Общие положения.
Настоящая Политика обработки и защиты персональных данных (далее – Политика) разработана в ООО «Астория Дент» (далее – Оператор) в целях исполнения требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон № 152-ФЗ).
Настоящая политика устанавливает процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в области защиты персональных данных, а также определяет для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований, направлена на защиту персональных данных и охраняемой законом тайны, в том числе защиты прав человека на неприкосновенность частной жизни, личной, семейной тайны и врачебной тайны.
Настоящая политика действует в отношении всех персональных данных, которые обрабатывает Оператор.
Настоящая Политика вступает в силу с момента ее утверждения председателем Производственного кооператива и действуют бессрочно, до замены её новой Политикой.
Все изменения в настоящую Политику вносятся приказом председателя.
Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора.
персональные данные - любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом о персональных данных;
оператор - юридическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Настоящая политика обработки персональных данных разработана в соответствии с следующими нормативно-правовыми актами:
Устав Оператора;
Трудовой кодекс Российской Федерации;
Гражданский кодекс Российской Федерации;
Налоговый кодекс Российской Федерации;
Федеральный закон Российской Федерации от 21.11.2011 № З23-Ф3 «Об основах охраны здоровья граждан в Российской Федерации»;
Федеральный закон от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Закон РФ от 19.04.1991 № 1032–1 «О занятости населения в Российской Федерации»;
Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
Федеральный закон от 06.03.2006 № 35-ФЗ «О противодействии терроризму»;
Постановление Правительства РФ от 11.05.2023 № 736 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг, внесении изменений в некоторые акты Правительства Российской Федерации и признании утратившим силу постановления Правительства Российской Федерации от 04.10.2012 № 1006» Постановление Правительства РФ от 13.01.2017 № 8 «Об утверждении требований к антитеррористической защищенности объектов (территорий) Министерства здравоохранения Российской Федерации и объектов (территорий), относящихся к сфере деятельности Министерства здравоохранения Российской Федерации, и формы паспорта безопасности этих объектов (территорий)»;
Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Постановление Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете».
Постановление Правительства Российской Федерации от 01.11.2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Указ Президента РФ от 06.03.1997 № 188 «Об утверждении перечня сведений конфиденциального характера»;
Приказ ФСТЭК № 21 от 18.02.2013 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
Приказ Минздрава России от 15.12.2014 № 834н «Об утверждении унифицированных форм медицинской документации, используемых в медицинских организациях, оказывающих медицинскую помощь в амбулаторных условиях, и порядков по их заполнению»;
Приказ Минздрава России от 12.11.2021 № 1051н «Об утверждении Порядка дачи информированного добровольного согласия на медицинское вмешательство и отказа от медицинского вмешательства, формы информированного добровольного согласия на медицинское вмешательство и формы отказа от медицинского вмешательства».
Категории субъектов персональных данных.
В зависимости от вида правоотношений, сложившихся между Оператором и субъектом персональных данных, выделяются следующие категорий субъектов персональных:
субъекты персональных данных, намеревающиеся обратиться к Оператору за получением медицинской помощи;
субъекты персональных данных, обратившиеся к Оператору за получением медицинской помощи;
субъекты персональных данных, сопровождающие пациентов, обратившихся к Оператору за получением медицинской помощи;
субъекты персональных данных - посетители Оператора;
субъекты персональных данных, состоящие в трудовых отношениях с Оператором (работники);
субъекты персональных данных, претендующие на трудоустройство;
субъекты персональных данных контрагентов – физических лиц, намеревающихся заключить или заключивших с Оператором договоры гражданско-правового характера.
Источники получения персональных данных субъектов персональных данных:
лично субъект персональных данных;
законный представитель субъекта персональных данных.
Состав и содержание обрабатываемых персональных данных.
Персональные данные, обрабатываемые Оператором, относятся к сведениям конфиденциального характера (конфиденциальной информации).
Объем обрабатываемых Оператором персональных данных определяется категорией субъекта персональных данных.
Объем обрабатываемых Оператором персональных данных субъектов персональных данных, намеревающихся обратиться к Оператору за получением медицинской помощи:
фамилия, имя, отчество;
пол;
дата и место рождения;
телефонный номер;
адрес электронной почты;
биометрические данные (изображения с видеокамер, находящихся в местах общего пользования).
Объем обрабатываемых Оператором персональных данных субъектов персональных данных, обратившихся к Оператору за получением медицинской помощи:
фамилия, имя, отчество;
пол;
дата и место рождения;
гражданство;
национальность;
паспортные данные (серия, номер паспорта, наименование органа, выдавшего паспорт, дата его выдачи);
адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
телефонный номер;
адрес электронной почты;
семейное положение;
индивидуальный номер налогоплательщика;
страховой номер индивидуального лицевого счёта;
сведения о составе семьи;
сведения о законном представителе (фамилия, имя, отчество дата рождения, паспортные данные, адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания, контактный телефон, адрес электронной почты);
сведения о месте работы, должности, профессии;
сведения об образовании;
реквизиты банковских счетов, номер банковской карты;
биометрические данные (изображения с видеокамер, изображения, полученные при фото- и видеофиксации хода лечения);
информация о состоянии здоровья;
сведения о виде оказанной медицинской помощи;
сведения о результатах консультативных и лечебно-диагностических мероприятий;
сведения о диагностированных заболеваниях, характере течения заболеваний;
сведения об исходе и результатах оказания медицинской помощи;
результаты и материалы диагностических исследований;
информация о медицинских назначениях, использованных лекарственных препаратах, специализированных продуктах лечебного питания, медицинских изделиях, использованных при оказании медицинской помощи;
сведения о перечне оказанных медицинских услуг, стоимости и сроках их оказания;
сведения о третьих лицах, которым допустима передача сведений, составляющих врачебную тайну в соответствии со ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».
