Политика конфиденциальности — ГБУЗ Городская поликлиника № 23 ДЗМ

1. Общие положения

1.1. Настоящая Политика обработки персональных данных ГБУЗ «ГП № 23 ДЗМ» разработана в соответствии и с учетом требований Конституции Российской Федерации, Трудовым кодексом РФ, Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее — № 152-ФЗ от 27.07.2006 г.) и иными нормативными правовыми актами Российской Федерации, указанными в п. 3 Политики, определяет порядок обработки Персональных данных.

1.2. Политика разработана с целью обеспечения защиты прав и свобод субъекта персональных данных при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3. Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих вопросы обработки персональных данных всех субъектов
персональных данных в ГБУЗ «ГП № 23 ДЗМ» (далее — Оператор).

1.4. Основные понятия, используемые в Политике:
Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе:

сбор;
запись;
систематизацию;
накопление;
хранение;
уточнение (обновление, изменение);
извлечение;
использование;
передачу (распространение, предоставление, доступ);
обезличивание;
блокирование;
удаление;
уничтожение.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
Оператор персональных данных (Оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

1.5. Оператор, получивший доступ к персональным данным, обязан соблюдать конфиденциальность персональных данных — не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством.

1.6. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных Оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые Оператором способы обработки персональных данных;
наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании законодательства;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен законодательством;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных законодательством;
иные сведения, предусмотренные законодательством.

1.7. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

1.8. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

1.9. Оператор персональных данных вправе:

отстаивать свои интересы в суде;
предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.);
отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством;
использовать персональные данные субъекта без его согласия в случаях, предусмотренных законодательством.

1.10. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 № 152-ФЗ от 27.07.2006 г.

1.11. При сборе персональных данных, в том числе посредством информационно телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3,4, 8 части 1 статьи 6 Федерального закона «О персональных данных».

2. Цели обработки персональных данных

2.1. Персональные данные обрабатываются Оператором в следующих целях:

выполнение требований законодательства в сфере труда и налогообложения;
ведение текущего бухгалтерского и налогового учёта, формирование, изготовление и своевременная подача бухгалтерской, налоговой и статистической отчётности;
выполнение требований законодательства о государственном пенсионном обеспечении;
выполнение требований законодательства о государственной социальной помощи;
выполнение требований законодательства по определению порядка обработки и защиты персональных данных субъектов персональных данных, являющихся пациентами, их законными представителями, посетителями или контрагентами ГБУЗ «ГП № 23 ДЗМ»;
исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
выполнение требований законодательства по оказанию медицинской помощи в рамках программы государственных гарантий бесплатного оказания гражданам медицинской помощи, а также на основании договоров об оказании платных медицинских услуг;
выполнение требований законодательства по работе с обращениями граждан;
осуществления прав и законных интересов ГБУЗ «ГП № 23 ДЗМ» в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами ГБУЗ «ГП № 23 ДЗМ» или третьих лиц, либо достижения общественно значимых целей;
в иных законных целях.

3. Правовое основание обработки персональных данных

3.1. Политика обработка Персональных данных осуществляется на основе:

Конституции Российской Федерации;
Трудового кодекса Российской Федерации;
Федерального закона от 27.07.2006 года № 152-ФЗ «О персональных данных»;
Федерального закона от 21.11.2011 года № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
Федерального закона от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
Федеральный закон от 15.12.2001 г. № 166-ФЗ «О государственном пенсионном обеспечении в Российской Федерации»;
Федеральный закон от 17.07.1999 г. № 178-ФЗ «О государственной социальной помощи»;
Федерального закона от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федерального закона от 7.12.2011 г. № 416-ФЗ «О водоснабжении и водоотведении»;
Федерального закона от 30.03.1999 г. № 52-ФЗ «О санитарно-эпидемиологическом благополучии населения»;
Федерального закона от 2 мая 2006 г. № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;
Федерального закона от 24.04.2008 г. № 48-ФЗ «Об опеке и попечительстве»;
Постановления Правительства РФ от 11.05.2023 № 736 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг…»;
Указа Президента Российской Федерации от 6.03.1997 года № 188 «Об утверждении Перечня сведений конфиденциального характера»;
Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства Российской Федерации от 15.09.2008 года№ 687;
Постановления Правительства РФ от 1.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Приказа ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
Приказа Роскомнадзора от 05.09. 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;
Приказа Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»;
Постановление Правительства Российской Федерации от 20.12.2022 № 2360 «О внесении изменений в постановление Правительства Российской Федерации от 08.02.2018 № 127»
Устава ГБУЗ «ГП № 23 ДЗМ»;
Договоров, заключаемых между Оператором и субъектом персональных данных.
Приказа Министерства здравоохранения РФ от 30 декабря 2014 г. № 956н «Об информации, необходимой для проведения независимой оценки качества оказания услуг медицинскими организациями, и требованиях к содержанию и форме предоставления информации деятельности медицинских организаций, размещаемой на официальных сайтах Министерства здравоохранения Российской Федерации, органов государственной власти субъектов Российской Федерации, органов местного самоуправления и медицинских организаций в информационно-телекоммуникационной сети «Интернет»;
Иных нормативных правовых актов Российской Федерации и нормативных документов уполномоченных органов государственной власти;
Согласия на обработку персональных данных, в том числе в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям оператора;
Отношений между Оператором и пациентом возникающих в силу действующего законодательства;
Лицензии № ЛО-77-01-020803 от 02 декабря 2020 года на осуществление медицинской деятельности, выданной Департаментом здравоохранения города Москвы.

