Отзыв согласия на обработку персональных данных: что важно знать пациенту и работнику

Пациент или работник медицинской организации может отозвать согласие на обработку персональных данных. Такое право есть у субъекта персональных данных: если человек раньше подписал согласие, он может позже отказаться от обработки данных на этом основании. При этом отзыв согласия не всегда означает, что клиника обязана сразу удалить все сведения о пациенте или сотруднике.

Для ЛПУ важно правильно оценить ситуацию. Одни данные действительно нужно перестать обрабатывать после отзыва согласия. Другие сведения медицинская организация может продолжить хранить и использовать, если для этого есть законное основание: например, обязанность вести медицинскую документацию, хранить кадровые документы, исполнять договор или предоставлять отчётность.

Что такое отзыв согласия на обработку персональных данных

На практике человек может подписать согласие на обработку персональных данных при обращении в клинику, трудоустройстве, заполнении анкеты, записи через сайт или передаче сведений третьим лицам. Позже он вправе отозвать это согласие полностью или в части отдельных целей обработки.

Например, пациент может не возражать против обработки данных для оказания медицинской помощи, но отказаться от маркетинговых рассылок. Работник может разрешать обработку кадровых данных, но отозвать согласие на размещение фотографии и сведений о себе на сайте клиники.

Когда пациент может отозвать согласие

Пациент может отозвать согласие на обработку персональных данных в любое время. Обычно это делают, если человек больше не хочет получать рассылки, отказывается от передачи данных отдельному сервису, не хочет, чтобы клиника использовала его сведения для дополнительных целей, или завершил отношения с медицинской организацией.

При этом данные, которые использовались только на основании согласия и больше не нужны для законных целей, нужно перестать обрабатывать. Например, если пациент отозвал согласие на рекламные сообщения, клиника должна исключить его из маркетинговых рассылок.

Когда работник может отозвать согласие

Работник медицинской организации также может отозвать согласие на обработку персональных данных. Но работодатель не обязан прекращать всю обработку кадровых сведений, если данные нужны для трудовых отношений, расчёта зарплаты, ведения кадрового учёта, сдачи отчётности или выполнения требований закона.

Например, работник не может запретить работодателю хранить трудовой договор, сведения о зарплате, данные об отпусках, больничных, налоговых выплатах или воинском учёте, если эти документы нужны работодателю по закону. Отзыв согласия не отменяет обязанности работодателя вести кадровые документы.

Но если работник дал отдельное письменное согласие на обработку персональных данных для дополнительных целей, он может его отозвать. Это касается, например, публикации фотографии на сайте, размещения сведений в рекламных материалах, передачи данных партнёрам или использования информации в презентациях и рассылках.

Что должна сделать медицинская организация после отзыва согласия

После получения отзыва медицинская организация должна проверить, какие данные затронуты заявлением, на каком основании они обрабатываются и можно ли продолжать обработку без согласия. Если другого законного основания нет, обработку нужно прекратить.

В ЛПУ лучше закрепить внутренний порядок работы с такими обращениями. Это помогает не потерять заявление, не пропустить сроки и не удалить данные, которые клиника обязана хранить.

После поступления отзыва нужно проверить, кто подал заявление: пациент, работник или представитель. Затем установить, какое согласие отзывается, какие данные и цели обработки затронуты, есть ли другое законное основание для обработки. Если оснований для продолжения нет, обработку нужно прекратить, а при необходимости заблокировать, удалить или уничтожить данные. Если сведения обрабатывал подрядчик, его также нужно уведомить. Результат рассмотрения заявления лучше зафиксировать.

Если данные обрабатывает не только сама клиника, но и подрядчик, медицинская организация должна обеспечить прекращение обработки у такого лица. Например, если пациент отозвал согласие на рассылку, нужно исключить его данные не только из внутренней базы, но и из сервиса рассылок.

Когда клиника может продолжить обработку после отзыва

Отзыв согласия не всегда прекращает обработку персональных данных. Медицинская организация может продолжить обработку, если для этого есть другое основание, предусмотренное законом.

В отношении пациентов это может быть необходимость хранить медицинскую документацию, подтверждать факт оказания услуги, исполнять договор, соблюдать требования законодательства в сфере охраны здоровья, отвечать на запросы уполномоченных органов или защищать права клиники при споре.