Объем обрабатываемых Оператором персональных данных субъектов персональных данных, сопровождающих пациентов, обратившихся к Оператору за получением медицинской помощи:
фамилия, имя, отчество;
дата рождения;
пол;
гражданство;
степень родства с пациентом;
паспортные данные (серия, номер паспорта, наименование органа, выдавшего паспорт, дата его выдачи);
адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
телефонный номер;
адрес электронной почты;
реквизиты банковских счетов, номер банковской карты;
биометрические данные (изображении с видеокамер, находящихся в местах общего пользования).
Объем обрабатываемых Оператором персональных данных субъектов персональных данных, состоящих в трудовых отношениях с Оператором (работники) и уволенных работников:
фамилия, имя, отчество;
дата и место рождения;
пол;
гражданство;
национальность;
паспортные данные (серия, номер паспорта, наименование органа, выдавшего паспорт, дата его выдачи);
адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
страховой номер индивидуального лицевого счета;
индивидуальный номер налогоплательщика;
анкетные и биографические данные;
телефонный номер;
адрес электронной почты;
реквизиты полиса добровольного медицинского страхования;
информация о состоянии здоровья;
информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование, прохождение переобучения или дополнительных образовательных программ: наименование, номер, дата выдачи, специальность, данные об аттестации, аккредитации работника, данные о повышении квалификации);
сведения о месте работы, трудовой функции, обязанностях работника, характере работы, форме оплаты, дате начала работы, оплате, условиях труда, режиме работы и отдыха, гарантиях и компенсациях, табельном номере, форме допуска, сведения об отпусках, перемещении по должности, увольнении;
сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета);
биометрические данные (изображения с видеокамер);
реквизиты свидетельств о государственной регистрации актов гражданского состояния и содержащиеся в них сведения;
сведения о семейном положении, составе семьи (степень родства, фамилии, имена, отчества (при наличии), даты (число, месяц, год) и места рождения);
информация о владении иностранными языками;
для иностранных граждан, пребывающих в РФ - сведения, содержащиеся в документах, дающих право на пребывание и трудовую деятельность на территории РФ, сведения, содержащиеся в разрешении на временное проживание в РФ, виде на жительство;
сведения о доходах;
сведения об обязательствах по исполнительным документам;
реквизиты расчетного счета, банковской карты;
сведения о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям (для отдельных категорий работников);
информация о состоянии здоровья;
иные персональные данные, содержащиеся в документах, представление которых предусмотрено законодательством, если обработка этих данных соответствует цели обработки;
иные персональные данные, которые работник пожелал сообщить о себе, и обработка которых соответствует цели обработки.
Объем обрабатываемых Оператором персональных данных субъектов персональных данных, претендующих на трудоустройство на период принятия работодателем решения о приеме либо отказе в приеме на работу:
фамилия, имя, отчество;
дата и место рождения;
гражданство;
пол;
паспортные данные (серия, номер паспорта, наименование органа, выдавшего паспорт, дата его выдачи);
адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
страховой номер индивидуального лицевого счета;
индивидуальный номер налогоплательщика;
анкетные и биографические данные;
телефонный номер;
адрес электронной почты;
реквизиты полиса добровольного медицинского страхования;
информация о состоянии здоровья;
информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование, прохождение переобучения или дополнительных образовательных программ: наименование, номер, дата выдачи, специальность, данные об аттестации, аккредитации работника, данные о повышении квалификации);
сведения о месте работы, трудовой функции, обязанностях работника, характере работы, форме оплаты, дате начала работы, оплате, условиях труда, режиме работы и отдыха, гарантиях и компенсациях, табельном номере, форме допуска, сведения об отпусках, перемещении по должности, увольнении;
сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета);
биометрические данные (изображения с видеокамер);
реквизиты свидетельств о государственной регистрации актов гражданского состояния и содержащиеся в них сведения;
сведения о семейном положении, составе семьи (степень родства, фамилии, имена, отчества (при наличии), даты (число, месяц, год) и места рождения);
информация о владении иностранными языками;
для иностранных граждан, пребывающих в РФ - сведения, содержащиеся в документах, дающих право на пребывание и трудовую деятельность на территории РФ, сведения, содержащиеся в разрешении на временное проживание в РФ, виде на жительство;
сведения об обязательствах по исполнительным документам;
реквизиты расчетного счета, банковской карты;
сведения о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям (для отдельных категорий работников);
информация о состоянии здоровья;
иные персональные данные, содержащиеся в документах, представление которых предусмотрено законодательством, если обработка этих данных соответствует цели обработки;
иные персональные данные, которые работник пожелал сообщить о себе, и обработка которых соответствует цели обработки.
Объем обрабатываемых Оператором персональных данных субъектов персональных данных - посетителей Оператора:
фамилия, имя, отчество;
пол;
дата и место рождения;
телефонный номер;
адрес электронной почты;
биометрические данные (изображения с видеокамер, находящихся в местах общего пользования).
Объем обрабатываемых Оператором персональных данных субъектов персональных данных - контрагентов – физических лиц, намеревающихся заключить или заключивших с Оператором договоры гражданско-правового характера:
фамилия, имя, отчество;
дата и место рождения;
гражданство;
пол;
национальность;
паспортные данные (серия, номер паспорта, наименование органа, выдавшего паспорт, дата его выдачи);
адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
страховой номер индивидуального лицевого счета;
индивидуальный номер налогоплательщика;
сведения об имеющихся лицензиях;
телефонный номер;
адрес электронной почты;
биометрические данные (изображения с видеокамер, находящихся в местах общего пользования);
сведения об образовании и (или) квалификации или наличии специальных знаний, в том числе наименование образовательной и (или) иной организации, год окончания, уровень образования, квалификация, реквизиты документа об образовании, обучении;
информация о владении иностранными языками;
для иностранных граждан, пребывающих в РФ - сведения, содержащиеся в документах, дающих право на пребывание и трудовую деятельность на территории, сведения, содержащиеся в разрешении на временное проживание в РФ, виде на жительство;
реквизиты расчетного счета, банковской карты;
сведения о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям (для отдельных категорий работников);
иные персональные данные, содержащиеся в документах, представление которых предусмотрено законодательством, если обработка этих данных соответствует цели обработки;
иные персональные данные, которые субъект пожелал сообщить о себе, и обработка которых соответствует цели обработки.
