© AllaSerebrina / Фотобанк Фотодженика

Три судебных инстанции пришли к выводу, что медорганизации запрещено без согласия пациента передавать любые его персональные данные (в том числе в объеме ФИО) приглашенным со стороны юристам, если они наняты для досудебного урегулирования конфликта с пациентом (Постановление Арбитражного суда Центрального округа от 2 февраля 2024 г. № Ф10-6795/23).

Правовая позиция высказана в следующем деле: пациентка, недовольная качеством оказанных ей медицинских услуг, потребовала у клиники вернуть ей 50 000 рублей в счет снижения стоимости оказанных услуг. Клиника, понимая, что конфликт с пациентом может перерасти в судебное разбирательство, заключила с юридической компанией договор на оказание юридических услуг для защиты своих прав и законных интересов. В рамках исполнения этого договора юрист юрфирмы был ознакомлен с текстом досудебной претензии пациентки - без доступа к ее медицинской документации. Юрист подготовил соглашение о досудебном урегулировании спора, которое устроило обе стороны. Пациентка подписала это соглашение и немедленно пожаловалась на медорганизацию в Роскомнадзор, утверждая, что медики неправомерно и без согласия субъекта персональных данных (ПДн) распространили (в адрес юрфирмы) ее персональные данные.

Роскомнадзор, ознакомившись с ситуацией, расценил поведение клиники как, действительно, незаконную обработку (распространение без согласия субъекта ПДн и в отсутствие законных оснований) персональных данных пациентки, да не простых, а специальной категории - о случаях обращения за медицинской помощью. Поэтому надзорный орган направил клинике требование о недопущении нарушений и прекращении обработки персональных данных пациента юрфирмой.

Клиника пыталась оспорить требование Роскомнадзора в суде, но безуспешно:

• из системного толкования норм Закона о ПДн следует, что сбор, обработка, передача, распространение персональных данных возможны только с согласия субъекта персональных данных, при этом согласие должно быть конкретным. Под персональными данными понимается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу;
• судами установлено, что клиентка клиники не давала своего согласия юрфирме на обработку своих персональных данных, а также не давала согласия на передачу персональных данных клиникой юрфирме;
• правовое регулирование, предусматривающее защиту и ограниченное использование ПДн, предполагает, что операторы и иные лица, получившие доступ к персональным данным, т.е. любой информации, относящейся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн), обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта;
• клиентка клиники не являлась стороной по договору, заключенному между клиникой и юрфирмой, данный договор не связан с реализацией оператором своих полномочий по обработке персональных данных клиентки при оказании медицинских услуг;
• при этом клиника в жалобе приводит довод о том, что в данном случае при досудебном урегулировании спора ей была необходима квалифицированная юридическая помощь со стороны юрфирмы, сотрудник которой ознакомился с претензией клиентки. По мнению клиники, ознакомление юриста с претензией клиентки является исключением из общего правила о письменном согласии субъекта ПДн на обработку персональных данных, предусмотренным подп. 6 ч. 2 ст. 10 Закона о ПДн (обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия),
• однако данный довод судом отклоняется как основанный на ошибочном понимании указанной нормы права. В данном случае ознакомление с претензией клиентки, в которой содержались сведения о ее состоянии здоровья, предоставлено клиникой своему поверенному на стадии досудебного урегулирования спора, что требовало получение согласия субъекта персональных данных.