Положение об обработке персональных данных

1. Общие положения

1.1. Настоящим Положением определяется порядок обработки персональных данных работников и клиентов ООО «Медицинский центр Пластика С».

1.2. Настоящее Положение разработано в соответствии с требованиями:

• Конституции РФ;
• главы 14 Трудового кодекса РФ;
• Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• постановления Правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• постановления Правительства от 15.09.2008 № 687 «Об утверждении Положения об
• особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• приказа ФСТЭК от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

1.3. В настоящем Положении используются следующие термины и понятия:

Работник – физическое лицо, состоящее в трудовых отношениях с работодателем.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Персональные данные работника – любая информация, относящаяся к определенному или определяемому на основании такой информации работнику.

Клиент (пациент) – физическое лицо, имеющее намерение получить платные медицинские услуги либо получающее платные медицинские услуги лично в соответствии с договором.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Защита персональных данных – комплекс организационно-технических мероприятий, направленных на предотвращение неправомерного использования персональных данных.

Конфиденциальная информация – сведения, сообщения, данные, в отношении которых для лиц, получивших к ним доступ, установлено обязательное требование не передавать такую информацию третьим лицам без согласия ее обладателя.

Клиника – ООО «Медицинский центр Пластика С»

2. Обработка персональных данных работников

2.1. Состав персональных данных работника, обрабатываемых в клинике

2.1.1. Персональные данные работников, которые обрабатываются в клинике:

• паспортные данные (Ф. И. О., дата рождения, место рождения, место регистрации, семейное положение, наличие или отсутствие детей);
• контактные данные – адрес, телефон, электронная почта;
• данные трудовой книжки работника (информация обо всех местах работы по трудовому договору, поощрениях);
• номер страхового свидетельства государственного пенсионного страхования;
• информация из документов воинского учета – для военнообязанных и лиц, подлежащих призыву на военную службу;
• информация об образовании, о квалификации или наличии специальных знаний;
• информация, получаемая при проведении предварительных, периодических медицинских осмотров;
• информация о прививках (вакцинопрофилактике);
• информация о факте беременности женщины;
• информация об инвалидности.

2.2. Обработка персональных данных работника

2.2.1. В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

• персональные данные работника могут обрабатываться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
• все персональные данные (Ф. И. О., дата и место рождения, адрес, семейное положение, образование, профессия работника, а также иная информация, необходимая в связи с трудовыми отношениями) следует получать лично у работника.

2.2.2. Если персональные данные работника можно получить только у третьей стороны, работник должен быть уведомлен об этом и от него должно быть получено письменное согласие (либо отказ), которое работник должен дать в течение пяти дней с получения уведомления.

2.2.3. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать согласие на их получение

2.2.4. Сведения о работниках организации хранятся на бумажных носителях в помещении кабинет Администрации. Для этого используются изолированное помещение.

2.2.5. Конкретные обязанности по хранению личных дел работников, заполнению, хранению и выдаче трудовых книжек (дубликатов трудовых книжек), иных документов, содержащих персональные данные работников, возлагаются на главного бухгалтера в соответствии с его должностными обязанностями, закрепленными в трудовом договоре и должностной инструкции.

2.2.6. Сведения о работниках организации могут также храниться на электронных носителях, доступ к которым ограничен паролем.

2.2.7. Работодатель обеспечивает ограничение доступа к персональным данным работников лицам, не уполномоченным законом либо работодателем на получение соответствующих сведений.

2.2.8. При получении сведений, составляющих персональные данные работников, указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций, заданий.

2.2.9. При передаче персональных данных работника работодатель должен соблюдать следующие требования:

• не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами;
• не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
• предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном настоящим Кодексом и иными федеральными законами;
• осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;
• разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
• не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
• передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

Перечисленные требования установлены статьей 88 Трудового кодекса РФ и не подлежат изменению, так как являются обязательными для сторон трудовых отношений.

2.3. Обязанности работника и работодателя при обработке персональных данных

Обязанности работника

2.3.1. При поступлении на работу работник предоставляет свои персональные данные в форме документов:

• паспорт или иной документ, удостоверяющий личность;
• трудовая книжка и (или) сведения о трудовой деятельности, за исключением случаев, когда работник поступает на работу впервые;
• страховое свидетельство государственного пенсионного страхования;
• документы воинского учета – для военнообязанных и лиц, подлежащих призыву на военную службу;
• документ об образовании, о квалификации или наличии специальных знаний при поступлении на работу, требующую специальных знаний или специальной подготовки;
• в отдельных случаях с учетом специфики работы действующим законодательством может предусматриваться предъявление иных документов.

