Положение об обработке персональных данных

Приложение

к приказу ООО «САКСОНИЯ

«КЛИНИКА ИННОВАЦИОННЫХ

МЕДИЦИНСКИХ ТЕХНОЛОГИЙ»

от 30.01.2026 г. № 15

Положение об обработке персональных данных в ООО «САКСОНИЯ «КЛИНИКА ИННОВАЦИОННЫХ МЕДИЦИНСКИХ ТЕХНОЛОГИЙ»

1. Общие положения

1.1 Настоящее Положение об обработке персональных данных устанавливает процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяющие для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований (далее – Положение).

Обработка персональных данных в ООО «САКСОНИЯ «КЛИНИКА ИННОВАЦИОННЫХ МЕДИЦИНСКИХ ТЕХНОЛОГИЙ» (далее – Оператор) выполняется с использованием средств автоматизации или без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов, персональные данные которых обрабатываются Оператором.

1.2. Оператор в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» является оператором, осуществляющим обработку персональных данных, а также определяющим цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (далее – оператор персональных данных).

1.3. Положение разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон), гл. 14 Трудового кодекса Российской Федерации от 13.12.2001 № 197-ФЗ.

1.4. Субъектами персональных данных являются сотрудники Оператора и граждане Российской Федерации.

1.5. Целями Положения являются:

а) обеспечение защиты прав и свобод при обработке персональных данных сотрудников Оператора и персональных данных граждан;

б) установление ответственности сотрудников Оператора за невыполнение нормативных правовых актов, регулирующих обработку и защиту персональных данных.

в) обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Оператора;

г) осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора, в том числе по предоставлению персональных данных в органы государственной власти и внебюджетные фонды;

д) регулирования трудовых отношений с сотрудниками Оператора (содействие в трудоустройстве, обучение и продвижение по службе, обеспечение личной безопасности, контроль количества и качества выполняемой работы, обеспечение сохранности имущества) и предоставления сотрудникам Оператора и членам их семей дополнительных гарантий и компенсаций, в том числе негосударственного пенсионного обеспечения, добровольного медицинского страхования, медицинского обслуживания и других видов социального обеспечения;

е) оказания медицинских услуг, в том числе на основании договоров об оказании медицинских услуг, ведения учета и систематизации оказанных услуг, а также в целях улучшения качества обслуживания пациентов и проведения маркетинговых программ;

ж) в целях проведения научных и статистических исследований, опубликования в научных изданиях, использования в учебном процессе;

з) защиты жизни, здоровья или иных жизненно важных интересов пациентов и субъектов персональных данных, медико-профилактических целях;

и) подготовки, заключения, исполнения и прекращения договоров с контрагентами;

к) формирования справочных материалов для внутреннего информационного обеспечения деятельности Оператора;

л) исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

м) осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;

н) регистрации клиентов для участия в программе лояльности пациентов;

о) в иных законных целях.

1.6. Задачами обработки персональных данных является оказание медицинских услуг и исполнение обязательств Оператора перед пациентами по договорам оказания медицинских услуг, связь с пациентами в случае необходимости, а также выполнение условий трудовых договоров с сотрудниками Оператора,  гражданско-правовых договоров физическими лицами с подрядчиками, исполнителями, агентами в соответствии с действующим законодательством Российской Федерации.

1.7. Настоящее Положение действует в отношении всей информации, которую Оператор может получить о пользователе во время использования им сервисов официального сайта Оператора. Использование сервисов сайта Оператора означает безоговорочное согласие пользователя с настоящим Положением и указанными в нем условиями обработки его персональной информации; в случае несогласия с этими условиями пользователь должен воздержаться от использования сервисов сайта Оператора.

2. Принципы обработки персональных данных

2.1. Обработка персональных данных Оператором основана на следующих принципах:

а) обработка персональных данных осуществляется Оператором на законной и справедливой основе;

б) обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;

в) не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;

г) не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

д) обработке подлежат только персональные данные, которые отвечают целям их обработки;

е) содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;

ж) при обработке персональных данных обеспечиваются точность персональных данных, а в необходимых случаях их достаточность, и актуальность по отношению к целям обработки персональных данных. Оператором принимаются необходимые меры либо обеспечивается их принятие по удалению или уточнению неполных или неточных персональных данных;

з) обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

2.2. Оператор осуществляет сбор и дальнейшую обработку персональных данных следующих категорий субъектов персональных данных:

а) действительные и потенциальные пациенты Оператора, члены семей и иные родственники действительных и потенциальных пациентов Оператора;

б) представители (в силу закона и по доверенности) действительных и потенциальных пациентов Оператора;

в) сотрудники и представители сторонних медицинских организаций; сотрудники и представители действующих контрагентов Оператора (юридических лиц); лица, являющиеся соискателями на замещение вакантных должностей Оператора;

г) действующие и потенциальные контрагенты Оператора (физические лица); сотрудники и представители действующих и потенциальных контрагентов Оператора (юридических лиц); посетители частных и публичных мероприятий, организованных Оператора

д) сотрудники (представители, контактные лица) Оператора, члены семей сотрудников Оператора;

е) получатели алиментов от сотрудников Оператора;

ж) сотрудники юридических лиц и физические лица, представляющие интересы Оператора лица, участвующие в гражданском, арбитражном, уголовном, административном процессах и исполнительном производстве (участником которых является Оператор);

з) посетители помещений, зданий и территории Оператора.

3. Конфиденциальность персональных данных

3.1. Работники Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

 4. Состав персональных данных

4.1. В состав обрабатываемых Оператором персональных данных пациентов и сотрудников могут входить:

- фамилия, имя, отчество;

- пол;

- дата рождения или возраст;

- паспортные данные;

- биометрические данные;

- адрес регистрации и места жительства;

- номер телефона, факса, адрес электронной почты;

- информация о состоянии здоровья, заболеваниях, случаях обращения за медицинской помощью;

- результаты выполненных медицинских исследований;

- другая информация, необходимая для правильного проведения и интерпретации медицинских исследований;

- семейное положение, состав семьи;

- социальное положение;

- образование;

- профессия;

- место работы;

- реквизиты полиса ОМС (ДМС);

- страховой номер индивидуального лицевого счета в Пенсионном фонде России (СНИЛС);

- другая информация, необходимая для выполнения обязательств

Оператора в соответствии с законодательством об охране здоровья граждан, о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях, законодательством об обязательных видах страхования, со страховым и иным законодательством.

5. Процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных:

а) осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных;

б) оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей оператора персональных данных, предусмотренных Федеральным законом;

в) ознакомление сотрудников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, с требованиями по защите персональных данных.

6. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором персональных данных, оператор персональных данных в срок, не превышающий 3 рабочих дня с даты выявления неправомерной обработки персональных данных, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор персональных данных в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении неправомерной обработки персональных данных или об уничтожении персональных данных оператор персональных данных обязан уведомить субъекта персональных данных или его представителя.

7. В случае достижения цели обработки персональных данных оператор персональных данных обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 рабочих дней с даты достижения цели обработки персональных данных.

8. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных оператор персональных данных обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий три рабочих дня с даты получения указанного отзыва. Об уничтожении персональных данных оператор персональных данных в течении трех рабочих дней обязан уведомить субъекта персональных данных.

9. В случае отсутствия возможности уничтожения персональных данных в течение сроков, указанных в пунктах 6 – 7 Положения, Оператор персональных данных осуществляет блокирование таких персональных данных, обеспечивает уничтожение персональных данных в срок до 6 месяцев, если иной срок не установлен действующим законодательством Российской Федерации.

10. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели хранения персональных данных, если срок хранения персональных данных не установлен Федеральным законом. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом.

11. Персональные данные пациентов хранятся в бумажном (медицинские карты, бланки направлений, результаты обследований и прочая медицинская документация) и электронном виде. В электронном виде персональные данные пациентов хранятся в информационной системе персональных данных Оператора (далее – ИСПД).

12. Обработка персональных данных в ИСПД осуществляется в соответствии с постановлением Правительства Российской Федерации от 01.11. 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

13. Обеспечение безопасности персональных данных в ИСПД достигается путем:

а) определения угроз безопасности персональных данных при их обработке в ИСПД;

б) применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПД;

в) применения прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

г) оценки эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию ИСПД;

д) учета машинных носителей персональных данных;

е) обнаружения фактов несанкционированного доступа к персональным данным и принятием мер по прекращению несанкционированного доступа;

ж) восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

з) установления правил доступа (пароль, логин и др.) к персональным данным, обрабатываемым в ИСПД, а также обеспечения регистрации и учета всех действий, совершаемых с персональными данными в ИСПД.

