ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПАЦИЕНТОВ
Утверждено:
Директор ООО «Сана»
_____________________М.М.Шакиров
Приказ №____ от «___»____________20___г.
ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПАЦИЕНТОВ
- Общие положения
1.1. Положение об обработке и защите персональных данных пациентов (далее — «Положение») издано и применяется ООО «Сана» в соответствии с пп. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Настоящее Положение определяет порядок получения, обработки, учёта, накопления, хранения и защиты от несанкционированного доступа и разглашения сведений, составляющих персональные данные пациентов ООО «Сана» (далее – «оператор», «Учреждение»).
1.3. Обработка персональных данных пациентов организована оператором на принципах:
— законности и справедливости;
— обработки только персональных данных, которые отвечают целям их обработки;
— соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
— недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
— обеспечения точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
— хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных.
1.4. Обработка персональных данных пациентов оператором осуществляется с соблюдением принципов и правил, предусмотренных Конституцией РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 29.11.2010 №326-ФЗ «Об обязательном медицинском страховании в Российской Федерации», Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и настоящим Положением.
1.5. Настоящее Положение и изменения к нему утверждаются руководителем оператора, вводятся приказом оператора и подлежат опубликованию на сайте оператора. Все сотрудники оператора, работающие с персональными данными пациентов, должны быть ознакомлены с настоящим Положением под роспись.
1.6. При обработке персональных данных оператор применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной ФСТЭК РФ 14.02.2008, Рекомендациями по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных, утвержденными Приказом Роскомнадзора от 19.08.2011 № 706 и иными документами.
- Понятие сбор и обработка персональных данных
2.1. Под персональными данными пациентов понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу, в том числе, его фамилия, имя, отчество, пол, год, месяц, дата и место рождения, адрес места жительства и регистрации, контактные телефоны, реквизиты полиса ОМС (ДМС), индивидуального лицевого счета в Пенсионном фонде России (СНИЛС), паспортные данные, данные о состоянии здоровья, заболеваниях, случаях обращения за медицинской помощью, данные о составе семьи, прочие сведения, которые могут идентифицировать человека.
Персональные данные пациентов относятся к специальной категории персональных данных, обработка таких персональных данных должна осуществляться лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну.
Персональные данные пациентов являются конфиденциальными сведениями. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении срока хранения, если иное не определено законодательством РФ.
Обеспечение конфиденциальности персональных данных не требуется:
— в случае обезличивания персональных данных;
— в отношении общедоступных персональных данных.
2.2. Обработка персональных данных пациентов — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных пациентов.
2.3. Целью обработки персональных данных пациентов является обеспечения соблюдения законов и иных нормативных правовых актов, установление медицинского диагноза и оказания медицинских услуг.
2.4. Пациент принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных даётся в письменной форме (см. Приложение №1 к настоящему Положению) и должно быть конкретным, информированным и сознательным.
В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от субъекта персональных данных проверяются оператором.
Согласие пациента на обработку его персональных данных должно храниться вместе с его иной медицинской документацией.
Обработка персональных данных пациентов без их согласия допускается при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Кроме того, предоставление сведений о факте обращения пациента за оказанием медицинской помощи, сведений о состоянии его здоровья и диагнозе, иных сведений, полученных при его медицинском обследовании и лечении (врачебная тайна), без согласия гражданина или его законного представителя допускается:
1) в целях проведения медицинского обследования и лечения пациента, который в результате своего состояния не способен выразить свою волю, если медицинское вмешательство необходимо по экстренным показаниям для устранения угрозы жизни человека и если его состояние не позволяет выразить свою волю или отсутствуют его законные представители.
2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;
3) по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля за поведением условно осужденного, осужденного, в отношении которого отбывание наказания отсрочено, и лица, освобожденного условно-досрочно;
4) в случае оказания медицинской помощи несовершеннолетнему в соответствии с пунктом 2 части 2 статьи 20 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ», а также несовершеннолетнему, не достигшему возраста, установленного частью 2 статьи 54 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ», для информирования одного из его родителей или иного законного представителя;
5) в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинен в результате противоправных действий;
6) в целях проведения военно-врачебной экспертизы по запросам военных комиссариатов, кадровых служб и военно-врачебных (врачебно-летных) комиссий федеральных органов исполнительной власти, в которых предусмотрена военная и приравненная к ней служба;
7) в целях расследования несчастного случая на производстве и профессионального заболевания;
8) при обмене информацией медицинскими организациями, в том числе размещенной в медицинских информационных системах, в целях оказания медицинской помощи с учетом требований законодательства Российской Федерации о персональных данных;
9) в целях осуществления учета и контроля в системе обязательного социального страхования;
10) в целях осуществления контроля качества и безопасности медицинской деятельности в соответствии с Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ».
