Согласно ст. 23 Закона № 152-ФЗ Роскомнадзор является уполномоченным органом по защите прав субъектов персональных данных, который ведет реестр операторов. В соответствии со ст. 22 данного закона оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении осуществлять обработку.

При этом медицинские организации не обязаны подавать уведомление об обработке следующих данных:

  • обрабатываемых в соответствии с Трудовым кодексом РФ;
  • полученных в связи с заключением договора, стороной которого является субъект персональных данных, если данные не распространяются без согласия лица и используются оператором исключительно для исполнения договора;
  • сделанных субъектом персональных данных общедоступными;
  • включающих только фамилии, имена и отчества;
  • необходимых в целях однократного пропуска лица на территорию, на которой находится оператор, или в иных аналогичных целях;
  • включенных в информационные системы персональных данных, имеющие статус государственных автоматизированных информационных систем;
  • обрабатываемых без использования средств автоматизации в соответствии с законодательством, устанавливающим требования к обеспечению безопасности данных при их обработке.
Форма уведомления и рекомендации по ее

заполнению содержатся в приказе Роскомнадзора от 19.08.2011 № 706 "Об утверждении Рекомендаций по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных".

Особо необходимо отметить, что в новой редакции Закона № 152-ФЗ скорректирован срок, в пределах которого операторы обязаны представить в Роскомнадзор предусмотренные Законом № 152-ФЗ сведения: если операторы обрабатывали персональные данные до 1 июля 2011 г., то все необходимые сведения они должны были подать не позднее 1 января 2013 г.

За непредоставление или несвоевременное предоставление уведомления на организацию может быть наложен штраф в размере от 3 тыс. до 5 тыс. руб., а на должностное лицо – от 300 до 500 руб. (ст. 19.7 Кодекса РФ об административных правонарушениях).

Получение, учет и хранение согласия субъекта персональных данных на обработку персональных данных

Согласно законодательству, обработка специальных категорий персональных данных должна осуществляться с письменного согласия субъекта персональных данных (ст. 6, 9, 10 Закона № 152-ФЗ, ч. 3 ст. 13 Закона № 323-ФЗ).

Состав сведений, указываемых в согласии пациента на обработку его персональных данных, перечислен в ст. 9 Закона № 152-ФЗ:

  • фамилия, имя, отчество, адрес пациента; реквизиты документа, удостоверяющего его личность;
  • наименование и адрес оператора, получающего согласие;
  • цель обработки персональных данных;
  • перечень персональных данных, на обработку которых дается согласие пациента;
  • наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора;
  • перечень действий с персональными данными, описание способов обработки;
  • срок, в течение которого действует согласие, способ его отзыва;
  • подпись пациента.

Как уже было указано выше, письменное согласие работника медицинской организации на обработку его персональных данных не требуется. Также нет необходимости в его оформлении при передаче информации в федеральный регистр медицинских и фармацевтических работников, поскольку это предусмотрено ст. 92 и 93 Закона № 323-ФЗ.

Необходимость оформления письменного согласия работника возникает, если в работе медицинской организации используется фотография работника (биометрические персональные данные), например, размещается на информационном стенде, в сети