Политика обработки персональных данных МУ «Поликлиника ФНПР»
- Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) составлена в соответствии с требованиями Закона № 152-ФЗ от 27 июля 2006 г. «О персональных данных» и является внутренним регулирующим документом МУ «Поликлиника ФНПР» (далее – Организация или Оператор), определяющим основные направления его деятельности в области обработки и защиты персональных данных (далее – ПДн), оператором которых является Организация.
1.2. Политика разработана в целях реализации требований законодательства в области обработки и защиты ПДн и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн в Организации, в том числе защиты прав на неприкосновенность частной жизни, личной, семейной тайны, установленных Конституцией Российской Федерации, а также соблюдения ст. 13 Федерального закона от 21.11.2011 N 323-ФЗ (ред. от 29.07.2017) "Об основах охраны здоровья граждан в Российской Федерации" сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну. Не допускается разглашение сведений, составляющих врачебную тайну, лицами, которым они стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей.
1.3. Положения Политики распространяются на отношения по обработке и защите ПДн, полученных Медицинским учреждением как до, так и после принятия и утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите ПДн, возникших до ее утверждения.
1.4. Обработка ПДн в Организации осуществляется в целях выполнения Организацией функций, предусмотренных ее внутренними (уставными) документами и определяемых:
– Конституцией РФ (принята всенародным голосованием 12.12.1993)
– Законом от 21 ноября 2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
– Законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
– постановлением Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
– постановлением Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
– постановление Правительства РФ от 04.10.2012 N 1006 "Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг"
– иными нормативными правовыми актами Российской Федерации.
1.5. Организация имеет право вносить изменения в настоящую Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее размещения на сайте, если иное не предусмотрено новой редакцией Политики.
2. Термины, принятые сокращения и состав персональных данных пациента
Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Пациент - физическое лицо, которому оказывается медицинская помощь или которое обратилось за оказанием медицинской помощи независимо от наличия у него заболевания и от его состояния.
Медицинская деятельность - профессиональная деятельность по оказанию медицинской помощи, проведению медицинских экспертиз, медицинских осмотров и медицинских освидетельствований, санитарно-противоэпидемических (профилактических) мероприятий и профессиональная деятельность, связанная с трансплантацией (пересадкой) органов и (или) тканей, обращением донорской крови и (или) ее компонентов в медицинских целях;
Медицинская организация - юридическое лицо независимо от организационно-правовой формы, осуществляющее в качестве основного (уставного) вида деятельности медицинскую деятельность на основании лицензии, выданной в порядке, установленном законодательством Российской Федерации о лицензировании отдельных видов деятельности. Положения настоящего Федерального закона, регулирующие деятельность медицинских организаций, распространяются на иные юридические лица независимо от организационно-правовой формы, осуществляющие наряду с основной (уставной) деятельностью медицинскую деятельность, и применяются к таким организациям в части, касающейся медицинской деятельности. В целях настоящего Федерального закона к медицинским организациям приравниваются индивидуальные предприниматели, осуществляющие медицинскую деятельность.
Лечащий врач - врач, на которого возложены функции по организации и непосредственному оказанию пациенту медицинской помощи в период наблюдения за ним и его лечения.
Врачебная тайна - сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении.
Персональные данные пациента — информация, необходимая Оператору в связи с оказанием пациенту медицинской помощи (диагностической, лечебной, реабилитационной, профилактической и иной медицинской помощи) и касающаяся конкретного пациента.
К персональным данным пациента относятся следующие сведения:
1) фамилия, имя, отчество;
2) пол;
3) дата рождения;
4) место рождения;
5) гражданство;
6) данные документа, удостоверяющего личность (паспортные данные);
7) место жительства;
8) место регистрации;
9) дата регистрации;
10) страховой номер индивидуального лицевого счета (СНИЛС), принятый в соответствии с законодательством Российской Федерации об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования;
12) данные о страховой медицинской организации, выбранной застрахованным лицом;
13) дата регистрации в качестве застрахованного лица, номер страхового полиса;
14) статус застрахованного лица (работающий, неработающий).
