об обработке персональных данных
в ООО «Медицинский центр «ТАНДЕМ»
Целью настоящего Положения является организация в ООО Медицинский центр «Тандем» работы по выполнению требований законодательства Российской Федерации в сфере защиты персональных данных физических лиц от несанкционированного доступа, неправомерного их использования или утраты.
1. Общие положения
1.1. Настоящее Положение разработано для применения в ООО Медицинский центр «Тандем» (далее по тексту «Медицинский центр»).
1.2. Настоящее Положение разработано на основании Конституции Российской Федерации, Трудового кодекса РФ, Налогового кодекса РФ, Кодекса РФ об административных правонарушениях, Гражданского кодекса РФ, Уголовного кодекса РФ, Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных», Федерального закона от 21.11.2011 №323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федерального закона от 15.12.2001 №167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации», Федерального закона от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», Федерального закона от 18.07.2006 № 109-ФЗ «О миграционном учете иностранных граждан и лиц без гражданства в Российской Федерации», Постановления Правительства РФ от 17.07.1995 №713 «Об утверждении Правил регистрации и снятия граждан Российской Федерации с регистрационного учета по месту пребывания и по месту жительства в пределах Российской Федерации и перечня должностных лиц, ответственных за регистрацию».
1.3. Для исполнения настоящего Положения применяются нормы, термины и определения, установленные нормативно-правовыми актами федерального законодательства.
Под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных.
Субъектами персональных данных в Медицинском центре являются следующие категории физических лиц:
— работники центра;
— физические лица, которым оказываются медицинские услуги и лечение
— пользователи сайта.
В состав персональных данных работников центра входит информация, необходимая работодателю в связи с трудовыми отношениями и касающиеся конкретного работника. Под информацией о работниках понимаются сведения о фактах, событиях и обстоятельствах жизни работника, позволяющие идентифицировать его личность.
К персональным данным физических лиц также относятся сведения о факте обращения за оказанием медицинской помощи, состоянии здоровья и диагнозе, иные сведения, полученные при медицинском обследовании и лечении, которые также составляют врачебную тайну.
Под обработкой персональных данных физических лиц понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Медицинский центр является оператором персональных данных, т.е. юридическим лицом, самостоятельно или совместно с другими лицами организующим и (или) осуществляющим обработку персональных данных, а также определяющим цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
1.4. Обработка персональных данных в центре осуществляются в следующих случаях:
— при трудоустройстве работников центра и ведении кадрового делопроизводства;
— при оказании платных медицинских услуг и лечении;
— при ведении бухгалтерского учёта, передаче налоговой и пенсионной отчётности.
Персональные данные предоставляются физическими лицами на добровольной основе и в объёме необходимом в каждом конкретном случае. Не допускается требовать от физических лиц сведений, прямо не относящихся к целям обработки.
Непосредственно ведут работу с персональными данными следующие должностные лица центра:
— директор;
— администраторы;
-врачи специалисты;
— бухгалтер центра.
1.5. Персональные данные относятся к категории конфиденциальной информации. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении 75 лет срока хранения, если иное не определено законом.
1.6. Настоящее Положение утверждается и вводится в действие директором центра и является обязательным для исполнения всеми работниками, имеющими доступ к персональным данным.
2. Состав персональных данных
2.1. В состав охраняемых персональных данных входят:
— анкетные и биографические данные;
— образование;
— сведения о трудовом и общем стаже;
— сведения о составе семьи;
— паспортные данные;
— сведения о воинском учете;
— сведения о заработной плате сотрудника;
— сведения о социальных льготах;
— специальность;
— занимаемая должность;
— наличие судимостей;
— адрес места жительства;
— домашний телефон;
— место работы или учебы членов семьи и родственников;
— характер взаимоотношений в семье;
— содержание трудового договора;
— состав декларируемых сведений о наличии материальных ценностей;
— содержание декларации, подаваемой в налоговую инспекцию;
— подлинники и копии приказов по личному составу;
— личные дела и трудовые книжки сотрудников;
— основания к приказам по личному составу;
— дела, содержащие материалы по повышению квалификации и переподготовке сотрудников, их аттестации, служебным расследованиям;
— отчеты и сведения, направляемые в органы статистики, налоговые органы, пенсионный фонд;
— сведения о факте обращения граждан за оказанием медицинской помощи;
— сведения о состоянии здоровья граждан и диагнозах;
— иные сведения, полученные при медицинском обследовании и лечении граждан.
2.2. Документы, указанные в п. 2.1. настоящего Положения, являются конфиденциальными, хотя, учитывая их массовость и единое место обработки и хранения — соответствующий гриф ограничения на них не ставится.
3. Обработка персональных данных
3.1. Под обработкой персональных данных физических лиц понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
3.2. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы, обеспечения сохранности имущества центра, соблюдения прав на неприкосновенность частной жизни, личную и семейную тайну.
3.3. При обработке персональных данных ответственные должностные лица центра руководствуются Конституцией РФ, Трудовым кодексом РФ, Налоговым кодексом РФ, Кодексом РФ об административных правонарушениях, Гражданским кодексом РФ, Уголовным кодексом РФ, положениями Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных», Федерального закона от 21.11.2011 №323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федерального закона от 15.12.2001 №167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации», Федерального закона от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», Федерального закона от 18.07.2006 № 109-ФЗ «О миграционном учете иностранных граждан и лиц без гражданства в Российской Федерации», Постановления Правительства РФ от 17.07.1995 №713 «Об утверждении Правил регистрации и снятия граждан Российской Федерации с регистрационного учета по месту пребывания и по месту жительства в пределах Российской Федерации и перечня должностных лиц, ответственных за регистрацию».
3.4. Получение персональных данных может осуществляться как путем представления их самим гражданином, так и путем получения их из иных источников.
3.5. Персональные данные следует получать у самого гражданина. Если персональные данные гражданина, возможно получить только у третьей стороны, то такое лицо должно быть уведомлено об этом заранее, и от него должно быть получено письменное согласие. Оператор должен сообщить гражданину о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.
3.6. Персональные данные работников центра хранятся в отделе кадров, в сейфе на бумажных носителях (трудовая книжка, личная карточка, личное дело) и на электронных носителях с ограниченным доступом, а также в бухгалтерии при ведении бухгалтерского, налогового и пенсионного учёта.
Персональные данные граждан проходящих лечение, получающих услуги хранятся у администратора на бумажных носителях и на электронных носителях с ограниченным доступом.
3.7. Право доступа к персональным данным работников центра имеют:
— директор;
— бухгалтер центра.
Право доступа к персональным данным граждан проходящих лечение имеют:
— директор центра;
— врач специалист;
— средний медицинский персонал;
— администратор.
Доступ других специалистов к персональным данным осуществляется на основании письменного разрешения директора.
3.8. Директор медицинского центра вправе давать письменное разрешение копировать и делать выписки из персональных данных работников центра исключительно в служебных целях, если указанное разрешение не нарушает прав работника, предусмотренных действующим законодательством.
3.9. Директор медицинского центра вправе передавать персональные данные работников медицинского центра, граждан проходящих лечение третьим лицам без их согласия, только когда это необходимо в целях предупреждения угрозы жизни и здоровью указанных лиц, а также в случаях, установленных федеральными законами.
3.10. При передаче персональных данных директор медицинского центра предупреждает получателей персональных данных о возможности их использования только в целях, для которых они сообщены, и требуют от этих лиц письменные гарантии соблюдения данного условия.
3.11. Все сведения о передаче персональных данных учитываются для контроля правомерности использования данной информации лицами, ее получившими.
3.12. Директор медицинского центра, бухгалтер обязаны предоставлять персональную информацию в Пенсионный фонд РФ, в Фонд обязательного медицинского страхования, Инспекцию Федеральной службы по налогам и сборам, органы статистики, органы социального страхования, подразделения муниципальных органов управления, правоохранительные органы по форме, в порядке и объеме, установленном законодательством Российской Федерации.
3.13. При изменении своих персональных данных работник медицинского центра обязан письменно уведомить об этом работодателя в разумный срок, не превышающий 14 календарных дней.
3.14. По мере необходимости работодатель вправе истребовать у работника дополнительные сведения. Работник представляет требуемые сведения и в случае необходимости предъявляет документы, подтверждающие достоверность этих сведений.
3.15. Центр осуществляет уведомление территориального органа Роскомнадзора России об обработке персональных данных по установленной форме.
4. Обязанности центра по хранению и защите персональных данных
4.1. Медицинский центр обязан за свой счет обеспечить защиту персональных данных от неправомерного их использования или утраты, в порядке, установленном законодательством Российской Федерации.
4.2. Администрация медицинского центра обязана ознакомить работников центра с настоящим Положением, их правами и обязанностями в области защиты персональных данных под расписку.
Обработка персональных данных осуществляется с письменного согласия субъекта персональных данных.
4.3. Медицинский центр обязан осуществлять передачу персональных данных третьим лицам только в соответствии с настоящим Положением и законодательством Российской Федерации.
4.4. Медицинский центр обязан предоставлять персональные данные своих работников, граждан проходящих лечение только уполномоченным лицам и только в той части, которая необходима им для выполнения их служебных обязанностей, в соответствии с настоящим Положением и законодательством Российской Федерации.
4.5. Медицинский центр не вправе получать и обрабатывать персональные данные физических лиц об их политических, религиозных и иных убеждениях, их частной жизни.
В случаях, непосредственно связанных с вопросами трудовых отношений, центр вправе получать и обрабатывать персональные данные работников о его личной жизни только с письменного согласия Работника.
4.6. Медицинский центр не имеет права получать и обрабатывать персональные данные работников, граждан проходящих лечение об их членстве в общественных объединениях или профсоюзной деятельности, за исключением случаев, предусмотренных законодательством Российской Федерации.
4.7. Медицинский центр не вправе предоставлять персональные данные работников, граждан проходящих лечение в коммерческих целях без их письменного согласия.
При обращении с запросом о персональных данных к центру лица, не уполномоченного федеральным законом на получение персональных данных, либо при отсутствии письменного согласия лица на предоставление его персональных данных медицинский центр обязан отказать в предоставлении персональных данных. Лицу, обратившемуся с запросом, выдается письменное уведомление об отказе в предоставлении персональных данных.
Медицинский центр обеспечивает ведение журнала учета предоставленных персональных данных, в котором регистрируются все запросы, фиксируются сведения о лице, направившем запрос, дата передачи персональных данных или дата уведомления об отказе в предоставлении персональных данных, а также отмечается, какая именно информация была передана.
4.8. Медицинский центр обязан обеспечить своим работникам свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей его персональные данные, за исключением случаев, предусмотренных законодательством.
4.9. Медицинский центр обязан по требованию своего работника предоставить ему полную информацию о его персональных данных и обработке этих данных.
4.10. Медицинский центр обязан под роспись ознакомить работника с записями, вносимыми в его личную карточку (форма № Т-2).
4.11. При принятии решений, затрагивающих интересы работника, медицинский центр не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.
Медицинский центр также не вправе принимать решения, затрагивающие интересы работника, основываясь на данных, допускающих двоякое толкование.
В случае если на основании персональных данных работника невозможно достоверно установить какой-либо факт, работодатель предлагает работнику представить письменные разъяснения.
5. Права работника медицинского центра на защиту его персональных данных
5.1. В целях защиты своих персональных данных, хранящихся в медицинском центре, работники, граждане проходящие лечение имеют право:
— получать полную информацию о своих персональных данных, их обработке, хранении и передаче;
— определять своих представителей для защиты своих персональных данных;
— на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные;
— требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушениями настоящего Положения и законодательства Российской Федерации;
— при отказе исключить или исправить персональные данные вправе заявить в письменном виде о своем несогласии с соответствующим обоснованием;
-требовать от медицинского центра извещения всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.
6. Ответственность работодателя
6.1. Лица, виновные в нарушении норм, регулирующих обработку персональных данных, привлекаются к дисциплинарной, материальной, административной, уголовной и иной ответственности в порядке, установленном федеральными законами и локальными нормативными актами медицинского центра.
