. Одни медицинские организации включают данные о состоянии здоровья в приводимый на бланке перечень персональных данных, другие указывают данные о состоянии здоровья отдельно от персональных данных и добавляют к ним также данные о случаях обращения лица за медицинской помощью. Как правило, согласие пациента на передачу его персональных данных выделяется отдельной строкой. Но при этом не указывается, кому предполагается передавать эти данные. Такого указания не имеется, например, в бланке согласия на обработку персональных данных ФГБУ «ГНИЦ профилактической медицины» Минздрава России. В бланках медицинских организаций встречаются и явно несоответствующие закону оговорки. Так, в бланке стоматологической поликлиники № 2 Управления здравоохранения Западного округа г. Москвы записано, что «субъект» дает согласие на передачу информации третьим лицам «в случаях, установленных нормативными документами вышестоящих органов и законодательством».

Согласно закону согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В этом случае оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в п. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч 2 ст. 11 настоящего Федерального закона.

На основании Федерального закона «О персональных данных» в России создан уполномоченный орган по защите прав субъектов персональных данных, который призван обеспечивать контроль и надзор за соответствием обработки персональных данных требованиям Федерального закона, рассматривать обращения граждан (субъектов персональных данных) о соответствии содержания персональных данных и способов их обработки целям их обработки. Указанный орган вправе, в частности обращаться в суд с исковым заявлением в защиту прав граждан и представлять их интересы в суде. Этим уполномоченным органом является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Это орган исполнительной власти Российской Федерации, находящийся в ведении Минкомсвязи. На территории Москвы и Московской области таким органом соответственно является Управление Роском-надзора по Москве и Московской области.

Одним из средств защиты информации от несанкционированного использования является ее обезличивание, то есть действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных. Приказом Роскомнадзора от 5 сентября 2013 г. № 996 утверждены требования и методы по обезличиванию персональных данных. Этот процесс должен затронуть и медицинские организации. Для возможности их обработки обезличенные данные должны обладать свойствами, сохраняющими основные свои характеристики.