Цели обработки персональных данных.
Оператор осуществляет сбор и обработку персональных данных субъектов в следующих целях:
оказания платных медицинских услуг;
ведения персонифицированного учета сведений об оказанной медицинской помощи в рамках исполнения гражданско-правовых договоров с физическими и юридическим лицами;
осуществления контроля за качеством оказываемой медицинской помощи;
размещения в сети интернет и общедоступных местах Оператора информации о медицинской организации, в том числе информации об образовании медицинских работников, их квалификации, стаже работы, графике приема во исполнение требований Федерального закона Российской Федерации от 21.11.2011 № З23-Ф3 «Об основах охраны здоровья граждан в Российской Федерации» и Постановления Правительства РФ от 11.05.2023 № 736 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг, внесении изменений в некоторые акты Правительства Российской Федерации и признании утратившим силу постановления Правительства Российской Федерации от 04.10.2012 № 1006» Постановление Правительства РФ от 13.01.2017 № 8 «Об утверждении требований к антитеррористической защищенности объектов (территорий) Министерства здравоохранения Российской Федерации и объектов (территорий), относящихся к сфере деятельности Министерства здравоохранения Российской Федерации, и формы паспорта безопасности этих объектов (территорий)»;
трудоустройства для оценки кандидата на соответствие должности, на замещение которой он претендует;
ведение кадрового учета;
ведение кадрового бухгалтерского учета;
направления работников для прохождения образовательных программ, повышения квалификации;
направления работников для прохождения предварительных и периодических медицинских осмотров;
оформления награждений и поощрений;
предоставления работникам установленных законодательством условий труда, гарантий и компенсаций;
формирования и направления в государственные, контролирующие органы или организации форм отчетности;
обеспечения личной безопасности работников и посетителей Оператора, а также сохранности имущества Оператора;
подготовки, заключения и исполнения гражданско-правовых договоров;
продвижение работ и услуг на рынке;
исполнения требований по антитеррористической защищенности объекта Оператора;
в иных целях, предусмотренных требованиями действующего законодательства Российской Федерации.
Оператор оставляет за собой право использовать персональные данные субъекта без его согласия в случаях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».
Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Обработка персональных данных, несовместимая с целями сбора персональных данных, не допускается.
Порядок и условия обработки персональных данных.
Обработка персональных данных осуществляется с соблюдением принципов и условий, предусмотренных законодательством Российской Федерации в области защиты персональных данных и настоящей Политикой.
Обработка персональных данных Оператором выполняется следующими способами:
неавтоматизированная обработка персональных данных;
автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
смешанная обработка персональных данных.
Обработка персональных данных Оператором осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации и положениями настоящей Политики.
Обработка биометрических персональных данных допускается при наличии письменного согласия субъекта персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Оператор не осуществляет трансграничную передачу персональных данных.
Согласие субъекта персональных данных, предусмотренное п. 5.3 настоящей Политики не требуется в следующих случаях:
обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законодательством Российской Федерации.
фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
наименование, адрес Оператора;
цель обработки персональных данных;
перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка будет поручена такому лицу;
перечень действий с персональными данными, на совершение которых дается согласие;
общее описание используемых оператором способов обработки персональных данных;
срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
подпись субъекта персональных данных.
Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных п. 5.9 настоящих Правил.
Обработка специальных категорий персональных данных допускается в случаях, если:
субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
персональные данные сделаны общедоступными субъектом персональных данных;
обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;
обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно, и в связи с осуществлением правосудия;
обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;
обработка персональных данных, касающихся состояния здоровья, полученных в результате обезличивания персональных данных, допускается в целях повышения эффективности государственного или муниципального управления, а также в иных целях, предусмотренных Федеральным законом от 24.04.2020 № 123-ФЗ «О проведении эксперимента по установлению специального регулирования в целях создания необходимых условий для разработки и внедрения технологий искусственного интеллекта в субъекте Российской Федерации - городе федерального значения Москве и внесении изменений в статьи 6 и 10 Федерального закона «О персональных данных» и Федеральным законом от 31.10.2020 № 258-ФЗ «Об экспериментальных правовых режимах в сфере цифровых инноваций в Российской Федерации», в порядке и на условиях, которые предусмотрены указанными федеральными законами.
Обработка персональных данных осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, обезличивания, блокирования, удаления, уничтожения персональных данных, в том числе с помощью средств вычислительной техники.
При обработке персональных данных субъектов персональных данных Оператор придерживается следующих принципов:
соблюдение законности и справедливости целей, а также получения, обработки, хранения и других действий с персональными данными;
обработка персональных данных исключительно в рамках оговоренных целей;
сбор только тех персональных данных, которые являются минимально необходимыми и достаточными для достижения заявленных целей обработки;
выполнение мер по обеспечению безопасности персональных данных при их обработке и хранении;
соблюдение прав субъекта персональных данных на доступ к его персональным данным.
Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляются Оператором посредством:
получения оригиналов документов либо их копий;
копирования оригиналов документов;
внесения сведений в учетные формы на бумажных и электронных носителях;
создания документов, содержащих персональные данные, на бумажных и электронных носителях;
внесения персональных данных в информационные системы персональных данных.
обрабатывать персональные данные в присутствии лиц, не допущенных к их обработке;
осуществлять ввод персональных данных под диктовку (голосовой ввод).
Персональные данные субъектов персональных данных хранятся в бумажном и электронном виде. В электронном виде персональные данные субъектов персональных данных хранятся в информационных системах персональных данных Оператора, а также в архивных копиях баз данных этих систем.
Передача персональных данных третьим лицам возможна только с письменного согласия субъекта персональных данных, а также без получения письменного согласия - в случаях, предусмотренных законодательством Российской Федерации.
Оператор вправе поручить обработку персональных данных с согласия субъекта персональных данных юридическим лицам, на основании заключаемых с такими лицами договоров, с соблюдением ими принципов и правил обработки персональных данных, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и настоящей Политикой.
