Передавать сведения, составляющие врачебную тайну, третьим лицам можно только с письменного согласия пациента либо в случаях, прямо перечисленных в законе, - например, по запросу суда или следствия. Для передачи данных в лабораторию или страховую компанию по ДМС нужно отдельное согласие пациента на обработку специальной категории персональных данных и договор с получателем, где прописано поручение на обработку.
В согласии стоит прямо указать, кому передаются данные, - название лаборатории или страховой, и с какой целью: проведение анализа, оплата по полису. Общая формулировка вроде «клиника вправе передавать данные третьим лицам» юридически слабая: при проверке или споре пациент вправе требовать конкретики, а расплывчатое согласие суд может не признать надлежащим основанием.
Договор с лабораторией или страховой компанией должен закрывать статус получателя: если он обрабатывает данные строго по вашему заданию и в ваших целях - это поручение по 152-ФЗ, и ответственность перед пациентом в основном остается на вас как на операторе. Если организация использует данные в собственных целях, например для своей статистики, она уже отдельный оператор, и это нужно отразить в согласии отдельно.
Технически передавать результаты анализов и данные пациента стоит через защищенные каналы - закрытую систему обмена, зашифрованную почту или личный кабинет лаборатории, а не через обычный мессенджер или незащищенную почту. Полезно вести журнал таких передач: кому, когда и что именно ушло, - это первое, что спросят при проверке или при жалобе пациента.