ПОЛИТИКА
ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПАЦИЕНТОВ ОБЩЕСТВА С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ «УНИВЕРСИТЕТСКАЯ КЛИНИКА АРХАНГЕЛЬСК»
I. Общие положения
1. Обработка персональных данных в Обществе с ограниченной ответственностью «Университетская клиника Архангельск» (ООО «Университетская клиника Архангельск») выполняется с использованием средств автоматизации или без использования таких средств и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов персональных данных, персональные данные которых обрабатываются в ООО «Университетская клиника Архангельск».
2. Обработка персональных данных без использования средств автоматизации может осуществляться в виде документов на бумажных носителях и в электронном виде (файлы, базы данных) на электронных носителях информации.
3. К субъектам персональных данных, персональные данные которых обрабатываются в ООО «Университетская клиника Архангельск», в соответствии с настоящей Политикой относятся:
1) лица, обработка персональных данных которых осуществляется в связи с исполнением гражданско-правовых договоров, заключаемых ООО «Университетская клиника Архангельск»;
2) граждане, обратившиеся в соответствии с Федеральным законом от 2 мая.2006 г № 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации".
4. Обработка персональных данных лиц, указанных в пункте 3 настоящей Политики, в соответствии с пунктом 2 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152- ФЗ "О персональных данных" (далее - Федеральный закон "О , персональных данных") осуществляется без согласия субъекта персональных данных на обработку его персональных данных для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и. выполнения возложенных законодательством Российской Федерации на ООО «Университетская клиника Архангельск» функций, полномочий и обязанностей.
5. Обработка персональных данных в ООО «Университетская клиника Архангельск» осуществляется с соблюдением принципов и условий, предусмотренных настоящей Политикой и законодательством Российской Федерации в области персональных данных.
II. Цели, условия и порядок обработки персональных данных и соответствующие им перечни обрабатываемых персональных данных
6. Персональные данные лиц, указанных в подпункте 1 пункта 3 настоящей Политики, обрабатываются в целях осуществления деятельности ООО «Университетская клиника Архангельск», предусмотренной федеральными законами, актами Президента Российской Федерации, Правительства Российской Федерации. - .
7. В целях, указанных в пункте 6 настоящей Политики, обрабатываются следующие персональные данные лиц, указанных в подпункте 1 пункта 3 настоящей Политики:
1) фамилия, имя, отчество (при наличии);
2) дата и место рождения;
3) адрес места жительства, дата регистрации по месту жительства (месту пребывания);
4) сведения, содержащиеся в страховом свидетельстве обязательного пенсионного страхования или документе, подтверждающем регистрацию в системе индивидуального (персонифицированного) учета;
5) идентификационный номер налогоплательщика;
6) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, вьщавшего его, дата вьщачи;
7) номер телефона или сведения о других способах связи;
8) иные персональные данные, которые отвечают цели обработки персональньіх данных, указанной в пункте 6 настоящей Политики.
8. Персональные данные лиц, указанных в подпункте 2 пункта 3 настоящей Политики, обрабатываются в целях обеспечения своевременного и в полном объеме рассмотрения устных и письменных обращений таких лиц в порядке, установленном Федеральным законом от 2 мая 2006 г. И 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации".
9. В целях, указанных в пункте 8 настоящей Политики, обрабатываются следующие персональные данные лиц, указанных в подпункте 2 пункта 3 настоящей Политики:
1) фамилия, имя, отчество (при наличии);
2) адрес места жительства;
3) адрес электронной почты (при наличии);
4) иные персональные данные, указанные в обращении, а также ставшие известными в ходе личного приема или в процессе рассмотрения обращения.
III. Условия и порядок обработки персональных данных субъектов персональных данных в информационных системах
10. Обработка персональных данных в ООО «Университетская клиника Архангельск» осуществляется в следующих информационных системах:
1) 1С: Предприятия-Запись и прием к специалистам;
2) 1С: Предприятие-Бухгалтерия предприятия;
11. Работникам ООО «Университетская клиника Архангельск», имеющим право осуществлять обработку персональных данных в информационных системах, предоставляется уникальный логин и пароль для доступа к соответствующей информационной системе, в соответствии с функциями, предусмотренными должностными инструкциями.