Лица, осуществляющие обработку персональных данных без использования средств автоматизации, в том числе работники Оператора или лица, осуществляющие такую обработку по договору с Оператором, должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется Оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами и локальными правовыми актами Оператора.
Оператор во исполнение ст. 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» при обработке персональных данных принимает необходимые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, а именно:
назначение ответственного за организацию обработки персональных данных;
издание локальных актов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности;
осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;
установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.
соблюдение условий, исключающих несанкционированный доступ к материальным носителям персональных данных и обеспечивающих сохранность персональных данных;
определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего законодательства о защите персональных данных, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом;
применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
учет машинных носителей персональных данных;
обнаружение фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
Основные этапы обработки персональных данных.
Получение персональных данных.
Оператор получает персональных данных непосредственно от субъекта персональных данных или от законных представителей субъектов, наделенных соответствующими полномочиями.
Субъект персональных данных обязан предоставлять Оператору достоверные сведения о себе.
Оператор имеет право проверять достоверность сведений, предоставленных субъектом, сверяя данные, предоставленные субъектом, с оригиналами представленных Субъектом документов.
Если обязанность предоставления персональных данных установлена федеральным законом, работник Оператора обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные.
Если персональные данные получены не от субъекта персональных данных, Оператор, за исключением случаев, предусмотренных ч. 4 ст. 18 Федерального закона Российской Федерации от 27.07.2006 №152-ФЗ «О персональных данных», до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
наименование и адрес Оператора или его представителя;
цель обработки персональных данных и ее правовое основание;
предполагаемых пользователях персональных данных;
установленных федеральным законом права субъекта персональных данных;
источник получения персональных данных.
Оператор освобождается от обязанности предоставить субъекту персональных данных сведения, предусмотренные п. 6.1.5 настоящей Политики, в случаях, если:
субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим Оператором;
персональные данные получены Оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных;
персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника.
При изменении персональных данных субъект персональных данных письменно уведомляет Оператора о таких изменениях в разумный срок, не превышающий 14 дней с момента изменений.
Предоставление субъектом персональных данных – работником Оператора подложных документов или заведомо ложных сведений при заключении трудового договора является основанием для расторжения трудового договора в соответствии с п. 11 ч. 1 ст. 81 Трудового кодекса Российской Федерации.
Хранение персональных данных.
Персональные данные субъектов персональных данных хранятся на материальных носителях (бумажные и (или) электронные носители), в том числе и на внешних (съемных) электронных носителях, и в информационных системах персональных данных.
Персональные данные на бумажных носителях должны находиться в помещениях Оператора в шкафах или помещениях, обеспечивающих защиту от несанкционированного доступа.
Доступ к информационным системам персональных данных, содержащим персональные данные, обеспечивается с использованием средств защиты от несанкционированного доступа и копирования путем предоставления работнику Оператора индивидуального логина и пароля.
В целях обеспечения сохранности и конфиденциальности персональных данных все операции по оформлению, формированию, ведению и хранению данной информации должны выполняться только работниками Оператора, осуществляющими данную работу в соответствии со своими служебными обязанностями, зафиксированными в их должностных инструкциях.
Хранение персональных данных производится в порядке, исключающем их утрату или неправомерное использование.
Хранение персональных данных субъектов персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки в соответствии со сроками хранения, определяемыми законодательством Российской Федерации и нормативными документами Оператора.
Персональные данные субъектов персональных данных хранятся в отделах (подразделениях) Оператора, которые отвечают за взаимодействие с субъектами персональных данных.
Работник, имеющий доступ к персональным данным в связи с исполнением трудовых обязанностей:
обеспечивает хранение информации, содержащей персональные данные, исключающее доступ к ним третьих лиц;
при уходе в отпуск, нахождении в служебной командировке и иных случаях длительного отсутствия сотрудника на своем рабочем месте передает документы и иные носители, содержащие персональные данные, лицу, на которое приказом или распоряжением Оператора будет возложено исполнение его обязанностей.
В случае если такое лицо не назначено, документы и иные носители, содержащие персональные данные, передаются другому работнику, имеющему доступ к персональным данным по указанию председателя или ответственного лица.
При увольнении работника, имеющего доступ к персональным данным, документы и иные носители, содержащие персональные данные, сдаются работником непосредственному руководителю.
Режим конфиденциальности персональных данных снимается в случаях их обезличивания и по истечении срока их хранения, если иное не определено законом.
Все электронные носители персональных данных должны быть учтены.
Учет внешних съемных электронных носителей информации, содержащих персональных данных, осуществляется в подразделениях, осуществляющих обработку персональных данных.
Особенности обработки персональных данных неавтоматизированным способом.
Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.
Персональные данные при их неавтоматизированной обработке обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях, в специальных разделах или на полях форм (бланков).
Персональные данные фиксируются на материальном носителе неавтоматизированным способом или автоматизированным способом посредством вывода на печать или копирования информации, содержащей персональные данные, на носитель с использованием средств вычислительной техники.
Бумажные носители и съемные машинные носители персональных данных хранятся в сейфах, запираемых шкафах или ящиках столов, находящихся в помещениях подразделений Оператора.
Материальные носители, содержащие персональные данные, обрабатываемые в различных целях, хранятся раздельно (в разных шкафах, на разных полках, в отдельных ящиках или папках и т.п.).
При работе с документами, содержащими персональные данные, запрещается оставлять их на рабочем месте или оставлять шкафы (сейфы) с документами, содержащими персональные данные, открытыми в случае выхода из рабочего помещения.
В конце рабочего дня все документы, содержащие персональные данные, должны быть убраны в шкафы (сейфы).
Подготовка, оформление, прохождение (согласование), регистрация и хранение бумажных носителей персональных данных определяются Инструкцией по делопроизводству и документированию управленческой деятельности Оператора с учетом требований, предусмотренных настоящей Политикой.
Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
Бумажные носители, содержащие персональные данные, включая черновики и промежуточные версии рабочих документов, подлежат уничтожению либо содержащиеся в них персональные данные подлежат обезличиванию по достижении целей обработки или в случае утраты необходимости достижения этих целей, а также по окончании срока их хранения. Уничтожение производится с помощью устройств для измельчения бумаги (шредеров), не допускающих возможность восстановления исходного документа (шредеры должны быть не ниже уровня секретности 3 (Р-3) - площадь фрагментов не должна превышать 320 мм (например, 4 * 50 мм) или ширина полосы не более 2 мм).
При необходимости использования или распространения части персональных данных, находящихся на съемном машинном носителе, эти персональные данные копируются на другой съемный машинный носитель.
Съемные машинные носители, не допускающие возможности удаления персональных данных, уничтожаются путем физического разрушения машинного носителя, не позволяющего произвести последующее считывание или восстановление записанных на машинном носителе персональных данных. В журнале учета машинных носителей персональных данных производится соответствующая запись об уничтожении, заверенная подписями уполномоченного работника и лица, осуществляющего учет машинных носителей подразделения.
Хранение личных дел работников, картотеки, учетные журналы и книги кадрового учета осуществляется в запирающихся шкафах.
Хранение трудовых книжек работников осуществляется в несгораемом сейфе.
При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, принимаются следующие меры по обеспечению раздельной обработки персональных данных:
при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных;
при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
Сроки хранения определяются категорией обрабатываемых персональных данных и требованиями действующего законодательства Российской Федерации.
Особенности обработки персональных данных с использованием средств автоматизации.
При обработке персональных данных с использованием средств автоматизации Оператор использует следующие информационные системы:
система электронного документооборота;
медицинская информационная система;
система поддержки рабочего места пользователя;
система управления персоналом;
система удаленного персонального доступа.
Не допускается обработка персональных данных в информационной системе персональных данных с использованием средств автоматизации, если применяемые меры и средства обеспечения безопасности не соответствуют требованиям, утвержденным Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Обработка персональных данных с использованием средств автоматизации осуществляется в рамках информационной системы персональных данных Оператора и внешних информационных систем, предоставляемых сторонними организациями. Состав информационной системы персональных данных Оператора определяется «Перечнем информационных систем персональных данных», утверждаемым председателем.
При осуществлении обработки персональных данных при помощи информационных систем работник Оператора обязан:
соблюдать требования настоящей Политики и иных локальных актов Оператора, устанавливающих порядок работы с персональными данными;
использовать для выполнения должностных обязанностей предоставленное работнику автоматизированное рабочее место;
пользоваться зарегистрированными в установленном порядке съемными машинными носителями информации, обеспечивать безопасное хранение материальных носителей информации, исключающее несанкционированный доступ к ним;
немедленно сообщать ответственному лицу за обеспечение безопасности персональных данных о нештатных ситуациях, фактах и попытках несанкционированного доступа к обрабатываемой информации, о блокировании, исчезновении или искажении персональных данных;
перед началом обработки в информационной системе файлов, хранящихся на съемных носителях информации, осуществить проверку файлов на наличие компьютерных вирусов;
выполнять проведение антивирусного контроля на автоматизированном рабочем месте не реже одного раза в неделю;
располагать экран монитора во время работы так, чтобы исключалась возможность ознакомления с отображаемой на них информацией посторонними лицами;
соблюдать установленный режим разграничения доступа к информационным ресурсам: получать пароль, надежно его запоминать и хранить в тайне.
При осуществлении обработки персональных данных при помощи информационных систем работнику Оператора запрещается:
записывать и хранить информацию, относящуюся к конфиденциальной информации или персональным данным, на неучтенных материальных носителях информации;
оставлять во время работы материальные носители информации без присмотра, не санкционированно передавать материальные носители информации другим лицам и выносить их за пределы помещения, в котором производится обработка информации;
отключать средства антивирусной защиты;
отключать или блокировать средства защиты информации;
производить какие-либо изменения в электрических схемах, монтаже и размещении технических средств;
самостоятельно устанавливать, тиражировать, или модифицировать программное обеспечение, изменять установленный алгоритм функционирования технических и программных средств;
обрабатывать в информационной системе персональных данных информацию и выполнять другие работы, не предусмотренные перечнем прав пользователя по доступу к информационным ресурсам информационной системы;
сообщать или передавать третьим лицам параметры доступа к информационным системам;
осуществлять обработку персональных данных при обнаружении неисправностей информационной системы;
хранить на учтенных носителях информации программы и данные, не относящиеся к рабочей информации;
привлекать посторонних лиц для производства ремонта технических средств информационной системы без согласования с Ответственным лицом.
Пароли доступа к информационной системе персональных данных устанавливаются Ответственным лицом или Пользователем.
При формировании пароля для доступа к информационной системе персональных данных необходимо руководствоваться следующими требованиями:
длина пароля должна быть не менее шести буквенно-цифровых символов;
пароль не должен включать в себя имена, фамилии, дни рождения и другие памятные даты, номера телефонов, автомобилей, адреса места жительства, наименования автоматизированного рабочего места, общепринятые сокращения и другие данные, которые могут быть подобраны злоумышленником путем анализа информации;
запрещается использовать в качестве пароля один и тот же повторяющийся символ либо повторяющуюся комбинацию из нескольких символов;
запрещается использовать в качестве пароля комбинацию символов, набираемых в закономерном порядке на клавиатуре;
при смене пароля новое значение должно отличаться от предыдущего;
внеплановая смена личного пароля должна производиться в обязательном порядке в следующих случаях: компрометации или подозрении на компрометацию пароля, в случае прекращения полномочий работника, допущенного к работе с персональными данными (увольнение, переход на другую работу), по инициативе Ответственного лица.
При работе с информационной системой персональных данных работник, допущенный к работе с персональными данными:
проходит инструктаж по использованию информационной системой персональных данных;
получает у Ответственного лица идентификатор и личный пароль для входа в информационную систему персональных данных;
перед началом работы Пользователь визуально проверяет целостность пломб,
убеждается в отсутствии посторонних технических средств, включает необходимые средства вычислительной техники;
Копирование персональных данных на электронные носители информации осуществляется только при наличии производственной необходимости и только на учтенные электронные носители информации.