2.6. Согласие на обработку персональных данных может быть отозвано пациентом (см. Приложение №2 к настоящему Положению). В случае отзыва пациентом согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия пациента при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Обязанность предоставить доказательство получения согласия пациента на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», возлагается на оператора.
2.7. Все персональные данные пациента следует получать у него самого. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
2.8. В случае недееспособности пациента согласие на обработку его персональных данных дает его законный представитель.
2.9.Оператор не имеет право получать и обрабатывать персональные данные пациента о его политических, религиозных и иных убеждениях и частной жизни.
2.10. При передаче персональных данных пациента третьим лицам оператор должен соблюдать следующие требования:
— не сообщать персональные данные пациента третьей стороне без письменного согласия пациента, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью пациента, а также в других случаях, предусмотренных Федеральным законодательством РФ;
— предупредить лиц, получающих персональные данные пациента, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные пациента, обязаны соблюдать режим секретности (конфиденциальности).
— разрешать доступ к персональным данным пациентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций.
Согласие пациента на передачу персональных данных не требуется, если законодательством РФ установлена обязанность предоставления оператором персональных данных.
2.11. Передача персональных данных пациента сотрудникам оператора для выполнения должностных обязанностей должна осуществлять только в объёме, необходимом для выполнения их работы.
2.12. Доступ к персональным данным пациентов должен быть ограничен и регламентирован для предотвращения утечки данных.
При хранении материальных носителей с персональными данными пациентов должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.
2.13. Доступ к персональным данным пациентов внутри ООО»Сана» имеют:
— главный врач;
— секретарь (делопроизводитель);
— старшая медицинская сестра
— заведующий отделением- к персональным данным пациентов своего отделения;
-медицинский администратор;
— медицинский регистратор;
— юрисконсульт, программист;
-заместитель главного врача по медицинской части;
— заместитель главного врача по клинико-экспертной работе;
-врач, медицинская сестра к – персональным данным пациентов, проходимых у них лечение (обследование);
-сами пациенты — носители своих данных.
2.14. Персональные данные вне Учреждения могут представляться в государственные и негосударственные функциональные структуры (внешний доступ):
— правоохранительные органы;
— органы статистики;
— страховые медицинские организации;
— органы социального страхования;
— вышестоящие подразделения муниципальных органов управления;
— управление Росздравнадзора по РТ
— департамент здравоохранения РТ;
— территориальный фонд ОМС РТ;
— отделы опеки и попечительства;
— комиссии по делам несовершеннолетних и защите их прав;
— другие лечебно-профилактические учреждения.
2.20. Персональные данные пациента могут быть предоставлены его законному представителю, а также родственникам или членам его семьи, иным представителям только с письменного разрешения самого пациента либо его законного представителя.
2.21. Оператор и иные лица, получившие доступ к персональным данным пациентов, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
2.22. Хранение персональных данных пациентов должно осуществляться в форме, позволяющей их идентифицировать.
2.23. Хранение персональных данных пациентов должно происходить в порядке, исключающим их утрату или их неправомерное использование.
2.24. Срок хранения персональных данных пациентов определяется целью обработки персональных данных. По истечению срока хранения или утраты цели обработки персональные данные подлежат уничтожению, обезличиванию или передаче в архив.
- Права и обязанности оператора, пациентов в целях обеспечения защиты персональных данных пациентов.
3.1. Оператор при обработке персональных данных обязан:
1) принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных пациентов;
2) издавать документы, определяющие политику оператора в отношении обработки персональных данных пациентов;
3) осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных Федеральному законодательству и принятыми в соответствии с ним нормативными правовыми актами, требованиям к защите персональных данных, локальным актам оператора;
4) сообщать в порядке, предусмотренном статьей 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», пациенту или его представителю информацию о наличии персональных данных, относящихся к соответствующему пациенту, а также предоставить возможность ознакомления с этими персональными данными безвозмездно при его обращении или обращении его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя;
5) вносить в срок, не превышающий семи рабочих дней со дня предоставления пациентов или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, необходимые изменения в них. В срок, не превышающий семи рабочих дней со дня представления пациентом или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить пациента или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого пациента были переданы;
6) в случае выявления неправомерной обработки персональных данных при обращении пациента или его представителя либо по запросу пациента или его представителя либо уполномоченного органа по защите прав субъектов персональных данных осуществлять блокирование неправомерно обрабатываемых персональных данных, относящихся к этому пациенту, с момента такого обращения или получения указанного запроса на период проверки.
