Если клиника отправила результаты анализов другому человеку, это может быть одновременно разглашением врачебной тайны и неправомерной передачей персональных данных о здоровье. Сохраните доказательства и сразу потребуйте закрыть постороннему доступ к сведениям. При подтверждении нарушения можно обратиться в Роскомнадзор и потребовать компенсацию морального вреда.
Почему отправка анализов чужому человеку является нарушением
Результаты обследований, диагноз, сведения о состоянии здоровья и сам факт обращения за медицинской помощью относятся к врачебной тайне. Это следует из статьи 13 Федерального закона N 323-ФЗ.
При этом сведения о здоровье одновременно являются специальной категорией персональных данных. Для них действует повышенная защита по статье 10 Закона о персональных данных.
Поэтому ошибка при выборе адреса электронной почты или номера телефона - не просто неудобство для пациента. Если медицинские сведения стали доступны постороннему, необходимо оценивать законность их передачи сразу по двум правовым режимам.
Согласие пациента на обработку данных не означает согласия на их отправку любому человеку. Подробнее границы таких разрешений разобраны в материале о том, когда нужно согласие на обработку персональных данных и как оно оформляется.
Отдельно существуют законные случаи передачи медицинской информации без согласия пациента. Например, они могут быть прямо предусмотрены законом. Общие правила и исключения рассмотрены в статье о том, когда клиника вправе сообщить диагноз другим лицам.
Всегда ли ошибочное письмо означает состоявшуюся утечку
Не обязательно. Важно установить, получил ли посторонний человек реальную возможность ознакомиться с медицинскими сведениями.
Например, письмо могло вернуться отправителю из-за несуществующего адреса. Ссылка на результат могла требовать дополнительную авторизацию, которой у ошибочного получателя не было. В таких обстоятельствах фактический доступ третьего лица еще нужно подтвердить.
Иная ситуация возникает, когда на чужую почту пришел открытый PDF с анализами или выпиской. То же относится к сообщению в мессенджере, содержащему диагноз либо фотографию медицинского документа. Даже если получатель утверждает, что не изучал файл подробно, сам факт предоставления ему доступных медицинских данных требует проверки.
Для пациента принципиально важно зафиксировать не только содержание документа, но и способ его передачи.
Что сделать сразу после обнаружения утечки
Не ограничивайтесь звонком администратору клиники. При дальнейшем споре понадобится подтвердить, какие сведения были раскрыты, когда это произошло и как медицинская организация отреагировала.
- Сделайте скриншоты письма, сообщения или личного кабинета с датой, временем, отправителем и названием файла. По возможности сохраните исходное электронное письмо и само вложение.
- Направьте клинике письменное уведомление и потребуйте немедленно закрыть ошибочный доступ. Для первоначального обращения подойдет жалоба главному врачу, дополненная описанием конкретной отправки.
- Попросите сообщить, какие сведения были переданы, каким способом, когда обнаружена ошибка и какие меры уже приняты.
- Потребуйте сохранить электронные журналы, сведения об отправке и другие технические данные, позволяющие установить обстоятельства инцидента.
- Если с вами связался ошибочный получатель, сохраните переписку. Попросите его не пересылать сведения дальше и удалить полученную копию после фиксации необходимых доказательств.
Иногда ситуация оказывается сложнее простой утечки. Если пациент получил чужие показатели вместо собственных либо данные были перепутаны внутри лаборатории, полезно отдельно проверить порядок действий при ситуации, когда лаборатория перепутала анализы или потеряла биоматериал.
Что должна сделать клиника после обнаружения ошибки
Порядок действий оператора персональных данных регулирует статья 21 Закона N 152-ФЗ.
Если выявлена неправомерная обработка, оператор должен принять меры для ее прекращения. Закон устанавливает специальные сроки для блокирования и устранения нарушения. Если сделать обработку законной невозможно, неправомерно обрабатываемые данные должны быть уничтожены в предусмотренный законом срок.
Однако это не означает, что пациент вправе потребовать удалить из клиники всю медицинскую карту. Медицинская организация может иметь законные основания и обязанность хранить документацию. Требовать следует прекращения незаконного доступа, передачи или распространения данных, а не уничтожения всех сведений о лечении.
Если произошла неправомерная или случайная передача персональных данных, которая повлекла нарушение прав гражданина, у оператора возникают и специальные обязанности перед Роскомнадзором. Первичное уведомление об инциденте направляется в течение 24 часов, а результаты внутреннего расследования - в течение 72 часов.
