Политика обработки персональных данных

Общества с ограниченной ответственностью «Дом Здоровья»
ИНН 5321096906, ОГРН 1045300268310,
адрес: 173014, Новгородская область, г. Великий Новгород, ул. Зелёная, д. 8

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (в действующей редакции, далее — Закон № 152-ФЗ), Трудовым кодексом Российской Федерации, Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», иными нормативными правовыми актами Российской Федерации в области персональных данных и определяет порядок обработки персональных данных и требования к обеспечению безопасности персональных данных в Обществе с ограниченной ответственностью «Дом Здоровья» (далее — Оператор).

1.2. Политика действует в отношении всех персональных данных, обрабатываемых Оператором, и распространяется на отношения, связанные с обработкой персональных данных, с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, а также без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

1.3. Основные понятия, используемые в настоящей Политике, применяются в значениях, определённых статьёй 3 Закона № 152-ФЗ, в том числе: персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных); оператор — юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.4. Оператор является медицинской организацией и осуществляет медицинскую деятельность в соответствии с лицензией. В связи с этим Оператор обрабатывает специальные категории персональных данных, касающиеся состояния здоровья субъектов персональных данных (пациентов), в порядке, предусмотренном статьёй 10 Закона № 152-ФЗ.

1.5. Политика обязательна для ознакомления и исполнения всеми работниками Оператора, непосредственно осуществляющими обработку персональных данных, а также лицами, привлекаемыми Оператором к обработке персональных данных на основании договора (поручения оператора).

1.6. Политика подлежит опубликованию и обеспечению неограниченного доступа к ней, в том числе на официальном сайте Оператора в информационно-телекоммуникационной сети «Интернет», в соответствии с частью 2 статьи 18.1 Закона № 152-ФЗ.

2. Правовые основания обработки персональных данных

2.1. Обработка персональных данных Оператором осуществляется на законной и справедливой основе в соответствии с принципами, установленными статьёй 5 Закона № 152-ФЗ, и допускается при наличии хотя бы одного из оснований, предусмотренных статьёй 6 Закона № 152-ФЗ, в том числе:

согласие субъекта персональных данных на обработку его персональных данных;
обработка персональных данных необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей (в том числе в сфере охраны здоровья граждан);
обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных (в том числе договора на оказание медицинских услуг);
обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц, если получение согласия субъекта персональных данных невозможно;
обработка персональных данных необходима для осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

2.2. Обработка специальных категорий персональных данных, касающихся состояния здоровья, осуществляется Оператором в соответствии с пунктом 4 части 2 статьи 10 Закона № 152-ФЗ — в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг, при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну, а также на основании согласия субъекта персональных данных в письменной форме (пункт 1 части 2 статьи 10 Закона № 152-ФЗ) в случаях, когда такое согласие требуется.

2.3. Обработка персональных данных работников Оператора осуществляется в соответствии с трудовым законодательством Российской Федерации (статья 86 Трудового кодекса Российской Федерации) и на основании согласия работника на обработку его персональных данных.

3. Цели обработки персональных данных

3.1. Оператор обрабатывает персональные данные в следующих целях:

оказание медицинской помощи и медицинских услуг, установление медицинского диагноза, проведение медицинских осмотров, профилактических и реабилитационных мероприятий, ведение медицинской документации, в том числе в электронной форме;
заключение и исполнение договоров на оказание медицинских услуг, а также иных договоров, стороной которых является субъект персональных данных;
ведение учёта пациентов, формирование и ведение регистров и баз данных в соответствии с законодательством об охране здоровья граждан;
исполнение требований законодательства Российской Федерации, в том числе в сфере обязательного медицинского страхования, санитарно-эпидемиологического благополучия, статистического учёта и отчётности;
осуществление трудовых отношений с работниками Оператора, ведение кадрового и бухгалтерского учёта, исчисление и уплата налогов и страховых взносов;
связь с субъектами персональных данных (пациентами, работниками, контрагентами) по вопросам оказания услуг, записи на приём, информирования о результатах исследований и иных вопросам, связанным с деятельностью Оператора;
обеспечение безопасности и пропускного режима на территории и в помещениях Оператора (при наличии видеонаблюдения и систем контроля доступа);
иные законные цели, не противоречащие законодательству Российской Федерации.