7) в случае выявления неточных персональных данных при обращении пациента или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных осуществлять блокирование персональных данных, относящихся к этому пациенту, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы пациента или третьих лиц;
8) в случае подтверждения факта неточности персональных данных пациента уточнять персональные данные на основании сведений, представленных пациентом или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных;
9) прекращать неправомерную обработку персональных данных в случае выявления неправомерной обработки персональных данных пациентов, в срок, не превышающий трех рабочих дней с даты такого выявления, в случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить пациента или его представителя, а в случае, если обращение пациента или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
10) прекращать обработку персональных данных и уничтожать персональные данные в случае достижения цели обработки персональных данных в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено соглашением между оператором и пациентом либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных пунктами 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
11) в случае отзыва пациентом согласия на обработку его персональных данных оператор обязан прекратить их обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и пациентом либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных пунктами 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
12) в случае отсутствия возможности уничтожения персональных данных в течение сроков, указанных в п. 9- п. 11 ст.3.1. настоящего Положения, осуществлять блокирование таких персональных данных и обеспечивать уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
13) в срок, не превышающий семи рабочих дней со дня предоставления пациентом или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления пациентом или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить пациента или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого пациента были переданы.
3.2. В целях обеспечения защиты персональных данных, хранящихся у оператора, пациенты имеют право:
3.2.1. на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных данных;
4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального законодательства РФ;
5) обрабатываемые персональные данные, относящиеся к соответствующему пациенту, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законодательством РФ;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) иные сведения, предусмотренные федеральным законодательством РФ, за исключением случаев, предусмотренных ч. 8 ст.14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Вышеуказанные сведения должны быть предоставлены пациенту оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
3.2.2. Пациент вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
3.2.3. Сведения, указанные в п.3.2.1. ст.3.2. настоящего Положения, предоставляются пациенту или его представителю оператором при обращении либо при получении запроса пациента или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность пациента или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие пациента в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись пациента или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
3.2.4. В случае, если сведения, указанные в п. 3.2.1. ст.3.2. настоящего Положения, а также обрабатываемые персональные данные были предоставлены для ознакомления пациенту по его запросу, пациент вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в п. 3.2.1. ст.3.2. настоящего Положения, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законодательством или договором, стороной которого является пациент.
3.2.5. Пациент вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных п.3.2.1. ст.3.2. настоящего Положения, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в п.3.2.4. ст.3.2. настоящего Положения, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в п.3.2.3. ст.3.2. настоящего Положения, должен содержать обоснование направления повторного запроса.
3.2.6. Оператор вправе отказать пациенту в выполнении повторного запроса, не соответствующего условиям, предусмотренным п.3.2.4., 3.2.5. ст.3.2. настоящего Положения. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на операторе.
3.2.7. Решение, порождающее юридические последствия в отношении пациента или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме пациента или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов пациентов. Оператор обязан разъяснить пациенту порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты пациентом своих прав и законных интересов. Оператор обязан рассмотреть указанное возражение в течение тридцати дней со дня его получения и уведомить пациента о результатах рассмотрения такого возражения.
3.2.8. Если пациент считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Положения или иным образом нарушает его права и свободы, пациент вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных, также пациент имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда, в судебном порядке.
- Особенности обработки персональных данных пациентов, осуществляемой без использования средств автоматизации
4.1. Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.
4.2. Сотрудники, осуществляющие обработку персональных данных пациентов без использования средств автоматизации должны быть проинформированы о факте обработки ими персональных данных пациентов, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных законодательством РФ.
4.3. Персональные данные пациентов при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).
4.4. При фиксации персональных данных пациентов на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.
4.5. Если материальный носитель не позволяет осуществлять обработку персональных данных пациентов отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных, в частности:
— при необходимости использования или распространения определенных персональных данных пациентов отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных;
— при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
4.6. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).