В отношении работников обработка может продолжаться, если данные нужны для исполнения трудового договора, кадрового учёта, расчёта зарплаты, налоговой и страховой отчётности, воинского учёта, охраны труда, обязательных медосмотров и хранения кадровых документов.

То есть отзыв согласия прекращает только ту обработку, которая держалась именно на согласии. Если у клиники есть самостоятельное законное основание, данные можно продолжить обрабатывать в пределах этой цели.

Что указать в заявлении об отзыве согласия

Заявление об отзыве согласия лучше оформлять письменно. Это помогает подтвердить дату обращения, содержание требования и дальнейшие действия медицинской организации.

В заявлении обычно указывают:

• ФИО пациента или работника, паспортные или иные идентифицирующие данные;
• наименование медицинской организации;
• сведения о том, какое согласие отзывается;
• какие данные или цели обработки затрагивает отзыв;
• требование прекратить обработку персональных данных;
• способ связи для ответа;
• дату и подпись заявителя.

Если человек отзывает согласие частично, это лучше написать прямо. Например: «Отзываю согласие на получение рекламных и информационных рассылок, при этом не возражаю против обработки персональных данных для оказания медицинских услуг и исполнения договора».

Можно ли использовать образец отзыва согласия

Запросы «заявление согласие на обработку персональных данных образец» или «согласие на обработку персональных данных образец» часто связаны с поиском готовой формы. Но для отзыва согласия важна не только форма заявления, а понимание последствий.

Пациент или работник может подать заявление в свободной форме, если из него понятно, кто обращается, какое согласие отзывается и какие действия человек просит прекратить. Медицинской организации, в свою очередь, лучше иметь собственный шаблон для приёма таких заявлений и внутренний регламент их рассмотрения.

Готовый образец можно использовать как основу, но его нужно адаптировать под процессы ЛПУ. В клинике должны понимать, как действовать при отзыве согласия пациента, работника, законного представителя, бывшего сотрудника или лица, которое оставило данные через сайт.

Что нельзя делать после отзыва согласия

После отзыва согласия клиника не должна продолжать обработку данных для целей, по которым больше нет основания. Например, нельзя отправлять рекламные сообщения пациенту, если он отозвал согласие на такие коммуникации. Нельзя продолжать размещать фото работника на сайте, если согласие на публикацию отозвано и нет другого основания.

Безопасная логика такая: сначала определить основание обработки, затем отделить данные, которые можно продолжить хранить по закону, от данных, обработку которых нужно прекратить после отзыва.

Типовые ошибки при отзыве согласия

Частая ошибка — считать, что отзыв согласия всегда обязывает клинику удалить все сведения о человеке. Это не так. Если данные нужны по закону, договору, медицинскому или кадровому процессу, обработка может продолжаться в необходимом объёме.

Другая ошибка — игнорировать заявление, потому что «данные всё равно нужны клинике». Даже если медицинская организация вправе продолжить часть обработки, она должна рассмотреть обращение, определить правовое основание и прекратить те действия, которые больше не имеют основания.

Риски возникают и тогда, когда клиника не передаёт информацию подрядчикам. Например, внутри ЛПУ пациента исключили из рассылки, но внешний сервис продолжает отправлять сообщения, потому что его базу не обновили.

Отдельная проблема — отсутствие внутреннего порядка. Если сотрудники не знают, кто принимает отзыв, проверяет основания, отвечает пациенту или работнику, контролирует подрядчиков, клиника может нарушить сроки и продолжить незаконную обработку.

Как организовать работу с отзывами согласий в ЛПУ

Медицинской организации нужно заранее определить, как принимаются и рассматриваются отзывы согласий. Это касается пациентов, работников, бывших работников, представителей несовершеннолетних пациентов и пользователей сайта.

В локальных документах лучше закрепить, кто принимает заявление, кто проверяет личность заявителя, кто анализирует основания обработки, кто принимает решение о прекращении обработки, кто взаимодействует с подрядчиками и кто фиксирует результат.

Также важно проверить все каналы, где используются персональные данные: МИС, CRM, сайт, сервис онлайн-записи, рассылки, телефонию, бухгалтерские системы, кадровые программы, облачные хранилища и архивы. Если отзыв касается конкретной цели, изменения должны быть внесены во все системы, где эта цель реализуется.