Готовое решение: Что делать, если пациент отозвал согласие на обработку персональных данных

Что делать, если пациент отозвал согласие на обработку персональных данных

Пациент вправе отозвать согласие на обработку персональных данных в любое время без объяснения причин. Когда поступил отзыв, оцените, есть ли другие основания продолжить их обработку для нужной вам цели.

Если такие основания есть, вы вправе продолжить обработку персональных данных. Проинформируйте пациента об этих основаниях, например о требованиях законодательства, которые вы обязаны выполнять.

Если согласие — это единственное основание для обработки персональных данных и их хранение более не нужно для ее целей, прекратите обработку и уничтожьте данные не позднее 30 дней с даты поступления отзыва.

Оглавление:

1. В каких случаях пациент вправе отозвать согласие на обработку персональных данных

2. Что учесть при поступлении отзыва согласия на обработку персональных данных

3. Что делать медорганизации после того, как она получила отзыв согласия на обработку персональных данных

1. В каких случаях пациент вправе отозвать согласие на обработку персональных данных

Пациент как субъект персональных данных может отозвать согласие на их обработку в любое время (ч. 2 ст. 9 Закона о персональных данных). Причина отзыва согласия не имеет значения. Пациент не обязан ее указывать.

Пациент может направить такой отзыв, если он, например:

посчитает, что вы получили больше данных, чем нужно для оказания ему медпомощи, либо обрабатываете их ненадлежащим образом;

недоволен качеством оказания платных медицинских услуг, не намерен быть вашим клиентом и не хочет, чтобы вы хранили его личные данные;

хочет прекратить обработку в отдельных целях, которые перестали отвечать его интересам.

2. Что учесть при поступлении отзыва согласия на обработку персональных данных

Требования к способу подачи, форме и содержанию отзыва согласия законом не предусмотрены (ч. 2, п. 8 ч. 4 ст. 9 Закона о персональных данных).

Пациент может направить вам отзыв способом, который указан в его согласии на обработку персональных данных либо в ваших документах (локальных актах) по вопросам их обработки, например политике обработки персональных данных или положении об их обработке (п. 8 ч. 4 ст. 9, п. 2 ч. 1 ст. 18.1 Закона о персональных данных).

Если вы не определили способ направления вам отзыва, пациент может передать его любым удобным для него способом, например: принести лично, отправить по почте, в том числе по электронной, через ваш сайт или мобильное приложение (если есть такая возможность).

Вы можете предусмотреть в ваших локальных документах форму и сведения, которые нужно указать в отзыве, чтобы достоверно определить, что обратившееся лицо — ваш пациент. Не спешите отказывать в рассмотрении отзыва, если он не соответствует вашим требованиям к его форме и содержанию либо поступил не тем способом, который указан в согласии или ваших локальных актах. Полагаем, что такой отказ может быть признан формальным.

Оцените, содержит ли отзыв достаточно сведений, чтобы вы могли идентифицировать обратившееся лицо как пациента, персональные данные которого вы обрабатываете. Например, сопоставьте указанные в отзыве фамилию, имя, отчество (при наличии), контактную информацию, адрес для ответа, обстоятельства обращения в медорганизацию или лечения с теми данными, которыми вы располагаете. Если таких сведений достаточно и нет сомнений в том, что отправитель отзыва — ваш пациент, переходите к его рассмотрению.

Когда сведения не позволяют достоверно это подтвердить, полагаем, что вы можете направить в адрес отправителя письмо. Укажите в нем причины, по которым вы не можете однозначно определить его как пациента, и предложите предоставить дополнительную информацию.

Такая ситуация может возникнуть, когда, например, есть несколько пациентов с одинаковыми данными или контактные данные в отзыве отличаются от тех, которые есть у вас, и в отзыве нет другой информации, которая подтверждала бы правоотношения с вами. То же касается случая, когда отзыв поступил на электронную почту и в нем нет иных сведений, кроме адреса, с которого он поступил.

Учтите, что 30-дневный срок принятия мер по отзыву считается со дня его поступления, а не со дня получения дополнительной информации (ч. 5 ст. 21 Закона о персональных данных). Если вы ее не получили, направьте мотивированный ответ в пределах этого срока.

Полагаем, что отзыв может направить и представитель пациента как субъекта персональных данных. В этом случае убедитесь, что его полномочия документально подтверждены (ч. 1, 6 ст. 9 Закона о персональных данных, п. 1 ст. 182, п. 1 ст. 185 ГК РФ).

3. Что делать медорганизации после того, как она получила отзыв согласия на обработку персональных данных

В этом случае действия медорганизации зависят от того, есть иное основание для обработки персональных данных или нет. Оцените, хочет ли пациент прекратить обработку всех данных, некоторых из них или в отдельных целях.

3.1 В каких случаях можно продолжать обрабатывать персональные данные после отзыва согласия

Вы вправе продолжить обрабатывать персональные данные после получения от пациента отзыва согласия, когда это нужно, например, чтобы выполнить требования законодательства в сфере охраны здоровья, в частности по персонифицированному учету пациентов, вести учет медицинской документации и хранить ее (п. п. 11 — 12 ч. 1 ст. 79, ч. 1 ст. 92 Закона об охране здоровья, п. 2 ч. 1 ст. 6 Закона о персональных данных).