Все персональные данные, касающиеся состояния здоровья пациента, относятся к специальным категориям персональных данных и обрабатываются в соответствии с установленным законодательством и иными нормативными правовыми актами требованиями.
3. Принципы обработки персональных данных
3.1. Обработка ПДн осуществляется на основе следующих принципов:
3.1.1. законность целей и способов обработки персональных данных, добросовестность и справедливость в деятельности Организации;
3.1.2. обработка только персональных данных, отвечающих целям их обработки;
3.1.3. обработка ПДн, несовместимая с целями сбора, не допускается;
3.1.4. соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
3.1.5. недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
3.1.6. обеспечение точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Организация принимает необходимые меры либо обеспечивает их приятие по удалению или уточнению неполных, или неточных данных.
3.1.7. хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки ПДн, если срок хранения не установлен федеральным законом, договором или иным нормативно правовым актом.
4. Сбор, цели обработки и защита персональных данных пациента
4.1. Обработка персональных данных включает в себя сбор, запись, систематизацию,
Накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.
4.2. Получение персональных данных.
4.2.1. Согласие на обработку персональных свободно, своей волей и в своем интересе данных дает субъект персональных данных. Персональные данные субъекта ПДн получаются путем заполнения и подписания им письменного согласия на обработку персональных данных, а также в устной или электронной форме, используя средства телекоммуникаций, с последующим письменным подтверждением. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
4.2.2. Оператор должен сообщить субъекту о целях, способах получения ПДн, характере подлежащих получению ПДн, перечне действий с ПДн, сроке, в течение которого действует согласие, порядке его отзыва, а также о последствиях отказа субъекта дать письменное согласие на получение ПДн.
4.3. Обработка ПДн производится с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
4.3.1. Обработка персональных данных осуществляется:
4.3.1.1. С письменного согласия субъекта персональных данных (или его законного представителя) на обработку его персональных данных.
При обращении за медицинской помощью пациент (или его законный представитель) предоставляет оператору персональные данные о себе в документированной форме. А именно:
- паспорт или иной документ, удостоверяющий личность;
- полис добровольного медицинского страхования;
- направление (при наличии).
При отсутствии документов пациент (или его законный представитель) предоставляют Оператору необходимые персональные данные в устной форме, которые в последующем он обязан подтвердить документально.
Обработка персональных данных и предоставление сведений составляющих врачебную тайну, без согласия пациента или его законного представителя допускается:
- при оказании медицинской помощи в неотложной или экстренной форме с учетом соблюдения установленных требований к срокам ее оказания;
- при проведении медицинского обследования пациента, который в результате своего состояния не способен выразить свою волю;
- при выявлении и угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;
- в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред здоровью причинен в результате противоправных действий.
4.3.1.2. В случаях, когда обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации функций, полномочий и обязанностей.
4.2.1.3. Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
4.2.1.4. В случаях, когда осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных).
4.4. Цели обработки ПДн:
- Обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
- осуществления дистанционного взаимодействия с пациентами и иными заинтересованными лицами в рамках сервисно-информационного обслуживания, путем использования телефонной связи, сообщений, электронной почте, IP-телефонии;
- осуществления дистанционного взаимодействия с пациентами и иными заинтересованными лицами посредством сайта Организации в сети «Интернет»;
- замещение вакантных должностей в Организации соискателями;
- выполнение Организацией требований действующих норм трудового законодательства в отношении работников Организации;
- налаживание коммуникации между сотрудниками посредством ведения справочника контактных данных сотрудников Организации;
- обеспечение личной безопасности сотрудников, иных лиц, посещающих медицинское учреждение, а также обеспечение сохранности материальных и иных ценностей, находящихся в ведении Организации;
- подключение информационных вычислительных средств, создание новых пользователей в информационных системах Организации, предоставления доступа к ресурсам информационных систем Организации, а также решения вопросов, возникающих у пользователей в процессе работы с компьютерами (аппаратным и программным обеспечением);
- контроль использования корпоративной стационарной связи, сети «Интернет» сотрудниками организации;
- организация и осуществление внутреннего контроля качества медицинской помощи и внутренних производственных процессов.