2.3.2. В случае изменения сведений, составляющих персональные данные, работник должен незамедлительно предоставить данную информацию работодателю.

Обязанности работодателя

2.3.3. Работодатель обязан:

• обеспечить защиту персональных данных работника;
• обеспечить хранение первичной учетной документации по учету труда и его оплаты, к которой, в частности, относятся документы по учету кадров, по учету использования рабочего времени и расчетов с работниками по оплате труда (персональные данные не должны храниться дольше, чем это оправдано выполнением задач, для которых они собирались, или дольше, чем это установлено требованиями законодательства Российской Федерации);
• заполнять документацию, содержащую персональные данные работника, преимущественно в соответствии с унифицированными формами первичной учетной документации по учету труда и его оплаты, если иные формы не утверждены в клинике;
• выдавать работнику копии документов, связанных с работой, по письменному заявлению работника не позднее трех дней со дня подачи заявления. Копии документов, связанных с работой (приказа о приеме на работу, приказов о переводе на другую работу, приказа об увольнении, выписки из трудовой книжки, справки о заработной плате и др.), должны заверяться надлежащим образом и предоставляться работнику безвозмездно.

2.3.4. Работодатель не имеет права:

• >получать и обрабатывать сведения, отнесенные законодательством РФ к специальным категориям персональных данных (включая данные о политических, религиозных и иных убеждениях, интимной жизни), за исключением случаев, предусмотренных Трудовым кодексом РФ и другими федеральными законами;
• >получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом;
• >при принятии решений, затрагивающих интересы работников, основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

2.3.5. Запрещается требовать от лица, поступающего на работу, документы помимо предусмотренных Трудовым кодексом РФ, иными федеральными законами, указами Президента РФ и постановлениями Правительства РФ.

2.4. Права работников в целях защиты персональных данных

2.4.1. В целях защиты персональных данных, хранящихся у работодателя, работники вправе:

• получать полную информацию об их персональных данных и обработке этих данных, в частности, работник имеет право знать, кто и в каких целях использует или использовал его персональные данные;
• иметь свободный бесплатный доступ к своим персональным данным, в том числе получать копии любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;
• определять представителей для защиты своих персональных данных;
• иметь доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;
• требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований федерального закона;
• требовать извещения работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

3. Персональные данные клиентов (пациентов)

3.1. Состав сведений (персональных данных) о клиентах и цели их обработки

3.1.1. Персональные данные пациентов (лиц, являющихся стороной договора на оказание медицинских услуг), обрабатываемые в клинике:

• паспортные данные;
• номера телефонов для связи с пациентом, адрес, электронная почта (контактная информация);
• информация о состоянии здоровья пациента, поставленных диагнозах, проведенном или планируемом к проведению медицинском вмешательстве.
• СНИЛС;
• серия и номер страхового полиса ДМС и/или ОМС, наименование страховой компании, выдавшей полис.

3.1.2. Персональные данные пациентов, полученные при заключении договора на медицинские услуги, обрабатываются только в целях предоставления качественной медицинской помощи, проведения оценки качества оказываемых услуг, в целях обеспечения оплаты лечения пациентов посредством страховых компаний.

3.1.3. Клиника обеспечивает конфиденциальность персональных данных клиентов и обязана не допускать их передачу третьим лицам без согласия клиентов либо наличия иного законного основания.

3.1.4. Все меры конфиденциальности при сборе, обработке и хранении персональных данных клиентов распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

3.2. Порядок обработки персональных данных клиентов

3.2.1. Клиника получает персональные данные непосредственно от субъекта персональных данных – клиента.

3.2.2. В силу подпункта 5 части 1 статьи 6, подпункта 4 части 2 статьи 10 Федерального закона от 27.07.2006 № 152-ФЗ письменного согласия на обработку персональных данных о здоровье пациента в медико-профилактических целях не требуется.

По смыслу части 1 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ рентгеновские снимки, слепки зубов, фотографии пациентов не являются биометрическими данными, поскольку не используются оператором для установления личности субъекта персональных данных.

Согласие на обработку персональных данных пациентов берется клиникой с целью демонстрации пациентам серьезности намерений соблюдения конфиденциальности, а также с целью предупреждения о тех случаях, когда информация о здоровье пациента может быть передана третьим лицам без его согласия.

