ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Положение об обработке и защите персональных данных (далее – Положение) определяет цели, содержание и порядок обработки персональных данных, меры, направленные на защиту персональных данных, а также процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в области персональных данных в Акционерном обществе «Клиника доктора Парамонова» (далее – АО «Клиника доктора Парамонова» или Общество).

1.2. Настоящее Положение разработано в соответствии со следующими нормативно-правовыми актами:

• Конституцией Российской Федерации от 12.12.1993;
• Трудовым Кодексом Российской Федерации;
• Гражданским кодексом Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральным законом от 26.12.1995 № 208-ФЗ «Об акционерных обществах» (Об АО);
• Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральным законом от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• Законом Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей»;
• Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Постановлением Правительства Российской Федерации от 16.04.2012 № 291 «О лицензировании медицинской деятельности»;
• Постановлением Правительства Российской Федерации от 04.10.2012 № 1006 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг»;
• Приказом Минздрава СССР от 04.10.1980 № 1030 «Об утверждении форм первичной медицинской документации учреждений здравоохранения»;
• Приказом Министерства здравоохранения и социального развития Российской Федерации (Минздравсоцразвития России) от 12.04.2011 № 302н «Об утверждении перечней вредных и (или) опасных производственных факторов и работ, при выполнении которых проводятся обязательные предварительные и периодические медицинские осмотры (обследования), и Порядка проведения обязательных предварительных и периодических медицинских осмотров (обследований) работников, занятых на тяжелых работах и на работах с вредными и (или) опасными условиями труда»;
• Приказом Федерального архивного агентства от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения»;
• Приказом Министерства здравоохранения Российской Федерации от 30.12.2014 № 956н «Об информации, необходимую для проведения независимой оценки качества оказания услуг медицинскими организациями, и требованиях к содержанию и форме предоставления информации о деятельности медицинских организаций, размещаемой на официальных сайтах Министерства здравоохранения Российской Федерации, органов государственной власти субъектов Российской Федерации, органов местного самоуправления и медицинских организаций в информационно-телекоммуникационной сети «Интернет»;
• Уставом АО «Клиника доктора Парамонова»;
• Лицензией Министерства здравоохранения Саратовской области на осуществление медицинской деятельности;
• иными федеральными и ведомственными нормативными правовыми актами и локальными актами АО «Клиника доктора Парамонова».

1.3. Обработка персональных данных в АО «Клиника доктора Парамонова» осуществляется с соблюдением принципов и условий, предусмотренных настоящим Положением и законодательством Российской Федерации в области персональных данных.

1.4. Перечень сокращений и определений:

• Документированная информация – зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.
• Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

2. Виды и местонахождение ПДн

2.1. В Обществе обрабатываются персональные данные следующих субъектов ПДн:

• работники АО «Клиника доктора Парамонова» (лица, являющиеся соискателями на замещение вакантных должностей АО «Клиника доктора Парамонова»;
• пациенты АО «Клиника доктора Парамонова»;(действительные пациенты, потенциальные пациенты, члены семей, иные родственники, представители (в силу закона и по доверенности) действительных и потенциальных пациентов,
• представители контрагентов (сотрудники и представители сторонних медицинских организаций, сотрудники и представители действующих контрагентов (юридических лиц, индивидуальных предпринимателей);
• действующие и потенциальные контрагенты АО «Клиника доктора Парамонова» (физические лица);
• сотрудники и представители действующих и потенциальных контрагентов АО «Клиника доктора Парамонова» (юридических лиц, индивидуальных предпринимателей );
• посетители частных и публичных мероприятий, организованных АО «Клиника доктора Парамонова»;
• сотрудники (представители, контактные лица) АО «Клиника доктора Парамонова»;
• сотрудники АО «Клиника доктора Парамонова», являющиеся гражданами иностранных государств);
• члены семей сотрудников АО «Клиника доктора Парамонова»;
• получатели алиментов от сотрудников АО «Клиника доктора Парамонова»;
• сотрудники юридических лиц и физические лица, представляющие интересы АО «Клиника доктора Парамонова»;
• лица, участвующие в гражданском, арбитражном, уголовном, административном процессах и исполнительном производстве (участником которых является АО «Клиника доктора Парамонова»);
• посетители помещений, зданий и территории АО «Клиника доктора Парамонова»;
• физические лица, являющиеся акционерами, члены органов управления, контрольные органы, входящих в группу лиц АО «Клиника доктора Парамонова»;
• физические лица, являющиеся субъектами информационных сюжетов, рассылок и иных материалов АО «Клиника доктора Парамонова»;
• физические лица, в отношении которых в соответствии с положениями федерального закона персональные данные являются общедоступными, подлежат обязательному раскрытию или опубликованию, подлежат внесению в общедоступные государственные реестры или информационные системы;
• лица, которым оказывается благотворительная, социально значимая, культурная помощь, не связанных с основной деятельностью АО «Клиника доктора Парамонова»;
• посетители сайта АО «Клиника доктора Парамонова».

