ПОЛОЖЕНИЕ
ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
В МЕДИЦИНСКИЙ ОРГАНИЗАЦИИ ООО "ГЛАЗНАЯ КЛИНИКА "ОРИОН"
(утверждено приказом генерального директора от 01.10.2016 № 16/1-ПД)
ОБЩИЕ ПОЛОЖЕНИЯ
- Настоящее Положение в отношении обработки персональных данных (далее – Положение) составлено в соответствии с п. 2 ст. 18.1 Федерального закона № 152-ФЗ от 27 июля 2006 года «О персональных данных» и является основополагающим внутренним регулятивным документом медицинской организации ООО «Глазная клиника «ОРИОН» (далее – Организация или Оператор), определяющим ключевые направления его деятельности в области обработки и защиты персональных данных (далее – ПДн), оператором которых является Организация.
- Положение разработана в целях реализации требований законодательства в области обработки и защиты ПДн и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн в Организации, в том числе защиты прав на неприкосновенность частной жизни, личной, семейной и врачебной тайн.
- Положение распространяются на отношения по обработке и защите ПДн, полученных Организацией как до, так и после утверждения Положения, за исключением случаев, когда по причинам правового, организационного и иного характера Положения не могут быть распространены на отношения по обработке и защите ПДн, полученных до ее утверждения.
- Обработка ПДн в Организации осуществляется в связи с выполнением Организацией функций, предусмотренных ее учредительными документами, и определяемых:
- Федеральным законом от 21 ноября 2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
- Федеральным законом № 152-ФЗ от 27 июля 2006 года «О персональных данных»;
- Постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Постановлением Правительства РФ от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной ФСТЭК России 14.02.2008;
- Методические рекомендации по оснащению медицинских учреждений компьютерным оборудованием и программным обеспечением для регионального уровня единой государственной информационной системы в сфере здравоохранения, а также функциональными требованиями к ним, утвержденными Минздравсоцразвития России 03.05.2012;
- Методическими рекомендациями для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости, утвержденными Минздравсоцразвития России 23.12.2009;
- Методическими рекомендациями по составлению частной модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных учреждений здравоохранения, социальной сферы, труда и занятости, утвержденными Минздравсоцразвития России 23.12.2009;
- Методическими рекомендациями по проведению в 2011–2012 гг. работ по информационной безопасности для регионального уровня Единой государственной информационной системы в сфере здравоохранения, утвержденными Минздравсоцразвития России (опубликованы 31.08.2011 на официальном сайте Минздравсоцразвития России);
- иными нормативными правовыми актами Российской Федерации.
- Кроме того, обработка ПДн в Организации осуществляется в ходе трудовых и иных непосредственно связанных с ними отношений, в которых Организация выступает в качестве работодателя (глава 14 Трудового кодекса Российской Федерации), в связи с реализацией Организацией своих прав и обязанностей как юридического лица.
- Организация имеет право вносить изменения в настоящее Положение. При внесении изменений в заголовке Положения указывается дата последнего обновления редакции. Новая редакция Положения вступает в силу с момента ее утверждения генеральным директором, если иное не предусмотрено новой редакцией Положения.
- Действующая редакция хранится в месте нахождения Организации по адресу: Чеченская Республика, г. Грозный, ул. Шейха Али Митаева, 3, электронная версия Положения – на сайте по адресу: orionclinic.ru.
Термины и принятые сокращения:
- Персональные данные (ПДн)– любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
- Обработка персональных данных– любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
- Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
- Распространение персональных данных –действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
- Предоставление персональных данных– действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
- Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
- Уничтожение персональных данных– действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- Обезличивание персональных данных– действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- Автоматизированная обработка персональных данных– обработка персональных данных с помощью средств вычислительной техники;
- Информационная система персональных данных (ИСПД)– совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
- Пациент – физическое лицо, которому оказывается медицинская помощь или которое обратилось за оказанием медицинской помощи независимо от наличия у него заболевания и от его состояния;
- Медицинская деятельность– профессиональная деятельность по оказанию медицинской помощи, проведению медицинских экспертиз, медицинских осмотров и медицинских освидетельствований, санитарно-противоэпидемических (профилактических) мероприятий и профессиональная деятельность, связанная с трансплантацией (пересадкой) органов и (или) тканей, обращением донорской крови и (или) ее компонентов в медицинских целях;
- Медицинский работник– врач, медицинская сестра, на которого возложены функции по организации и непосредственному оказанию пациенту медицинской помощи в период наблюдения за ним и его лечения.
ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
- Основной задачей обеспечения безопасности ПДн при их обработке в Организации является предотвращение несанкционированного доступа к ним третьих лиц, предупреждение преднамеренных программно-технических и иных воздействий с целью хищения ПДн, разрушения (уничтожения) или искажения их в процессе обработки.
- Для обеспечения безопасности ПДн Организация руководствуется следующими принципами:
- законность: защита ПДн основывается на положениях нормативных правовых актов и методических документов уполномоченных государственных органов в области обработки и защиты ПДн;
- системность: обработка ПДн в Организации осуществляется с учетом всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, значимых для понимания и решения проблемы обеспечения безопасности ПДн;
- комплексность: защита ПДн строится с использованием функциональных возможностей информационных технологий, реализованных в информационных системах Организации и других имеющихся в Организации систем и средств защиты;
- непрерывность: защита ПДн обеспечивается на всех этапах их обработки и во всех режимах функционирования систем обработки ПДн, в том числе при проведении ремонтных и регламентных работ;
- своевременность: меры, обеспечивающие надлежащий уровень безопасности ПДн, принимаются до начала их обработки;
- преемственность и непрерывность совершенствования: модернизация и наращивание мер и средств защиты ПДн осуществляется на основании результатов анализа практики обработки ПДн в Организации с учетом выявления новых способов и средств реализации угроз безопасности ПДн, отечественного и зарубежного опыта в сфере защиты информации;
- персональная ответственность: ответственность за обеспечение безопасности ПДн возлагается на Работников в пределах их обязанностей, связанных с обработкой и защитой ПДн;
- минимизация прав доступа: доступ к ПДн предоставляется Работникам только в объеме, необходимом для выполнения их должностных обязанностей;
- гибкость: обеспечение выполнения функций защиты ПДн при изменении характеристик функционирования информационных систем персональных данных Организации, а также объема и состава обрабатываемых ПДн;
- специализация и профессионализм: реализация мер по обеспечению безопасности ПДн осуществляются Работниками, имеющими необходимые для этого квалификацию и опыт;
- эффективность процедур отбора кадров: кадровая положение Организации предусматривает тщательный подбор персонала и мотивацию Работников, позволяющую исключить или минимизировать возможность нарушения ими безопасности ПДн;
- наблюдаемость и прозрачность: меры по обеспечению безопасности ПДн должны быть спланированы так, чтобы результаты их применения были явно наблюдаемы (прозрачны) и могли быть оценены лицами, осуществляющими контроль;
- непрерывность контроля и оценки: устанавливаются процедуры постоянного контроля использования систем обработки и защиты ПДн, а результаты контроля регулярно анализируются.
- В Организации не производится обработка ПДн, несовместимая с целями их сбора. Если иное не предусмотрено федеральным законом, по окончании обработки ПДн в Организации, в том числе при достижении целей их обработки или утраты необходимости в достижении этих целей, обрабатывавшиеся Организацией ПНд уничтожатся или обезличиваются.
- При обработке ПДн обеспечиваются их точность, достаточность, а при необходимости – и актуальность по отношению к целям обработки. Организация принимает необходимые меры по удалению или уточнению неполных или неточных ПДн.
ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
Получение ПДн:
- Все ПД следует получать от самого субъекта. Если ПДн субъекта можно получить только у третьей стороны, то субъект должен быть уведомлен об этом или от него должно быть получено согласие.
- Оператор должен сообщить субъекту о целях, предполагаемых источниках и способах получения ПДн, характере подлежащих получению ПДн, перечне действий с ПДн, сроке, в течение которого действует согласие и порядке его отзыва, а также о последствиях отказа субъекта дать письменное согласие на их получение.
- Документы, содержащие ПДн создаются путем:
- копирования оригиналов документов (паспорт, документ об образовании, свидетельство ИНН, пенсионное свидетельство и др.);
- внесения сведений в учетные формы;
- получения оригиналов необходимых документов (трудовая книжка, медицинское заключение, характеристика и др.).