3.2.3. Персональные данные клиента обрабатываются клиникой исключительно для достижения целей, определенных письменным договором между клиентом и клиникой, в частности, для оказания медицинских услуг клиенту.

3.2.4. Обработка персональных данных клиентов ведется методом смешанной (в том числе автоматизированной) обработки.

3.2.5. К обработке персональных данных клиента могут иметь доступ только работники клиники, допущенные к работе с персональными данными клиента.

3.2.6. Отзыв пациентом согласия на обработку персональных данных о здоровье не влечет прекращения обработки персональных данных при наличии законных оснований обработки (ч. 2 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ).

3.2.7. Клиника уничтожает персональные данные клиента, за исключением данных, содержащихся в медицинской карте и иной медицинской документации, в следующие сроки: хранящиеся на электронных носителях – в течение тридцати рабочих дней с момента отзыва согласия на обработку.

3.2.10. Персональные данные клиентов содержатся в следующих группах документов:

• договор на оказание медицинских услуг и все приложения к нему;
• согласие родителей на подписание договора несовершеннолетним;
• анкета о здоровье;
• медицинская карта;
• информированные согласия на различные виды медицинских манипуляций;
• протоколы фиксации претензий пациента.

3.2.11. Персональные данные клиентов могут храниться как на бумажных носителях, так и в электронном виде.

3.2.12. Персональные данные клиентов на бумажных носителях, хранятся в специально отведенных помещениях.

3.2.13. Персональные данные клиентов также хранятся в электронном виде – в локальной компьютерной сети клиники, в базах данных, каталогах и файлах, размещенных на серверах клиники, доступ к которым разрешен работникам, допущенным к обработке персональных данных клиентов.

3.2.14. При передаче персональных данных клиента клиника должна соблюдать следующие требования:

• не сообщать персональные данные клиента третьей стороне без письменного согласия клиента, за исключением случаев, установленных федеральным законом;
• не сообщать персональные данные клиента в коммерческих целях без его письменного согласия;
• предупредить лиц, получающих персональные данные клиента о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено;
• разрешать доступ к персональным данным клиентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные клиентов, которые необходимы для выполнения конкретных функций.

3.3. Права и обязанности клиники при обработке персональных данных клиента (пациента).

3.3.1. В целях обеспечения прав и свобод человека и гражданина клиника и ее сотрудники при обработке персональных данных клиента обязаны соблюдать следующие общие требования:

• при определении объема и содержания персональных данных клиента, подлежащих обработке, руководствоваться федеральными законами от 27.07.2006 № 152-ФЗ и от 21.11.2011 № 323-ФЗ, а также договорными обязательствами, взятыми на себя сторонами по договору между клиентом и клиникой;
• не получать и не обрабатывать персональные данные клиента о его судимости, политических, религиозных и иных убеждениях и частной жизни.

3.3.2. Клиника должна обеспечить защиту персональных данных клиента от неправомерного их использования или утраты за собственный счет в порядке, установленном федеральным законодательством.

3.3.3. Клиника обязана сообщить клиенту информацию о наличии персональных данных о нем, а также предоставить возможность ознакомиться с ними:

• в течение семи рабочих дней с момента обращения (подачи запроса), если речь идет о предоставлении медицинской справки или медицинского заключения;
• в течение тридцати рабочих дней с момента обращения (подачи запроса), если речь идет о предоставлении информации в виде копии медицинской карты.

3.4. Права и обязанности клиента (пациента)

3.4.1. Клиент обязан передавать клинике или ее представителю комплекс достоверных, документированных персональных данных, состав которых установлен настоящим Положением и договорными обязательствами, взятыми на себя сторонами по договору между клиентом и клиникой.

3.4.2. Клиент должен без неоправданной задержки сообщать клинике об изменении своих персональных данных.

3.4.3. Клиент имеет право на получение сведений о клинике, о ее местонахождении, о наличии у клиники персональных данных, относящихся к клиенту, а также на ознакомление с такими персональными данными.

Клиент вправе требовать от клиники уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

3.4.4. Доступ клиента к своим персональным данным предоставляется на основании письменного запроса пациента на имя директора клиники. Запрос должен содержать номер основного документа, удостоверяющего личность клиента или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись клиента или его законного представителя.

3.4.5. Сведения о наличии персональных данных должны быть предоставлены клиенту в доступной форме, в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.