2.2. Персональные данные субъектов ПДн – работников Общества, содержатся в документах персонального учета работников – личном деле, трудовой книжке, в иных документах, формируемых в процессе осуществления профессиональной деятельности уполномоченных работников Общества.

Персональные данные субъектов ПДн – работников Общества, содержатся также в информационной системе Общества, доступ к которой предоставлен ограниченному кругу работников АО «Клиника доктора Парамонова».

2.3. Персональные данные субъектов ПДн, не являющихся работниками Общества, содержатся в документах, касающихся процесса оказания медицинских услуг, а также заключаемых с ними договорах, документах, относящихся к исполнению данных договоров, и ИСПДн, доступ к которым предоставлен ограниченному кругу работников Общества.

3. Цели обработки персональных данных

3.1. Персональные данные обрабатываются в АО «Клиника доктора Парамонова» в целях:

• обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов АО «Клиника доктора Парамонова»;
• организации и осуществления комплекса мероприятий, направленных на поддержание и (или) восстановление здоровья и включающих в себя предоставление медицинских услуг, в том числе профилактику, диагностику и лечение заболеваний, медицинскую реабилитацию;
• организации и проведения мероприятий, направленных на повышение узнаваемости и лояльности в отношении АО «Клиника доктора Парамонова», а также продвижение услуг АО «Клиника доктора Парамонова»;
• осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на АО «Клиника доктора Парамонова», в том числе по предоставлению персональных данных в органы государственной власти, в Пенсионный фонд Российской Федерации, в Фонд социального страхования Российской Федерации, в Федеральный фонд обязательного медицинского страхования, а также в иные государственные органы;
• выполнения АО «Клиника доктора Парамонова» требований трудового законодательства, законодательства по учету труда и его оплаты (содействие в трудоустройстве, обучение и продвижение по службе, обеспечение личной безопасности, контроль количества и качества выполняемой работы, обеспечение сохранности имущества);
• сохранения жизни и здоровья сотрудников АО «Клиника доктора Парамонова» в процессе трудовой деятельности и выявление нарушений состояния здоровья и медицинских противопоказаний к работе у сотрудников АО «Клиника доктора Парамонова» (включая освидетельствование, предусмотренное Трудовым кодексом РФ, другими федеральными законами и иными нормативными правовыми актами РФ), а также выполнения требований действующего законодательства по расследованию и учету несчастных случаев, происшедших с сотрудниками АО «Клиника доктора Парамонова»;
• замещения вакантных должностей в АО «Клиника доктора Парамонова» соискателями, наиболее полно соответствующими требованиям АО «Клиника доктора Парамонова»;
• предоставления работникам АО «Клиника доктора Парамонова» и членам их семей дополнительных гарантий и компенсаций, в том числе негосударственного пенсионного обеспечения, добровольного медицинского страхования, медицинского обслуживания и других видов социального обеспечения;
• защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
• подготовки, заключения, исполнения и прекращения договоров с клиентами и контрагентами, а также оформление доверенностей на представление интересов АО «Клиника доктора Парамонова»;
• противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
• обеспечения внутриобъектового режима в помещениях АО «Клиника доктора Парамонова»;
• формирования справочных материалов для информационного обеспечения деятельности и облегчения коммуникаций между сотрудниками АО «Клиника доктора Парамонова», подразделений, представительств и филиалов;
• размещения сведений о работниках АО «Клиника доктора Парамонова» на официальном сайте клиники, информационных стендах, расположенных в помещениях по адресам: г. Саратов, ул. Техническая, д. 10 а, г. Саратов, им. Чапаева В.И., д. 90, а также в иных источниках и материалах, действующих в интересах и для продвижения услуг АО «Клиника доктора Парамонова»;
• исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
• осуществления прав и законных интересов АО «Клиника доктора Парамонова» в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами АО «Клиника доктора Парамонова», или третьих лиц либо достижения общественно значимых целей;
• осуществления дистанционного взаимодействия АО «Клиника доктора Парамонова» с пациентами и иными заинтересованными лицами в рамках сервисно-информационного обслуживания путем использования телефонной связи, служб мгновенных сообщений, IP-телефонии, электронной почты;
• осуществления дистанционного взаимодействия АО «Клиника доктора Парамонова» с пациентами и иными заинтересованными лицами посредством сайта АО «Клиника доктора Парамонова» в сети «Интернет»;
• заполнения и передачи в органы исполнительной власти и иные уполномоченные организации требуемых форм отчетности;
• ведения бухгалтерского учета;
• организация и осуществления в АО «Клиника доктора Парамонова» внутреннего контроля качества медицинской помощи и внутренних производственных процессов;
• анализа посещаемости и оптимизации работы сайта АО «Клиника доктора Парамонова»;
• участия в благотворительных, социально значимых, культурных проектах, не связанных с основной деятельностью АО «Клиника доктора Парамонова», (в т.ч. сбор благотворительных пожертвований, оплата благотворительных пожертвований);
• в иных законных целях.