4.7. Уточнение персональных данных пациентов при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, — путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
4.8. Обработка персональных данных пациентов, осуществляемая без использования средств автоматизации, осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.
4.9. Оператор обязан обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.
4.10. При хранении материальных носителей соблюдаются условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.
4.11. При обработки персональных данных без использования средств автоматизации, для
каждой категории персональных данных обеспечивается место хранения и перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.
4.12. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее — типовая форма), должны соблюдаться следующие условия:
а) типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;
б) типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, — при необходимости получения письменного согласия на обработку персональных данных;
в) типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
г) типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
ОТВЕТСТВЕННОСТЬ ЗА РАЗГЛАШЕНИЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙ ПЕРСОНАЛЬНЫЕ ДАННЫЕ
5.1. Каждый работник оператора получающий доступ к конфиденциальному документу, содержащему персональные данные, несет персональную ответственность за сохранность носителя и конфиденциальность информации.
5.2. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работников, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами и полную материальную ответственность в случае причинения их действиями ущерба в соответствии с п.7 ст. 243 Трудового кодекса Российской Федерации.
ПРИЛОЖЕНИЕ 1к Положению об обработке ПДн в ООО «Сана»
Форма – образец
Согласие на обработку персональных данных
Я,________________________________________________________________________________________ (фамилия, имя, отчество — полностью)
_____________________года рождения, проживающий (ая) по адресу: _________________________________________________________________________________________________________________________________________________________,паспорт серия__________№ ________________,выдан:________________________________________________________________________________________________________________________________от_______________________________
| Данный раздел заполняется в случае обработки персональных данных
несовершеннолетних или недееспособных лиц: являюсь законным представителем (мать, отец, усыновитель, опекун, попечитель – нужное подчеркнуть) ребенка или лица, признанного недееспособным: (далее по тексту – «представляемый») _____________________________________________________________________________________________ (Ф.И.О. ребенка или недееспособного гражданина — полностью, год рождения) |
в соответствии с требованиями части 4 статьи 9 Федерального закона от 27.07.06 г. № 152-ФЗ «О персональных данных», подтверждаю свое согласие на обработку ООО «Сана», расположенного по адресу: Казань, ул.Фучика, 105А, ул. Дубравная, 5А (далее — Оператор) моих персональных данных/персональных данных представляемого мною лица, включающих: фамилию, имя и отчество; адрес проживания, регистрации; год, месяц, дата и место рождения; семейное, социальное, имущественное положение; образование; профессия; доходы; специальность; гражданство; паспортные данные; СНИЛС; ИНН; номер страхового свидетельства государственного пенсионного страхования; пол; трудовой и общий стаж; сведения о воинском учете; социальные льготы; контактные телефоны; биометрические персональные данные (фотография).Данная информация необходима для обработки следующими способами: с использованием средств автоматизации, а также без использования таких средств и подтверждаю, что, давая такое согласие, я действую своей волей и в своих интересах/в интересах представляемого мною лица.
Согласие дается мною/представляемого мною лица для целей:
— формирования кадровых документов и для выполнения ООО «Сана» всех требований трудового законодательства;
— использования моих персональных данных в информационной системе для осуществления расчетов работодателя со мной как с работником;
— для передачи в УФНС России, УПФ РФ, ФСС индивидуальных сведений о начисленных страховых взносов на обязательное пенсионное страхование и данных о трудовом стаже, страховую организацию, кредитные учреждения (банки) (адрес места нахождения юридического лица)
Настоящее согласие предоставляется на осуществление любых действий в отношении моих персональных данных/представляемых мною лица, которые необходимы или желаемы для достижения указанных выше целей, включая (без ограничения) сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение, а также осуществление любых иных действий с моими персональными данными с учетом действующего законодательства Российской Федерации.
Передача моих персональных данных/представляемого мною лица разрешается на срок действия трудового договора/срочного трудового договора.
В случае неправомерного использования предоставленных мною персональных данных согласие отзывается моим письменным заявлением.
Срок хранения моих персональных данных/персональных данных предоставляемого мною лица соответствует сроку хранения первичных документов и составляет 75 лет.
Данное согласие действует с «___» ____________ ______ г. по «___» ____________ ______г.
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__
ПРИЛОЖЕНИЕ 2
к Положению об обработке ПДн
в ООО «Сана»
Форма – образец
Директору ООО «Сана»
(Ф.И.О. субъекта персональных данных) проживающего по адресу:____________
__________________________________
паспорт серии __________________№__
выдан_____________________________
Заявление.
Прошу Вас прекратить обработку моих персональных данных в связи с _______________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
(указать причину)
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г
ПРИЛОЖЕНИЕ 3
к Положению об обработке ПДн
в ООО «Сана»
Форма – образец
Согласие
Субъекта персональных данных на получение персональных данных от третьихлиц
Я,_________________________________________________________________________________, _____________________серия______________№______выдан__________________________________________________________________________________________________, проживающий (ая) по адресу: _________________________________________________________________________________________
согласен на получение оператором (ООО «Сана») информации, содержащей мои персональные данные:
________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
(виды передаваемой информации и (или) документов)
от следующих юридических (физических) лиц:
__________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
(Ф.И.О. или наименование третьих лиц)
с целью:
___________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г
ПРИЛОЖЕНИЕ 4
к Положению об обработке ПДн
в ООО «Сана»
Форма – образец
Уведомление
Уважаемый______________________________________________________________________________________________________________________________________________________________
(Ф.И.О.)
на основании_____________________________________________ООО «Сана» получило от_________________________________________
(наименование организации)
следующую информацию, содержащую Ваши персональные данные:
________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
с целью:________________________________________________________________________
_________________________________________________________________________________
Вы имеете право:
- на полную информацию о Ваших персональных данных, обрабатываемых оператором (ООО «Сана»);
- на свободный бесплатный доступ к Вашим персональным данным, включая право на получение копни любой записи, содержащей Ваши персональные данные, за исключением случаев, предусмотренных действующим законодательством;
- требовать от оператора уточнения Ваших персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав, получать иную информацию, касающуюся обработки Ваших персональных данных.
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г.
Настоящее уведомление на руки получил.
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__
ПРИЛОЖЕНИЕ 5
к Положению об обработке ПДн
в ООО «Сана»
Форма – образец
Уведомление
об уничтожении, изменении, прекращении обработки, устранении нарушений, допущенных при обработке персональных данных
Уважаемый___________________________________________________________________________________________________________________________________________________________
(Ф.И.О.)
В связи с __________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
сообщаем Вам, что обработка Ваших персональных данных прекращена и указанная информация подлежит уничтожению (изменению).
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г.
Настоящее уведомление на руки получил:
(_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г.
Приложение 6 к
Положению об обработке ПДн в ООО «Сана»
Форма – образец
Соглашение о неразглашении персональных данных
Я,______________________________________________________________________, _____________________серия______________№______выдан____________________________________________________________________________________________________________________________________, проживающий (ая) по адресу: ________________________________________________________.
Предупрежден (а) о том, что на период исполнения должностных обязанностей в соответствии с должностной инструкцией мне будет предоставлен допуск к информации, содержащей персональные данные.
Я подтверждаю, что не имею права разглашать следующие сведения: фамилия, имя, отчество; год, месяц, дата и место рождения;адрес проживания, регистрации;семейное, социальное, имущественное положение;образование;профессия;специальность;гражданство; паспортные данные;ИНН;номер страхового свидетельства государственного пенсионного страхования;пол;трудовой и общий стаж; доходы, полученные мной в данной организации; сведения о воинском учете;социальные льготы;контактные телефоны; биометрические персональные данные (фотография).
В связи с этим, даю обязательство, при обработке персональных данных соблюдать все описанные в Положении об обработке персональных данных требования.
Настоящим добровольно принимаю на себя обязательства:
1.Не передавать и не разглашать третьим лицам информацию, содержащую персональные данные, которая мне доверена (будет доверена) или станет известной в связи с исполнением должностных обязанностей.
2.В случае попытки третьих лиц получить от меня информацию, содержащую персональные данные, сообщать непосредственному начальнику.
3.Не использовать информацию, содержащую персональные данные, с целью получения выгоды
4.Выполнять требования нормативных правовых актов, регламентирующих вопросы защиты персональных данных.
5.В течение года после прекращения права на допуск к информации, содержащей персональные данные, не разглашать и не передавать третьим лицам известную мне информацию, содержащую персональные данные.
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г.
Я предупрежден (а) о том, что в случае разглашения мной сведений, касающихся персональных данных или их утраты я несу ответственность в соответствии со ст. 90 ТК РФ.
С Положением об обработке персональных данных ООО «Сана» ознакомлен (а).