4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

4.1. Обработка персональных данных должна осуществляться на законной и справедливой основе.

4.2. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

4.3. Обработка персональных данных допускается в следующих случаях:

обработка персональных данных осуществляется с согласия субъекта персональных данных на их обработку;
обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
обработка «Персональных данных, необходима для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем, по которому, является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Федерального закона «О персональных данных», при условии обязательного обезличивания персональных данных;
осуществляется обработка персональных данных, доступ к которым для неограниченного круга лиц предоставлен субъектом персональных данных либо по его просьбе;
осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством.

4.4. К категориям субъектов персональных данных относятся:

4.4.1. Работники Оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников. В данной категории субъектов оператором обрабатываются персональные данные в связи с реализацией трудовых отношений:

фамилия, имя, отчество;
пол;
гражданство;
национальность;
дата (число, месяц, год) и место рождения (страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт);
адрес места проживания (почтовый индекс, страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт, улица, дом, корпус, квартира);
сведения о регистрации по месту жительства или пребывания (почтовый индекс, страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт, улица, дом, корпус, квартира);
номера телефонов (домашний, мобильный, рабочий), адрес электронной почты;
замещаемая должность;
сведения о трудовой деятельности (наименования организаций (органов) и занимаемых должностей, продолжительность работы (службы) в этих организациях (органах));
идентификационный номер налогоплательщика (дата (число, месяц, год) и место постановки на учет, дата (число, месяц, год) выдачи свидетельства);
данные страхового свидетельства обязательного пенсионного страхования;
данные полиса обязательного медицинского страхования;
данные паспорта или иного удостоверяющего личность документа;
данные паспорта, удостоверяющего личность гражданина Российской Федерации за пределами территории Российской Федерации;
данные трудовой книжки, вкладыша в трудовую книжку;
сведения о воинском учете (серия, номер, дата (число, месяц, год) выдачи, наименование органа, выдавшего военный билет, военно-учетная специальность, воинское звание, данные о принятии/снятии на (с) учет(а), о прохождении военной службы, о пребывании в запасе, о медицинском освидетельствовании и прививках);
сведения об образовании (наименование образовательной организации, дата (число, месяц, год) окончания, специальность и квалификация, ученая степень, звание, реквизиты документа об образовании и о квалификации);
сведения о получении дополнительного профессионального образования (дата (число, месяц, год), место, программа, реквизиты документов, выданных по результатам);
сведения о владении иностранными языками (иностранный язык, уровень владения);
сведения о судимости (наличие (отсутствие) судимости, дата (число, месяц, год) привлечения к уголовной ответственности (снятия или погашения судимости), статья);
сведения о дееспособности (реквизиты документа, устанавливающие опеку (попечительство), основания ограничения в дееспособности, реквизиты решения суда);
сведения об участии в управлении хозяйствующим субъектом (за исключением жилищного, жилищно-строительного, гаражного кооперативов, садоводческого, огороднического, дачного потребительских кооперативов, товарищества собственников недвижимости и профсоюза, зарегистрированного в установленном порядке), занятии предпринимательской деятельностью;
сведения, содержащиеся в медицинском заключении установленной формы об отсутствии у гражданина заболевания, препятствующего поступлению на гражданскую службу или ее прохождению (наличие (отсутствие) заболевания, форма заболевания);
сведения о наградах, иных поощрениях и знаках отличия (название награды, поощрения, знака отличия, дата (число, месяц, год) присвоения, реквизиты документа о награждении или поощрении);
сведения о дисциплинарных взысканиях;
сведения, содержащиеся в материалах служебных проверок;
сведения о семейном положении (состояние в браке (холост (не замужем), женат (замужем), повторно женат (замужем), разведен(а), вдовец (вдова), с какого времени в браке, с какого времени в разводе, количество браков, состав семьи, реквизиты свидетельства о заключении брака);
сведения о близких родственниках, свойственниках (степень родства, фамилия, имя, отчество, дата (число, месяц, год) и место рождения, место и адрес работы (службы), адрес места жительства, сведения о регистрации по месту жительства или пребывания);
сведения, содержащиеся в справках о доходах, расходах, об имуществе и обязательствах имущественного характера;
номер расчетного счета;
информация об оформленных допусках к государственной тайне;
фотографии.

