В области защиты персональных данных

УТВЕРЖДЕНА ПРИКАЗОМ НАЧАЛЬНИКА

ГКУЗ «СТАВРОПОЛЬСКИЙ КРАЕВОЙ ГОСПИТАЛЬ ДЛЯ ВЕТЕРАНОВ ВОЙН»

ЛОБАЧ И.Н.

ПРИКАЗ №97-ОД ОТ 01 АПРЕЛЯ 2021 ГОДА

ПОЛИТИКА

ГКУЗ «СТАВРОПОЛЬСКИЙ КРАЕВОЙ ГОСПИТАЛЬ ДЛЯ ВЕТЕРАНОВ ВОЙН»
В ОБЛАСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Политика ГКУЗ «Ставропольский краевой госпиталь для ветеранов войн» (далее — Политика) представляет собой программу действий ГКУЗ «Ставропольский краевой госпиталь для ветеранов войн» (далее — госпиталь) в области обработки персональных данных физических лиц в связи с реализацией трудовых отношений и в связи с осуществлением медицинской деятельности.

В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» учреждение является оператором персональных данных.

Настоящая Политика определяет принципы обработки и обеспечения безопасности персональных данных в госпитале и распространяется на все процессы обработки персональных данных Оператора как с использованием средств автоматизации, так и без использования таких средств, на все структурные подразделения и работников Оператора, участвующих в таких процессах, а также на информационные системы Оператора, используемые в процессе обработки персональных данных.

ОСНОВНЫЕ ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ В ПОЛИТИКЕ:

персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); персональные данные, разрешенные субъектом персональных данных для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом от 27.07.2006 № 152- ФЗ «О персональных данных»;

оператор персональных данных (оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе:

сбор;
запись;
систематизацию;
накопление;
хранение;
уточнение (обновление, изменение);
извлечение;
использование;
передачу (распространение, предоставление, доступ);
обезличивание;
блокирование;
удаление;
уничтожение;

автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;

распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

С целью реализации трудовых отношений в госпитале обрабатываются следующие категории персональных данных:

фамилия, имя, отчество;
год, месяц, дата и место рождения;
адрес регистрации и проживания, номера контактных телефонов;
сведения о паспортах;
семейное положение;
образование, профессия;
сведения о трудовой деятельности;
сведения о судимости;
сведения о зарплате, социальных льготах, результатах медицинского обследования в связи с осуществлением трудовых функций, сумме налогов;
реквизиты банковских счетов;
номера банковских карт;
иные сведения, предусмотренные законом.

Для целей оказания медицинской помощи в госпитале обрабатываются следующие категории персональных данных:

фамилия, имя, отчество;
дата и место рождения;
данные о месте жительства (пребывания);
телефон;
паспортные данные;
данные о месте работы и занимаемой должности;
данные о семейном положении
биографические и биометрические данные, полученные от пациента при обращении в госпиталь и (или) ставшие известными Учреждению в процессе осуществления своей деятельности;
данные о состоянии здоровья;
иные персональные данные в соответствии с требованиями законодательства.

Обработка персональных данных осуществляется Оператором на законной и справедливой основе и ограничивается достижением конкретных, заранее определенных и законных целей. Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых Оператором персональных данных соответствует заявленным целям обработки персональных данных. Оператором принимаются необходимые меры по удалению или уточнению неполных или неточных персональных данных.

Хранение персональных данных Оператором осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

В соответствии с указанными принципами Оператором не осуществляется:

обработка персональных данных о расовой принадлежности, политических взглядах, философских и религиозных убеждениях, состоянии интимной жизни и национальной принадлежности субъектов персональных данных, а также биометрических персональных данных;
трансграничная передача персональных данных.

В соответствии с принципами обработки персональных данных, Оператором определены цели обработки персональных данных:

выполнение требований трудового законодательства;
оказание медицинских услуг населению;
заключение договоров с контрагентами и выполнение обязательств по таким договорам.

ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор не предоставляет и не раскрывает сведения, содержащие персональные данные, третьей стороне без письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.

Работники госпиталя, осуществляющие обработку персональных данных, не отвечают на вопросы, связанные с передачей персональных данных по телефону или факсу.

ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, РАЗРЕШЕННЫХ

СУБЪЕКТОМ ПЕРСОНАЛЬНЫХ ДАННЫХ ДЛЯ РАСПРОСТРАНЕНИЯ

Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий в соответствии со ст. 10.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», а именно:

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления Оператору согласия, предусмотренного настоящим разделом, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
В случае, если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются Оператором, которому они предоставлены субъектом персональных данных, без права распространения.
В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные частью 9 данного раздела, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с частью 9 данного раздела, такие персональные данные обрабатываются Оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено Оператору:

непосредственно;
с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с Оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.
Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается.
Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.
Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.
Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только Оператором, которому оно направлено.
Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления Оператору требования, указанного в части 12 данного раздела.
Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений настоящей статьи или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.
Требования настоящего раздела не применяются в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на федеральные органы исполнительной власти, органы исполнительной власти субъектов Российской Федерации, органы местного самоуправления функций, полномочий и обязанностей

ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Для реализации вышеуказанных прав субъект персональных данных может в порядке, установленном ст. 14 Федерального закона от 27.07.2006 Хе 152-ФЗ «О персональных данных», обратиться в госпиталь с соответствующим запросом. Для выполнения таких запросов представителю Оператора может потребоваться установить личность обратившегося и запросить дополнительную информацию.

Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в вышестоящий орган, в органы прокуратуры или в судебном порядке.

Кроме того, действующее законодательство может устанавливать ограничения и другие условия, касающиеся упомянутых выше прав субъекта персональных данных.

МЕРЫ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор предпринимает необходимые организационные и технические меры по защите персональных данных. Принимаемые меры основаны на требованиях Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Постановления Правительства Российской Федерации от 1 ноября 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Постановления Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Для обеспечения защиты персональных данных приняты следующие меры:

назначены лица, ответственные за организацию обработки персональных данных и обеспечение безопасности персональных данных в информационной системе;
изданы локальные акты по вопросам обработки персональных данных и локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ;
лица, ведущие обработку персональных данных, проинструктированы и ознакомлены с нормативными правовыми актами, регламентирующими порядок работы и защиты персональных данных;
разграничены права доступа к обрабатываемым персональным данным;
в целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям проводятся периодические проверки условий обработки персональных данных, контроль и оценка эффективности применяемых защитных мер;
определены угрозы безопасности персональных данных и необходимый уровень защищенности информационных систем персональных данных;
принимаются организационные и технические меры, включающие в себя подсистему управления доступом, и подсистему регистрации и учета;
используются средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации.

ГАРАНТИИ КОНФИДЕНЦИАЛЬНОСТИ

Информация, относящаяся к персональным данным, ставшая известной в связи с реализацией трудовых отношений и в связи с осуществлением медицинской деятельности, является конфиденциальной и охраняется законом.

Работники и иные лица, получившие доступ к обрабатываемым персональным данным, предупреждены о возможной дисциплинарной, административной, гражданско-правовой или уголовной ответственности в случае нарушения норм и требований действующего законодательства, регулирующего правила обработки и защиты персональных данных.

ИЗМЕНЕНИЯ НАСТОЯЩЕЙ ПОЛИТИКИ

Настоящая Политика может быть дополнена либо изменена. В случае внесения в настоящую Политику существенных изменений, к ним будет обеспечен неограниченный доступ всем заинтересованным субъектам персональных данных.

г. Пятигорск, 2021 г.