При необходимости создания на автоматизированном рабочем месте дополнительных электронных документов, содержащих персональные данные, работник создает и хранит такие документы в строго отведенном для этого месте.
Печать документов, содержащих персональные данные, осуществляется только при наличии производственной необходимости на принтер, подключенный Ответственным лицом к автоматизированному рабочему месту.
В случае возникновения необходимости временно покинуть рабочее помещение во время работы в информационной системе персональных данных, работник обязан выключить автоматизированное рабочее место либо заблокировать его.
Покидая рабочее помещение в конце рабочего дня, работник обязан выключить все необходимые средства вычислительной техники и закрыть дверь помещения на ключ.
Порядок учета машинных носителей персональных данных.
Оператор ведет учет всех машинных и бумажных носителей информации, содержащих персональные данные.
Для организации учета машинных носителей персональных данных каждому носителю присваивается учетный номер: машинные носители должны маркироваться печатью или наклейкой с инвентарным номером. На носители (компакт-диски и др.), на которые наклеивание ярлыка недопустимо по техническим причинам, реквизиты ярлыка полностью наносятся на диск специальным нестираемым маркером.
Учет машинных носителей осуществляется в Журнале учета машинных носителей персональных данных.
Оператор ежегодно проводит инвентаризацию всех носителей информации, на которых хранятся персональные данные. Результаты инвентаризации должны документироваться.
Использование персональных данных.
Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных п. 6.6.2 настоящей Политики. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.
Оператор обязан разъяснить субъекту персональных данных положение принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения.
Лицо, ответственное за организацию обработки персональных данных Оператора.
Приказом Оператора назначается лицо, ответственное за организацию обработки персональных данных (далее - Ответственное лицо).
Ответственное лицо получает указания непосредственно от председателя Оператора.
осуществлять внутренний контроль за соблюдением Оператором и его сотрудниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
доводить до сведения сотрудников Оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
Доступ работников к персональным данным, обрабатываемым Оператором.
Работники Оператора получают доступ к персональным данным субъектов исключительно в объеме, необходимом для выполнения своих должностных обязанностей.
Перечень должностей, имеющих доступ к персональным данным, определяется приказом председателя, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным, пересматривается по мере необходимости (изменение организационно-штатной структуры, введение новых должностей и т.п.).
Работнику, должность которого не включена в Перечень должностей, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным, но которому необходим разовый или временный доступ к персональным данным субъектов персональных данных в связи с исполнением должностных обязанностей, распоряжением председателя может быть предоставлен такой доступ.
Работник Оператора получает доступ к персональным данным субъектов персональных данных после ознакомления и изучения требований настоящих Правил и иных внутренних нормативных документов Оператора по защите персональных данных в части, его касающейся.
Доступ субъекта персональных данных к его персональным данным.
Субъект персональных данных имеет право на свободный доступ к своим персональным данным, за исключением случаев, когда предоставление персональных данных нарушает конституционные права и свободы других лиц, содержащей его персональные данные.
Субъект персональных данных или его законный представитель вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
Субъект персональных данных или его законный представитель получает доступ к персональным данным или к иной информации, касающейся обработки персональных данных на основании запроса, оформленного в простой письменной форме или в форме электронного документа, подписанного электронной подписью.
Запрос на доступ к персональным данным должен содержать фамилию, имя, отчество субъекта персональных данных, номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в правоотношениях с Оператором (номер договора, дату заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя.
Субъект персональных данных имеет право на получение при обращении информации, касающейся обработки его персональных данных, в том числе содержащей:
подтверждение факта обработки персональных данных Оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые Оператором способы обработки персональных данных;
наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав;
информацию об осуществленной или о предполагаемой трансграничной передаче данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
информацию о способах исполнения Оператором обязанностей, установленных статьей 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами.
Оператор обязан сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя не позднее десяти рабочих дней с даты получения запроса субъекта персональных данных или его законного представителя, указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
Ответ в адрес субъекта персональных данных может быть выдан нарочно, направлен через отделение почтовой связи заказным письмом или курьером.
В случае, если сведения, указанные п. 6.9.5 настоящей Политики, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных п. 6.9.5 настоящей Политики, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
Субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в п. 6.9.5 настоящей Политики, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в п. 6.9.7 настоящей Политики, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в п. 6.9.4 настоящей Политики, должен содержать обоснование направления повторного запроса.
Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным п. 6.9.7 и 6.9.8 настоящей Политики. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.
В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя Оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение ч. 8 ст. 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий десяти рабочих дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Мотивированный ответ в адрес субъекта персональных данных может быть выдан нарочно, направлен через отделение почтовой связи заказным письмом или курьером.
Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.
В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Оператор обязан внести в них необходимые изменения.
В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор обязан уничтожить такие персональные данные.
Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
Оператор обязан сообщить в Роскомнадзор Российской Федерации по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес Роскомнадзора РФ мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
Регламент передачи персональных данных третьим лицам.
К числу внешних потребителей персональных данных в соответствии с нормами действующего законодательства относятся государственные органы и организации частных форм собственности:
налоговые органы;
правоохранительные органы;
фонды социального страхования;
пенсионные фонды;
организации, осуществляющие государственный контроль (надзор) и муниципальный контроль;
военные комиссариаты;
финансовые организации, через которые осуществляется перечисление заработной платы и прием платежей;
судебные органы;
медицинские организации, оказывающие медицинскую помощь субъекту персональных данных;
третьи лица, привлеченные для целей оказания медицинской помощи пациентам;
организации, осуществляющие обслуживание информационных систем.