12. Информация вносится как в автоматическом режиме при получении персональных данных из федеральной государственной информационной системы "Единый портал государственных и муниципальных услуг (функций)" или официального сайта ООО «Университетская клиника Архангельск» в информационно-телекоммуникационной сети "Интернет", так и в ручном режиме при получении информации на бумажном носителе или в ином виде, не позволяющем осуществлять ее автоматическую регистрацию.
13. Обеспечение безопасности персональных данных, обрабатываемых в информационных системах, достигается в соответствии со статьей 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:
1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональный данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
3.1) применением для уничтожения персональных данных, прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации;
4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных; .
5) учетом машинных носителей персональных данных;
6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидаций последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним; 1
8) установлением Политики доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
9) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
14. Доступ работников ООО «Университетская клиника Архангельск» к персональным данным; находящимся в информационных системах персональных данных ООО «Университетская клиника Архангельск», предусматривает обязательное прохождение процедуры идентификации и аутентификации.
15. Обмен персональными данными при их обработке в информационных системах персональных данных ООО «Университетская клиника Архангельск» осуществляется по каналам связи, защита, которых обеспечивается путем реализации соответствующих организационных мёр и применения программных и технических средств в соответствии со статьей 19 Федерального закона "О персональных данных".
16. В случае выявления нарушений порядка обработки персональных данных в информационных системах персональных данных ООО «Университетская клиника Архангельск» уполномоченными должностными лицами ООО «Университетская клиника Архангельск» принимаются меры по установлению причин нарушений и их устранению с момента обнаружения таких нарушений.
IV. Политика работы с обезличенными данными в случае обезличивания персональных данных
17. Обезличивание персональных данных в ООО «Университетская клиника Архангельск» осуществляется в статистических или иных исследовательских целях с соблюдением требований, установленных подпунктом "з" пункта 1 перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом ”О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами, утвержденного постановлением Правительства Российской Федерации от 21 марта 2012 г. № 211.
18. Персональные данные, полученные в результате обезличивания, могут обрабатываться с использованием и без использования средств автоматизации и не подлежат разглашению.
19. Персональные данные, полученные в результате обезличивания, подлежат защите в соответствии с законодательством Российской Федерации.
20. Персональные данные, полученные в результате обезличивания, не подлежат предоставлению третьим лицам, осуществляющим обработку персональных данных с использованием. дополнительной информации, позволяющей прямо или косвенно определить конкретное физическое лицо.
21. При обработке персональных данных, полученных в результате обезличивания, без использования средств автоматизации обеспечивается сохранность содержащих их материальных носителей и порядок доступа работников ООО «Университетская клиника Архангельск» в помещения, в которых они хранятся, в целях исключения несанкционированного доступа к обезличенным персональным данным, возможности их несанкционированного уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий.
22. При обработке персональных данных, полученных в результате обезличивания, в информационных системах персональных данных обеспечивается соблюдение парольной защиты информационных систем персональных данных, антивирусной политики, Политики работы со съемными носителями (в случае их использования), Политики резервного копирования, Политики доступа в помещения, где расположены элементы информационных систем персональных данных.
23. При хранении персональных данных, полученных в результате обезличивания, обеспечивается раздельное хранение персональных данных, полученных в результате обезличивания, и информации о выбранном методе обезличивания персональных данных и параметрах процедуры обезличивания персональных данных.
V. Сроки обработки и хранения персональных данных.
Порядок уничтожения персональных данных
24. Хранение медицинской документации пациентов ООО «Университетская клиника Архангельск» осуществляется в соответствии с Приказом Минздрава России от 03.08.2022 № 408 «Об утверждении Перечня документов, образующихся в деятельности Министерства здравоохранения Российской Федерации и подведомственных ему организаций, с указанием сроков хранения».
25. Сроки хранения персональных данных в ООО «Университетская клиника Архангельск» определяются в соответствии с Приказом Минздрава России от 03.08.2022 № 408 «Об утверждении Перечня документов, образующихся в деятельности Министерства здравоохранения Российской Федерации и подведомственных ему организаций, с указанием сроков хранения».