3.2. Общество собирает персональные данные только в объеме, необходимом для достижения названных целей. Допускаются иные цели обработки персональных данных в случае, если указанные действия не противоречат действующему законодательству, деятельности Общества и на проведение указанной обработки получено согласие клиента Общества.

4. Основные условия проведения обработки персональных данных

4.1. Обработка персональных данных осуществляется:

• при наличии согласия субъекта персональных данных, за исключением случаев, предусмотренных частью 1 статьи 6 Федерального закона № 152-ФЗ;
• после направления уведомления об обработке персональных данных, за исключением случаев, предусмотренных частью 2 статьи 22 Федерального закона № 152-ФЗ.

4.2. В Обществе приказом директора определяется перечень лиц, допущенных к обработке персональных данных.

4.3. Лица, допущенные к обработке персональных данных, в обязательном порядке под роспись знакомятся с требованиями настоящего документа и подписывают обязательство о неразглашение информации, содержащей персональные данные.

4.4. Запрещается:

• обрабатывать персональные данные в присутствии лиц, не допущенных к их обработке;
• осуществлять ввод персональных данных удаленно под диктовку;
• обрабатывать персональные данные до принятия необходимых мер по защите персональных данных.

5. Обработка персональных данных в целях кадрового делопроизводства

5.1. В целях, указанных в части 3 настоящего Положения, АО «Клиника доктора Парамонова» обрабатываются следующие категории персональных данных:

5.1.1. фамилия, имя, отчество;

5.1.2. число, месяц, год рождения;

5.1.3. место рождения;

5.1.4. вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;

5.1.5. адрес места жительства (адрес регистрации, фактического проживания);

5.1.6. номер контактного телефона или сведения о других способах связи;

5.1.7. реквизиты страхового свидетельства государственного пенсионного страхования;

5.1.8. идентификационный номер налогоплательщика;

5.1.9. реквизиты страхового медицинского полиса обязательного медицинского страхования;

5.1.10. реквизиты свидетельства государственной регистрации актов гражданского состояния;

5.1.11. семейное положение, состав семьи и сведения о близких родственниках;

5.1.12. сведения о трудовой деятельности;

5.1.13. сведения о воинском учете и реквизиты документов воинского учета;

5.1.14. сведения об образовании, в том числе о послевузовском профессиональном образовании (наименование и год окончания образовательного учреждения, наименование и реквизиты документа об образовании, квалификация, специальность по документу об образовании);

5.1.15. фотография;

5.1.16. реквизиты банковских счетов для начисления заработной платы;

5.1.17. сведения о состоянии здоровья (включая информацию о перенесенных заболеваниях, проведенном косметологическом вмешательстве и медикаментозных процедурах, диагноз и т.д.);

5.1.18. иные персональные данные, необходимые для достижения целей, предусмотренных пунктом 3.1 настоящего Положения.

5.2. Обработка персональных данных работников АО «Клиника доктора Парамонова» может осуществляться без согласия указанных лиц в рамках целей, определенных пунктом 3.1 настоящего Положения, в соответствии с пунктом 2 части 1 статьи 6 Федерального закона «О персональных данных» и положениями Трудового кодекса Российской Федерации.

5.3. Обработка специальных категорий персональных данных работников АО «Клиника доктора Парамонова» осуществляется без согласия указанных лиц в рамках целей, определенных пунктом 3.1 настоящего Положения, в соответствии с подпунктом 2.3 пункта 2 части 2 статьи 10 Федерального закона «О персональных данных» и положениями Трудового кодекса Российской Федерации, за исключением случаев получения персональных данных работника у третьей стороны (в соответствии с пунктом 3 статьи 86 Трудового кодекса Российской Федерации требуется письменное согласие работников).

