Обработка персональных данных работников при добровольном страховании медицинских расходов

При заключении и исполнении договоров добровольного страхования медицинских расходов работников обработка их персональных данных осуществляется не только нанимателем, но и страховой компанией и учреждениями здравоохранения. Как организациям определить правовые основания обработки персональных данных и в каких документах отразить ее цель? Сколько хранить персональные данные при добровольном медицинском страховании?

Кейс Организация (далее — организация-наниматель) и страховая компания заключили договор добровольного страхования медицинских расходов работников. В связи с этим организации-нанимателю необходимо передать персональные данные работников в страховую компанию для оформления полиса добровольного страхования медицинских расходов. В результате переданные персональные данные работников буду обработаны не только организацией-нанимателем, но и страховой компанией, а еще — учреждениями здравоохранения, где работникам непосредственно будут предоставляться медицинские услуги.

Вопросы: 1. Какие правовые основания обработки персональных данных работников имеются у организации-нанимателя? 2. Как организации-нанимателю документально отразить цель обработки персональных данных работников? 3. Какие правовые основания обработки персональных данных работников имеются у страховой компании? 4. Учреждения здравоохранения в данной ситуации будут уполномоченными лицами или самостоятельными операторами? 5. Какой срок хранения персональных данных установлен при добровольном медицинском страховании?

Правовые основания обработки персональных данных работников организацией-нанимателем Правовым основанием такой обработки персональных данных работников, в том числе предоставления персональных данных организацией-нанимателем страховой компании, могут быть: 1) без согласия субъекта, когда такая гарантия, как добровольное страхование медицинских расходов работников, членов их семей, прямо предусмотрена в коллективном договоре, – абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 (по специальным персональным данным о состоянии здоровья) Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон о защите персональных данных): согласие субъекта на обработку персональных данных не требуется «в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством». В данном случае это положения законодательства о труде применительно к коллективному договору; 2) без согласия субъекта, если работник обратился к нанимателю с заявлением о заключении договора добровольного страхования его медицинских расходов, – абз. 16 ст. 6 Закона о защите персональных данных: согласие субъекта на обработку персональных данных не требуется «при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа» (такое заявление требуется для обработки персональных данных без согласия работника, если коллективный договор отсутствует или он есть, но не предусматривает добровольного страхования медицинских расходов); 3) согласие работника на такую обработку его персональных данных, в том числе предоставление их страховой компании, – если подобная гарантия прямо не предусмотрена в коллективном договоре и работник не обратился к нанимателю с заявлением о заключении договора добровольного страхования его медицинских расходов.

Отражение цели обработки персональных данных в документах организации-нанимателя Для обеспечения законной обработки персональных данных работников при осуществлении организацией-нанимателем добровольного страхования медицинских расходов работников необходимо прежде всего отразить цель такой обработки в политике в отношении обработки персональных данных работников, членов их семей и близких родственников и реестре обработки персональных данных (далее – реестр обработки). Пример формулировки цели: «Заключение и исполнение договоров добровольного страхования медицинских расходов работников, членов их семей между организацией-нанимателем и страховой компанией». Для этой конкретной законной цели обработки персональных данных необходимо в реестре обработки указать: 1) объем обрабатываемых персональных данных (в том числе передаваемых страховой компании); 2) перечень действий с ними, совершаемых организацией-нанимателем (при указании в реестре обработки действия «предоставление» – указать наименование конкретной страховой компании – получателя персональных данных); 3) правовые основания обработки, в том числе предоставления персональных данных страховой компании; 4) сроки их обработки, 5) другую информацию, предусмотренную формой реестра обработки организации-нанимателя.

Правовое основание обработки персональных данных работников страховой компанией Для страховой компании правовым основанием обработки персональных данных застрахованных лиц для цели заключения с организацией-нанимателем и исполнения договора добровольного страхования медицинских расходов работников являются абз. 20 ст. 6 и абз. 17 п. 2 ст. 8 (по специальным персональным данным о состоянии здоровья) Закона о защите персональных данных: согласие субъекта на обработку персональных данных не требуется в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами, в данном случае – законодательством о страховой деятельности. Справочно Обоснование: 1) п. 6. Рекомендаций Национального центра защиты персональных данных об обработке персональных данных в связи с трудовой (служебной) деятельностью от 18.01.2022 (с изменениями по состоянию на 12.12.2023) (HYPERLINK "https://cpd.by/storage/2025/09/RTO-s-izmenenijami.pdf"https://cpd.by/storage/2025/09/RTO-s-izmenenijami.pdf); 2) ответы Национального центра защиты персональных данных на часто задаваемые вопросы (HYPERLINK "https://cpd.by/populyarnoye-na-sayte/otvety-na-chasto-zadavayemyye-voprosy/"https://cpd.by/populyarnoye-na-sayte/otvety-na-chasto-zadavayemyye-voprosy/). Важно учитывать, что при заключении договора добровольного страхования медицинских расходов работников организация-наниматель (в отношении своих работников, членов их семей) и страховая компания являются самостоятельными операторами. Страховая компания не становится в таком случае уполномоченным лицом, и, соответственно, на такие отношения не распространяется действие ст. 7 «Обработка персональных данных по поручению оператора» Закона о защите персональных данных.

