Персональные данные при оказании помощи на мероприятии

При оказании помощи на мероприятии персональные данные обрабатывают как минимум два разных контура: организатор работает с регистрацией, пропусками, контактами и организационной отчётностью, а медицинская организация обрабатывает сведения, необходимые для оказания медицинской помощи и ведения медицинской документации. Эти данные нельзя смешивать по принципу «заказчик оплатил услугу, значит ему можно передать всё». Сведения о состоянии здоровья относятся к специальной категории персональных данных, а факт обращения за медицинской помощью, диагноз и сведения обследования и лечения могут составлять врачебную тайну.

Текущая страница SMP-1 по этой теме уже задаёт четыре правильных вопроса: кто обрабатывает данные, как работает минимизация сведений, что можно передавать родственникам и работодателю и как хранить отчёты. Материал имеет юридико-организационный характер, поэтому конкретные формы согласий и локальные документы компании лучше проверять с профильным юристом под реальный бизнес-процесс.

Кто обрабатывает данные на мероприятии

На одном мероприятии могут существовать несколько самостоятельных целей обработки персональных данных.

Не нужно автоматически считать, что медицинская организация во всех случаях просто обрабатывает данные «по поручению организатора». Роли зависят от фактической схемы, договора, целей и правовых оснований. При непосредственном оказании медицинской помощи у медицинской организации возникают собственные обязанности по медицинскому законодательству и защите врачебной тайны.

Какие данные реально нужны организатору

Статья 5 Закона № 152-ФЗ требует, чтобы объём персональных данных соответствовал заявленным целям и не был избыточным.

Для обычной регистрации на мероприятие организатору часто достаточно:

• имени и фамилии;
• контактного телефона или e-mail;
• организации или роли, если это действительно нужно;
• сведений для пропускного режима;
• контакта законного представителя для детского мероприятия, если это необходимо по формату.

Не стоит включать в регистрационную форму вопросы о диагнозах, хронических заболеваниях, принимаемых лекарствах или инвалидности «на всякий случай», если нет понятной законной цели и выстроенного режима обработки такой информации.

Почему данные о здоровье имеют особый режим

Статья 10 Федерального закона № 152-ФЗ относит сведения о состоянии здоровья к специальным категориям персональных данных. Их обработка по общему правилу ограничена и допускается только в предусмотренных законом случаях.

Для медицинской деятельности закон отдельно допускает обработку сведений о здоровье в целях диагностики, оказания медицинских и медико-социальных услуг, если обработку осуществляет лицо, профессионально занимающееся медицинской деятельностью и обязанное сохранять врачебную тайну.

Одновременно статья 13 Федерального закона № 323-ФЗ устанавливает режим врачебной тайны. К ней относятся:

• сам факт обращения за медицинской помощью;
• состояние здоровья;
• диагноз;
• другие сведения, полученные при медицинском обследовании и лечении.

Поэтому передача заказчику медицинского журнала с ФИО, диагнозами и подробностями помощи не должна считаться стандартной частью закрывающих документов.

Когда нужно согласие на обработку персональных данных

Согласие является одним из правовых оснований обработки персональных данных, но не единственным. Статья 6 Закона № 152-ФЗ предусматривает и другие основания, например исполнение закона, договора или защиту жизненно важных интересов в ситуации, когда согласие получить невозможно.

Если организатор использует согласие как основание, оно должно быть конкретным, предметным, информированным, сознательным и однозначным.

С 1 сентября 2025 года действует дополнительное требование: согласие на обработку персональных данных должно оформляться отдельно от иных информации и документов, которые подтверждает или подписывает человек.

При этом медицинская организация не должна исходить из логики «нет отдельного согласия на ПДн, значит экстренную помощь оказывать нельзя». Для экстренных ситуаций и медицинской деятельности закон предусматривает специальные основания обработки данных.

Что происходит в экстренной ситуации

Статья 6 Закона № 152-ФЗ допускает обработку персональных данных для защиты жизни, здоровья или иных жизненно важных интересов человека, если получение его согласия невозможно.

Статья 10 того же закона отдельно предусматривает возможность обработки специальных категорий персональных данных для защиты жизни и здоровья, когда согласие невозможно получить, а также в целях оказания медицинских услуг профессиональным медицинским работником, обязанным сохранять врачебную тайну.

Поэтому потеря сознания или иное тяжёлое состояние не должно превращаться в административную паузу из-за невозможности немедленно подписать форму.

Организатору в такой ситуации полезно:

• быстро вызвать медицинскую команду;
• передать известные идентификационные данные, если они есть и необходимы;
• сообщить известные обстоятельства происшествия;
• не требовать от медиков раскрыть диагноз после оказания помощи;
• зафиксировать только необходимую организационную информацию о событии.

