Поликлиника запросила у работодателя персданные его работников. Может ли работодатель отказать?

При отсутствии работников, подлежащих обязательной диспансеризации, организация, по нашему мнению, может предоставить запрашиваемую информацию только с согласия субъекта персональных данных.

В соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее – ​Закон № 152‑ФЗ) персональные данные – ​это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), а обработкой персональных данных считаются любые действия или операции с персональными данными, в том числе и передача (распространение, предоставление, доступ) их третьим лицам (п. 3 ст. 3 Закона № 152‑ФЗ). Соответственно, представление организацией по запросу медицинского учреждения сведений о персональных данных бывшего сотрудника учреждения является обработкой его персональных данных.

По общему правилу, сформулированному в ст. 6, ст. 9 Закона № 152‑ФЗ, обработка персональных данных возможна только с согласия субъектов, за исключением случаев, перечисленных в п. 2–11 ч. 1 ст. 6 Закона № 152‑ФЗ. В частности, обработка персональных данных без согласия субъектов допускается, если она необходима в целях, предусмотренных законом, для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона № 152‑ФЗ).

Необходимо отметить, что в случаях, установленных законодательством Российской Федерации, прохождение и проведение диспансеризации и диспансерного наблюдения являются обязательными (ч. 6 ст. 46 Федерального закона от 21.11.2011 № 323‑ФЗ «Об основах охраны здоровья граждан в Российской Федерации»). В остальных случаях диспансеризация носит добровольный характер.

Таким образом, в случае, если работники организации подлежат обязательной диспансеризации, полагаем, что организация должна предоставить их списки с указанием персональных данных. При отсутствии сотрудников, подлежащих обязательной диспансеризации, организация, по нашему мнению, может предоставить запрашиваемую информацию только с согласия субъекта персональных данных.

Поскольку разъяснений официальных органов и правоприменительной практики по рассматриваемой ситуации нам обнаружить не удалось, к изложенному выводу следует относиться исключительно как к нашему экспертному мнению.