Готовое решение: Как получить и оформить согласие пациента на обработку персональных данных

Как получить и оформить согласие пациента на обработку персональных данных

Получите согласие пациента на обработку его персональных данных в случаях, когда нет других оснований для их обработки. Согласие дает сам пациент или его представитель. Проверьте, есть ли полномочия у представителя.

Если закон не требует получать согласие в письменной форме, вы можете получить его в любой форме, которая позволит вам подтвердить его наличие. Например, вы можете использовать для этой цели ваш сайт.

Если требования к содержанию согласия установлены законом, включите в него все необходимые сведения. В противном случае руководствуйтесь общими требованиями к согласию.

Оглавление:

1. Какие есть требования к получению согласия пациента на обработку персональных данных

2. В какой форме пациент может дать согласие на обработку персональных данных

3. Какие сведения нужно включить в согласие пациента на обработку персональных данных

4. Как получить согласие пациента на сайте или в мобильном приложении

1. Какие есть требования к получению согласия пациента на обработку персональных данных

Согласие пациента на обработку персональных данных необходимо в тех случаях, когда нет других оснований их обработки, например в связи с исполнением законов или выполнением возложенных на вас функций или обязанностей (п. п. 1 — 2 ч. 1 ст. 6, ч. 2 ст. 9, п. 4 ч. 2 ст. 10 Закона о персональных данных).

Согласие дает сам пациент или его представитель. Например, если пациент недееспособен, можно получить согласие его законного представителя. В этом случае проверьте полномочия такого лица (ч. 1, 6 ст. 9 Закона о персональных данных).

С какого возраста пациент может давать согласие на обработку персональных данных

Закон о персональных данных не ограничивает право несовершеннолетних давать согласие на обработку персональных данных. В то же время оно связано с наличием дееспособности.

По общему правилу дееспособность наступает с 18 лет. В ряде случаев несовершеннолетних могут признать дееспособными раньше (п. п. 1, 2 ст. 21, п. 1 ст. 27 ГК РФ).

Несовершеннолетние от 14 до 18 лет, полагаем, могут давать согласие на обработку в рамках правоотношений, в которые они вступают при достижении этого возраста, если иное не установлено законодательством (ст. 26 ГК РФ).

За детей до 14 лет (малолетних) согласие дают их законные представители, например родители. Достаточно согласия одного из них (п. 1 ст. 28 ГК РФ, п. 1 ст. 61, п. 1 ст. 64 СК РФ).

Давать информированное добровольное согласие (ИДС) на медицинское вмешательство или отказываться от него могут подростки старше 15 лет, а больные наркоманией — старше 16 лет (есть исключения) (ч. 2 ст. 54 Закона об охране здоровья). Полагаем, что при достижении указанного возраста несовершеннолетний пациент вправе давать согласие на обработку персональных данных самостоятельно.

Вы не можете отказать в медпомощи из-за отсутствия согласия пациента на обработку персональных данных. Это связано с тем, что Закон об охране здоровья условием оказания медпомощи считает только получение ИДС. Законом о персональных данных установлены случаи, когда согласие на обработку не нужно и обработка может быть продолжена и после отзыва согласия (п. п. 2 — 11 ч. 1 ст. 6, ч. 2 ст. 9, ч. 2 ст. 10, ч. 2 ст. 11 Закона о персональных данных, ч. 1 ст. 11, ч. 1 ст. 20 Закона об охране здоровья).

При разработке типовых форм согласия учтите, что оно должно отвечать интересам пациента. Вы не можете просить его дать единое согласие на все цели и процессы обработки без возможности отказаться от обработки в некоторых из них, например в маркетинговых или других информационных целях либо от передачи данных третьим лицам в случаях, не предусмотренных законом. Кроме того, согласие нужно оформлять отдельно от других документов, которые подписывает (подтверждает) пациент (ч. 1 ст. 9 Закона о персональных данных).

2. В какой форме пациент может дать согласие на обработку персональных данных

По общему правилу субъект персональных данных может дать согласие в любой форме, которая позволит вам подтвердить его наличие. Например, это предоставление согласия в письменном виде или с использованием формы, размещенной на вашем сайте. Исключение — случаи, когда закон обязывает вас получать согласие в письменной форме, отвечающее требованиям ч. 4 ст. 9 Закона о персональных данных (ч. 1 ст. 9 этого Закона).

Таким требованиям должно соответствовать, например, согласие на обработку данных специальных категорий или биометрических персональных данных. Получите его, когда нет оснований для обработки без согласия. В этом случае пациент (его представитель) должен подписать документ собственноручно.

