ПОЛОЖЕНИЕ О ЗАЩИТЕ И ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
В КГБУЗ «УССУРИЙСКАЯ СТОМАТОЛОГИЧЕСКАЯ ПОЛИКЛИНИКА»
1. Общие положения
1.1. Настоящее Положение оператора в отношении обработки персональных данных (далее – Положение) разработано КГБУЗ «Уссурийская стоматологическая поликлиника» (далее – Оператор) в целях исполнения требований Федерального закона от 27.06.2006 №152-ФЗ «О персональных данных», постановления Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных система персональных данных».
1.2. Положение определяет общий порядок, принципы и условия обработки персональных данных (далее – ПДн) Оператором и обеспечивает защиту прав субъектов ПДн при обработке их ПДн.
2. Основные понятия
Для целей настоящего Положения используются следующие понятия:
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту ПДн).
Субъект ПДн – физическое лицо, данные которого обрабатываются.
Обработка ПДн – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.
Распространение ПДн – действия, направленные на раскрытие ПДн неопределенному кругу лиц
Автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники.
Предоставление ПДн – действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.
Блокирование ПДн – временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн).
Уничтожение ПДн – действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе персональных данных (далее – ИСПДн) и (или) в результате которых уничтожаются материальные носители ПДн.
Обезличивание ПДн – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн.
Информационная система персональных данных – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
Трансграничная передача ПДн – передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Конфиденциальность персональных данных - обязательное для оператора и иных лиц, получивших доступ к персональным данным, требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
3. Основные права и обязанности Оператора персональных данных
3.1. Оператор при сборе персональных данных обязан предоставить субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных.
3.2. Если предоставление персональных данных является обязательным в соответствии с федеральным законом, Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные.
3.3. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети интернет, Оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных Федеральном законе «О персональных данных».
3.4. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.
3.5. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к настоящемуПоложению, к сведениям о реализуемых требованиях к защите персональных данных.
3.6. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
3.7. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных». В поручении Оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных».
4. Основные права и обязанности субъекта персональных данных
4.1. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
4.2. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных.
4.3. Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
4.4. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
5. Правовые основания обработки ПДн
5.1. Положение Оператора в области обработки ПДн, а также основание для обработки ПДн определяются в соответствии со следующими нормативными правовыми актами Российской Федерации:
¾ Конституцией Российской Федерации.
¾ Гражданским кодексом Российской Федерации.
¾ Федеральный закон от 21.11.2011 N 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации".
¾ Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
¾ Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
¾ Федеральным законом от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации».
¾ Федеральный закон от 27.07.2010 N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг".
¾ Постановление Правительства РФ от 5 мая 2018 г. N 555 "О единой государственной информационной системе в сфере здравоохранения".
¾ Постановление Администрации Приморского края от 07 декабря 2012 года № 397-па «Об утверждении государственной программы Приморского края «Развитие здравоохранения Приморского края» на 2013 – 2021 годы»;
6. Цели обработки ПД
6.1. Оператор обрабатывает ПДн в целях:
¾ оформления трудовых отношений, ведения кадрового делопроизводства, содействия в трудоустройстве, обучении, повышении по службе, пользовании различными льготами и гарантиями, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и сохранности имущества;
¾ заключения, исполнения и прекращения гражданско-правовых договоров;
¾ оказания медицинских услуг, в том числе идентификации пациентов (заказчиков), отражения информации в медицинской документации, предоставления сведений страховым компаниям (в случае оплаты ими оказываемых услуг), предоставления установленной законодательством отчетности в отношении оказанных медицинских услуг;
¾ выполнения требований действующего законодательства.
6.2. Обработка персональных данных должна осуществляться на законной и справедливой основе.
6.3. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
6.4. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
6.5. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
6.6. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
7. Объем и категории, обрабатываемых ПДн, категории субъектов ПДн
7.1. Категории субъектов персональных данных, чьи данные обрабатываются:
¾ работники Оператора, бывшие работники, кандидаты на трудоустройство, а также члены семьи работников;
¾ пациенты, законные представители пациентов;
¾ прочие клиенты и контрагенты Оператора
7.2. В отношении работников Оператора, бывших работников, кандидатов на трудоустройство обрабатываются:
¾ фамилия, имя, отчество;
¾ дата и место рождения;
¾ адреса места жительства и регистрации;
¾ контактный телефон;
¾ гражданство;
¾ образование;
¾ профессия, должность;
¾ стаж работы;
¾ семейное положение, наличие детей;
¾ серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
¾ данные страхового свидетельства государственного пенсионного страхования;
¾ идентификационный номер налогоплательщика;
¾ табельный номер;
¾ сведения о доходах;
¾ сведения о воинском учете;
¾ сведения о судимостях;
¾ сведения о повышении квалификации, о профессиональной переподготовке;
¾ сведения о наградах (поощрениях), почетных званиях;
¾ сведения о социальных гарантиях;
¾ сведения о состоянии здоровья, влияющие на выполнение трудовой функции.
7.3. Персональные данные родственников работников обрабатываются в объеме, переданном работником и необходимом для предоставления гарантий и компенсаций работнику, предусмотренных трудовым законодательством:
¾ фамилия, имя, отчество;
¾ дата и место рождения;
¾ серия и номер документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
¾ серия и номер свидетельства о рождении ребенка, сведения о выдаче указанного документа и выдавшем его органе;
¾ серия и номер свидетельства о заключении брака, сведения о выдаче указанного документа и выдавшем его органе.
7.4. В отношении пациентов обрабатываются:
¾ фамилия, имя, отчество;
¾ пол;
¾ возраст;
¾ дата и место рождения;
¾ адреса места жительства и регистрации;
¾ серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
¾ данные страхового свидетельства государственного пенсионного страхования;
¾ гражданство;
¾ данные о состоянии здоровья;
¾ семейное и социальное положение;
¾ контактный телефон;
¾ адрес электронной почты;
¾ реквизиты полиса обязательного медицинского страхования;
¾ реквизиты полиса (договора) добровольного медицинского страхования;
¾ тип занятости;
¾ место работы;
¾ должность.