- Порядок доступа субъекта ПДн к его ПДн, обрабатываемым Организацией, определяется в соответствии с законодательством и определяется внутренними регулятивными документами Организации.
- Обработка ПДн
- Обработка персональных данных осуществляется: с согласия субъекта персональных данных на обработку его персональных данных; в случаях, когда обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации функций, полномочий и обязанностей; в случаях, когда осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных).
- Доступ Работников к обрабатываемым ПДн осуществляется в соответствии с их должностными обязанностями и требованиями внутренних регулятивных документов Организации.
- Допущенные к обработке ПДн Работники под роспись знакомятся с документами организации, устанавливающими порядок обработки ПДн, включая документы, устанавливающие права и обязанности конкретных Работников.
- Организацией производится устранение выявленных нарушений законодательства об обработке и защите ПДн.
- Цели обработки ПДн:
- обеспечение организации оказания медицинской помощи населению, в том числе ОМС, а также наиболее полного исполнения обязательств и компетенций в соответствии с Федеральными законами от 21 ноября 2011г № 323-ФЗ «Об основах охраны здоровья граждан Российской Федерации», от 12 апреля 2010 г. № 61-ФЗ «Об обращении лекарственных средств» и от 29 ноября 2010 года № 326-ФЗ «Об обязательном медицинском страховании граждан в Российской Федерации», Правилами предоставления медицинскими организациями платных медицинских услуг, утвержденными Постановлением Правительства Российской Федерации от 4 октября 2012 г. № 1006;
- осуществление трудовых отношений;
- осуществление гражданско-правовых отношений.
Категории субъектов персональных данных
- В Организации обрабатываются ПДн следующих субъектов:
- физические лица, состоящие с Организацией в трудовых отношениях;
- физические лица, являющие близкими родственниками сотрудников Организации;
- физические лица, уволившиеся из Организации;
- физические лица, являющиеся кандидатами на работу;
- физические лица, состоящие с Организацией в гражданско-правовых отношениях;
- физические лица, обратившиеся в Организацию за медицинской помощью.
- ПДн, обрабатываемые Организацией:
- данные полученные при осуществлении трудовых отношений;
- данные полученные для осуществления отбора кандидатов на работу в организацию;
- данные полученные при осуществлении гражданско-правовых отношений;
- данные полученные при оказании медицинской помощи.
Состав обрабатываемых в ООО «Глазная клиника «ОРИОНР» персональных данных Граждан,
обратившихся за оказанием медицинских услуг:
- фамилия
- имя
- отчество
- пол
- дата рождения
- территории постоянной регистрации пациента
- категория граждан
- СНИЛС
- территории страхования по ОМС
- тип документа, подтверждающего факт страхования по ОМС
- серия документа, подтверждающего факт страхования по ОМС
- номер документа, подтверждающего факт страхования по ОМС
- статус представителя пациента (если есть)
- фамилия представителя пациента
- имя представителя пациента
- отчество представителя пациента
- тип документа, удостоверяющего личность
- серия документа, удостоверяющего личность
- номер документа, удостоверяющего личность
- наименование района по месту регистрации пациента
- вид населенного пункта
- наименование населенного пункта по месту регистрации
- тип наименования улицы
- наименование улицы
- дом
- корпус/строение
- квартира/комната
- номер амбулаторной карты или истории болезни
- дата начала лечения
- дата окончания лечения
- исход заболевания
- исход обращения
- вид обращения
- отделение
- профиль койки
- диагноз основного заболевания по МКБ–Х
- диагноз сопутствующего заболевания по МКБ–Х
- стандарт оказания медицинской помощи
- условия оказания медицинской помощи
- медицинские услуги
- количество услуг
- количество койко-дней (дней лечения)
- дата начала выполнения услуги
- дата окончания выполнения услуги.
- Состав обрабатываемых в ООО «Глазная клиники «ОРИОН» персональных данных лиц, состоящих в трудовых отношениях с ООО «Глазная клиники «ОРИОН» (работники) или лиц, являющихся соискателями должностей в ООО «Глазная клиники «ОРИОН»:
- Фамилия;
- Имя;
- Отчество;
- Дата рождения;
- Пол;
- СНИЛС;
- Адрес по прописке;
- Адрес фактического проживания;
- Паспортные данные (серия, номер паспорт