Что можно сообщать родственникам

Наличие родственной связи само по себе не означает безусловный доступ ко всей медицинской информации пациента.

Статья 22 Закона № 323-ФЗ предусматривает, что пациент может определить лицо, которому следует передавать сведения о его здоровье, в том числе через письменное согласие на разглашение врачебной тайны или информированное добровольное согласие на медицинское вмешательство.

Закон также содержит специальные правила для несовершеннолетних, недееспособных лиц и отдельных случаев неблагоприятного прогноза.

Для организатора правильная схема выглядит так:

• не обещать родственнику диагноз от имени медицинской организации;
• передать медицинской команде контакт родственника, если он законно имеется и нужен;
• сообщить родственнику организационную информацию только в допустимом объёме;
• медицинские подробности оставлять медицинской организации и предусмотренному законом порядку.

Что можно сообщать работодателю или заказчику

У работодателя или заказчика нет общего права получить полный диагноз и медицинскую документацию только потому, что человек является его работником, участником корпоративного мероприятия или гостем.

Для операционного управления обычно достаточно информации:

• участник обратился за медицинской помощью;
• человек временно не может продолжать участие, если это необходимо сообщить для организации процесса;
• участник эвакуирован бригадой СМП;
• медицинская бригада покинула площадку;
• необходимо активировать резервный ресурс;
• программа требует организационной корректировки.

Если событие связано с трудовыми обязанностями и произошёл несчастный случай на производстве, могут применяться отдельные нормы трудового законодательства и расследования несчастных случаев. Это отдельный правовой процесс и он не превращает работодателя в получателя всей медицинской карты.

Какие данные включать в отчёт после дежурства

На странице SMP-1 «Документы для заказчика» организационный отчёт прямо описан как итоговая форма без лишних персональных данных.

Для большинства B2B-задач заказчику полезнее получить агрегированные показатели:

• общее количество обращений;
• количество медицинских эвакуаций;
• распределение обращений по времени;
• нагрузку на разные медицинские точки;
• организационные проблемы с доступом, связью и маршрутами;
• случаи активации резерва;
• рекомендации для следующего мероприятия.

ФИО пациента, диагноз, назначения врача и результаты медицинского обследования обычно не нужны для достижения этой организационной цели.

Как хранить данные и отчёты

Статья 5 Закона № 152-ФЗ устанавливает принцип ограничения хранения. Персональные данные должны храниться в форме, позволяющей определить человека, не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или соответствующим договором.

Поэтому для мероприятия не стоит придумывать универсальный срок хранения всех документов.

Нужно отдельно определить:

Если отчёт нужен только для анализа следующего события, разумно рассмотреть обезличивание тех данных, которые больше не требуют идентификации конкретного человека.

Что предусмотреть в формах и договоре

До мероприятия полезно проверить не только медицинскую схему, но и движение данных между сторонами.

1. Определите цели организатора. Регистрация, пропуска, связь, договор, отчётность.
2. Уберите избыточные поля. Не собирайте данные о здоровье без понятной необходимости.
3. Проверьте правовые основания. Не каждую обработку нужно строить только на согласии.
4. Если используется согласие, оформляйте его отдельно.
5. Разделите документы организатора и медицинской организации.
6. Определите, какие сведения могут передаваться между сторонами.
7. Согласуйте организационный отчёт без лишних ПДн.
8. Определите сроки хранения и правила уничтожения или обезличивания.
9. Проверьте доступ сотрудников. Персональные данные должны быть доступны только тем, кому они нужны для работы.
10. Для сложного проекта отдайте схему юристу или специалисту по ПДн на проверку.

Итоговый чек-лист организатора

1. Цели обработки персональных данных определены.
2. Для каждой цели определён минимальный набор данных.
3. Медицинские сведения не собираются «на всякий случай».
4. Роли организатора и медицинской организации разделены.
5. Правовые основания обработки проверены.
6. Согласие, если оно используется, оформлено отдельно от иных документов.
7. Экстренная помощь не блокируется отсутствием подписи человека без сознания.
8. Родственникам не обещан автоматический доступ к диагнозу.
9. Работодателю и заказчику передаётся только необходимая информация.
10. Организационный отчёт не содержит лишних медицинских данных.
11. Сроки хранения привязаны к цели и требованиям закона или договора.
12. После достижения цели данные уничтожаются или обезличиваются, если нет основания хранить их дальше.

Для итоговой документации используйте статью «Отчётность после медицинского дежурства». При госпитализации полезен отдельный алгоритм «Как действовать при госпитализации участника мероприятия». Рабочие формы организатора собраны в разделе «Документы для заказчика».