При признаках более широкой технической утечки, например из личного кабинета или общей рассылки, можно использовать жалобу на утечку персональных данных.
Куда жаловаться на разглашение врачебной тайны
Сначала имеет смысл письменно обратиться в саму медицинскую организацию. Это позволяет быстрее отозвать ссылку, ограничить доступ и получить документы о внутренней проверке. Но такое обращение не препятствует жалобе в государственные органы.
По вопросам неправомерной обработки персональных данных основной надзорный орган - Роскомнадзор. В обращении нужно описать обстоятельства передачи, перечислить раскрытые сведения и приложить имеющиеся доказательства. Для этого можно использовать жалобу в Роскомнадзор.
Если проблема одновременно затрагивает соблюдение прав пациента и организацию медицинской деятельности, дополнительно можно направить жалобу в Росздравнадзор.
Полиция и другие правоохранительные органы нужны не при каждой технической ошибке. Уголовно-правовая оценка становится особенно актуальной, когда имеются признаки умышленного распространения частной информации, публикации медицинских сведений, использования служебного положения, шантажа или других намеренных действий.
Важно! Этот документ можно скачать в КонсультантПлюс
Скачать в КонсультантПлюсБесплатный доступ к документуВ жалобе желательно точно перечислить раскрытые сведения. Например, укажите, что постороннему человеку были направлены результаты конкретного исследования, диагноз, заключение врача, выписка или иной медицинский документ.
Можно ли получить компенсацию за разглашение медицинских данных
Да. Нарушение правил обработки персональных данных может быть основанием для компенсации морального вреда. Само по себе отсутствие материальных расходов не исключает такое требование.
Для суда имеют значение характер раскрытой информации, круг получателей, продолжительность доступа и действия клиники после обнаружения ошибки. Одно дело - единичное письмо одному человеку, которое быстро удалили. Другое - публикация диагноза или снимка в открытом доступе.
При публичном распространении последствия обычно значительно серьезнее. Смежная ситуация разобрана в статье о том, что делать, если клиника разместила фотографию, видео или историю пациента без отдельного согласия.
Фиксированного тарифа за раскрытие диагноза или анализов закон не устанавливает. Размер компенсации определяет суд с учетом конкретных обстоятельств, характера переживаний и требований разумности и справедливости.
До обращения в суд пациент может предложить клинике добровольно компенсировать нарушение. Для этого подойдет претензия о компенсации морального вреда, в которой нужно заменить описание нарушения на обстоятельства разглашения медицинской информации.
Обязательного досудебного порядка только для самостоятельного требования о компенсации морального вреда закон в общем случае не устанавливает. Однако письменная претензия полезна как доказательство того, что клиника знала о нарушении и могла урегулировать спор добровольно.
Применяется ли Закон о защите прав потребителей
Если нарушение произошло при оказании платной медицинской услуги гражданину для личных нужд, отношения с клиникой могут одновременно регулироваться законодательством о защите прав потребителей.
Но отсюда нельзя автоматически делать вывод о взыскании потребительского штрафа 50 процентов, неустойки или других специальных санкций именно за любую утечку медицинских данных. Нужно определить, какое обязательство нарушено, какие требования пациент заявил исполнителю и какие последствия закон связывает с их неисполнением.
Поэтому требование о компенсации за раскрытие медицинских сведений лучше формулировать отдельно и не подменять его стандартной претензией о недостатках медицинской услуги.
В какой суд обращаться
Самостоятельный спор о защите персональных неимущественных прав и компенсации морального вреда обычно рассматривает районный суд. Закон о персональных данных позволяет предъявить соответствующий иск также по месту жительства гражданина.
Если к требованию о разглашении информации присоединены имущественные потребительские требования, вопрос подсудности нужно проверять уже по всему составу иска.
По самостоятельному неимущественному требованию гражданин при отсутствии специальной льготы уплачивает государственную пошлину. Действующий размер для физического лица составляет 3 000 рублей. Если спор действительно подпадает под законодательство о защите прав потребителей, может применяться предусмотренное Налоговым кодексом освобождение от госпошлины.
Для компенсации морального вреда, вытекающего из нарушения личных неимущественных прав, общее правило о трехлетней исковой давности не применяется. Но откладывать обращение не стоит. Со временем становится сложнее восстановить технические журналы, переписку и другие обстоятельства утечки.
Какая ответственность может грозить медицинской организации
Для пациента административный штраф и его собственная компенсация - разные вещи. Штраф взыскивается государством в бюджет и не перечисляется пострадавшему пациенту.
