Политика конфиденциальности

Общие положения

1. Настоящий документ (далее – Политика) определяет политику в отношении обработки персональных данных ГБУЗ АО «Первая ГКБ им. Е.Е. Волосевич» (далее – Оператор или медицинская организация).

2. Понятия, содержащиеся в ст. 3 Федерального закона "О персональных данных" N 152-ФЗ от 27.07.2006 года, используются в настоящей Политике с аналогичным значением.

3. Действие настоящей Политики распространяется на все операции, совершаемые Оператором с персональными данными с использованием средств автоматизации или без их использования.

Основные понятия, используемые в Политике

1. Раздел II. Реквизиты Оператора персональных данных.
2. 4. Наименование: Государственное бюджетное учреждение здравоохранения Архангельской области «Первая городская клиническая больница имени Е.Е. Волосевич». ИНН 2901041574 КПП 290101001 Фактический адрес: 163001, г. Архангельск, ул. Суворова, 1. (тел.: (8182) 632-711). Регистрационный номер в реестре операторов персональных данных: 08-0031797 (Ссылка на запись в реестре операторов персональных данных: https://rkn.gov.ru/personal-data/register/?id=08-0031797)

3. Правовыми основаниями обработки персональных данных Оператором являются: - Конституция РФ; - Трудовой кодекс РФ; - Гражданский кодекс РФ; - Налоговый кодекс РФ; - Федеральный закон от 27 июля 2006 г. № 152-ФЗ "О персональных данных"; - Федеральный закон от 21 ноября 1996 г. № 129-ФЗ «О бухгалтерском учете»; - Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; - Федеральный закон от 29 ноября 2010 г. № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»; - Федеральный закон от 21 ноября 2011 г. № 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации"; - Постановление Правительства РФ от 4 октября 2012 г. № 1006 "Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг"; - договоры, заключаемые между Оператором и субъектами персональных данных; - согласия субъектов персональных данных на обработку персональных данных; - иные основания, когда согласие на обработку персональных данных не требуется в силу закона.

   Раздел IV. Цели сбора персональных данных.

   6. Оператор может обрабатывать персональные данные следующих субъектов персональных данных: - персональные данные работника - информация, необходимая медицинской организации в связи с трудовыми отношениями и касающаяся конкретного работника; - персональные данные пациента - информация, полученная медицинской организацией при первоначальном поступлении пациента, при заключении с пациентом договора на оказание медицинских услуг, а также информация, полученная в процессе лечения.

   7. Персональные данные обрабатываются Оператором в следующих целях: - обработка персональных данных работников осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. - обработка персональных данных пациентов осуществляется в целях обеспечения соблюдения законов и иных нормативных правовых актов, в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг, иных целях, направленных на охрану здоровья граждан в Российской Федерации.

    8. Все персональные сведения о работниках и пациентах медицинская организация может получить только от них самих. В случаях, когда медицинская организация может получить необходимые персональные данные работников и пациентов только у третьего лица, медицинская организация должна уведомить об этом работников и пациентов и получить от них письменное согласие.

   9. Медицинская организация обязана сообщить работникам и пациентам о целях, способах и источниках получения персональных данных, а также о характере подлежащих получению персональных данных и возможных последствиях отказа работников и пациентов дать письменное согласие на их получение.

Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных.

10. К персональным данным работника относятся: - фамилия, имя, отчество; - паспортные данные; - дата рождения; - гражданство; - номер страхового свидетельства; - ИНН; - знание иностранных языков; - данные об образовании (номер, серия дипломов, год окончания); - данные о приобретенных специальностях; - семейное положение; - данные о членах семьи (степень родства, Ф. И. О., год рождения, паспортные данные, включая прописку и место рождения); - фактическое место проживания; - контактная информация; - данные о военной обязанности; - данные о текущей трудовой деятельности (дата начала трудовой деятельности, кадровые перемещения, оклады и их изменения, сведения о поощрениях, данные о повышении квалификации и т. п.); - иные данные предусмотренные законодательством РФ.

11. К персональным данным пациента относятся: - анкетные данные (фамилия, имя, отчество, число, месяц, год рождения и др.); - паспортные данные; - адрес регистрации; - адрес места жительства; - данные о состоянии здоровья; - сведения о социальных льготах; - иные данные, предусмотренные положением об обработке и защите персональных данных пациентов медицинской организации. 12. Медицинская организация обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки. 13. Персональные данные работников и пациентов являются конфиденциальной информацией и не могут быть использованы медицинской организацией или любым иным лицом в личных целях.

Основные права и обязанности субъектов персональных данных

1. Оператор имеет право: - получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные; - требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данны
2.  Оператор обязан: - обрабатывать персональные данные в порядке, установленном действующим законодательством РФ; - рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы; - предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным; - принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями; - организовывать защиту персональных данных в соответствии с требованиями законодательства РФ.
3.  Субъекты персональных данных имеют право: - на полную информацию об их персональных данных, обрабатываемых Оператором; - на доступ к их персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом; - на уточнение их персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; - на отзыв согласия на обработку персональных данных; - на принятие предусмотренных законом мер по защите своих прав; - на осуществление иных прав, предусмотренных законодательством РФ.
4.  Субъекты персональных данных обязаны: - предоставлять Оператору только достоверные данные о себе; - предоставлять документы, содержащие персональные данные в объеме, необходимом для цели обработки; - сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.
5.  Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством РФ.

