• Главная
• Юридическая информация

ПОЛИТИКА
в отношении обработки и защиты персональных данных
в АО «СЕВЕРО-ЗАПАДНЫЙ ЦЕНТР ДОКАЗАТЕЛЬНОЙ МЕДИЦИНЫ»

ОБЩИЕ ПОЛОЖЕНИЯ

1.1 Настоящая Политика в отношении обработки и защиты персональных данных (далее – Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» и иными нормативными правовыми актами.

1.2. Политика определяет порядок, цели, условия обработки персональных данных, меры по их защите, а также права субъектов персональных данных в АО «СЕВЕРО-ЗАПАДНЫЙ ЦЕНТР ДОКАЗАТЕЛЬНОЙ МЕДИЦИНЫ» (далее – Оператор).

1.3 Действие Политики распространяется на все процессы обработки персональных данных, осуществляемые с использованием средств автоматизации и без их использования.



ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор обрабатывает персональные данные для достижения следующих целей:

2.1. Оказание медицинских услуг, установление медицинского диагноза, проведение профилактических, лечебно-диагностических мероприятий.

2.2. Исполнение обязательств по договорам на оказание медицинских услуг.

2.3. Осуществление трудовых и гражданско-правовых отношений с сотрудниками и контрагентами.

2.4. Ведение кадрового делопроизводства, бухгалтерского и налогового учета.

2.5. Выполнение обязательств, предусмотренных законодательством (воинский учет, отчетность в государственные органы).

2.6. Обеспечение корректной работы и анализа использования веб-сайта Оператора.

2.7. Обработка запросов и обращений, направленных через веб-сайт (запись на прием, обратный звонок).

2.8. Информирование о мероприятиях, услугах и акциях Оператора.



ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Обработка персональных данных Оператором осуществляется в строгом соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и иными нормативными правовыми актами.

3.2. Правовые основания обработки персональных данных различаются в зависимости от категорий субъектов и целей обработки:

3.2.1. Обработка персональных данных пациентов (включая специальные категории данных – сведения о состоянии здоровья):
Правовое основание: Обработка необходима в целях установления медицинского диагноза, оказания медицинских и медико-санитарных услуг (п. 4 ч. 2 ст. 10 152-ФЗ).
Нормативное обоснование: Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».

3.2.2. Обработка данных пациентов, сотрудников и контрагентов (СНИЛС, ИНН):
Правовое основание: Обработка необходима для исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6 152-ФЗ).
Нормативное обоснование: Налоговый кодекс РФ, Федеральный закон «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования», Федеральный закон № 323-ФЗ.

3.2.3. Обработка персональных данных сотрудников:

Правовое основание:
а) Обработка необходима для исполнения трудового договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ).
б) Обработка необходима для исполнения обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6 152-ФЗ).
Нормативное обоснование: Трудовой кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Федеральный закон «О персональных данных», устанавливающие обязательства работодателя по ведению кадрового, налогового и воинского учета.

3.2.4. Обработка персональных данных кандидатов при трудоустройстве:

Правовое основание:
а) В отношении данных, предусмотренных статьей 65 Трудового кодекса РФ (ФИО, паспорт, СНИЛС, документы об образовании и др.), предоставленных для заключения трудового договора, – обработка необходима в связи с осуществлением преддоговорных отношений по инициативе субъекта данных (п. 5 ч. 1 ст. 6 152-ФЗ).
б) В отношении иных данных, предоставленных кандидатом сверх установленного перечня (например, в резюме, на собеседовании), – согласие субъекта на обработку его персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ). Согласие запрашивается в письменной форме или в форме электронного документа.

3.2.5. Обработка персональных данных контрагентов (физических лиц и представителей юридических лиц):

Правовое основание: Обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта (п. 5 ч. 1 ст. 6 152-ФЗ).

3.2.6. Обработка персональных данных пользователей (посетителей) сайта:

3.2.6.1 Данные, предоставляемые пользователем через формы обратной связи, записи на прием (ФИО, телефон, e-mail):

Правовое основание: Обработка необходима для заключения или исполнения договора (преддоговорные отношения по инициативе субъекта) (п. 5 ч. 1 ст. 6 152-ФЗ).

3.2.6.2 Данные, собираемые в автоматическом режиме с использованием средств веб-аналитики (cookie, Яндекс.Метрика и иные аналогичные технологии):

Правовое основание: Явное (express) согласие субъекта на обработку его персональных данных, предоставляемое им в интерактивной форме до начала обработки (п. 1 ч. 1 ст. 6 152-ФЗ).