5.4. Обработка персональных данных работников АО «Клиника доктора Парамонова» осуществляется лицами, уполномоченными директором на ведение кадровой работы и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

5.5. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных работников АО «Клиника доктора Парамонова» осуществляется путем:

5.5.1. получения оригиналов необходимых документов (заявление, трудовая книжка, автобиография, иные документы, предоставляемые лицу, уполномоченному по кадрам Общества);

5.5.2. копирования оригиналов документов;

5.5.3. внесения сведений в учетные формы (на бумажных и электронных носителях);

5.5.4. формирования персональных данных в ходе кадровой работы;

5.5.5. внесения персональных данных в информационную систему Общества, используемую уполномоченными лицами АО «Клиника доктора Парамонова».

5.6. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных непосредственно от работников АО «Клиника доктора Парамонова».

5.7. В случае возникновения необходимости получения персональных данных работников АО «Клиника доктора Парамонова» у третьей стороны, следует известить об этом субъектов персональных данных, получить их письменное согласие и сообщить им о целях, предполагаемых источниках и способах получения персональных данных.

5.8. Запрещается получать, обрабатывать и приобщать к личному делу работника АО «Клиника доктора Парамонова», не предусмотренные пунктом 5.1 настоящего Положения персональные данные, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

5.9. При сборе персональных данных уполномоченные сотрудники Общества, осуществляющие сбор (получение) персональных данных непосредственно от работника, обязаны разъяснить ему юридические последствия отказа предоставить персональные данные.

5.10. Передача (распространение, предоставление) и использование персональных данных работников АО «Клиника доктора Парамонова» осуществляется лишь в случаях и в порядке, предусмотренных федеральными законами.

6. Обработка персональных данных в информационных системах персональных данных, осуществляемая с использованием средств автоматизации

6.1. Обработка персональных данных в информационных системах персональных данных осуществляется в соответствии с требованиями постановления Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», нормативных и руководящих документов уполномоченных федеральных органов исполнительной власти.

6.2. Обработка персональных данных осуществляется в информационных системах персональных данных «Бухгалтерия и кадры» и «Медицинский центр».

6.3. Информационная система «Бухгалтерия и кадры» содержит персональные данные работников АО «Клиника доктора Парамонова», а также физических лиц, являющихся стороной гражданско-правовых договоров, заключаемых Обществом, и включает:

6.3.1. фамилию, имя, отчество субъекта персональных данных;

6.3.2. дату рождения субъекта персональных данных;

6.3.3. место рождения субъекта персональных данных;

6.3.4. серию и номер основного документа, удостоверяющего личность субъекта персональных данных, сведения о дате выдачи указанного документа и выдавшем его органе;

6.3.5. адрес места жительства субъекта персональных данных;

6.3.6. почтовый адрес субъекта персональных данных;

6.3.7. телефон субъекта персональных данных;

6.3.8. ИНН субъекта персональных данных;

6.3.9. табельный номер субъекта персональных данных;

6.3.10. должность субъекта персональных данных;

6.3.11. номер приказа и дату приема на работу (увольнения) субъекта персональных данных;

6.3.12. банковскую и расчетную информацию.

6.3.13. дополнительную информацию, касающуюся субъекта персональных данных.

6.4. Информационная система «Медицинский центр» включает в себя:

6.4.1. фамилию, имя, отчество субъекта персональных данных;

6.4.2.дату рождения субъекта персональных данных;

6.4.3.серию и номер основного документа, удостоверяющего личность субъекта;

6.4.4. персональных данных, сведения о дате выдачи указанного документа и выдавшем его органе;

6.4.5. данные страхового медицинского полиса;

6.4.6. адрес места жительства субъекта персональных данных;

6.4.7. телефон субъекта персональных данных;

6.4.8. сведения о состоянии здоровья субъекта персональных данных;

6.4.9. сведения о профессии субъекта персональных данных;

6.4.10. табельный номер субъекта персональных данных;

6.4.11. должность субъекта персональных данных;

6.4.12. дополнительную информацию, касающуюся субъекта персональных данных.

6.5. Определение необходимых уровней защищенности информационных систем персональных данных осуществляется в порядке, установленном законодательством Российской Федерации.