3.4.6. Клиент имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных клиникой, а также цель такой обработки;
• правовые основания и цели обработки персональных данных;
• цели и способы обработки персональных данных, применяемые клиникой;
• наименование и место нахождения клиники;
• сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
• перечень обрабатываемых персональных данных и источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;
• >наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению клиники (в случае, если обработка поручена или будет поручена такому лицу);
• информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 Федерального закона от 27.07.2006 № 152-ФЗ;
• иные сведения, предусмотренные федеральными законами.

3.4.7. Клиент имеет право отозвать согласие на обработку персональных данных, ограничить способы и формы обработки персональных данных, запретить распространение персональных данных без его согласия. Отзыв пациентом согласия на обработку персональных данных о здоровье не влечет прекращения обработки персональных данных в силу части 2 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ.

4. Система мер защиты персональных данных

4.1. Общую организацию защиты персональных данных клиентов осуществляет директор клиники.

4.2. Защиту персональных данных, хранящихся в электронных базах данных клиники, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий обеспечивает специалист IT, находящийся в штате предприятия либо оказывающий услуги на основании договора подряда.

4.3. Все работники, связанные с получением, обработкой и защитой персональных данных клиентов, обязаны подписать уведомление-обязательство о неразглашении персональных данных клиентов (приложение № 2).

Процедура оформления доступа к персональным данным клиента включает:

• ознакомление работника под подпись с настоящим Положением и иными локальными нормативными актами (приказами, распоряжениями, инструкциями), регулирующими обработку и защиту персональных данных (приложение №1);
• уведомление работника о факте обработки персональных данных;
• >истребование с работника (за исключением директора) письменного обязательства о соблюдении конфиденциальности персональных данных клиентов и соблюдении правил их обработки. Обязательство готовят по установленной форме (приложение № 2).

4.4. Работник клиники, имеющий доступ к персональным данным клиентов в связи с исполнением трудовых обязанностей:

• обеспечивает хранение информации, содержащей персональные данные клиента, исключающее доступ к ним третьих лиц;
• не оставляет на рабочем месте документы, содержащие персональные данные, записи, содержащие пароль для доступа к информационной системе клиники;
• при уходе в отпуск, во время служебной командировки и в иных случаях длительного отсутствия передает документы и иные носители, содержащие персональные данные, директору клиники.

4.5. Допуск к персональным данным других работников клиники (санитарок, охранников), не имеющих надлежащим образом оформленного доступа, запрещается.

4.6. Система мер защиты персональных данных включает в себя издание локальных актов:

• настоящее Положение об обработке персональных данных в организации;
• политика в отношении обработки персональных данных в организации;
• приказ о назначении ответственного за обработку персональных данных;
• приказ об утверждении перечня обрабатываемых персональных данных;
• приказ о допуске работников к обработке персональных данных;

5. Ответственность за разглашение персональных данных

5.1. Клиника несет ответственность за разработку, введение и действенность соответствующих требованиям законодательства норм, регламентирующих получение, обработку и защиту персональных данных клиента и работников. Клиника закрепляет персональную ответственность работников за соблюдение установленного в организации режима конфиденциальности.

5.2. Руководитель, разрешающий доступ работника к документам, содержащим персональные данные клиента, несет персональную ответственность за данное разрешение.

5.3. Каждый работник клиники, получающий для работы документ, содержащий персональные данные клиента, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.

5.4. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных клиента, несут ответственность в соответствии с федеральными законами:

• статьи 150, 151 Гражданского кодекса РФ – гражданско-правовая ответственность;
• статья 13.14 КоАП РФ – административная ответственность;
• статья 137 Уголовного кодекса РФ – уголовная ответственность;
• статьи 81, 192 ТК РФ – дисциплинарная ответственность,
• статья 243 ТК РФ – материальная ответственность.

5.5. За неисполнение или ненадлежащее исполнение работником по его вине возложенных на него обязанностей по соблюдению установленного порядка обработки персональных данных клиника вправе применять предусмотренные Трудовым кодексом РФ дисциплинарные взыскания, в том числе увольнение на основании подпункта «в» пункта 6 статьи 81 Трудового кодекса РФ за разглашение персональных данных другого работника.

6. Заключительные положения

6. Настоящее Положение вступает в силу с момента издания приказа директора организации о введении Положения в силу и обязательно для ознакомления, соблюдения и исполнения всеми работниками организации.