Обработка персональных данных в аптечной организации: соотношение 152-ФЗ и врачебной тайны, согласия покупателей и практические аспекты
Деятельность аптечных организаций сопряжена со сбором и обработкой персональных данных покупателей, среди которых могут присутствовать сведения о состоянии здоровья, отнесённые к специальным категориям. Федеральный закон № 152-ФЗ «О персональных данных» и Федеральный закон № 323-ФЗ «Об основах охраны здоровья граждан» образуют взаимосвязанную систему правового регулирования. В статье рассмотрены ключевые аспекты: статус аптеки как оператора, правовой режим рецептов и сведений о льготах, соотношение с врачебной тайной, порядок оформления согласий при онлайн-заказе, а также практические рекомендации для выстраивания законных процессов.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
При сборе персональных данных покупателей (фамилия, имя, отчество, номер телефона, адрес, сведения из рецепта или о льготной категории) аптечная организация признаётся оператором персональных данных в соответствии со статьёй 3 152-ФЗ. Это означает, что аптека самостоятельно определяет цели обработки, состав обрабатываемых сведений и несёт полную ответственность за их защиту перед субъектами и регулятором.
Рецепт, как документ, содержащий сведения о состоянии здоровья пациента, находится на пересечении требований 152-ФЗ и законодательства о врачебной тайне. Фармацевт вправе проверить подлинность рецепта визуально, однако фотографирование рецепта, его копирование или передача данных третьим лицам без согласия пациента не допускаются.
Сведения о принадлежности к льготной категории (инвалидность, онкологические заболевания и т.п.) также относятся к специальным категориям персональных данных, поскольку раскрывают информацию о состоянии здоровья. Для их обработки требуется отдельное согласие субъекта либо наличие иного законного основания, предусмотренного статьёй 10 152-ФЗ.
Аптечная организация не вправе запрашивать избыточные данные. Например, при оформлении покупки безрецептурного препарата достаточно имени и контактного телефона – полные паспортные данные в таком случае не требуются. Объём собираемой информации должен строго соответствовать заявленным целям обработки.
В соответствии со статьёй 13 Федерального закона № 323-ФЗ к врачебной тайне относятся сведения о факте обращения за медицинской помощью, диагнозе, состоянии здоровья, результатах обследований и лечения. Когда фармацевт получает доступ к рецепту или информации о льготной категории, он становится обладателем таких сведений.
По общему правилу разглашение врачебной тайны запрещено. Исключения допускаются только в случаях, прямо предусмотренных законом:
Таким образом, аптечная организация обязана одновременно соблюдать требования 152-ФЗ (общие правила обработки персональных данных) и специальный режим врачебной тайны, установленный 323-ФЗ. Нарушение любого из этих требований влечёт ответственность.
При оформлении онлайн-заказа возникает вопрос о необходимости получения согласия. Законодательство предусматривает различные основания.
Если обработка персональных данных осуществляется исключительно для исполнения договора (оформление и доставка заказа), отдельное письменное согласие может не требоваться. Правовое основание – пункт 5 части 1 статьи 6 152-ФЗ (исполнение договора).
Согласие требуется в следующих случаях:
Согласие может быть получено различными способами:
Главное требование – возможность подтвердить факт получения согласия и его содержание.
Если у вас возникают вопросы по этим задачам – мы с радостью поможем. Наши специалисты детально разбираются в нюансах применения 152-ФЗ и подготовят для вас необходимые документы: от формы согласия до комплекта материалов для взаимодействия с Роскомнадзором.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.
В большинстве случаев — да. Согласие оформляется под каждой формой сбора данных через незаполненный чекбокс со ссылкой на Политику конфиденциальности. Для специальных категорий данных, биометрии и распространения требуется отдельное письменное согласие.
Роскомнадзор рассматривает уведомление до 30 рабочих дней. При корректно заполненных документах компания попадает в реестр операторов персональных данных с первого раза, без возвратов и доработок.