_____________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г.
ПРИЛОЖЕНИЕ 7
к Положению об обработке ПДн в ООО «Сана»
Форма – образец
АКТ УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
Председатель комиссии:
_____________________________________________________________________________
Член комиссии:
_____________________________________________________________________________
Составили настоящий акт в том, что «__»______20__г. произведено удаление персональных данных находящейся на _____________________________________________
тип носителя (магнитный, бумажный)
носителе ответственного пользователя_____________________________________________
(ФИО, должность)
персональных данных___________________________________________________________
тип удаляемых персональных данных (персональные данные субъектов ПДн )
путем________________________________________________________________________
способ уничтожения (разрезание, удаление данных на магнитном носителе)
следующих персональных данных:
| № п/п | Дата уничтожения | № договора | Пояснения |
Председатель комиссии:
_____________________________ __________________
(фамилия, инициалы) (подпись)
Член комиссии:
_____________________________ __________________
(фамилия, инициалы) (подпись)
ПРИЛОЖЕНИЕ 8
к Положению об обработке ПДн в ООО «Сана»
Форма – образец
Журнал учета обращений субъектов персональных данных (сотрудников) по вопросам обработки персональных данных и для получения доступа к своим персональным данным
________________________________________________________________________________________________________
(наименование организации)
________________________________________________________________________________________________________
(адрес организации)
| Журнал начат «____» ______________________ 20__ г | Журнал завершен «____» ______________________ 20__ г. |
| Должность | Должность |
| ______________________ / ФИО должностного лица / | _____________ФИО должностного лица / |
На _____ листах
| № п/п | Сведения об обратившемся субъекте ПДн (ФИО, адрес) | Краткое содержание обращения (цель обработки (получения))
ПДн |
Источник получения ПДн | Сроки обработки ПДн | Отметка о предоставлении информации или отказе в ее предоставлении |
Способы обработки ПДн и перечень действий с ПДн
|
Дата
передачи / отказа в предоставлении информации |
Подпись ответственного лица | Примечание |
| 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 |
ПРИЛОЖЕНИЕ 9
к Положению об обработке ПДн в ООО «Сана»
Форма – образец
Журнал учета передачи персональных данных
_______________________________________________________________________________________________________
(наименование организации)
______________________________________________________________________________________________________
(адрес организации)
| Журнал начат «____» ______________________ 20__ г. | Журнал завершен «____» ______________________ 20__ г. |
| Должность | Должность |
| ______________________ / ФИО должностного лица / | ______________________ / ФИО должностного лица / |
На _____ листах
| № п/п | Сведения о запрашивающем лице (ФИО, адрес) | Цель получения запрашиваемыхПДн | Источник получения ПДн | Сроки обработки ПДн | Отметка о предоставлении информации или отказе в ее предоставлении | Способы обработки ПДн и перечень действий с ПДн | Дата передачи /
отказа в предоставлении информации |
Подпись ответственного лица | Примечание |
| 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 |
ПРИЛОЖЕНИЕ 10
к Положению об обработке ПДн
в ООО «Сана»
Форма – образец
Журнал учета электронных носителей персональных данных
________________________________________________________________________________________________________
(наименование организации)
________________________________________________________________________________________________________
(адрес организации)
| Журнал начат «____» ______________________ 20__ г. | Журнал завершен «____» ______________________ 20__ г. |
| Должность | Должность |
| ______________________ / ФИО должностного лица / | ______________________ / ФИО должностного лица / |
На _____ листах
| Учетный номер | Дата постановки на учет | Вид электронного носителя | Место хранения (размещения) | Лицо, ответственное за использование и хранение | Отметка об уничтожении | |||||||
| ФИО | Должность | Подпись | Дата получения | Дата возврата | Подпись | Дата и номер акта | Подпись ответственного лица | |||||
| 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | |
ПРИЛОЖЕНИЕ 11
к Положению об обработке ПДн
в ООО «Сана»
Форма – образец
СОГЛАСИЕ
на обработку персональных данных пациентов
г. Казань «___» ____________ 20__ г.
Я, законный представитель (опекун, попечитель, родитель, усыновитель (нужное подчеркнуть
_________________________________________________________________________________
(Ф.И.О. полностью)
__________________серия_________№_______________выдан___________________________
(наименование документа)
_________________________________________________________________________________, проживающий (ая) по адресу: ________________________________________________________ _________________________________________________________________________________.