4.5. Категории субъектов персональных данных
- обработка ПДн в Организации осуществляется при обращении граждан (пациентов) их законных представителей за оказанием первичной, в том числе доврачебной, врачебной и специализированной медико-санитарной помощи в амбулаторных условиях;
- сотрудники и представители сторонних медицинских организаций;
- сотрудники и представители действующих контрагентов Организации, включая страховые и иные компании;
- лица, являющиеся соискателями на замещение вакантных должностей в Организации;
- сотрудники (представители, контактные лица) Организации;
- сотрудники юридических лиц и физические лица, представляющие интересы Организации;
- посетители помещений и территории Организации.
4.6. Обработка персональных данных ведется:
– с использованием средств автоматизации;
– без использования средств автоматизации.
4.7. Хранение ПДн
4.7.1. Персональные данные пациентов в Организации содержатся в информационных системах персональных данных, представляющих собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств. В информационных системах персональные данные могут быть размещены на материальных, в том числе бумажных носителях (медицинская карта пациента, иные медицинские документы).
4.7.2. Доступ к обработке персональных данных (как с использованием средств автоматизации, так и без использования средств автоматизации) обеспечивается в установленном Организацией порядке.
4.7.3. Конкретные обязанности по работе с информационными системами персональных данных и материальными носителями информации, в том числе с медицинскими документами, содержащими персональные данные возлагаются на сотрудников Организации и закрепляются в должностных инструкциях работников и иных локальных правовых актах.
4.7.4. Работа с информационными системами персональных данных, материальными носителями, в том числе с медицинской документацией, содержащими персональные данные осуществляется в специально отведенных для этого помещениях.
4.7.5. Требования к месту обработки персональных данных, в том числе к серверной, обеспечивающие их защищенность, устанавливаются Организацией.
4.7.6. С лицами, допущенными к обработке персональных данных пациентов, заключается Соглашение о неразглашении информации, ставшей известной в ходе выполнения служебных обязанностей.
4.7.8. Лица, допущенные в установленном порядке к обработке персональных данных, имеют право обрабатывать только те персональные данные пациентов (представителей пациентов по закону или доверенности), которые обращаются в медицинское учреждение за получением медицинской помощи, а также категории субъектов персональных данных, определяемых данной Политикой.
4.7.9. Организация при создании и эксплуатации информационных систем персональных данных с использованием средств автоматизации и без использования средств автоматизации принимает все необходимые организационные и технические меры, обеспечивающих выполнение установленных действующим законодательством требований к обработке персональных данных.
4.8. Передача ПДн
4.8.1. Передача персональных данных различных категорий персональных данных осуществляется в соответствии с действующим законодательством в РФ.
4.8.2. С согласия пациента или его законного представителя допускается передача сведений, в том числе персональных данных, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в интересах обследования и лечения пациента, для проведения научных исследований, публикации в научной литературе, использования этих сведений в учебном процессе и в иных целях.
4.8.3. Передача персональных данных пациента, составляющих врачебную тайну, без согласия пациента или его законного представителя допускается в случаях, предусмотренных законодательством об охране здоровья граждан.
4.8.4. При передаче персональных данных пациента сотрудники медицинской организации должны соблюдать следующие требования:
- не сообщать персональные данные пациента третьей стороне без письменного согласия пациента, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью пациента, а также в случаях, установленных федеральным законом;
- не сообщать персональные данные пациента в коммерческих и иных целях без его письменного согласия;
- предупредить лиц, получающих персональные данные пациента, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные пациента, обязаны соблюдать режим секретности (конфиденциальности);
- разрешать доступ к персональным данным пациентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные пациента, которые необходимы для выполнения конкретных должностных функций;
- передавать персональные данные пациента представителям пациента в порядке, установленном законодательством, и ограничивать эту информацию только теми персональными данными пациента, которые необходимы для выполнения указанными представителями их функций.
4.8.6. Лица, которым в установленном законом порядке переданы сведения, составляющие врачебную тайну, наравне с медицинскими и фармацевтическими работниками с учетом причиненного гражданину ущерба несут за разглашение врачебной тайны дисциплинарную, административную или уголовную ответственность в соответствии с законодательством Российской Федерации, законодательством субъектов Российской Федерации.