7.5. В отношении законных представителей или представителей по доверенности указанных лиц обрабатываются:
¾ фамилия, имя, отчество;
¾ пол;
¾ возраст;
¾ дата и место рождения;
¾ адреса места жительства и регистрации;
¾ контрактный телефон;
¾ адрес электронной почты;
¾ серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
¾ сведения о документе, который подтверждает полномочия представителя.
7.6. В отношении прочих клиентов и контрагентов Оператора обрабатываются:
¾ фамилия, имя, отчество;
¾ пол;
¾ возраст;
¾ дата и место рождения;
¾ адреса места жительства и регистрации;
¾ контактный телефон;
¾ адрес электронной почты;
¾ серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе.
8. Порядок и условия обработки персональных данных
8.1. Обработка персональных данных осуществляется после принятия необходимых мер по защите персональных данных.
8.2. Оператор не вправе обрабатывать персональные данные субъекта персональных данных без его письменного согласия, за исключением случаев, предусмотренных статьей 6 Федерального закона «О персональных данных».
8.3. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
8.4. Письменное согласие субъекта персональных данных должно включать:
¾ фамилию, имя, отчество;
¾ адрес субъекта персональных данных;
¾ номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
¾ наименование и адрес Оператора;
¾ цель обработки персональных данных;
¾ перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
¾ перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых Оператором способов обработки персональных данных;
¾ срок, в течение которого действует согласие;
¾ способ его отзыва;
¾ подпись субъекта персональных данных.
8.5. Обработка персональных данных осуществляется Оператором автоматизированным и неавтоматизированным способом
8.6. Оператор организует обработку персональных данных в следующем порядке:
¾ назначает ответственного за организацию обработки персональных данных, устанавливает перечень лиц, имеющих доступ к персональным данным;
¾ издает настоящее Положение, локальные акты по вопросам обработки персональных данных;
¾ применяет правовые, организационные и технические мер по обеспечению безопасности персональных данных;
¾ осуществляет внутренний контроль и (или) аудит соответствия обработки персональных данных Федеральному закону «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящего Положения, локальным актам Оператора;
¾ осуществляет оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», определяет соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных данным Федеральным законом;
¾ знакомит работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.
8.7. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры, в том числе:
¾ определяет угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
¾ применяет организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных
¾ применяет прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации;
¾ оценивает эффективность принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
¾ учитывает машинные носители персональных данных;
¾ обнаруживает факты несанкционированного доступа к персональным данным и принимает меры;
¾ восстанавливает персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним;
¾ устанавливает правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивает регистрацию и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных.
8.8. В целях обеспечения сохранности и конфиденциальности персональных данных все операции с персональными данными должны выполняться только работниками Оператора, осуществляющими данную работу в соответствии с трудовыми обязанностями.
8.9. Оператор получает персональные данные непосредственно от субъектов персональных данных или их представителей, наделенных соответствующими полномочиями. Согласия субъекта на получение его персональных данных от третьих лиц не требуется в случаях, когда согласие субъекта на передачу его персональных данных третьим лицам получено от него в письменном виде при заключении договора с Оператором, а также в случаях, установленных федеральным законом.
8.10. Запрещается хранение документов с персональными данными и их копий на рабочих местах и (или) в открытом доступе, оставлять шкафы (сейфы) открытыми в случае выхода работника из рабочего помещения.
8.11. В электронном виде документы, содержащие персональные данные, разрешается хранить в специализированных базах данных или в специально отведенных для этого директориях с ограничением и разграничением доступа. Копирование таких данных запрещено.
8.12. При увольнении работника, имеющего доступ к персональным данным, прекращении доступа к персональным данным, документы и иные носители, содержащие персональные данные, сдаются работником своему непосредственному руководителю.
9. Порядок обработки персональных данных в информационных системах
9.1. Обработка персональных данных в информационных системах осуществляется после реализации организационных и технических мер по обеспечению безопасности персональных данных, определенных с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.
9.2. Обеспечение безопасности при обработке персональных данных, содержащихся в информационных системах Оператора, осуществляется в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18.02.2013 № 21.
9.3. Уполномоченному работнику, имеющему право осуществлять обработку персональных данных в информационных системах, предоставляется уникальный логин и пароль для доступа к соответствующей информационной системе. Доступ предоставляется в соответствии с функциями, предусмотренными должностными обязанностями работника.
9.4. Обеспечение безопасности персональных данных, обрабатываемых в информационных системах Оператора, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным.
9.5. В случае выявления нарушений порядка обработки персональных данных уполномоченными работниками незамедлительно принимаются меры по установлению причин нарушений и их устранению.
9.6. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
¾ идентификация и аутентификация субъектов доступа и объектов доступа;
¾ управление доступом субъектов доступа к объектам доступа;
¾ ограничение программной среды;
¾ защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
¾ регистрация событий безопасности;
¾ антивирусная защита;
¾ обнаружение (предотвращение) вторжений;
¾ контроль (анализ) защищенности персональных данных;
¾ обеспечение целостности информационной системы и персональных данных;
¾ обеспечение доступности персональных данных;
¾ защита среды виртуализации и технических средств;
¾ защита информационной системы, ее средств, систем связи и передачи данных;
¾ выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных, и реагирование на них;
¾ управление конфигурацией информационной системы и системы защиты персональных данных.
10. Заключительные положения
10.1. Ответственность лиц, имеющих доступ к персональным данным, определяется действующим законодательством Российской Федерации.