Равнозначным бумажному согласию считается согласие в электронной форме, которое подписано по ст. 6 Закона об электронной подписи (ч. 4 ст. 9 Закона о персональных данных).

Какая ответственность предусмотрена за несоблюдение формы согласия на обработку персональных данных

Если по закону согласие нужно получить в письменной форме, но вы обрабатываете персональные данные без такого согласия или с нарушением требований к его содержанию, вам грозит административная ответственность по ч. 2 ст. 13.11 КоАП РФ.

Если закон не требует получать письменное согласие и при этом вы выбрали форму, которая не позволяет подтвердить его получение в случае, когда оно необходимо, вас могут привлечь к ответственности по ч. 1 ст. 13.11 КоАП РФ.

3. Какие сведения нужно включить в согласие пациента на обработку персональных данных

Состав сведений, которые нужно включить в согласие, зависит от цели его получения и категории обрабатываемых персональных данных.

Так, возможны следующие виды согласия (ч. 3 ст. 6, ч. 1 ст. 9, ч. 4 ст. 9, ч. 1 ст. 10.1, ч. 1 ст. 15 Закона о персональных данных):

согласие в письменной форме. Оно предусмотрено, например, для обработки данных специальных категорий или биометрических персональных данных;

согласие на обработку, к которому не применяются требования ч. 4 ст. 9 Закона о персональных данных. Например, его получают, чтобы поручить обработку данных другому лицу в случаях, не предусмотренных законом, или продвинуть услуги;

согласие на обработку персональных данных, разрешенных субъектом для распространения.

Когда согласие должно быть получено в письменной форме, включите в него сведения из ч. 4 ст. 9 Закона о персональных данных:

Ф.И.О., адрес пациента, номер паспорта, дату его выдачи и сведения о выдавшем его органе;

Ф.И.О., адрес представителя пациента, номер его паспорта, дату его выдачи и сведения о выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия (если согласие дает представитель от имени пациента);

сведения о вас как об операторе (наименование, адрес);

цель обработки персональных данных;

перечень персональных данных, на обработку которых дается согласие;

перечень действий с персональными данными и описание способов их обработки;

сведения о лицах, которым будет поручена обработка (наименование (Ф.И.О.), адрес) (если предполагается передача данных этим лицам для обработки);

срок действия согласия и способ его отзыва (если законом не установлено иное);

подпись пациента (его представителя — если он дает согласие от имени пациента).

Если вы получаете согласие в случаях, когда закон не требует его письменной формы, не ссылайтесь на ч. 4 ст. 9 Закона о персональных данных, а исходите из общих требований к согласию на обработку. Чтобы согласие им соответствовало, пациент должен знать, кто обрабатывает его персональные данные, каковы цели их обработки, действия с ними (включая поручение обработки и передачу данных третьим лицам), срок обработки, порядок отзыва согласия и др.

Приведенную информацию следует изложить в тексте согласия. Если вы хотите передать персональные данные третьим лицам или поручить им обработку в случаях, не предусмотренных законом, укажите сведения о таких лицах (например, их наименование, адрес, контактную информацию) и цели передачи (поручения). Это связано с тем, что получение согласия пациента в ситуации, когда нет иных оснований для обработки, и соблюдение требований к нему доказываете вы (ч. 3 ст. 9 Закона о персональных данных).

Помните, что распространение персональных данных предполагает их раскрытие неопределенному кругу лиц, что с учетом специфики медпомощи не предусмотрено законодательством и не является необходимым. Это обусловлено тем, что требуется обеспечить сохранность врачебной тайны. Поэтому не следует включать согласие на распространение данных в согласие пациента на обработку в иных целях.

Если вы все же намерены распространить данные пациента, например разместить его отзыв с личными данными на сайте, учтите, в частности, следующее (ч. 1, 9, 10, 12 ст. 10.1 Закона о персональных данных):

согласие на распространение данных пациента нужно оформить отдельно от его иных согласий;

форма согласия должна предусматривать возможность для пациента запретить передачу (кроме предоставления доступа) персональных данных, разрешенных для распространения, неограниченному кругу лиц, а также установить запрет или условия их обработки (кроме получения доступа) такими лицами;

информацию о наличии запрета или условиях обработки, в том числе неограниченным кругом лиц, нужно опубликовать, например, на странице сайта, на которой размещены персональные данные;

в любое время такую обработку нужно прекратить по требованию субъекта персональных данных.

В согласие на обработку персональных данных, разрешенных для распространения, включите сведения, которые предусмотрены Требованиями, утвержденными Приказом Роскомнадзора от 24.02.2021 № 18.