4.9. Условия прекращения обработки ПДн
- хранение ПДн в форме, позволяющей определить субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении;
- представление субъектом ПДн или его законным представителем документально подтвержденных сведений о том, что ПДн являются незаконно полученными и не являются необходимыми для заявленной цели обработки;
- невозможность обеспечения правомерности обработки персональных данных;
- отзыв субъектом ПДн согласия на обработку ПДн, если хранение ПДн более не требуется для целей обработки ПДн
4.9. Уничтожение ПДн
4.9.1. Уничтожение документов (носителей), содержащих ПДн, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.
4.9.2. ПДн на электронных носителях уничтожаются путем стирания или форматирования носителя.
4.9.3. Уничтожение производится комиссией. Факт уничтожения ПДн подтверждается документально актом об уничтожении носителей, подписанным членами комиссии.
5. Защита персональных данных
5.1. В соответствии с требованиями нормативных документов Организацией создана система защиты персональных данных (СЗПД), состоящая из подсистем правовой, организационной и технической защиты.
5.2. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПД.
5.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе с сотрудниками, партнерами и сторонними лицами, защиты информации в открытой печати, публикаторской и рекламной деятельности, аналитической работы.
5.4. Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПДн.
5.5. Основными мерами защиты ПДн, используемыми Организацией, являются:
- назначение лица ответственного за обработку ПДн, которое осуществляет организацию обработки ПДн, обучение и инструктаж, внутренний контроль за соблюдением учреждением и его работниками требований к защите ПДн;
- установление правил доступа к ПДн, обрабатываемым в ИСПД, а также обеспечения регистрации и учета всех действий, совершаемых с ПДн в ИСПД;
- установление индивидуальных паролей доступа сотрудников в информационную систему в соответствии с их производственными обязанностями;
- антивирусное программное обеспечение с регулярно обновляемыми базами;
- программное средство защиты информации от несанкционированного доступа;
- соблюдение условий, обеспечивающих сохранность ПДн и исключающих несанкционированный к ним доступ, оценка эффективности принимаемых и реализованных мер по обеспечению безопасности ПДн;
- установление правил доступа к обрабатываемым ПДн, обеспечение регистрации и учета действий, совершаемых с ПДн, а также обнаружение фактов несанкционированного доступа к персональным данным и принятия мер;
- восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
- обучение работников Организации, непосредственно осуществляющих обработку персональных данных, положениям законодательства Российской Федерации о персональных данных, в том числе требованиям к защите персональных данных, документам, определяющим политику Организации в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных.
- осуществление внутреннего контроля и аудита.
6. Основные права субъекта ПДн
6.1. Субъекты персональных данных или их представители обладают правами, предусмотренными Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и другими нормативно-правовыми актами, регламентирующими обработку персональных данных.
6.2. Основные права субъекта ПДн
6.2.1. Субъект ПДн имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
– подтверждение факта обработки персональных данных оператором;
– правовые основания и цели обработки персональных данных;
– цели и применяемые оператором способы обработки персональных данных;
– обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
– сроки обработки персональных данных, в том числе сроки их хранения;
– порядок осуществления субъектом персональных данных прав, предусмотренных Законом «О персональных данных»;
– наименование или фамилию, имя, отчество лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
– иные сведения, предусмотренные настоящим Законом или другими федеральными законами.
6.2.2. Субъект ПДн вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
6.2.3. Право субъекта ПДн на доступ к его персональным данным может быть ограничено с соответствии с федеральными законами, в том числе, если доступ субъекта персональных данных к его персональных данным
7. Срок действия политики
7.2. Настоящая Политика может изменяться, пересматриваться и заново пересматриваться по мере внесения изменений:
- в законодательные акты в сфере персональных данных;
- в локальные правовые акты медицинского учреждения, регламентирующие организацию и проведение обработки персональных данных и обеспечение их безопасности.
8. Ответственность за нарушение норм, регулирующих
обработку персональных данных
8.1. Лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных субъекта персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, а также привлекаются к административной, гражданско-правовой или уголовной ответственности в порядке, установленном федеральными законами.