Порядок и условия обработки персональных данных

1. Обработка персональных данных Оператором осуществляется следующими способами: - неавтоматизированная обработка персональных данных;  - автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой; - смешанная обработка персональных данных.
2. Медицинская организация может передавать персональные данные работников и пациентов третьим лицам, только если это необходимо в целях предупреждения угрозы их жизни и здоровья, а также в случаях, установленных законодательством.
3. Перечень действий, совершаемых медицинской организацией с персональными данными: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение, а также осуществление любых иных действий в соответствии с действующим законодательством РФ.
4. Обработка персональных данных осуществляется медицинской организацией при условии получения согласия субъекта персональных данных (далее - Согласие), за исключением установленных законодательством РФ случаев, когда обработка персональных данных может осуществляться без такого Согласия.
5. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает Согласие свободно, своей волей и в своем интересе. Данное согласие оформляется в письменной форме.
6. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия Согласия или отзыв Согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных.
7. Согласие может быть отозвано путем письменного уведомления, направленного в адрес медицинской организации заказным почтовым отправлением.
8. Медицинская организация не вправе получать и обрабатывать персональные данные работников и пациентов о их политических, религиозных и иных убеждениях и частной жизни.
9. В случаях, непосредственно связанных с вопросами трудовых отношений, медицинская организация вправе получать и обрабатывать персональные данные работников о их личной жизни, только с письменного согласия работников.
10. Медицинская организация не имеет права получать и обрабатывать персональные данные работников о их членстве в общественных объединениях или профсоюзной деятельности, за исключением случаев, предусмотренных законодательством РФ.
11. Медицинская организация не вправе предоставлять персональные данные работников и пациентов в коммерческих целях без их письменного согласия.
12. Медицинская организация обязана обеспечить работникам и пациентам свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных законодательством.
13. Медицинская организация обязана по требованию работников и пациентов предоставить им полную информацию о их персональных данных и обработке этих данных.
14. Оператор при обработке персональных данных принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, 6 распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
15. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
16. При осуществлении хранения персональных данных Оператор использует базы данных, находящиеся на территории РФ. Раздел VIII. Порядок уничтожения, блокирования персональных данных.
17. В случае выявления неправомерной обработки персональных данных при обращении работников и пациентов медицинская организация обязана осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этим работникам и пациентам, с момента такого обращения на период проверки.
18. В случае выявления неточных персональных данных при обращении работников и пациентов медицинская организация обязана осуществить блокирование персональных данных, относящихся к этим работникам и пациентам, с момента такого обращения на период проверки, если блокирование персональных данных не нарушает права и законные интересы работников и пациентов или третьих лиц.
19. В случае подтверждения факта неточности персональных данных медицинская организация на основании сведений, представленных работниками и пациентами, или иных необходимых документов обязана уточнить персональные данные в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
20. В случае поступления требования работника или пациента о прекращении распространения его персональных данных передача (распространение, предоставление, доступ) персональных данных, разрешенных таким работником или пациентом для распространения, должна быть прекращена в любое время. Действие согласия работника или пациента на обработку персональных данных, разрешенных им для распространения, прекращается с момента поступления в медицинскую организацию указанного требования.
21. В случае выявления неправомерной обработки персональных данных, осуществляемой медицинской организацией, медицинская организация в срок, не превышающий трех рабочих дней с даты этого выявления, обязана прекратить неправомерную обработку персональных данных.
22. В случае если обеспечить правомерность обработки персональных данных невозможно, медицинская организация в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязана уничтожить такие персональные данные.
23. Об устранении допущенных нарушений или об уничтожении персональных данных медицинская организация обязана уведомить работников и пациентов.
24. В случае достижения цели обработки персональных данных медицинская организация обязана прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено трудовым договором или иным нормативными правовыми актами РФ.
25. В случае отзыва работниками и пациентами согласия на обработку их персональных данных медицинская организация обязана прекратить их обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено трудовым договором или иным нормативными правовыми актами РФ.
26. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пунктах 40 – 43 настоящей Политики, медицинская организация осуществляет блокирование таких персональных данных и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами Раздел IX. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работников и пациентов.
27. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работников и пациентов, привлекаются к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности в порядке, установленном действующим законодательством РФ.
28. Моральный вред, причиненный работникам и пациентам вследствие нарушения их прав, нарушения правил обработки персональных данных, установленных Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных работниками и пациентами убытков.

Заключительные положения.

1. Все отношения, касающиеся обработки персональных данных, не получившие отражения в настоящей Политике, регулируются согласно положениям законодательства РФ. 48. Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в актуальной редакции указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией Политики. Действующая редакция постоянно доступна на Сайте 
2. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом