Политика обработки персональных данных в Акционерном обществе «Клиника К+31»

Общие положения.
1. Настоящая Политика обработки персональных данных (далее – «Политика») Акционерного общества «Клиника К+31» (далее – «АО «К+31», «Оператор») разработана в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее – Закон «О персональных данных») и действует в отношении персональных данных, которые могут быть получены от субъектов персональных данных.
2. Целью настоящей Политики является защита интересов Оператора, его работников (сотрудников) и других субъектов персональных данных, в том числе защита права на неприкосновенность частной жизни, врачебную, личную и семейную тайну, а также исполнение законодательства Российской Федерации о персональных данных.
3. Персональные данные обрабатываются Оператором в целях:
  - обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Оператора;
  - осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора, в том числе по предоставлению персональных данных в органы государственной власти и внебюджетные фонды;
  - регулирования трудовых отношений с работниками Оператора (содействие в трудоустройстве, обучение и продвижение по службе, обеспечение личной безопасности, контроль количества и качества выполняемой работы, обеспечение сохранности имущества) и предоставления работникам Оператора и членам их семей дополнительных гарантий и компенсаций, в том числе негосударственного пенсионного обеспечения, добровольного медицинского страхования, медицинского обслуживания и других видов социального обеспечения;
  - оказания медицинских и медикосоциальных услуг, в том числе на основании договоров об оказании медицинских услуг, ведения учета и систематизации оказанных услуг, а также в целях улучшения качества обслуживания пациентов и проведения маркетинговых программ,
  - в целях проведения научных и статистических исследований, опубликования в научных изданиях, использования в учебном процессе,
  - защиты жизни, здоровья или иных жизненно важных интересов пациентов и субъектов персональных данных, медико-профилактических целях;
  - подготовки, заключения, исполнения и прекращения договоров с контрагентами;
  - обеспечения пропускного и внутриобъектового режимов на объектах Оператора;
  - формирования справочных материалов для внутреннего информационного обеспечения деятельности Оператора;
  - исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
  - осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;
  - регистрации клиентов для участия в программе лояльности пациентов;
  - в иных законных целях.
4. Задачами обработки персональных данных является оказание медицинских услуг и исполнение обязательств АО «К+31» перед заказчиками и пациентами по договорам оказания медицинских услуг, связь с заказчиками, пациентами в случае необходимости, а также выполнение условий трудовых договоров с работниками АО «К+31», гражданско-правовых договоров с подрядчиками, исполнителями, агентами – физическими лицами в соответствии с действующим законодательством Российской Федерации.
5. Настоящая Политика обработки персональных данных действует в отношении всей информации, которую АО «К+31» может получить о пользователе во время использования им сервисов официального сайта Оператора. Использование сервисов сайта Оператора означает безоговорочное согласие пользователя с настоящей Политикой и указанными в ней условиями обработки его персональной информации; в случае несогласия с этими условиями пользователь должен воздержаться от использования сервисов сайта Оператора.
6. Настоящая Политика не применима, а Оператор не контролирует и не несет ответственность в отношении сайтов третьих лиц, на которые пользователь может перейти по ссылкам, доступным на сайте Оператора. На таких сайтах у пользователя могут собираться или запрашиваться иные персональные данные, а также могут совершаться иные действия.
Правовые основания обработки персональных данных
1. Политика обработки персональных данных в АО «К+31» определяется в том числе в соответствии со следующими нормативными правовыми актами:
  - Конституция Российской Федерации;
  - Гражданский кодекс Российской Федерации;
  - Трудовой кодекс Российской Федерации;
  - Налоговый кодекс Российской федерации;
  - Федеральный закон Российской Федерации от 21 ноября 2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
  - Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
  - Федеральный закон от 01.04.1996 №27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
  - Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных»;
  - Федеральный закон Российской Федерации от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
  - Кодекс Российской Федерации об административных правонарушениях;
  - Федеральный закон от 04.05.2011 №99-ФЗ «О лицензировании отдельных видов деятельности»;
  - Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
  - Постановление Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
  - Приказ ФСТЭК России от 18.02.2013 N 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
  - Административный регламент Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по исполнению государственной функции «Ведение реестра операторов, осуществляющих обработку персональных данных» (утв. приказом Министерства связи и массовых коммуникаций Российской Федерации от 21.12.2011 № 346);
  - Административный регламент исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных (утв. приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 № 312);
  - Постановление Правительства РФ от 04.10.2012 N 1006 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг».