Условия получения согласия и обработки: Согласие предоставляется субъектом путем совершения им ясных, осознанных и однозначных действий через специальный интерфейс (виджет/баннер управления cookie) на Сайте Оператора, в соответствии с установленными требованиями части 1 статьи 15.4 Федерального закона № 152-ФЗ. Обработка данных начинается только с момента подтверждения субъектом своего согласия. Субъект имеет право в любой момент отозвать согласие через интерфейс настроек на Сайте.



ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Категории субъектов персональных данных и состав обрабатываемых данных:



Категория субъектов	Состав обрабатываемых данных
Пациенты	Фамилия, имя, отчество; дата рождения; пол; паспортные данные; адрес регистрации и проживания; контактные телефоны; адреса электронной почты; данные полиса ОМС/ДМС; СНИЛС; ИНН; сведения о состоянии здоровья, диагнозах, результатах лабораторных и инструментальных исследований, назначениях врача (специальная категория данных).
Сотрудники	Фамилия, имя, отчество; дата рождения; паспортные данные; адрес регистрации и проживания; контактные телефоны; СНИЛС; ИНН; сведения об образовании; данные трудовой книжки; сведения о трудовом стаже; сведения о доходах; данные воинского учета; семейное положение (состав семьи); сведения о социальных льготах; информация о состоянии здоровья (в установленных законом случаях).
Кандидаты на трудоустройство	Фамилия, имя, отчество; контактные телефоны; данные паспорта; сведения об образовании и трудовом стаже; иные данные, предоставленные в резюме и на собеседовании.
Контрагенты (физические лица и представители юр.лиц)	Фамилия, имя, отчество; данные паспорта; ИНН; СНИЛС; контактные телефоны; банковские реквизиты; данные водительского удостоверения.
Пользователи (Посетители) сайта	Данные, собираемые автоматически (cookie, Яндекс.Метрика): IP-адрес; данные о браузере и устройстве; геолокация (страна, регион, город); технические данные (URL, реферер, версии ОС и браузера, параметры экрана, время на сайте, глубина просмотра и т.д.); обезличенные данные о интересах, поле и возрасте. Данные, предоставляемые пользователем (формы обратной связи, записи на прием): Фамилия, имя, отчество; Контактный телефон; адрес электронной почты.

ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Обработка персональных данных у Оператора основана на следующих принципах:

- Законности.
- Ограничения обработки достижением конкретных целей.
- Соответствия содержания и объема обрабатываемых данных заявленным целям.
- Достоверности данных.
- Недопустимости объединения баз данных, созданных для несовместимых целей.
- Хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки.

5.2. Оператор осуществляет следующие действия с персональными данными:

- Сбор - получение данных от субъекта или из иных разрешенных источников.
- Хранение - обеспечение сохранности данных на материальных носителях.
- Уточнение (обновление, изменение) - модификация данных для обеспечения их актуальности и достоверности.
- Использование - применение данных для достижения целей обработки, в том числе путем предоставления доступа уполномоченным лицам.
- Обезличивание - действия, в результате которых становится невозможным определить принадлежность данных конкретному субъекту без использования дополнительной информации.
- Блокирование - временное прекращение обработки данных (за исключением случаев, если обработка необходима для уточнения данных).
- Уничтожение - действия, в результате которых становится невозможным восстановить содержание данных в информационной системе и/или в результате которых уничтожаются материальные носители данных.

5.3. Оператор может передавать персональные данные следующим категориям третьих лиц:
- Государственным органам (в том числе Роскомнадзору, ФНС, Пенсионному фонду РФ, ФСС, органам МВД, Росздравнадзору) — в случаях и порядке, установленных законодательством Российской Федерации.
- Страховым медицинским организациям — в рамках системы обязательного и добровольного медицинского страхования для оформления документов для оплаты медицинской помощи.
- Банкам и платежным системам — для обработки платежей в рамках договоров на оказание медицинских услуг.
- Иным контрагентам-обработчикам, привлеченным Оператором для достижения целей, указанных в разделе 2 настоящей Политики (в том числе ИТ-компаниям, обеспечивающим функционирование информационных систем и сайта; операторам связи; организациям, осуществляющим курьерскую доставку), при условии заключения с такими лицами соглашений, обязывающих их соблюдать конфиденциальность и обеспечивать безопасность персональных данных.
Во всех случаях передачи персональных данных Оператор обеспечивает соблюдение требований законодательства о персональных данных.



СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Сроки обработки и хранения персональных данных определяются в соответствии с целями их обработки, требованиями законодательства Российской Федерации и договорными отношениями с субъектом персональных данных.

6.2. Установлены следующие конкретные сроки хранения персональных данных:
Персональные данные пациентов (включая сведения о состоянии здоровья, диагнозах, результатах обследований) хранятся в течение срока, установленного законодательством РФ об охране здоровья граждан (в соответствии со ст. 23 Федерального закона от 21.11.2011 № 323-ФЗ срок хранения первичных медицинских документов составляет 25 лет).
Персональные данные сотрудников хранятся в течение сроков, установленных трудовым и архивным законодательством РФ (в соответствии со ст. 22.1 Федерального закона от 22.10.2004 № 125-ФЗ "Об архивном деле в РФ" трудовые книжки, личные карточки, приказы хранятся 50 или 75 лет).
Персональные данные кандидатов на трудоустройство хранятся в течение срока, необходимого для принятия решения о трудоустройстве, но не более 1 (одного) года с момента получения данных, если кандидат не дал согласия на включение в кадровый резерв.
Персональные данные контрагентов (физических лиц) хранятся в течение срока действия договора и 5 (пяти) лет с момента исполнения договора для разрешения возможных претензий и споров, если иное не предусмотрено соглашением сторон.
Данные, предоставленные Пользователем при обращении через сайт (запись на прием, заявка на обратный звонок), хранятся в течение 3 (трех) лет с момента выполнения цели обращения.
Данные, собираемые в автоматическом режиме с использованием cookie-файлов и сервисов веб-аналитики, хранятся в течение сроков, установленных данными технологиями, но не дольше срока действия согласия субъекта, и подлежат уничтожению или обезличиванию при его отзыве. Сроки хранения конкретных типов cookie указаны в Политике использования cookie-файлов, размещенной на Сайте Оператора.

Информация о факте, условиях и целях обработки персональных данных, включая сведения о полученном согласии субъекта, его содержании и дате, а также об отзыве согласия, хранится в течение 3 (трех) лет с момента окончания обработки соответствующих персональных данных, если иное не предусмотрено законодательством Российской Федерации.

6.3. По истечении указанных сроков персональные данные подлежат уничтожению или обезличиванию в установленном порядке.



КОНФИДЕНЦИАЛЬНОСТЬ И БЕЗОПАСНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. В отношении персональных данных сохраняется конфиденциальность, за исключением случаев их обезличивания и передачи в рамках договоров или требований законодательства.

7.2. Сведения, составляющие врачебную тайну, обрабатываются с соблюдением особого режима конфиденциальности в соответствии с главой 13 Федерального закона № 323-ФЗ.

7.3. Для защиты персональных данных Оператор применяет систему правовых, организационных и технических мер в соответствии с внутренними документами, включая «Модель угроз безопасности персональных данных» и «Положение об обработке и защите персональных данных». Принимаемые меры включают:
- Определение актуальных угроз безопасности персональных данных.
- Принятие локальных нормативных актов.
- Назначение ответственного за организацию обработки персональных данных.
- Обучение сотрудников.
- Ограничение и разграничение доступа к персональным данным.
- Регистрацию и учет действий с персональными данными.
- Использование средств защиты информации (антивирусная защита, межсетевые экраны, средства защиты от несанкционированного доступа).



ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. Субъект персональных данных имеет право:
- На получение сведений об обработке его персональных данных.
- На доступ к своим персональным данным.
- На уточнение, блокирование или уничтожение его персональных данных в случае, если они являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
- На отзыв согласия на обработку персональных данных.
- На обжалование действий или бездействия Оператора в уполномоченный орган (Роскомнадзор) или в судебном порядке.

8.2. Запрос субъекта персональных данных о предоставлении сведений, уточнении, блокировании или уничтожении данных рассматривается Оператором в срок, не превышающий 30 дней с момента его поступления. В случае необходимости этот срок может быть продлен еще не более чем на 30 дней, о чем субъект уведомляется.

8.3. Для реализации своих прав субъект персональных данных может направить официальный запрос по адресу Оператора или на электронную почту ответственного лица.



ОТВЕТСТВЕННОСТЬ

9.1. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут дисциплинарную, гражданско-правовую, административную и уголовную ответственность в соответствии с законодательством РФ.