4.4.2. Клиенты и контрагенты оператора (физические лица).
В данной категории субъектов оператором обрабатываются персональные данные, полученные оператором в связи с заключением договора, стороной которого является субъект персональных данных, и используемые оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных:

фамилия, имя, отчество;
пол;
гражданство;
дата (число, месяц, год) и место рождения (страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт);
адрес места проживания (почтовый индекс, страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт, улица, дом, корпус, квартира);
сведения о регистрации по месту жительства или пребывания (почтовый индекс, страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт, улица, дом, корпус, квартира);
номера телефонов (домашний, мобильный, рабочий), адрес электронной почты;
замещаемая должность;
идентификационный номер налогоплательщика (дата (число, месяц, год) и место постановки на учет, дата (число, месяц, год) выдачи свидетельства);
данные паспорта или иного удостоверяющего личность документа;
сведения об участии в управлении хозяйствующим субъектом (за исключением жилищного, жилищно-строительного, гаражного кооперативов, садоводческого, огороднического, дачного потребительских кооперативов, товарищества собственников недвижимости и профсоюза, зарегистрированного в установленном порядке), занятии предпринимательской деятельностью;
номер расчетного счета.

4.4.3. Представители/работники клиентов и контрагентов оператора (юридических лиц). В данной категории субъектов оператором обрабатываются персональные данные, полученные оператором в связи с заключением договора, стороной которого является клиент/контрагент (юридическое лицо), и используемые оператором исключительно для исполнения указанного договора:

фамилия, имя, отчество;
пол;
номера телефонов (домашний, мобильный, рабочий), адрес электронной почты;
замещаемая должность;
данные паспорта или иного удостоверяющего личность документа;
сведения об участии в управлении хозяйствующим субъектом (за исключением жилищного, жилищно-строительного, гаражного кооперативов, садоводческого, огороднического, дачного потребительских кооперативов, товарищества собственников недвижимости и профсоюза, зарегистрированного в установленном порядке), занятии предпринимательской деятельностью;

4.4.4. Работники оператора, бывшие работники. В данной категории субъектов оператором обрабатываются персональные данные в связи с реализацией мер социальной поддержки лиц, проживающих в сельской местности:

фамилия, имя, отчество;
адрес;
данные паспорта;
телефон.

4.4.5. Работники оператора, пациенты и контактные с инфекционными больными. В данной категории субъектов оператором обрабатываются персональные данные в связи с реализацией мер по профилактике инфекций и проведению противоэпидемических мероприятий:

фамилия, имя, отчество;
год рождения;
адрес;
телефон.

4.4.6. Работники оператора. В данной категории субъектов оператором обрабатываются персональные данные в связи с реализацией мер по гражданской обороне и мобилизационной работе:

фамилия, имя, отчество;
адрес;
телефон.

4.4.7. Пациенты, их законные представители. В данной категории субъектов оператором обрабатываются персональные данные в связи с реализацией мер по государственному пенсионному и социальному обеспечению:

фамилия, имя, отчество;
пол;
дата рождения;
место рождения;
данные документа, удостоверяющего личность;
место жительства;
место регистрации;
дата регистрации;
номер полиса обязательного медицинского страхования застрахованного лица;
анамнез;
диагноз;
сведения об организации, осуществляющей медицинскую деятельность;
вид оказанной медицинской помощи;
условия оказания медицинской помощи;
сроки оказания медицинской помощи;
объем оказанной медицинской помощи, включая сведения об оказанных медицинских услугах; — результат обращения за медицинской помощью;
серия и номер выданного листка нетрудоспособности;
сведения о проведенных медицинских экспертизах, медицинских осмотрах и медицинских освидетельствованиях и их результаты;
примененные клинические рекомендации;
сведения о медицинском работнике или медицинских работниках, оказавших медицинскую помощь, проводивших медицинские экспертизы, медицинские осмотры и медицинские освидетельствования;
иные сведения, необходимые медицинской организации в соответствии с действующим законодательством Российской Федерации в области персональных данных, с помощью которых можно идентифицировать субъекта персональных данных.

