Политика в отношении обработки персональных данных

1. Назначение и область действия документа

1.1. Настоящая политика Обособленного подразделения ООО «ЭРА» (далее – Общество) в отношении обработки персональных данных (далее – Политика) разработана в соответствии со ст. 18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», Конституцией РФ, Трудовым кодексом РФ, Федеральным законом от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановлением Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

1.2. Политика разработана в целях обеспечения реализации требований законодательства Российской Федерации в области обработки персональных данных (далее – ПД), направленного на обеспечение защиты прав Субъекта при обработке его ПД.

1.3. Политика предназначена для исполнения сотрудниками Общества, а также подлежит доведению до сведения лиц, состоящих в договорных, гражданско-правовых и иных отношениях с Обществом, а также других заинтересованных сторон.

1.4. Положения политики распространяются на отношения по обработке и защите ПД, полученных Обществом как до, так и после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите ПД, полученных до её утверждения.

2. Основные положения

2.1. В настоящей Политике используются следующие понятия:

• Персональные данные (ПД) – любые сведения, прямо или косвенно идентифицирующие физическое лицо, то есть субъект персональных данных (ФИО, дата рождения, паспортные данные и другая информация).
• Обработка персональных данных – любое действие (операция) в отношении персональных данных, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
• Безопасность персональных данных – защита конфиденциальности, целостности и доступности ПД в информационных системах Общества.
• Информационная система персональных данных (ИСПД) – комплекс баз данных и технологий для обработки ПД.
• Оператор – организация или лицо, выполняющие обработку ПД.
• Субъект – физическое лицо, которому принадлежат обрабатываемые персональные данные.
• Конфиденциальность персональных данных – обязанность оператора обеспечивать неразглашение ПД без согласия Субъекта или иного законного основания.
• Трансграничная передача персональных данных – передача персональных данных иностранным государствам, иностранным лицам или организациям.

2.2. В настоящей Политике обработка персональных данных осуществляется в отношении следующих категорий:

• Субъекты – пациенты, законные представители. Состав персональных данных и особенности их обработки описаны в пункте 6 настоящей Политики.
• Сотрудники – работники и уволенные работники. Состав персональных данных и особенности их обработки описаны в пункте 5 настоящей Политики.
• Иные – ординаторы, лица, привлечённые по договору подряда (ГПХ), представители контрагентов, посетители сайта, родственники работников, соискатели. Состав персональных данных и особенности их обработки описаны в пункте 7 настоящей Политики.

3. Цели обработки персональных данных

3.1. Обработка персональных данных (ПД) осуществляется Обществом в следующих целях:

• Оказание медицинских услуг, установление медицинского диагноза, в том числе с применением телемедицинских технологий; заключение и исполнение договоров на оказание платных медицинских услуг и иных соглашений; оказание сервисных услуг, связанных с созданием условий получения медицинской помощи и повышением качества обслуживания (сервис единого контакт-центра, личный кабинет, мобильное приложение), а также информирование о предоставляемых услугах, маркетинговых и/или рекламных акциях.
• Исполнение требований трудового законодательства и нормативных правовых актов, кадрового и бухгалтерского учета; обеспечение оперативной коммуникации, верификации личности в информационных системах Группы компаний; содействие работникам в трудоустройстве, обучении и карьерном продвижении; обеспечение безопасности работников, контроль качества выполняемой работы, сохранность имущества; расчёт и выплата заработной платы и иных вознаграждений, расчёт и перечисление налогов и страховых взносов.

4. Перечень действий с персональными данными, способы их обработки, хранения и уничтожения

4.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

4.2. Хранение ПД Субъектов, с которыми заключены договоры, соглашения и иные обязательства на оказание платных медицинских услуг, ведётся до достижения целей обработки или до утраты необходимости в их достижении.

4.3. Персональные данные Субъектов хранятся и обрабатываются как на бумажных носителях, так и в электронном виде.

4.4. Обработка персональных данных в Обществе осуществляется смешанным способом обработки ПД.

4.5. Персональные данные на бумажных носителях хранятся в запираемых шкафах либо в помещениях с ограниченным правом доступа.