26. Персональные данные подлежат уничтожению в следующих случаях:
1) При достижении цели обработки персональных данных или в случае утраты необходимости в достижении цели обработки персональных, данных, если, иное .не предусмотрено Федеральным законом "О персональных данных";
2) При изменении, признании утратившими силу нормативных правовых актов, устанавливающих правовые основания обработки персональных данных;
3) При выявлении факта неправомерной обработки персональных данных;
4) При отзыве субъектом персональных данных согласия, если иное не предусмотрено Федеральным законом "О персональных данных".
27. Структурным подразделением ООО «Университетская клиника Архангельск», ответственным, за документооборот и архивирование, осуществляется систематический контроль и выявление документов, содержащих персональные данные с истекшими сроками хранения.
28. Вопрос об уничтожении документов, содержащих персональные данные с истекшими сроками хранения, рассматривается на заседании Экспертной комиссии ООО «Университетская клиника Архангельск» (далее - ЭК ООО «Университетская клиника Архангельск»), состав которой утверждается приказом руководителя ООО «Университетская клиника Архангельск».
29. По итогам заседания ЭК ООО «Университетская клиника Архангельск» составляются протокол и акт о выделении к уничтожению документов, опись уничтожаемых дел. Акт о выделении к уничтожению документов подписывается председателем и членами ЭК ООО «Университетская клиника Архангельск» и утверждается руководителем ООО «Университетская клиника Архангельск».
30. Уничтожение персональных данных по окончании срока их обработки на электронных носителях производится путем механического нарушения их целостности, не позволяющим произвести считывание и восстановление персональных данных или удаления с электронных носителей методами и средствами гарантированного удаления остаточной информации.
VI. Рассмотрение запросов субъектов персональных данных или их представителей
31. Лица, указанные в пункте 3 настоящей Политики, имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных ООО «Университетская клиника Архангельск»;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые ООО «Университетская клиника Архангельск» способы обработки персональных данных;
4) наименование и место нахождения ООО «Университетская клиника Архангельск», сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с ООО «Университетская клиника Архангельск» или на основании федерального закона, за исключением работников ООО «Университетская клиника Архангельск» непосредственно осуществляющих обработку персональных данных;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник, их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом "О персональных данных";
8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению ООО «Университетская клиника Архангельск», если обработка поручена или будет поручена такому лицу;
10) информацию о способах исполнения ООО «Университетская клиника Архангельск» обязанностей, установленных статьей 48.1 Федерального закона "О персональных данных";
11) иные сведения, предусмотренные Федеральным законом "О персональных данных" или другими федеральными законами.
32. Лица, указанные в пункте 3 настоящей Политики, вправе требовать от ООО «Университетская клиника Архангельск» уточнения их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
33. Сведения, указанные в пункте 31 настоящей Политики, должны быть предоставлены субъекту персональных данных ООО «Университетская клиника Архангельск» в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
34. Сведения, указанные в пункте 31 настоящей Политики, предоставляются субъекту персональных данных или его представителю уполномоченным должностным лицом структурного подразделения ООО «Университетская клиника Архангельск», осуществляющим обработку соответствующих персональных данных, в течение десяти рабочих дней с момента обращения либо получения ООО «Университетская клиника Архангельск» запроса субъекта персональных данных или его представителя. Запрос должен, содержать:
1) номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа, и выдавшем его органе;
2) сведения, подтверждающие участие субъекта персональных данных в отношениях с ООО «Университетская клиника Архангельск» (документ, подтверждающий оказание ООО «Университетская клиника Архангельск» услуги) либо сведения, иным образом подтверждающие факт обработки персональных данных ООО «Университетская клиника Архангельск»;
3) подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме бумажного документа с подписью.
35. В случае если сведения, указанные в пункте 31 настоящей Политики, а также обрабатываемые персональные данные были предоставлены для ознакомления 'Субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно в ООО «Университетская клиника Архангельск» или направить ему повторный запрос в целях получения указанных сведений и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствий с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
36. Субъект персональных данных вправе обратиться повторно в ООО «Университетская клиника Архангельск» или направить ему повторный запрос в целях получения сведений, указанных в пункте 31 настоящей Политики, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в пункте 35 настоящей Политики, в случае если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в пункте 34 настоящей Политики, должен содержать обоснование направления повторного запроса.
37. ООО «Университетская клиника Архангельск» вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 35 и 36 настоящей Политики. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на ООО «Университетская клиника Архангельск».
38. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.