При передаче персональных данных субъекта уполномоченные лица должны придерживаться следующих требований:
передача персональных данных субъекта третьим лицам осуществляется только с письменного согласия субъекта, за исключением случаев, установленных федеральными законами;
не допускается передача персональных данных субъекта в коммерческих целях без его письменного согласия;
не допускает передача персональных данных по телефону;
работникам Оператора, имеющим доступ к персональным данным, запрещена запись, хранение и вынос за пределы Оператора на внешних носителях информации (дисках, дискетах, USB-флэш-картах и т.п.), передача по внешним адресам электронной почты или размещение в сети Интернет информации, содержащей персональные данные субъектов, за исключением случаев, указанных в настоящей Политики или установленных иными внутренними документами Оператора;
передача третьим лицам документов (иных материальных носителей), содержащих персональных данных субъектов, осуществляется по письменному запросу третьего лица на предоставление персональных данных субъекта. Ответы на письменные запросы даются на бланке Оператора и в том объеме, который позволяет не разглашать излишних сведений о субъекте персональных данных;
работники Оператора, передающие персональные данные субъектов третьим лицам, должны передавать их с обязательным уведомлением лица, получающего эти документы, об обязанности использования полученной конфиденциальной информации лишь в целях, для которых она сообщена, и с предупреждением об ответственности за незаконное использование данной конфиденциальной информации в соответствии с федеральными законами. Уведомление и предупреждение могут быть реализованы путем подписания акта передачи носителей персональных данных, в котором приведены указанные условия;
представителю субъекта персональных данных передаются в порядке, установленном действующим законодательством и настоящей Политикой. Информация передается при наличии нотариально удостоверенной доверенности представителя субъекта или письменного заявления субъекта, написанного в присутствии Работника Оператора;
предоставление персональных данных субъекта государственным органам производится в соответствии с требованиями действующего законодательства Российской Федерации;
персональные данные субъекта могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого субъекта, за исключением случаев, когда передача персональных данных субъекта без его согласия допускается действующим законодательством РФ;
документы, содержащие персональных данных субъекта, могут быть отправлены посредством федеральной почтовой связи заказным письмом. При этом должна быть обеспечена их конфиденциальность: документы, содержащие персональных данных, вкладываются в конверт, в документах делается надпись о том, что персональных данных, содержащиеся в письме, являются конфиденциальной информацией и не подлежат распространению и (или) опубликованию.
Лица, виновные в нарушении требований конфиденциальности, несут ответственность, предусмотренную законодательством Российской Федерации.
Учет переданных персональных данных осуществляется в рамках принятых Оператором правил делопроизводства путем регистрации входящей и исходящей корреспонденции и запросов о предоставлении персональных данных физических лиц либо их представителей. Фиксируются сведения о лицах, направивших такие запросы, дата выдачи персональных данных, а также дата уведомления об отказе в предоставлении персональных данных.
В случае, если лицо, обратившееся к Оператору с запросом на предоставление персональных данных, не уполномочено на получение информации, относящейся к персональным данным, уполномоченные лица Оператора обязаны отказать данному лицу в выдаче такой информации. Лицу, обратившемуся с соответствующим запросом, выдается уведомление в свободной форме об отказе в выдаче информации, а копия уведомления хранится в соответствии с принятыми правилами делопроизводства (как исходящая корреспонденция). В случае, если запрашивались персональных данных работника Оператора, копия уведомления также подшивается в личное дело работника, персональные данные которого не были предоставлены.
Сроки обработки и хранения персональных данных, порядок их блокирования и уничтожения.
Персональные данные на бумажных носителях хранятся Оператором в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством Российской Федерации.
Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
При достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются либо обезличиваются, за исключением случаев, указанных в ст. 10 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Оператор блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.
Отбор материальных носителей (документы, жесткие диски, флеш-накопители и т.п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют ответственное лицо.
Обработка персональных данных прекращается Оператором в следующих случаях:
в течение трех рабочих дней с даты выявления факта неправомерной обработки персональных данных;
в течение трех рабочих дней с момента получения такого требования субъекта персональных данных о прекращении передачи (распространения, предоставления, доступа) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения;
в срок, указанный во вступившем в законную силу решении суда о прекращении Оператором передачи (распространения, предоставления, доступа) персональных данных субъекта, а если такой срок не указан в решении суда - в течение трех рабочих дней с момента вступления его в законную силу;
в срок, не превышающий трех рабочих дней с даты выявления неправомерной обработки персональных данных;
в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных действующим законодательством;
в срок, не превышающий тридцати дней с даты поступления отзыва субъектом персональных данных согласия на обработку его персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных действующим законодательством;
в срок, не превышающий десяти рабочих дней с даты получения Оператором обращения субъекта персональных данных с требованием о прекращении обработки персональных данных, за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»; указанный срок может быть продлен, но не более чем на пять рабочих дней при условии направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
в случае невозможности обеспечения правомерности обработки персональных данных в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных;
в случае достижения цели обработки персональных данных оператор в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных действующим законодательством;
в случае отзыва субъектом персональных данных согласия на обработку его персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных, в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных действующим законодательством.
В случае отсутствия возможности прекращения обработки и (или) уничтожения персональных данных в течение срока, указанного в п. 7.1 и 7.2 настоящей Политики, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
В случаях, предусмотренных п. 6.1 и 6.2 настоящей Политики, в соответствии с ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Оператор вправе продолжить обработку персональных данных субъекта.
Уничтожение персональных данных осуществляет комиссия, созданная приказом председателя.
Комиссия составляет акт с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
После уничтожения персональных данных оформляется акт об их уничтожении.
Защита персональных данных.
принимать необходимые организационные и технические меры для защиты персональных данных третьих лиц от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации.
Оператор имеет право передавать персональные данные в уполномоченные организации, государственные органы, государственные внебюджетные фонды только на основаниях и в случаях, предусмотренных законодательством Российской Федерации, в том числе:
в рамках осуществления информационного взаимодействия в сферах добровольного медицинского страхования;
в рамках организации оказания медицинской помощи;
для уплаты налогов на доходы физических лиц, обязательных страховых платежей и взносов;
в целях осуществления правосудия, исполнения судебного акта;
при ответах на официальные письменные мотивированные запросы правоохранительных органов и органов судебной власти, других уполномоченных государственных органов.