6.6. Обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, а также принятия следующих мер по обеспечению безопасности:

6.6.1. определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

6.6.2. применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

6.6.3. применение прошедших в установленном порядке процедур оценки соответствия средств защиты информации;

6.6.4. оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

6.6.5. учет машинных носителей персональных данных;

6.6.6. обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;

6.6.7. восстановление персональных данных, модифицированных или удаленных, уничтоженных вследствие несанкционированного доступа к ним;

6.6.8. установление правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;

6.6.9. контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровней защищенности информационных систем персональных данных.

6.7. При отсутствии технологической возможности осуществления автоматизированной обработки персональных данных в электронном виде на внешних носителях информации необходимо принимать организационные (охрана помещений) и технические меры (установка сертифицированных средств защиты информации), исключающие возможность несанкционированного доступа к персональным данным лиц, не допущенных к их обработке.

6.8. При несовместимости целей автоматизированной обработки персональных данных, зафиксированных на одном электронном носителе, если электронный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных, в частности:

6.8.1 при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных;

6.8.2. при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.

6.9. Работники АО «Клиника доктора Парамонова», назначенные ответственными за безопасность персональных данных при их обработке в информационных системах персональных данных, должны обеспечивать:

6.9.1. своевременное обнаружение фактов несанкционированного доступа к персональным данным и немедленное доведение этой информации до ответственного за организацию обработки персональных данных;

6.9.2. недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;

6.9.3. возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

6.9.4. постоянный контроль за обеспечением уровня защищенности персональных данных;

6.9.5. знание и соблюдение условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

6.9.6. учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;

6.9.7. при обнаружении нарушений порядка предоставления персональных данных незамедлительное приостановление предоставления персональных данных пользователям информационной системы персональных данных до выявления причин нарушений и устранения этих причин;

6.9.8. разбирательство и составление заключений по фактам несоблюдения условий хранения материальных носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений.

6.10. Администратор информационной безопасности принимает все необходимые меры по восстановлению персональных данных, модифицированных или удаленных, уничтоженных вследствие несанкционированного доступа к ним.

6.11. Обмен персональными данными при их обработке в информационных системах персональных данных осуществляется по каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и путем применения программных и технических средств.

6.12. Доступ работников АО «Клиника доктора Парамонова» к персональным данным, находящимся в информационной системе персональных данных Общества, предусматривает обязательное прохождение процедуры идентификации и аутентификации.

6.13. В случае выявления нарушений порядка обработки персональных данных в информационной системе персональных данных уполномоченными должностными лицами незамедлительно принимаются меры по установлению причин нарушений и их устранению.

7. Обработка персональных данных, осуществляемая без использования средств автоматизации

7.1. Обработка персональных данных без использования средств вычислительной техники (далее — неавтоматизированная обработка персональных данных) осуществляется в виде документов на бумажных носителях.

7.2. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).

7.3. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.

7.4. При неавтоматизированной обработке персональных данных на бумажных носителях документы, содержащие персональные данные, формируются в дела в зависимости от цели обработки персональных данных.

7.5. Лица, осуществляющие обработку персональных данных без использования средств автоматизации (в том числе работники Общества или лица, осуществляющие такую обработку по договору с Обществом), должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется Обществом без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами организации (при их наличии).

При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее – типовая форма), должны соблюдаться следующие условия:

7.6.1. типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации; имени (наименовании) и адресе Общества; фамилию, имя, отчество и адрес субъекта персональных данных; источник получения персональных данных; сроки обработки персональных данных; перечень действий с персональными данными, которые будут совершаться в процессе их обработки; общее описание используемых Обществом способов обработки персональных данных;

7.6.2. типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, - при необходимости получения письменного согласия на обработку персональных данных;

7.6.3. типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;

7.6.4.типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.

7.6. Документы и внешние электронные носители информации, содержащие персональные данные, должны храниться в служебных помещениях в надежно запираемых шкафах (сейфах). При этом должны быть созданы надлежащие условия, обеспечивающие их сохранность.

7.7. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

7.8. Ведение журналов, содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных на территорию Общества, осуществляется в случае, если отсутствует система контроля доступа в здание (помещение) Общества.

7.9. Для ведения журналов, указанных в п. 7.9, должны выделяться лица, ответственные за ведение и сохранность журналов. При ведении подобного журнала должны соблюдаться следующие условия:

7.9.1. копирование содержащейся в таких журналах (реестрах, книгах) информации не допускается;

7.9.2. персональные данные каждого субъекта персональных данных могут заноситься в такой журнал (книгу, реестр) не более одного раза в каждом случае пропуска субъекта персональных данных на территорию, на которой находится Общество.