Учреждения здравоохранения – уполномоченные лица и самостоятельные операторы В исполнении договоров добровольного страхования медицинских расходов работников участвуют учреждения здравоохранения. В договорных отношениях со страховой организацией (страховщиком) как оператором эти учреждения здравоохранения выступают в качестве уполномоченных лиц, осуществляющих обработку персональных данных застрахованных лиц в интересах страховой компании. В таком случае к отношениям между страховой организацией и учреждением здравоохранения применяется ст. 7 «Обработка персональных данных по поручению оператора» Закона о защите персональных данных. При регулировании этих отношений важно учитывать Рекомендации Национального центра защиты персональных данных о взаимоотношениях операторов и уполномоченных лиц при обработке персональных данных от 28.11.2022, в том числе приложение к этим рекомендациям «Стандартные положения для включения в договор между оператором и уполномоченным лицом о поручении обработки персональных данных» (https://cpd.by/pravovaya-osnova/metodologicheskie-dokumenty-test/razjasnenija-po-voprosam-zashhity-personalnyh-dannyh/obshhie-voprosy-zashhity-personalnyh-dannyh/). Справочно Обоснование: п. 2 Рекомендаций Национального центра защиты персональных данных по обработке персональных данных в сфере здравоохранения (HYPERLINK "https://cpd.by/storage/2025/01/16-Rekomendacii-po-obrabotke-personalnyh-dannyh-v-sfere-zdravoohranenija-1.pdf"https://cpd.by/storage/2025/01/16-Rekomendacii-po-obrabotke-personalnyh-dannyh-v-sfere-zdravoohranenija-1.pdf). При оказании непосредственно медицинской помощи застрахованному лицу и ведении медицинской документации учреждение здравоохранения является самостоятельным оператором. Учреждению здравоохранения необходимо отразить соответствующие положения в своей политике в отношении обработки персональных данных пациентов и реестре обработки персональных данных пациентов, а также разработать политику учреждения здравоохранения как уполномоченного лица в отношении обработки персональных данных страховых пациентов.

Срок хранения персональных данных при добровольном медицинском страховании Срок хранения персональных данных, образующихся при заключении и исполнении договоров добровольного страхования медицинских расходов работников, определен п. 415 перечня документов Национального архивного фонда Республики Беларусь, образующихся в процессе деятельности государственных органов, иных организаций и индивидуальных предпринимателей по здравоохранению, физической культуре и спорту, туризму, с указанием сроков хранения (приложение к приказу Департамента по архивам и делопроизводству Министерства юстиции Республики Беларусь от 01.04.2019 № 11). Документы о медицинском страховании граждан (договоры, расчеты, акты и др.) подлежат хранению в течение 3 лет после окончания срока действия договора, проведения налоговыми органами проверки соблюдения налогового законодательства, а если такая проверка не проводилась – в течение 10 лет.

Резюме 1. В рассматриваемой ситуации обработка персональных данных работников осуществляется не только организацией-нанимателем, но и страховой компанией (страховщиком) и учреждениями здравоохранения. Каждая из этих организаций должна определить конкретные законные цели и правовое основание обработки персональных данных работников как застрахованных лиц. Следует отразить эту и другую необходимую информацию в разрабатываемых этими организациями политиках в отношении обработки персональных данных и реестрах обработки. 2. В договорных отношениях со страховой организацией (страховщиком) как оператором учреждения здравоохранения выступают в качестве уполномоченных лиц, осуществляющих обработку персональных данных застрахованных лиц в интересах страховой компании. При оказании непосредственно медицинской помощи застрахованному лицу и ведении медицинской документации учреждения здравоохранения являются самостоятельными операторами. 3. Документы о медицинском страховании граждан (договоры, расчеты, акты и др.) подлежат хранению в течение 3 лет после окончания срока действия договора, проведения налоговыми органами проверки соблюдения налогового законодательства, а если такая проверка не проводилась – в течение 10 лет.