Ответственность распределяется на нескольких уровнях сразу, а не сводится к одному штрафу. Медработника, который допустил разглашение, работодатель может привлечь к дисциплинарной ответственности вплоть до увольнения - это внутреннее разбирательство клиники по трудовому законодательству. Само учреждение как оператор персональных данных отвечает административно по статье 13.11 КоАП за нарушение порядка обработки данных о здоровье, а с 30 мая 2025 года штрафы по этой статье выросли существенно.
Дополнительно вы вправе требовать компенсацию морального вреда через суд - это отдельное гражданское право, не связанное со штрафом государству. В тяжелых случаях, когда разглашение носит систематический или коммерческий характер, возможна и уголовная ответственность по статье 272.1 УК РФ за незаконный оборот персональных данных.
Обращаться стоит по двум адресам параллельно: письменная жалоба главному врачу клиники с требованием разбирательства и жалоба в Роскомнадзор как в надзорный орган по защите персональных данных - в жалобе укажите дату, обстоятельства и то, что согласия на разглашение вы не давали. Если готовы идти дальше, параллельно можно подать иск о компенсации морального вреда, для этого желательно зафиксировать факт разглашения свидетельскими показаниями или иным подтверждением.