8. Получение персональных данных

8.1. Общество должно получать персональные данные непосредственно от субъекта персональных данных.

В случаях, когда необходимые персональные данные субъекта возможно получить только у третьей стороны, Общество должно уведомить об этом субъекта персональных данных и получить от него письменное согласие.

Согласие субъекта на получение его персональных данных от третьих лиц не требуется в случаях, когда согласие субъекта получено от него в письменной форме при заключении договора с Обществом (только персональных данных, указанных в договоре), а также в случаях, установленных Федеральным законом № 152-ФЗ.

8.2. При приеме на работу субъекты персональных данных – работники предоставляют свои персональные данные в соответствии с перечнем документов, определенным в локальном нормативном акте Общества, регулирующим порядок приема на работу.

8.3. Запрещается требовать от лица, поступающего на работу, документы, помимо предусмотренных Трудовым кодексом Российской Федерации, иными нормативными правовыми актами Российской Федерации.

8.4. Общество имеет право проверять достоверность сведений, предоставленных субъектом ПДн, сверяя данные, предоставленные субъектом, с имеющимися у Общества документами.

8.5. Общество до начала обработки персональных данных обязано сообщить субъекту наименование и адрес Общества, цель обработки персональных данных и ее правовое основание (включая информацию о характере подлежащих обработке персональных данных и об источниках получения персональных данных), предполагаемых пользователей персональных данных, способы обработки персональных данных, а также порядок отказа субъекта персональных данных от предоставления права на обработку своих персональных данных (если для обработки персональных данных требуется согласие субъекта персональных данных) и возможные последствия такого отказа.

8.6. В случае обработки ПДн на основании письменного согласия, согласие субъекта ПДн должно включать:

8.6.1. фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

8.6.2. наименование и адрес Общества, получающего согласие субъекта;

8.6.3. цель обработки персональных данных;

8.6.4. перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

8.6.5. наименование или фамилию, имя, отчества и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

8.6.6. перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых Обществом способов обработки персональных данных;

8.6.7. срок, в течение которого действует согласие, а также порядок его отзыва;

8.6.8. подпись субъекта персональных данных.

8.7. При изменении персональных данных субъект – работник Общества уведомляет Общество о таких изменениях. Данное обязательство не распространяется на изменение персональных данных, предоставление которых требует соответствующего согласия работника.

9. Сроки обработки и хранения персональных данных

9.1. Сроки обработки и хранения персональных данных работников Общества, граждан, претендующих на замещение должностей Общества, определяются в соответствии с законодательством Российской Федерации. С учетом положений законодательства Российской Федерации, устанавливаются следующие сроки обработки и хранения персональных данных работников:

9.2. Персональные данные, содержащиеся в приказах по личному составу работников Общества (о приеме, о переводе, об увольнении, об установлении надбавок), подлежат хранению в течение двух лет, с последующим формированием и передачей указанных документов в архив Общества в порядке, предусмотренном законодательством Российской Федерации, где хранятся в течение 75 лет.

9.3. Персональные данные, содержащиеся в личных делах работников Общества, а также личных карточках работников Общества, хранятся в течение десяти лет, с последующим формированием и передачей указанных документов в архив Общества в порядке, предусмотренном законодательством Российской Федерации, где хранятся в течение 75 лет.

9.4. Персональные данные, содержащиеся в приказах о предоставлении отпусков, о краткосрочных внутрироссийских и зарубежных командировках, о дисциплинарных взысканиях работников Общества, подлежат хранению в течение пяти лет с последующим уничтожением.

9.5. Персональные данные, содержащиеся в документах претендентов на замещение вакантной должности в Общества, хранятся в течение 6 месяцев со дня закрытия вакансии, после чего подлежат уничтожению.

9.6. Персональные данные, предоставляемые субъектами на бумажном носителе в связи с исполнением гражданско-правовых договоров, хранятся на бумажных носителях в структурных подразделениях Общества, к полномочиям которых относится обработка указанных персональных данных, в течение 5 лет после исполнения договора, если иное не предусмотрено договором.

9.7. Срок хранения персональных данных, внесенных в информационную систему персональных данных Общества, должен соответствовать сроку хранения бумажных оригиналов.

10. Порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований

10.1. Персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении, а также в случае выявления неправомерных действий с персональными данными и невозможностью устранения допущенных нарушений в срок, установленным законодательством.