3.2. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных, а также объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

4. Категории субъектов персональных данных и перечень обрабатываемых персональных данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

пациенты (физические лица, обратившиеся за медицинской помощью и (или) получающие медицинские услуги), а также их законные представители;
работники Оператора и лица, поступающие на работу, бывшие работники;
контрагенты — физические лица (представители юридических лиц и индивидуальные предприниматели, с которыми Оператор заключает договоры);
иные лица, персональные данные которых обрабатываются Оператором в связи с его деятельностью.

4.2. В отношении пациентов Оператор обрабатывает следующие персональные данные: фамилия, имя, отчество; дата и место рождения; пол; данные документа, удостоверяющего личность; адрес места жительства (регистрации); контактные данные (номер телефона, адрес электронной почты); сведения о состоянии здоровья, диагнозе, результатах обследований и лечения (специальная категория персональных данных); сведения о полисе обязательного медицинского страхования; иные сведения, необходимые для оказания медицинской помощи.

4.3. В отношении работников Оператор обрабатывает персональные данные, необходимые для осуществления трудовых отношений: фамилия, имя, отчество; дата и место рождения; данные документа, удостоверяющего личность; сведения о регистрации по месту жительства; ИНН, СНИЛС; сведения об образовании, квалификации; сведения о трудовой деятельности; сведения о состоянии здоровья (в случаях, предусмотренных законодательством, в том числе при проведении обязательных медицинских осмотров); иные сведения, предусмотренные трудовым законодательством.

4.4. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям их обработки.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется Оператором с соблюдением принципов и правил, предусмотренных Законом № 152-ФЗ, с использованием средств автоматизации и без использования средств автоматизации.

5.2. Оператор обеспечивает точность, достаточность и актуальность персональных данных, принимает необходимые меры по удалению или уточнению неполных или неточных данных.

5.3. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5.4. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (статья 7 Закона № 152-ФЗ). Сведения, составляющие врачебную тайну, обрабатываются и хранятся в соответствии с законодательством об охране здоровья граждан.

5.5. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (поручения оператора). Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом № 152-ФЗ, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом № 152-ФЗ. В поручении оператора определяются перечень персональных данных, перечень действий (операций) с персональными данными, цели их обработки, устанавливается обязанность соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке.

5.6. Оператор не осуществляет трансграничную передачу персональных данных на территорию иностранных государств.

5.7. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

5.8. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных без согласия субъекта персональных данных.

6. Согласие субъекта персональных данных на обработку персональных данных

6.1. Субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным (часть 1 статьи 9 Закона № 152-ФЗ).

6.2. Согласие на обработку специальных категорий персональных данных (данных о состоянии здоровья) оформляется в письменной форме в соответствии с требованиями части 4 статьи 9 Закона № 152-ФЗ, за исключением случаев, предусмотренных пунктами 2–4 части 2 статьи 10 Закона № 152-ФЗ.

6.3. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в любое время. В случае отзыва согласия Оператор вправе продолжить обработку персональных данных без согласия субъекта при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона № 152-ФЗ.

6.4. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия иных законных оснований обработки возлагается на Оператора.

7. Права субъектов персональных данных

7.1. Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных, в том числе содержащую: подтверждение факта обработки персональных данных Оператором; правовые основания и цели обработки персональных данных; цели и применяемые Оператором способы обработки персональных данных; наименование и место нахождения Оператора; сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона; перечень обрабатываемых персональных данных, относящихся к соответствующему субъекту, и источник их получения; сроки обработки персональных данных, в том числе сроки их хранения; сведения об осуществлённой или о предполагаемой трансграничной передаче персональных данных; наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора; иные сведения, предусмотренные частью 7 статьи 14 Закона № 152-ФЗ;
требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
осуществлять иные права, предусмотренные законодательством Российской Федерации.