Обработка сведений о состоянии здоровья, иных специальных категорий персональных данных гражданина в медико-профилактических целях, для постановки диагноза или оказания медицинских (медико-социальных) услуг допустима без его согласия, если данные обрабатывает лицо, которое профессионально занимается медицинской деятельностью. Конфиденциальность данных в таком случае обеспечена врачебной тайной, поэтому продолжить обработку можно и после отзыва согласия (Определение Конституционного Суда РФ от 16.07.2013 № 1176-О, п. 2 ч. 1 ст. 6, п. 4 ч. 2 ст. 10 Закона о персональных данных).

Продолжить обработку можно и тогда, когда это обусловлено соблюдением прав пациента как застрахованного лица, например, в сфере ОМС. В рамках программ ОМС медорганизация обязана оказывать застрахованному лицу медпомощь бесплатно независимо от наличия согласия на обработку персональных данных. Поэтому его отзыв не влечет прекращение обработки для такой цели (п. 7 ст. 3, п. 1 ч. 1 ст. 16, п. 1 ч. 2 ст. 20 Закона об ОМС, п. 2 ч. 1 ст. 6, п. 8 ч. 2 ст. 10 Закона о персональных данных).

Если пациент — сторона договора оказания платных медицинских услуг или такой договор заключен в его интересах, данные можно обрабатывать в пределах предмета договора и необходимого объема личных данных не только до исполнения обязательств, но и в течение сроков исковой давности и хранения подтверждающих оказание услуги документов и (или) медицинской документации (п. п. 2, 5 ч. 1 ст. 6 Закона о персональных данных, п. 12 ч. 1 ст. 79 Закона об охране здоровья, ч. 1 ст. 29 Закона о бухгалтерском учете, пп. 8 п. 1 ст. 23 НК РФ).

Вы вправе продолжить обработку персональных данных в случае отзыва согласия, если у вас есть одно или несколько оснований, указанных в пп. 2 — 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона о персональных данных (когда согласие не нужно). В таком случае уведомьте пациента (его представителя), направившего отзыв, о правовых основаниях для продолжения обработки. Сделайте это в пределах 30-дневного срока с даты поступления отзыва (ч. 2 ст. 9, ч. 5 ст. 21 указанного Закона).

Если после отзыва вы вправе продолжить обрабатывать только часть персональных данных или только в отдельных целях, уведомьте пациента об этом, а иную обработку прекратите. Сообщите пациенту о том, в какой части обработка прекращена, поскольку он вправе это знать и может обжаловать действия (бездействие) оператора (ч. 1 ст. 14, ч. 1 ст. 17 Закона о персональных данных).

3.2 В каких случаях нужно прекратить обрабатывать персональные данные после получения отзыва согласия

Прекратите обработку персональных данных в связи с отзывом согласия, если оно было единственным основанием для обработки. Например, так бывает в ситуации, когда вы использовали их для маркетинговых целей, в частности информационных (рекламных) звонков или рассылок (ч. 2 ст. 9, ч. 1 ст. 15 Закона о персональных данных).

В таком случае прекратите обработку (обеспечьте ее прекращение, когда данные обрабатывает другое лицо по вашему поручению) и уничтожьте их, если хранение данных для целей обработки больше не нужно. Сделайте это не позднее 30 дней с даты поступления отзыва (есть исключения). Учтите Требования к подтверждению уничтожения, установленные Приказом Роскомнадзора от 28.10.2022 № 179 (ч. 7 ст. 21 Закона о персональных данных).

В отзыве согласия пациент может указать требование о прекращении обработки. Оно предусмотрено в ряде случаев, когда, например, персональные данные получены незаконно или не нужны для заявленной цели обработки (если ее цель — продвижение услуг) либо ранее пациент согласился на обработку персональных данных, разрешенных для распространения (ч. 12 ст. 10.1, ч. 1 ст. 14, ч. 2 ст. 15 Закона о персональных данных). Это имеет значение для соблюдения сроков принятия мер.

Если отзыв согласия содержит упомянутое требование или по сути является им и нет иного основания для продолжения обработки данных, вы должны прекратить ее (обеспечить ее прекращение). Сделайте это не позднее 10 рабочих дней с даты получения отзыва. Данный срок можно продлить на период до пяти рабочих дней. Для этого направьте пациенту мотивированное уведомление с указанием причин продления (ч. 5.1 ст. 21 Закона о персональных данных).

Независимо от названия полученного вами документа оцените, чего хочет пациент, какую обработку он намерен прекратить, затем действуйте в зависимости от этого. Проинформируйте пациента о результатах рассмотрения документа и принятых мерах.

Когда невозможно уничтожить персональные данные в 30-дневный срок с момента поступления отзыва, вы обязаны их заблокировать (обеспечить их блокирование) и уничтожить не позднее шести месяцев (законом может быть установлен иной срок). Это предусмотрено ч. 6 ст. 21 Закона о персональных данных.

---