Требуется ли медицинской организации заключать соглашение с работодателем на обработку персональных данных работников при их передаче с целью планирования вакцинации?

Вопрос:

В соответствии с п.5.6. гл.V Санитарно-эпидемиологических правил СП 3.3.2367-08 "Об организации иммунопрофилактики инфекционных болезней" руководители организаций, расположенных на территории обслуживания ЛПУ, ежегодно, в сентябре-октябре должны предоставлять списки работающих с указанием года рождения, занимаемой должности и сведениями о прививках, в том числе на вновь поступивших, с целью планирования вакцинации работающих граждан медицинской организацией. Однако, многие руководители в этом году отказались предоставлять эти списки нашей мед. организации, ссылаясь на то, что нет соглашения между больницей и конкретной организацией об обработке персональных данных. Требуется ли такое соглашение и если да, можно ли представить его образец? Или можно ссылаться на п.п.4 п.2 ст.10 152-ФЗ в ответном письме?