4. Как получить согласие пациента на сайте или в мобильном приложении

Когда пациент взаимодействует с вами через сайт или мобильное приложение, он может сам предоставлять свои персональные данные либо его данные как пользователя сайта (мобильного приложения) могут быть получены с использованием специальных метрических программ (сервисов).

Если на вашем сайте или в мобильном приложении есть формы, в которые пациенты могут внести свои данные (например, форма регистрации личного кабинета, форма записи или обратной связи), обеспечьте, в частности, следующее (п. 1 ч. 1 ст. 6, ч. 1, 3 ст. 9, ч. 5 ст. 18, ч. 2 ст. 18.1 Закона о персональных данных):

на странице сайта или мобильного приложения с указанной формой либо непосредственно под ней разместите политику обработки персональных данных и требования к их защите, которые вы реализуете (если они не указаны в политике);

обеспечьте возможность прочитать текст согласия, например, в виде всплывающего окна или скачиваемого файла, содержащего необходимые сведения. Недостаточно разместить текст «Даю согласие на обработку персональных данных» без возможности получить информацию о том, кто собирает данные, в каких целях, какие действия с ними совершает и т.п.;

предусмотрите возможность подтвердить согласие путем проставления отметки в специальном окне (чек-боксе) или иным образом. Она не должна проставляться автоматически (быть предустановленной). Пациент должен подтвердить согласие своими действиями;

не объединяйте согласие на обработку персональных данных с согласием на другие действия с их использованием, например согласием на рассылку рекламных сообщений. Предусмотрите для таких случаев отдельное окно (чек-бокс) для проставления отметки о согласии;

обеспечьте возможность подтвердить получение согласия пациента. В частности, вы можете вести запись действий пользователя сайта или мобильного приложения с помощью специальных программ и хранить эти сведения в виде лог-файлов;

запись, хранение и другую обработку персональных данных, полученных через сайт или мобильное приложение, осуществляйте с использованием баз данных на территории РФ.

Если для обработки персональных данных требуется письменное согласие, недостаточно получить его проставлением отметок в форме, размещенной на сайте или в мобильном приложении. В таком случае согласие можно заверить только собственноручно или электронной подписью по ст. 6 Закона об электронной подписи (ч. 1, 4 ст. 9 Закона о персональных данных).

Если на сайте или в мобильном приложении вы применяете метрические программы (сервисы), с помощью которых можно прямо или косвенно определить физлицо (например, на основании данных файлов cookie), вы также должны получить согласие на это. Такие сведения признают персональными данными. Вместо согласия основанием для их обработки может быть пользовательское соглашение (оферта) (п. 1 ст. 3, п. п. 1, 5 ч. 1 ст. 6 Закона о персональных данных).

Для обработки данных, получаемых с использованием метрических программ (сервисов), примите следующие меры, в частности (п. п. 1, 5 ч. 1 ст. 6, ч. 1, 3 ст. 9, ч. 5 ст. 18, ч. 2 ст. 18.1 Закона о персональных данных):

разместите при входе на сайт (в мобильное приложение) в виде всплывающего окна (баннера) или иным образом информацию об использовании метрических программ (сервисов). Укажите сведения о них, данные, которые они собирают, цели сбора и обработки. Информация на баннере должна обеспечить информированное согласие пользователя;

предоставьте возможность отказаться от сбора тех данных, которые не являются необходимыми для работы сайта (мобильного приложения);

предусмотрите способ подтверждения согласия. Например, вы можете предложить пользователю прочитать сообщение о том, что, нажимая на кнопку «Согласен» или «Хорошо», он подтверждает согласие на обработку, в том числе на условиях пользовательского соглашения;

предусмотрите обработку персональных данных с использованием метрических программ (сервисов) в политике их обработки, учитывая требования к локальным актам по этому вопросу;

обеспечьте возможность подтвердить получение согласия и локализацию на территории РФ баз данных, в которые включены полученные персональные данные.

Учтите, что Роскомнадзор и его территориальные органы проверяют, правомерно ли вы собираете персональные данные через сайт или мобильное приложение. Они делают это в ходе контрольных (надзорных) мероприятий, в том числе без взаимодействия. Так, по результатам мероприятий без взаимодействия в случае выявления нарушений вам могут направить требование о приведении деятельности в соответствие с законодательством в области персональных данных, например о блокировании или уничтожении данных, полученных незаконным путем (п. п. 3, 4 ч. 3 ст. 23 Закона о персональных данных, пп. «а» п. 59, п. 61 Положения, утвержденного Постановлением Правительства РФ от 29.06.2021 № 1046).

---