14. Сотрудники Оператора, имеющие доступ к ИСПД, обязаны:

а) принимать меры, исключающие несанкционированный доступ к используемым программно-техническим средствам;

б) вести учет электронных носителей информации, содержащих персональные данные, и осуществлять их хранение в металлических шкафах или сейфах;

в) производить запись персональных данных (отдельных файлов, баз данных) на электронные носители только в случаях, регламентированных порядком работы с персональными данными;

г) соблюдать установленный порядок и правила доступа в информационные системы, не допускать передачу персональных кодов и паролей к ИСПД;

д) принимать все необходимые меры к надежной сохранности кодов и паролей доступа к ИСПД;

е) работать с информационными системами персональных данных в объеме своих полномочий, не допускать их превышения;

ж) обладать навыками работы с антивирусными программами в объеме, необходимом для выполнения функциональных обязанностей и требований по защите информации.

14. При работе сотрудников Оператора в ИСПД запрещается:

а) записывать значения кодов и паролей доступа к ИСПД;

б) передавать коды и пароли доступа к ИСПД другим лицам;

в) пользоваться в работе кодами и паролями других пользователей доступа к ИСПД;

г) производить подбор кодов и паролей доступа к ИСПД других пользователей;

д) записывать на электронные носители с персональными данными посторонние программы и данные;

е) копировать информацию с персональными данными на неучтенные электронные носители информации;

ж) выносить электронные носители с персональными данными за пределы территории Оператора;

з) покидать рабочее место с включенным персональным компьютером без применения аппаратных или программных средств блокирования, доступа к персональному компьютеру;

и) приносить, самостоятельно устанавливать и эксплуатировать на персональном компьютере любые программные продукты, не принятые к эксплуатации;

к) открывать, разбирать, ремонтировать персональные компьютеры, вносить изменения в конструкцию, подключать нештатные блоки и устройства;

б) передавать информацию, содержащую персональные данные, подлежащие защите, по открытым каналам связи (факсимильная связь, электронная почта и иное), а также использовать сведения, содержащие персональные данные, подлежащие защите, в открытой переписке и при ведении переговоров по телефону.

15. Сбор, систематизацию, накопление, хранение, обновление, изменение, передачу, уничтожение (далее – обработка) документов сотрудников Оператора, содержащих персональные данные на бумажном носителе, осуществляют сотрудники Администраторы, бухгалтерия Оператора в соответствии с гл.14 Трудового Кодекса Российской Федерации.

16. Все персональные данные должны быть получены непосредственно от сотрудников Оператора, пациентов или иных граждан Российской Федерации.

17. Документы, содержащие персональные данные, уничтожаются путем измельчения в бумагорезательной машине.

18. При смене сотрудника, ответственного за учет документов на бумажном носителе, содержащих персональные данные, составляется акт приема-сдачи этих материалов, который утверждается руководителем соответствующего структурного подразделения Оператора.

19. При работе с документами на бумажном носителе, содержащими персональные данные, уполномоченные на обработку персональных данных сотрудники Оператора обязаны:

а) ознакомиться только с теми документами, содержащими персональные данные, к которым получен доступ в соответствии со служебной необходимостью;

б) хранить в тайне ставшие известными им сведения, содержащие персональные данные, подлежащие защите, информировать непосредственного руководителя о фактах нарушения порядка работы с персональными данными и о попытках несанкционированного доступа к ним;

в) о допущенных нарушениях установленного порядка работы, учета и хранения документов, содержащих персональные данные, а также о фактах разглашения сведений, содержащих персональные данные, подлежащих защите, представлять непосредственным руководителям письменные объяснения.

20. Сотрудники, виновные в разглашении или утрате информации, содержащей персональные данные, несут ответственность в соответствии с законодательством Российской Федерации.

21. Контроль за исполнением сотрудниками ООО «САКСОНИЯ «КЛИНИКА ИННОВАЦИОННЫХ МЕДИЦИНСКИХ ТЕХНОЛОГИЙ» требований настоящего Положения возлагается на руководителей структурных подразделений ООО «САКСОНИЯ «КЛИНИКА ИННОВАЦИОННЫХ МЕДИЦИНСКИХ ТЕХНОЛОГИЙ»  и назначенного Приказом ответственного лица за организацию обработки персональных данных.