Основные понятия, принципы обработки персональных данных
1. Основные понятия:
  - персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
  - оператор – Акционерное общество «Клиника К+31» («АО «К+31»), самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
  - обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
  - автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
  - распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
  - предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
  - блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
  - уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
  - обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
  - информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
  - трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
2. Обработка персональных данных в АО «К+31» основана на следующих принципах:
  - обработка персональных данных осуществляется в АО «К+31» на законной и справедливой основе;
  - обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
  - не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
  - не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
  - обработке подлежат только персональные данные, которые отвечают целям их обработки;
  - содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;
  - при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. АО «К+31» принимаются необходимые меры либо обеспечивается их принятие по удалению или уточнению неполных или неточных персональных данных;
  - хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
  - обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
3. АО «К+31» осуществляет сбор и дальнейшую обработку персональных данных следующих категорий субъектов персональных данных:
  - действительные пациенты АО «К+31»;
  - потенциальные пациенты АО «К+31»;
  - члены семей и иные родственники действительных и потенциальных пациентов АО «К+31»;
  - представители (в силу закона и по доверенности) действительных и потенциальных пациентов АО «К+31»;
  - сотрудники и представители сторонних медицинских организаций;
  - сотрудники и представители действующих контрагентов АО «К+31» (юридических лиц);
  - лица, являющиеся соискателями на замещение вакантных должностей АО «К+31»;
  - действующие и потенциальные контрагенты АО «К+31» (физические лица);
  - сотрудники и представители действующих и потенциальных контрагентов АО «К+31» (юридических лиц);
  - посетители частных и публичных мероприятий, организованных АО «К+31»;
  - сотрудники (представители, контактные лица) АО «К+31»;
  - сотрудники АО «К+31», являющиеся гражданами иностранных государств;
  - члены семей сотрудников АО «К+31»;
  - получатели алиментов от сотрудников АО «К+31»;
  - сотрудники юридических лиц и физические лица, представляющие интересы АО «К+31»;
  - лица, участвующие в гражданском, арбитражном, уголовном, административном процессах и исполнительном производстве (участником которых является АО «К+31»);
  - посетители помещений, зданий и территории АО «К+31».
Конфиденциальность персональных данных
1. Работники АО «К+31» и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Состав персональных данных
1. В состав обрабатываемых АО «К+31» персональных данных пациентов и работников могут входить:
  - фамилия, имя, отчество;
  - пол;
  - дата рождения или возраст;
  - паспортные данные;
  - биометрические данные;
  - адрес регистрации и места жительства;
  - номер телефона, факса, адрес электронной почты;
  - информация о состоянии здоровья, заболеваниях, случаях обращения за медицинской помощью;
  - результаты выполненных медицинских исследований;
  - другая информация, необходимая для правильного проведения и интерпретации медицинских исследований;
  - семейное положение, состав семьи;
  - социальное положение;
  - образование;
  - профессия;
  - место работы;
  - реквизиты полиса ОМС (ДМС);
  - страховой номер индивидуального лицевого счета в Пенсионном фонде России (СНИЛС);
  - другая информация, необходимая для выполнения обязательств Оператора в соответствии с законодательством об охране здоровья граждан, о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях, законодательством об обязательных видах страхования, со страховым и иным законодательством.
Способы обработки персональных данных:
1. Обработка персональных данных в АО «К+31» включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2. В АО «К+31» осуществляется обработка персональных данных с использованием средств автоматизации и без использования средств автоматизации.
3. В АО «К+31» осуществляется обработка биометрических персональных данных (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) с письменного согласия субъектов персональных данных (сотрудников и пациентов).
4. В АО «К+31» осуществляется обработка специальных категорий персональных данных о состоянии здоровья в соответствии с требованиями законодательства Российской Федерации, а также с письменного согласия субъектов персональных данных (сотрудников и пациентов).
5. Персональные данные пациентов АО «К+31» получает только лично от пациента или от его законного представителя. Персональные данные пациента могут быть получены с его слов и не проверяются.