4.6. Персональные данные Субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в отдельно организованных корпоративных сетевых хранилищах согласно категории данных и их назначению.

4.7. Не допускается хранение и размещение ПД в открытых интернет-ресурсах, облачных хранилищах или иных публичных и общедоступных информационных системах.

4.8. После истечения срока нормативного хранения ПД Субъектов на бумажных носителях создаётся комиссия, которая принимает решение об уничтожении персональных данных. На основании принятого решения ответственным сотрудником (или сотрудниками) Оператора производится физическое уничтожение бумажных носителей.

4.9. После истечения срока нормативного хранения ПД Субъектов в электронном виде ответственный сотрудник (или сотрудники) Оператора уничтожает данные с носителей путём стирания или форматирования, либо физически уничтожает сами носители.

4.10. Факт уничтожения персональных данных как на бумажном, так и на электронном носителе подтверждается документально актом об уничтожении.

4.11. Трансграничная передача данных Оператором не осуществляется.

5. Персональные данные сотрудника

5.1. В состав ПД работников Общества входят следующие данные:

• Фамилия, имя, отчество
• Пол
• Дата рождения
• Фотография
• Номер мобильного телефона
• Гражданство
• Реквизиты документов, удостоверяющих личность
• Номер СНИЛС
• Должность, место работы
• Данные трудового договора
• Данные трудовой книжки
• Сведения о трудовом и общем стаже
• Сведения из документов воинского учета
• Сведения об образовании, квалификации или наличии специальных знаний/подготовки
• Информация о состоянии здоровья в случаях, предусмотренных законодательством
• Данные листка нетрудоспособности
• Сведения об индивидуальном номере налогоплательщика (ИНН)
• Сведения о семейном положении
• Информация о доходах (заработной плате)
• Банковские реквизиты для зачисления заработной платы
• Справка об отсутствии судимости
• Иные сведения, предусмотренные законодательством РФ в рамках трудовых отношений с работником

5.2. Обработка ПД работника осуществляется на основании его письменного согласия, за исключением случаев, прямо предусмотренных действующим законодательством РФ.

5.3. Обработка ПД работника осуществляется в целях исполнения требований трудового законодательства, в рамках заключённого трудового договора, обеспечения безопасности работников, контроля качества выполняемой работы, обеспечения сохранности имущества, расчёта и выплаты заработной платы и иных вознаграждений, расчёта и перечисления налогов и страховых взносов.

5.4. ПД хранятся до достижения целей обработки. После этого данные уничтожаются комиссией с оформлением соответствующих подтверждающих документов.

6. Персональные данные субъекта

6.1. В состав ПД Субъекта входят:

• Фамилия, имя, отчество
• Пол
• Дата рождения
• Реквизиты документов, удостоверяющих личность
• Номер полиса ДМС
• СНИЛС
• Контактные данные (телефоны, адреса электронной почты и т.д.)
• Место регистрации и фактическое место жительства
• Другие персональные данные, включая специальные категории ПД (сведения о состоянии здоровья, сведения о законном представителе), полученные Оператором в связи с заключением или исполнением договора на оказание платных медицинских услуг, а также сведения, полученные при обращении в контакт-центр и иные данные, предусмотренные законодательством РФ.

6.2. Обработка ПД Субъекта осуществляется на основании его письменного согласия, а также в иных случаях, прямо предусмотренных действующим законодательством РФ. В случае недееспособности или недостижения лицом возраста 15 лет согласие на обработку его ПД даёт в письменной форме законный представитель.

6.3. Субъект ПД имеет право требовать от Оператора уточнения его ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

6.4. Обработка ПД Субъекта ведётся до полного достижения целей обработки. При достижении целей обработки ПД проходят процедуру уничтожения или обезличивания с составлением соответствующих подтверждающих документов.