4.4.9. Граждане, реализующие право на обращение в ГБУЗ «ГП № 23 ДЗМ». В данной категории оператором обрабатываются персональные данные, полученные в результате письменных и устных обращений, поступивших с официального сайта ГБУЗ «ГП № 23 ДЗМ», по почте, телеграфу, факсу, в ходе личного приема, по телефону, и по информационным системам общего пользования, исключительно для реализации права граждан на обращение:

фамилия, имя, отчество;
адрес электронной почты;
иные сведения, полученные в ходе процедуры рассмотрения обращения граждан.

4.5. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается:

в случае, если субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным и иным законодательством Российской Федерации.

4.6. Обработка биометрических персональных данных может осуществляться только при наличии согласия в письменной форме субъекта персональных данных или в иных предусмотренных законом случаях.

5. Порядок и условия обработки персональных данных

5.1. Оператор осуществляет обработку персональных данных — операции, совершаемые с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

5.2. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен законодательством, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5.3. При осуществлении хранения персональных данных оператор персональных данных обязан использовать базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 № 152-ФЗ от 27.07.2006 г.

5.4. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения.

5.5. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее — материальные носители), в специальных разделах или на полях форм (бланков). При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.

5.6. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.

5.7. Оператор вправе поручить обработку персональных данных другому лицу на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта.
Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные законом № 152-ФЗ от 27.07.2006 г.
Кроме того, оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

5.8. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством.

6. Права субъектов персональных данных

6.1. В целях защиты своих персональных данных, хранящихся у Оператора субъект персональных данных, имеет право:

получить доступ к своим персональным данным;
получить информацию, касающуюся обработки его персональных данных;
требовать исключения или исправления неверных, или неполных персональных данных;
получать свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные, с учетом требований действующего законодательства.
дополнить персональные данные оценочного характера заявлением, выражающим его собственную точку зрения;
определять своих представителей для защиты своих персональных данных;
требовать сохранения и защиты своей личной и семейной тайны;
обжаловать в суде любые неправомерные действия или бездействия должностных лиц и работников ГБУЗ «ГП № 23 ДЗМ» при обработке и защите его персональных данных.

7. Обеспечение защиты персональных данных при их обработке Оператором

7.1. Оператор самостоятельно принимает меры, определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством (п. 3 Политики), если иное не предусмотрено федеральными законами.

7.1.1. К таким мерам относятся:

назначение Оператором ответственных за организацию обработки персональных данных;
издание Оператором документов, определяющих Политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных действующему законодательству (п. 3 Политики) и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора;
определение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения положений законодательства Российской Федерации о персональных данных;
ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных сотрудников.

7.2. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

8. Порядок сбора, обработки и хранения персональных данных работника

8.1. Персональные данные должны быть получены лично у субъекта персональных данных. Если персональные данные возможно получить только у третьей стороны, то субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.

8.2. Оператор должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

8.3. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции РФ работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

8.4. В целях информационного обеспечения у Оператора могут создаваться общедоступные источники персональных данных субъектов, в том числе справочники и адресные книги. В общедоступные источники персональных данных с письменного согласия субъекта могут включаться его фамилия, имя, отчество, дата и место рождения, должность, номера контактных телефонов, адрес электронной почты и иные персональные данные, сообщаемые субъектом персональных данных.
Сведения о субъекте должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта либо по решению суда или иных уполномоченных государственных органов.

8.5. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном Трудовым кодексом РФ, иными федеральными законами.

8.6. Работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также осведомлены об их правах и обязанностях в этой области

8.7. Работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных федеральными законами.

8.8. При передаче персональных данных работника работодатель должен соблюдать следующие требования:

не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных Трудовым кодексом РФ и иными федеральными законами;
не сообщать персональные данные работника в коммерческих целях без его согласия;
предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим конфиденциальности. Данное положение не распространяется на обмен персональными данными работников в порядке, установленном Трудовым кодексом РФ и иными федеральными законами.
разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции.

8.9. В случае если лицо, обратившееся с запросом, не уполномочено федеральным законом на получение персональных данных работника, либо отсутствует письменное согласие работника на предоставление его персональных сведений, работодатель обязан отказать в предоставлении персональных данных лицу, обратившемуся с запросом, выдается письменное уведомление об отказе в предоставлении персональных данных.

8.10. Оператор обеспечивает запрет доступа к персональным данным работников лицам, не уполномоченным законом либо Оператором для получения соответствующих сведений.

8.11. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

8.12. Оператор вправе поручить обработку персональных данных другому лицу на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта.