Настоящим даю свое согласие ООО «Сана» (далее по тексту – Организация) на обработку и передачу моих персональных данных и ___________________________________________________________________________ ,
(Ф.И.О. полностью)
являющегося (ейся) ______________________________________________________ (указать степень родства)
для обработки с использованием средств автоматизации, с передачей полученной информации по локальной сети Организация и по сети Интернет, а также без использования таких средств и подтверждаю, что, давая такое согласие, я действую своей волей и в своих интересах.
Согласие дается мною для целей:
- подготовки и передача в орган регистрационного учета предусмотренных учетных документов;
- ведения и хранения амбулаторных карт и бланков обследований пациентов;
- ведение журналов;
- осуществления обязательств по договору ДМС, ОМС;
- обработки информации в ИСПДн;
и распространяется на следующую информацию:
— ФИО;
— паспортные данные;
— место рождения;
— дата рождения;
— социальное положение;
— инвалидность;
— семейное положение;
— адрес;
— номер телефона;
— место работы;
— диагноз (основной, сопутствующий);
— жалобы больного;
— история настоящего заболевания;
— стационарное лечение;
— перенесенные заболевания;
— вредные привычки;
— наследственность;
— беременность;
— общее состояние;
— объективные данные (рост, масса тела, телосложение, телосложение, кожные покровы и др.);
— сердечно-сосудистая система;
— органы дыхания;
— органы пищеварения;
— органы опоры и движения;
— нервная система;
— эндокринная система;
— предварительный диагноз;
— назначение врача;
— медикаменты;
— итоги лечения;
— дата рождения;
— место рождения;
— адрес места жительства;
— место работы, должность;
— контактный телефон;
— стоимость полученных услуг
Настоящее согласие предоставляется на осуществление любых действий в отношении моих персональных данных, которые необходимы или желаемы для достижения указанных выше целей, включая (без ограничения) сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение, а также осуществление любых иных действий с моими персональными данными с учетом действующего законодательства Российской Федерации.
Передача моих персональных данных разрешается на период прохождения лечения в ООО «Сана».
В случае неправомерного использования предоставленных мною персональных данных согласие отзывается моим письменным заявлением.
Срок прекращения обработки персональных данных составляет 5 лет, со дня прекращения договорных отношений.
___________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20____ г.
ПРИЛОЖЕНИЕ 12
к Положению об обработке ПДн
в ООО «Сана»
Форма – образец
СОГЛАСИЕ
НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
г. Казань «___» ____________ 20__ г.
Я,________________________________________________________________________________, _____________________серия______________№______выдан__________________________________________________________________________________________________, проживающий (ая) по адресу: ________________________________________________________.
Настоящим даю свое согласие ООО «Сана» (г. Казань, ул. Фучика, д. 105а, ул. Дубравная, д.5а) на обработку и передачу моих персональных данных для обработки с использованием средств автоматизации, с передачей полученной информации по локальной сети Общества и по сети Интернет, а также без использования таких средств и подтверждаю, что, давая такое согласие, я действую своей волей и в своих интересах.
Согласие дается мною для целей:
— предоставление услуг;
— начисления расчетов;
— заключения договоров на оказание услуг;
— формирования амбулаторных карточек;
— уведомления о задолженности;
— заполнения журналов;
и распространяется на следующую информацию:
— фамилия, имя, отчество, год, месяц, дата и место рождения;
— адрес проживания, регистрации;
— сведения о тарифном плане;
— паспортные данные;
— ИНН;
— телефонно-адресные данные;
— данные об установках, снятии, перестановках, заменах телефонных номеров;
-состоянии телефонов.
Настоящее согласие предоставляется на осуществление действий в отношении моих персональных данных, которые необходимы или желаемы для достижения указанных выше целей, включая (без ограничения) сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение, а также осуществление любых иных действий с моими персональными данными с учетом действующего законодательства Российской Федерации.
Передача моих персональных данных разрешается на срок действия договора об оказании услуг местной телефонной связи.
В случае неправомерного использования предоставленных мною персональных данных согласие отзывается моим письменным заявлением.
Срок прекращения обработки персональных данных составляет 5 лет, со дня прекращения договорных отношений.
___________________________ __________________
(фамилия, инициалы) (подпись)
«____» _____________20__ г
Лист ознакомления с Положением об обработке персональных данных
в ООО «Сана»
| № п/п | ФИО | Должность | Дата | Подпись |