Если коммерческий оператор-юридическое лицо допустил неправомерную передачу специальных категорий персональных данных, к которым относятся сведения о здоровье, часть 16 статьи 13.11 КоАП РФ предусматривает штраф от 10 до 15 млн рублей. Конкретная квалификация зависит от фактических обстоятельств и статуса нарушителя.
Отдельная ответственность предусмотрена за нарушение обязанности сообщить Роскомнадзору об инциденте с персональными данными. Для юридических лиц соответствующий штраф может составить от 1 до 3 млн рублей.
В зависимости от способа раскрытия и лица, допустившего нарушение, может также рассматриваться ответственность за незаконное разглашение информации ограниченного доступа. Определять конкретный состав КоАП должен уполномоченный орган, а не сам пациент в жалобе.
Уголовная ответственность также не возникает автоматически из-за каждого ошибочного письма. Для нее должны присутствовать признаки конкретного преступления, включая предусмотренную уголовным законом форму поведения и обстоятельства совершения деяния.
Если данные передала лаборатория или медицинский сервис
Защита не исчезает только потому, что письмо отправил не лечащий врач. Медицинские сведения могут стать известны регистратору, сотруднику лаборатории, оператору информационной системы или иному лицу в связи с исполнением его обязанностей.
Кроме режима врачебной тайны нужно установить, кто является оператором персональных данных и кому была поручена их обработка. В зависимости от схемы работы ответственность клиники, лаборатории и технологического подрядчика может различаться.
Не следует смешивать случайную отправку постороннему человеку с законной передачей сведений исполнителю исследования. Если биоматериал или связанные с ним сведения намеренно передавались другой организации, применяется отдельная логика. Она рассмотрена в материале о том, что делать при передаче биоматериала для исследования, обучения или коммерческой разработки.
Какие ошибки могут ослабить позицию пациента
Первая ошибка - удалить письмо или переписку сразу после того, как клиника признала проблему. Сначала сохраните доказательства, затем решайте вопрос об удалении чужих копий.
Вторая ошибка - требовать полностью уничтожить всю медицинскую документацию. Законное хранение истории болезни и незаконная передача документа постороннему - разные вопросы.
Не стоит и самостоятельно распространять скриншоты анализов в социальных сетях ради доказательства утечки. Так пациент лишь увеличивает круг лиц, имеющих доступ к собственной медицинской информации.
Наконец, не следует начинать спор с требования максимальных штрафов по КоАП или обвинения сотрудников в преступлении. Для защиты своих прав важнее доказать сам факт раскрытия, содержание переданных данных, отсутствие законного основания и последствия нарушения.
Если клиника отправила результаты анализов другому человеку, сначала сохраните доказательства и потребуйте перекрыть доступ. Затем выясните масштаб инцидента и действия медицинской организации. При подтвержденном разглашении врачебной тайны или медицинских персональных данных можно жаловаться в Роскомнадзор и требовать компенсацию через суд.
FAQ: клиника отправила результаты анализов или диагноз другому человеку
Клиника говорит, что получатель не открыл файл. Нарушения нет?
Не обязательно. Если посторонний получил доступный файл с медицинскими данными, одно утверждение о том, что он его не открывал, само по себе не устраняет проблему. Если же сообщение не было доставлено либо защищенная ссылка фактически не давала доступа, обстоятельства нужно оценивать отдельно.
Обязана ли клиника назвать человека, которому отправила мои анализы?
Пациент вправе запросить информацию об обработке своих персональных данных и обстоятельствах инцидента. Однако это не дает безусловного права получить персональные данные самого ошибочного получателя. Клиника должна одновременно соблюдать права другого гражданина.
Сколько можно взыскать за разглашение диагноза?
Фиксированной суммы нет. Размер компенсации морального вреда определяет суд с учетом чувствительности сведений, масштаба распространения, последствий и поведения нарушителя после обнаружения ошибки.
Куда сначала жаловаться - главному врачу или в Роскомнадзор?
Для быстрого прекращения доступа разумно сразу письменно обратиться в клинику. Жалобу в Роскомнадзор можно направить отдельно, если медицинские персональные данные были переданы или стали доступны без законного основания.
Можно ли потребовать удалить из клиники всю медицинскую карту после утечки?
Как правило, нет. Клиника может иметь законные основания для хранения медицинской документации. Требовать нужно прекращения неправомерной передачи, распространения и доступа к данным, а не уничтожения документов, которые организация обязана законно хранить.