предоставить достоверные персональные данные, необходимые для исполнения договора, оказания услуг, идентификации субъекта персональных данных, а также в иных случаях, предусмотренных законодательством Российской Федерации;
при изменении своих персональных данных предоставлять Оператору актуальные данные, необходимые для исполнения договора, оказания услуг, идентификации субъекта персональных данных, а также в иных случаях, предусмотренных законодательством Российской Федерации.
получение полной информации о своих персональных данных, обрабатываемых Оператором;
получение доступа к своим персональным данным, включая право на получение копий любых записей, содержащих персональные данные;
уточнение своих персональных данных, их блокирование или уничтожение в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отзыв согласия на обработку персональных данных;
защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке, в случаях нарушения Оператором требований законодательства Российской Федерации в области обработки и обеспечения безопасности персональных данных.
Без письменного согласия субъекта персональных данных Оператор не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено действующим законодательством.
Запрещено раскрытие и распространение персональных данных субъектов персональных данных по телефону.
Работники, которые занимают должности, предусматривающие обработку персональных данных, допускаются к ней после подписания обязательства об их неразглашении.
Материальные носители персональных данных хранятся в шкафах, запирающихся на ключ. Помещения Оператора, в которых они размещаются, оборудуются запирающими устройствами. Выдача ключей от шкафов и помещений осуществляется под подпись.
Доступ к персональной информации, содержащейся в информационных системах Оператора, осуществляется по индивидуальным паролям.
Оператор использует сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.
Работники Оператора, обрабатывающие персональные данные, периодически проходят обучение требованиям законодательства в области персональных данных.
В должностные инструкции работников Оператора, обрабатывающих персональные данные, включаются, в частности, положения о необходимости сообщать о любых случаях несанкционированного доступа к персональным данным.
Работник, ответственный за организацию обработки персональных данных, осуществляет внутренний контроль:
Внутренний контроль проходит в виде внутренних проверок.
Внутренние плановые проверки осуществляются на основании ежегодного плана, который утверждается председателем.
Внутренние внеплановые проверки осуществляются по решению работника, ответственного за организацию обработки персональных данных. Основанием для них служит информация о нарушении законодательства в области персональных данных, поступившая в устном или письменном виде.
По итогам внутренней проверки оформляется докладная записка на имя председателя. В случае выявления нарушений в документе приводятся перечень мероприятий по их устранению и соответствующие сроки.
Внутреннее расследование проводится, если выявлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее - инцидент).
В случае инцидента Оператор в течение 24 часов уведомляет Роскомнадзор:
об инциденте;
его предполагаемых причинах и вреде, причиненном правам субъекта (нескольким субъектам) персональных данных;
принятых мерах по устранению последствий инцидента;
представитель Оператора, который уполномочен взаимодействовать с Роскомнадзором по вопросам, связанным с инцидентом.
уведомить Роскомнадзор о результатах внутреннего расследования;
предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).
В случае предоставления субъектом персональных данных (его представителем) подтвержденной информации о том, что персональные данные являются неполными, неточными или неактуальными, в них вносятся изменения в течение семи рабочих дней. Оператор уведомляет в письменном виде субъекта персональных данных (его представителя) о внесенных изменениях и сообщает (по электронной почте) о них третьим лицам, которым были переданы персональные данные.
Оператор уведомляет субъекта персональных данных (его представителя) об устранении нарушений в части неправомерной обработки персональных данных. Оператор уведомляет также Роскомнадзор, если он направил обращение субъекта персональных данных (его представителя) либо сам сделал запрос.
В случае уничтожения персональных данных, которые неправомерно обрабатывались, уведомление направляется в соответствии с п. 8.19 настоящей Политики.
В случае уничтожения персональных данных, незаконно полученных или не являющихся необходимыми для заявленной цели обработки, Оператор уведомляет субъекта персональных данных (его представителя) о принятых мерах в письменном виде. Оператор уведомляет по электронной почте также третьих лиц, которым были переданы такие персональные данные.
Ответственность за нарушение норм, регулирующих обработку персональных данных.
С правилами работы и хранения конфиденциальной информации о персональных данных в обязательном порядке должны быть ознакомлены все работники Оператора.
Работник, которому в силу трудовых отношений с Оператором стала известна информация, составляющая персональные данные, в случае нарушения режима защиты персональных данных несет материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами Российской Федерации.
Разглашение персональных данных субъектов персональных данных (передача их посторонним лицам, в том числе работникам Оператора, не имеющим к ним доступа), их публичное раскрытие, утрата документов и иных носителей, содержащих персональные данные субъекта, а также иные нарушения обязанностей по их защите и обработке, установленных настоящей Политикой, локальными нормативными актами (приказами, распоряжениями) Оператора, может повлечь наложение на работника, имеющего доступ к персональным данным, дисциплинарного взыскания, если иное не предусмотрено законодательством РФ.
Работник Оператора, имеющий доступ к персональным данным субъектов и совершивший указанный дисциплинарный проступок, несет полную материальную ответственность в случае причинения его действиями ущерба Оператору в соответствии с п.7 ст. 243 Трудового кодекса РФ.
Работники Оператора, имеющие доступ к персональным данным субъектов, виновные в незаконном разглашении или использовании персональных данных субъектов без согласия субъектов из корыстной или иной личной заинтересованности и причинившие крупный ущерб, несут ответственность в соответствии с законодательством Российской Федерации.
За нарушение норм, регулирующих получение, обработку и защиту персональных данных работника, несет административную ответственность Оператор согласно ст. 5.27 и 5.39 Кодекса об административных правонарушениях Российской Федерации, а также возмещает работнику ущерб, причиненный неправомерным использованием информации, содержащей персональных данных работника.
Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к их защите, установленных Законом о персональных данных, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
Заключительные положения.
Оператор оставляет за собой право вносить изменения в настоящую Политику. Пересмотр положений настоящей Политики может проводиться по следующим причинам:
при изменении законодательства Российской Федерации, регулирующего отношения в области обработки персональных данных;
при изменении локальных нормативных актов Оператора;
по результатам контроля выполнения требований по обработке и защите персональных данных.
После пересмотра положений настоящей Политики, ее актуализированная версия публикуется на официальном сайте Оператора.