10.2. Сотрудниками Общества, уполномоченными распоряжением (приказом) директора Общества, осуществляется систематический контроль и выделение документов, содержащих персональные данные, с истекшими сроками хранения, подлежащих уничтожению.

10.3. Вопрос об уничтожении выделенных документов, содержащих персональные данные, рассматривается на заседании Комиссии по уничтожению персональных данных Общества (далее – КУПД Общества), состав которой утверждается приказом Общества.

10.4. По итогам заседания составляется Акт об уничтожении документов, содержащих персональные данные, проверяется их комплектность, акт подписывается председателем и членами КУПД Общества и утверждается директором.

10.5. Обществом в соответствии с требованиями, установленными законодательством Российской Федерации, определяются порядок и сроки уничтожения документов.

10.6. Уничтожение по окончании срока обработки персональных данных на электронных носителях производится путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.

11. Права и обязанности субъектов ПДн

Субъекты ПДн – работники Общества.

11.1. Работники имеют право:

11.1.1. получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной);

11.1.2. осуществлять свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные, за исключением случаев, предусмотренных Федеральным законом № 152-ФЗ «О персональных данных»;

11.1.3. требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением. Работник при отказе кадрового органа исключить или исправить его персональные данные имеет право заявить в письменной форме о своем несогласии, обосновав соответствующим образом такое несогласие. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

11.1.4. требовать от Общества уведомления всех лиц, которым ранее были сообщены неверные или неполные их персональные данные, обо всех произведенных в них изменениях или исключениях из них;

11.1.5. обжаловать действия или бездействие работников Общества в установленном законом порядке, если работник, являющийся субъектом персональных данных, считает, что обработка его персональных данных осуществляется с нарушением требований Федерального закона № 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы.

11.2. Работники обязаны:

11.2.1. предоставлять в Общество достоверные, документированные персональные данные, соответствующие действительности;

11.2.2. своевременно сообщать Обществу об изменении своих персональных данных;

11.2.3. соблюдать правила обращения с документами, содержащими персональные данные, порядок их получения, обработки и хранения;

11.2.4. соблюдать правила обращения с документами, содержащими персональные данные, порядок их получения, обработки и хранения;

11.2.5. во время работы с документами, содержащими ПД, исключать возможность ознакомления с ними иных лиц, не имеющих доступа к данным документам;

11.2.6. при увольнении сдать руководителю структурного подразделения все имеющиеся в его распоряжении материальные носители информации, содержащей персональные данные;

11.2.7. при работе с носителями информации, относящейся к персональным данным субъектов ПДн:

11.2.8. немедленно сообщать своему непосредственному руководителю об их утрате, порче, недостаче или несанкционированном доступе других лиц;

11.2.9. покидая рабочее место, помещать материальные носители (документы) в сейфы, запираемые шкафы или тумбы;

11.2.10. сообщать непосредственному руководителю о любых нарушениях, касающихся обработки персональных данных субъектов ПДн;

11.2.11. выключать или блокировать компьютер при перерывах в работе с информацией, относящейся к персональным данным субъектов ПДн.

11.3. Работникам запрещается:

11.3.1. использовать информацию, относящуюся к персональным данным субъектов ПДн, в публикациях, открытых документах, выступлениях, переписке, рекламных материалах, презентациях, выставочных проспектах и информационных сообщениях;

11.3.2. выносить документы и другие носители, содержащие персональные данные, за пределы территории Общества без разрешения директора;

11.3.3. знакомить работников, не имеющих доступа к персональным данным субъектов ПДн по своим функциональным обязанностям, с документами, содержащими персональные данные, без разрешения (резолюции) директора Общества, а представителей субъектов ПДн, не являющихся работниками Общества – без наличия письменного согласия субъекта ПДн (за исключением случаев, когда передача персональных данных субъекта без его согласия допускается действующим законодательством РФ);

11.3.4. вести переговоры с передачей информации, относящейся к персональным данным субъектов ПД, в неприспособленных помещениях, в присутствии посторонних лиц;

11.3.5. разглашать сведения о составе находящихся у них носителей информации, относящейся к персональным данным субъектов ПДн и месте их хранения;

11.3.6. создавать несанкционированные копии (распечатывать, записывать на диктофон, сканировать, фотографировать и пр.) с материальных носителей (документов) информации, относящейся к персональным данным субъектов ПДн;

11.3.7. сообщать кому-либо свой пароль или передавать пароль для доступа к ресурсам ИСПДн;

11.3.8. использовать чужое имя пользователя и пароль для доступа к ресурсам ИСПДн.