7. Иные персональные данные

7.1. В состав категории иных ПД входят:

• Фамилия, имя, отчество
• Год, месяц и дата рождения
• Место рождения
• Семейное положение
• Пол
• Номер телефона
• СНИЛС
• ИНН
• Гражданство
• Данные документа, удостоверяющего личность
• Профессия, должность
• Сведения о трудовой деятельности (в том числе стаж работы, данные о текущей трудовой занятости с указанием наименования и расчётного счёта организации)
• Сведения об образовании
• Сведения о статистических данных с использованием метрических программ
• Иные сведения, предусмотренные законодательством Российской Федерации

7.2. Обработка категории иных ПД осуществляется на основании письменного согласия субъекта, за исключением случаев, прямо предусмотренных действующим законодательством РФ.

7.3. Обработка категории иных ПД осуществляется в целях исполнения требований трудового законодательства и нормативных правовых актов, кадрового и бухгалтерского учёта, оперативной коммуникации, контроля качества работы, обеспечения сохранности имущества, расчёта и выплаты заработной платы и иных вознаграждений, расчёта и перечисления налогов и страховых взносов.

7.4. Иные ПД хранятся до достижения целей обработки. После этого данные уничтожаются комиссией с оформлением соответствующих подтверждающих документов.

8. Положения Политики

8.1. При обработке ПД работника Общество следует требованиям, установленным ст. 86 ТК РФ, в частности:

• ПД работника следует получать непосредственно от него. Если данные могут быть получены от третьих лиц, необходимо заранее уведомить работника и получить его письменное согласие.
• Обеспечить защиту персональных данных работника от неправомерного их использования за счёт собственных средств работодателя.
• Знакомить работников под роспись с локальными нормативными актами, устанавливающими порядок обработки персональных данных работников.

8.2. Общество, в связи с исполнением обязательств по договорам оказания платных медицинских услуг, имеет право создавать информационные системы, содержащие данные о пациентах и об оказываемых им медицинских услугах, с соблюдением установленных законодательством РФ требований о защите ПД и соблюдением врачебной тайны.

8.3. Обработка и обеспечение безопасности ПД в Обществе осуществляется в соответствии с требованиями Конституции РФ, Трудового кодекса РФ, Федерального закона №152-ФЗ «О персональных данных», подзаконных актов, Федерального закона №323-ФЗ «Об основах охраны здоровья граждан в РФ», а также других федеральных законов, руководящих и методических документов ФСТЭК России и ФСБ России.

8.4. При обработке ПД Общество придерживается следующих мер и принципов:

• Обработка ПД осуществляется только на законной и справедливой основе.
• Общество соблюдает все требования конфиденциальности ПД согласно ст. 7 №152-ФЗ «О персональных данных».
• Общество принимает меры, предусмотренные ч. 2 ст. 18.1, ч. 1 ст. 19 №152-ФЗ «О персональных данных».
• Общество не раскрывает третьим лицам и не распространяет ПД без согласия Субъекта (если иное не предусмотрено законодательством РФ).
• Общество определяет конкретные законные цели до начала обработки (в т.ч. сбора) ПД.
• Общество собирает необходимые и достаточные для заявленной цели обработки ПД (исполнение условий договора оказания платных медицинских услуг).
• Уничтожение ПД в Обществе происходит при достижении целей обработки, при утрате необходимости в их достижении или при отзыве согласия субъекта ПД.

8.5. В случаях, установленных законодательством РФ, Общество вправе осуществлять передачу ПД Субъектов третьим лицам.

8.6. Лица, осуществляющие обработку персональных данных по поручению Общества, обязаны соблюдать принципы и правила обработки и защиты персональных данных, установленные Федеральным законом №152-ФЗ «О персональных данных». С третьими лицами заключается договор, который определяет:

• Перечень операций с персональными данными, выполняемых третьим лицом.
• Цели обработки персональных данных.
• Обязанность третьего лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке.
• Требования к защите обрабатываемых персональных данных, включая технические и организационные меры безопасности.

9. Права Субъекта в части обработки персональных данных

9.1. Субъект, ПД которого обрабатываются, имеет право (за исключением ограничения этого права федеральными законами РФ):

9.1.1. Получать от Общества:

• Подтверждение факта обработки ПД.
• Сведения о правовых основаниях и целях обработки ПД.
• Сведения о целях и применяемых Обществом способах обработки ПД.
• Сведения о наименовании и местонахождении Общества.
• Сведения о порядке осуществления Субъектом прав, предусмотренных Федеральным законом №152-ФЗ «О персональных данных».
• Сведения об обрабатываемых ПД, относящихся к соответствующему Субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом.
• Иные сведения, предусмотренные Федеральным законом №152-ФЗ «О персональных данных» или другими федеральными законами, а также наименование, ФИО или адрес лица, осуществляющего обработку ПД по поручению Общества, если обработка поручена или будет поручена такому лицу.

9.1.2. Требовать уточнения своих ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

9.1.3. Отозвать своё согласие на обработку персональных данных путём направления письменного уведомления Оператору. В таком случае Оператор обязан прекратить обработку персональных данных в течение срока, необходимого для технической реализации данного требования, начиная с момента получения уведомления. Действие настоящего подпункта применяется в части, не противоречащей действующему законодательству Российской Федерации.

9.1.4. Требовать устранения неправомерных действий Общества в отношении его ПД.

9.1.5. Обжаловать действия или бездействие Общества в отношении персональных данных Субъекта в порядке, предусмотренном законодательством Российской Федерации.

10. Сведения о реализуемых требованиях к защите персональных данных

10.1. К применяемым мерам по защите ПД в Обществе в соответствии со ст. 18 и 19 Федерального закона №152-ФЗ «О персональных данных» относятся, в том числе, следующие:

• Назначение лица, ответственного за организацию обработки ПД, и лиц, ответственных за обеспечение безопасности ПД.
• Разработка и утверждение локальных актов по вопросам обработки и защиты ПД.
• Применение правовых, организационных и технических мер по обеспечению безопасности ПД.
• Ознакомление работников Общества, осуществляющих обработку ПД, с положениями законодательства РФ о ПД, включая требования к защите ПД, локальными актами по вопросам обработки и защиты ПД, а также обучение работников.
• Проведение оценки вреда, который может быть причинён субъектам ПД в случае нарушений законодательства.
• Осуществление внутреннего контроля обработки ПД на соответствие требованиям законодательства, нормативным правовым актам, требованиям к защите ПД, политике Оператора и локальным актам Общества.
• Определение угроз безопасности персональных данных при их обработке в ИСПД.

11. Заключительные положения

11.1. Пересмотр положений настоящей Политики проводится периодически, не реже чем 1 раз в год, а также в следующих случаях:

• При изменении законодательства РФ в области обработки и защиты ПД.
• При изменении целей обработки ПД, структуры информационных и/или телекоммуникационных систем (или введении новых).
• При применении новых технологий обработки ПД (в том числе передачи и хранения).
• При появлении необходимости в изменении процесса обработки ПД, связанной с деятельностью Общества.
• По результатам контроля выполнения требований по обработке и защите ПД.
• По решению руководителя Общества.

12. Контактная информация

Субъекты, чьи персональные данные обрабатываются Обществом, могут направлять вопросы по обработке своих ПД в Общество по следующим адресам:

• Адрес электронной почты: reutovclinic@yandex.ru
• Юридический адрес: Московская область, г.о. Реутов, г. Реутов, ул. Ашхабадская, д. 3

Согласно ст. 14 п. 3 №152-ФЗ «О персональных данных» в тексте запроса в целях идентификации Субъекта необходимо указать:

• Фамилию, имя, отчество Субъекта или его законного представителя, осуществляющего запрос.
• Номер документа, удостоверяющего личность Субъекта (или его законного представителя), сведения о дате выдачи указанного документа и выдавшем его органе.
• Сведения, подтверждающие участие в отношениях с Обществом (номер договора, ФИО Субъекта), либо сведения, иным способом подтверждающие факт обработки ПД Обществом.
• Подпись Субъекта (или его законного представителя). Если запрос отправляется в электронном виде, то он должен быть оформлен в виде электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

12.1. Если в обращении (запросе) Субъекта персональных данных не отражены все необходимые сведения в соответствии с требованиями Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» или Субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

12.2. Оператор обязан предоставить Субъекту доступ к его ПД в течение 30 календарных дней с момента получения запроса. Срок может быть продлён ещё на 5 дней с уведомлением Субъекта.

12.3. Информация предоставляется в той же форме, в какой поступил запрос, если иное не указано.