8.13. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом «О персональных данных».

8.14. Кроме того, оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

8.15. Оператор обязан прекратить обработку персональных данных или обеспечить прекращение обработки персональных данных лицом, действующим по поручению оператора:

в случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, в срок, не превышающий трех рабочих дней с даты этого выявления;
в случае отзыва субъектом персональных данных согласия на обработку его персональных данных;
в случае достижения цели обработки персональных данных и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных. В случае отсутствия возможности уничтожения персональных данных в течение указанного срока оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

9. Порядок сбора, обработки и хранения персональных данных субъектов персональных данных при обращении за медицинской помощью или получении медицинской помощи

9.1. Все персональные данные субъекта персональных данных следует получать лично от субъекта персональных данных и (или) его законного представителя. Если персональные данные субъекта персональных данных возможно получить только у третьей стороны, то субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.

9.2. Оператор должен сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа субъекта персональных данных дать письменное согласие на их получение.

9.3. В случаях, непосредственно связанных с оказанием медицинской помощи. Оператор вправе получать и обрабатывать данные о частной жизни субъекта персональных данных.

9.4. Защита персональных данных субъекта персональных данных от неправомерного их использования или утраты должна быть обеспечена за счет средств Оператора в порядке, установленном действующим законодательством.

9.5. При передаче персональных данных субъекта персональных данных Оператор должен соблюдать следующие требования:

не сообщать персональные данные субъекта персональных данных третьей стороне без письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в случаях, установленных действующим законодательством;
предупредить лиц, получающих персональные данные субъекта персональных данных, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъекта персональных данных, обязаны соблюдать режим конфиденциальности.
разрешать доступ к персональным данным субъекта персональных данных только специально уполномоченным лицам, при этом указанные лица должны иметь возможность получать только те персональные данные субъекта персональных данных, которые необходимы для выполнения конкретных функций;
в случае если лицо, обратившееся с запросом, не уполномочено законом на получение персональных данных субъекта персональных данных, либо отсутствует письменное согласие субъекта персональных данных на предоставление его персональных данных, Оператор обязан отказать в предоставлении персональных данных лицу, обратившемуся с запросом, выдается письменное уведомление об отказе в предоставлении персональных данных.
оператор обеспечивает запрет доступа к персональным данным субъекта персональных данных лицам, не уполномоченным законом либо Оператором для получения соответствующих сведений.

9.6. Предоставление сведений, персональные данных субъекта персональных данных, без согласия субъекта персональных данных или его законного представителя допускается:

в целях проведения медицинского обследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю, с учетом положений пункта 1 части 9 статьи 20 закона от 21.11.2011 № 323-ФЗ;
при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений; — по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органов прокуратуры в связи с осуществлением ими прокурорского надзора, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля за поведением условно осужденного, осужденного, в отношении которого отбывание наказания отсрочено, и лица, освобожденного условно-досрочно;
в целях осуществления уполномоченными федеральными органами исполнительной власти контроля за исполнением лицами, признанными больными наркоманией либо потребляющими наркотические средства или психотропные вещества без назначения врача, либо новые потенциально опасные психоактивные вещества, возложенной на них при назначении административного наказания судом обязанности пройти лечение от наркомании, диагностику, профилактические мероприятия и (или) медицинскую реабилитацию;
в случае оказания медицинской помощи несовершеннолетнему в соответствии с пунктом 2 части 2 статьи 20 Федерального закона № 323-ФЗ, а также несовершеннолетнему, не достигшему
возраста, установленного частью 2 статьи 54 Федерального закона № 323-ФЗ, для информирования одного из его родителей или иного законного представителя;
в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинен в результате противоправных действий;
в целях проведения военно-врачебной экспертизы по запросам военных комиссариатов, кадровых служб и военно-врачебных (врачебно-летных) комиссий федеральных органов исполнительной власти и федеральных государственных органов, в которых федеральным законом предусмотрена военная и приравненная к ней служба;
при обмене информацией медицинскими организациями, в том числе размещенной в медицинских информационных системах, в целях оказания медицинской помощи с учетом требований законодательства Российской Федерации о персональных данных;
в целях осуществления учета и контроля в системе обязательного социального страхования;
в целях осуществления контроля качества и безопасности медицинской деятельности в соответствии с настоящим Федеральным законом.

10. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных

Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъекта персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральным законодательством.

11. Заключительные положения

11.1. Настоящая Политика вступает в силу с момента утверждения главным врачом. Изменения вносятся приказом.
11.2. Политика размещается на официальном сайте ГБУЗ «ГП № 23 ДЗМ» и доводится до сведения всех Работников.