11.4. Права и обязанности Общества в части обработки ПДн

11.4.1. Общество обязано:

• по письменному заявлению работника не позднее трех дней со дня подачи этого заявления выдавать последнему копии документов, связанных с работой (копии приказа о приеме на работу, приказов о переводах на другую работу, приказа об увольнении с работы; выписки из трудовой книжки; справки о заработной плате, периоде работы у данного работодателя и другое). Копии документов, связанных с работой, должны быть заверены надлежащим образом и предоставляться работнику безвозмездно;
• вести учет передачи персональных данных субъектов ПДн третьим лицам путем ведения соответствующих журналов, содержащих сведения о поступившем запросе, дате ответа на запрос, содержании переданной информации или отказе в ее предоставлении;
• в случае реорганизации или ликвидации Общества осуществлять учет, сохранность и передачу персональных данных работников на государственное хранение в соответствии с законодательством Российской Федерации.

Субъекты ПДн, получающие услуги Общества (клиенты), их законные представители и лица, являющиеся сторонами гражданско-правовых договоров с Обществом.

11.5. Субъект, персональные данные которого обрабатываются в Обществе, имеет право:

11.1.5. Получать доступ к своим персональным данным и ознакамливаться с ними.

11.1.6. Получать от Общества:

• подтверждение факта обработки персональных данных, а также цель такой обработки;
• сведения о способах обработки персональных данных, применяемых Обществом;
• сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
• перечень обрабатываемых персональных данных и источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.
• обжаловать действия или бездействие Общества в установленном законом порядке, если субъект персональных данных, считает, что обработка его персональных данных осуществляется с нарушением требований Федерального закона № 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы.

12. Лицо, ответственное за организацию обработки персональных данных Общества

12.1. Ответственный за организацию обработки персональных данных Общества назначается директором Общества из числа работников Общества.

12.2. Ответственный за обработку персональных данных Общества в своей работе руководствуется законодательством Российской Федерации в области персональных данных и настоящим Положением.

12.3. Ответственный за обработку персональных данных Общества обязан:

12.3.1. организовывать принятие правовых, организационных и технических мер для обеспечения защиты персональных данных, обрабатываемых в Обществе от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;

12.3.2. осуществлять внутренний контроль за соблюдением работниками Общества требований законодательства Российской Федерации в области персональных данных, в том числе требований к защите персональных данных;

12.3.3. доводить до сведения работников Общества положения законодательства Российской Федерации в области персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;

12.3.4. организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей, а также осуществлять контроль за приемом и обработкой таких обращений и запросов в Обществе;

12.3.5. в случае нарушения в Обществе требований к защите персональных данных принимать необходимые меры по восстановлению нарушенных прав субъектов персональных данных.

12.4. Ответственный за обработку персональных данных вправе:

12.4.1. иметь доступ к информации, касающейся обработки персональных данных в Обществе и включающей:

12.4.1.1. цели обработки персональных данных;

12.4.1.2. категории обрабатываемых персональных данных;

12.4.1.3. категории субъектов, персональные данные которых обрабатываются;

12.4.1.4. правовые основания обработки персональных данных;

12.4.1.5. перечень действий с персональными данными, общее описание используемых в Обществе способов обработки персональных данных;

12.4.1.6. описание мер, предусмотренных статьями 18.1 и 19 Федерального закона «О персональных данных», в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;

12.4.1.7. дату начала обработки персональных данных;

12.4.1.8. срок или условия прекращения обработки персональных данных;

12.4.1.9. сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;

12.4.1.10. сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации;

12.4.2. привлекать к реализации мер, направленных на обеспечение безопасности персональных данных, обрабатываемых в Обществе, иных работников Общества с возложением на них соответствующих обязанностей и закреплением ответственности.

12.5. Ответственный за обработку персональных данных Общества несет ответственность за надлежащее выполнение возложенных функций по организации обработки персональных данных в Обществе в соответствии с положениями законодательства Российской Федерации в области персональных данных.

13. Порядок ввода в действие и изменения документа

13.1. Настоящее Положение вступает в силу с момента его утверждения Генеральным директором Общества и действует бессрочно, до замены его новым Положением.

13.2. Пересмотр Положения в обязательном порядке осуществляется при изменении требований законодательства, а также по истечении 5 лет с даты утверждения.

13.3. Все изменения в Положение вносятся приказом.

13.4. Все работники Общества, имеющие доступ к ПДн, должны быть ознакомлены с настоящим Положением под роспись.