6. К обработке персональных данных в АО «К+31» допускаются только сотрудники прошедшие определенную процедуру допуска, к которой относятся:
  1. Ознакомление сотрудника с локальными нормативными актами АО «К+31» (положения, инструкции и т.д.), строго регламентирующими порядок и процедуру работы с персональными данными;
  2. Взятие с сотрудника подписки о соблюдении конфиденциальности в отношении персональных данных при работе с ними;
  3. Получение сотрудником и использование в работе индивидуальных атрибутов доступа к информационным системам компании, содержащим в себе персональные данные. При этом каждому сотруднику выдаются минимально необходимые для исполнения трудовых обязанностей права на доступ в информационные системы. Сотрудники, имеющие доступ к персональным данным, получают только ту информацию, которая необходима им для выполнения конкретных трудовых функций.
7. Персональные данные пациентов хранятся в бумажном (медицинские карты, бланки направлений, результаты обследований и прочая медицинская документация) и электронном виде. В электронном виде персональные данные пациентов хранятся в информационной системе персональных данных АО «К+31», а также в архивных копиях баз данных этих систем. Порядок архивирования и сроки хранения архивных копий баз данных информационной системы персональных данных АО «К+31» определены в инструкции о резервном копировании, которая является обязательной для исполнения администраторами соответствующей системы. При хранении персональных данных пациентов и работников АО «К+31» соблюдаются организационные и технические меры, обеспечивающие их сохранность и исключающие несанкционированный доступ к ним. К ним относятся:
  - назначение сотрудника ответственного за тот или иной способ хранения персональных данных;
  - ограничение физического доступа к местам хранения и носителям;
  - учет всех информационных систем и электронных носителей, а также архивных копий.
8. Оператор не производит трансграничную (на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу) передачу персональных данных.
Сведения о реализуемых требованиях к защите персональных данных
1. В АО «К+31» реализуются следующие требования законодательства Российской Федерации в области персональных данных:
  - требования о соблюдении конфиденциальности персональных данных;
  - требования об обеспечении реализации субъектом персональных данных своих прав;
  - требования об обеспечении точности персональных данных, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных (с принятием (обеспечением принятия) мер по удалению/уничтожению или уточнению неполных или неточных данных);
  - требования к защите персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
  - иные требования законодательства Российской Федерации.
2. В соответствии с Законом «О персональных данных» АО «К+31» самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством Российской Федерации в области персональных данных. В частности, обеспечение безопасности персональных данных в АО «К+31» достигается следующими мерами:
  - назначением ответственного лица за организацию обработки персональных данных;
  - осуществлением внутреннего контроля и/или аудита соответствия обработки персональных данных Закону «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, требованиями к защите персональных данных, настоящей Политике, локальным актам АО «К+31»;
  - ознакомлением сотрудников АО «К+31», непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами в отношении обработки персональных данных и/или обучением указанных сотрудников;
  - определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
  - применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
  - оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
  - учетом машинных (материальных) носителей персональных данных;
  - выявлением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер;
  - восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
  - установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
  - контролем над соблюдением требований в сфере обеспечения безопасности персональных данных и к уровням защищенности информационных систем персональных данных.
Права субъектов персональных данных
1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
  - подтверждение факта обработки персональных данных;
  - правовые основания и цели обработки персональных данных;
  - цели и применяемые способы обработки персональных данных;
  - сведения о лицах (за исключением работников АО «К+31»), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора или на основании федерального закона;
  - обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения;
  - сроки обработки персональных данных, в том числе сроки их хранения;
  - порядок осуществления субъектом персональных данных своих прав;
  - наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу. Соответствующая информация предоставляется субъекту персональных данных или его представителю при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен быть составлен в соответствии с требованиями законодательства Российской Федерации.
2. Субъект персональных данных вправе обжаловать действия или бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
3. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.
Заключительные положения
1. Настоящая Политика утверждается Главным врачом.
2. Оператор имеет право вносить изменения в настоящую Политику.
3. Новая редакция Политики вступает в силу с момента ее утверждения и размещения на сайте Оператора, если иное не предусмотрено новой редакцией Политики.
4. Настоящая Политика обязательна для соблюдения и ознакомления всех сотрудников Оператора.

Скачать актуальную Политику обработки персональных данных в Акционерном обществе «Клиника К+31»