7.2. Сведения, указанные в пункте 7.1 настоящей Политики, предоставляются субъекту персональных данных или его представителю Оператором при обращении либо при получении запроса субъекта персональных данных или его представителя в течение десяти рабочих дней с даты получения запроса (статья 20 Закона № 152-ФЗ).

8. Обязанности Оператора

8.1. Оператор обязан:

при сборе персональных данных предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 Закона № 152-ФЗ;
разъяснить субъекту персональных данных юридические последствия отказа предоставить персональные данные и (или) дать согласие на их обработку, если предоставление персональных данных является обязательным в соответствии с федеральным законом;

принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ, в том числе:

назначить лицо, ответственное за организацию обработки персональных данных (статья 22.1 Закона № 152-ФЗ);
издать документы, определяющие политику Оператора в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, определяющие для каждой цели обработки категории и перечень обрабатываемых персональных данных, категории субъектов, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства и устранение последствий таких нарушений;
применять правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со статьёй 19 Закона № 152-ФЗ;
осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных Закону № 152-ФЗ, требованиям к защите персональных данных, настоящей Политике и локальным актам Оператора;
проводить оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, и соотносить указанный вред с принимаемыми мерами;
ознакомлять работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, требованиями к защите персональных данных, настоящей Политикой и локальными актами по вопросам обработки персональных данных, и (или) обучать указанных работников;
опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите персональных данных (часть 2 статьи 18.1 Закона № 152-ФЗ);
до начала обработки персональных данных уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 статьи 22 Закона № 152-ФЗ, и вносить изменения в сведения в установленном порядке;
выполнять иные обязанности, предусмотренные Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами.

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных (статья 19 Закона № 152-ФЗ).

9.2. Обеспечение безопасности персональных данных достигается, в частности:

определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищённости персональных данных;
применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
учётом машинных носителей персональных данных;
обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты;
восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учёта всех действий, совершаемых с персональными данными в информационной системе персональных данных;
контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищённости информационных систем персональных данных.

9.3. Оператор обеспечивает соблюдение врачебной тайны, в том числе конфиденциальность сведений о факте обращения за медицинской помощью, состоянии здоровья и диагнозе пациента, в соответствии с законодательством об охране здоровья граждан.

10. Обращения и запросы субъектов персональных данных

10.1. Субъект персональных данных или его представитель вправе направить Оператору обращение или запрос, в том числе о предоставлении информации, касающейся обработки его персональных данных, об уточнении, блокировании или уничтожении персональных данных, об отзыве согласия на обработку персональных данных.

10.2. Обращения и запросы направляются Оператору в письменной форме по адресу: 173014, Новгородская область, г. Великий Новгород, ул. Зелёная, д. 8, либо в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации.

10.3. Запрос субъекта персональных данных должен содержать сведения, предусмотренные частью 3 статьи 14 Закона № 152-ФЗ (номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором, либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором; подпись субъекта персональных данных или его представителя).

10.4. Оператор рассматривает обращения и запросы субъектов персональных данных в сроки и в порядке, предусмотренные статьями 14, 20 и 21 Закона № 152-ФЗ.

11. Ответственность

11.1. Лица, виновные в нарушении требований законодательства Российской Федерации в области персональных данных, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

11.2. Оператор несёт ответственность перед субъектом персональных данных за действия лица, осуществляющего обработку персональных данных по поручению Оператора, в соответствии с частью 5 статьи 6 Закона № 152-ФЗ.

12. Заключительные положения

12.1. Настоящая Политика вступает в силу с момента её утверждения и действует до её замены новой редакцией.

12.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её утверждения, если иное не предусмотрено новой редакцией Политики.

12.3. Вопросы, не урегулированные настоящей Политикой, регулируются законодательством Российской Федерации в области персональных данных.

12.4. Контроль за исполнением настоящей Политики возлагается на лицо, ответственное за организацию обработки персональных данных в ООО «Дом Здоровья».

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