Положение об обработке и защите персональных данных

1. Общие положения

Положение определяет порядок обработки и защиты персональных данных в ООО «ВАЛЬВЕРДЕ» (ОГРН 1190280002021, ИНН 0274943293, адрес: 450077, Республика Башкортостан, г. Уфа, ул. Коммунистическая, д. 105, этаж 1) и обязательно для всех работников, получающих доступ к персональным данным.

Положение разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ, постановлением Правительства Российской Федерации от 01.11.2012 № 1119, приказом ФСТЭК России от 18.02.2013 № 21, приказом Роскомнадзора от 28.10.2022 № 179 (требования к подтверждению уничтожения персональных данных) и Федеральным законом от 21.11.2011 № 323-ФЗ в части врачебной тайны.

2. Ответственные лица

• ответственный за организацию обработки персональных данных назначается приказом руководителя; он контролирует соблюдение требований закона, отвечает на обращения субъектов и ведёт учёт согласий;
• ответственный за обеспечение безопасности персональных данных в информационных системах назначается тем же приказом; он отвечает за разграничение доступа, учёт носителей и резервное копирование;
• обязанности могут быть возложены на одного работника.

3. Категории субъектов и обрабатываемых данных

• Пациенты: фамилия, имя, отчество, дата рождения, пол, реквизиты документа, удостоверяющего личность, адрес, телефон, адрес электронной почты, сведения о состоянии здоровья, сведения об оказанных услугах и оплате. Сведения о состоянии здоровья относятся к специальной категории персональных данных.
• Законные представители пациентов: фамилия, имя, отчество, реквизиты документа, удостоверяющего личность и полномочия, контактные данные.
• Работники и соискатели: данные, предусмотренные трудовым законодательством.
• Посетители сайта: технические данные и идентификаторы файлов cookie, обрабатываемые после согласия.

4. Правовые основания и принципы

Обработка ведётся на основании договора с пациентом, требований законодательства о здравоохранении, бухгалтерском и налоговом учёте, а также согласий субъектов. Сведения о состоянии здоровья обрабатываются в медико-профилактических целях лицами, профессионально занимающимися медицинской деятельностью и обязанными сохранять врачебную тайну (пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ).

Обрабатываются только те данные, которые необходимы для заявленных целей; объединение баз данных с несовместимыми целями не допускается.

5. Доступ к данным

• доступ предоставляется работникам в объёме, необходимом для исполнения обязанностей, по перечню, утверждённому руководителем;
• работники, допущенные к персональным данным, знакомятся с настоящим Положением под подпись и дают обязательство о неразглашении;
• медицинская документация хранится в помещениях с ограниченным доступом; шкафы и помещения запираются по окончании работы;
• передача сведений, составляющих врачебную тайну, третьим лицам допускается только с письменного согласия пациента либо в случаях, прямо предусмотренных статьёй 13 Федерального закона № 323-ФЗ.

6. Меры защиты

• определение уровня защищённости информационных систем и применение мер, предусмотренных приказом ФСТЭК России № 21;
• парольная защита и разграничение прав доступа в информационных системах;
• антивирусная защита и своевременное обновление программного обеспечения;
• учёт машинных носителей информации;
• резервное копирование; защищённое соединение при передаче данных через сеть Интернет;
• внутренний контроль соответствия обработки требованиям закона — не реже одного раза в год.

7. Сроки хранения и уничтожение

Медицинская документация хранится в сроки, установленные законодательством об архивном деле и актами Минздрава России; договоры и бухгалтерские документы — 5 лет; обращения граждан — 5 лет; данные посетителей сайта — не более 12 месяцев.

По достижении целей обработки, при отзыве согласия или по требованию субъекта данные уничтожаются в срок, установленный законом. Факт уничтожения подтверждается актом с указанием перечня данных, способа и даты уничтожения, а при автоматизированной обработке — также выгрузкой из журнала регистрации событий в информационной системе. Акт и выгрузка хранятся 3 года с момента уничтожения (приказ Роскомнадзора от 28.10.2022 № 179).

8. Права субъектов персональных данных

Субъект вправе получить информацию об обработке своих данных, требовать их уточнения, блокирования или уничтожения, отозвать согласие, потребовать прекращения обработки в целях продвижения услуг, обжаловать действия оператора в Роскомнадзор или в суд. Обращения принимаются по адресу оператора и на info@valverdeclinic.ru; ответ даётся в срок не более 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней.

9. Реагирование на инциденты

При неправомерной или случайной передаче персональных данных оператор в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования, а также направляет сведения в Национальный координационный центр по компьютерным инцидентам (часть 3.1 статьи 21 Федерального закона № 152-ФЗ).

10. Ответственность

Работники, виновные в нарушении требований настоящего Положения, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.