|Приложение № 1 к приказу № 12 от 28.07.2025 г.
«УТВЕРЖДАЮ»
Генеральный директор
ООО «Стоматологическая клиника Стражниковой Е.Ю.»
_____________ Стражникова Е. Ю.
«28» августа 2025 г.
Политика обработки персональных данных
1. Общие положения
Настоящая Политика обработки и защиты персональных данных в ООО «Стоматологическая клиника Стражниковой Е.Ю.» разработана в соответствии с Конституции Российской Федерации, Трудовым кодексом Российской Федерации; Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральным законом от 27 июля 2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27 июля 2006 г. N 152-ФЗ «О персональных данных» и иными нормативными правовыми актами в области обработки и защиты персональных данных.
Политика определяет общий порядок, принципы и условия обработки персональных данных, разработана в целях реализации требований законодательства и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных.
Оператор обязан обеспечить неограниченный доступ к настоящей Политике, к сведениям о реализуемых требованиях к защите персональных данных.
2. Основные понятия, используемые в настоящей политике
Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Конфиденциальность персональных данных — обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения и не раскрывать третьим лицам персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор — учреждение, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Пациент — физическое лицо (субъект), обратившееся в ООО «Стоматологическая клиника Стражниковой Е.Ю.» с целью получения медицинских услуг.
Персональные данные, разрешенные субъектом персональных данных для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном 152-ФЗ.
Персональные данные — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Субъект персональных данных — физическое лицо, данные которого обрабатываются.
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
3. Цель обработки персональных данных
3.1 ООО «Стоматологическая клиника Стражниковой Е.Ю.» является Оператором по обработке персональных данных.
3.2 Цели сбора персональных данных включают в себя:
— оформление трудовых отношений с работниками, ведение кадрового делопроизводства, обеспечения права пользования различными льготами и гарантиями, обеспечения личной безопасности работников и сохранности имущества;
— подбор персонала для замещения должностей в ООО «Стоматологическая клиника Стражниковой Е.Ю.», формирование кадрового резерва;
— соблюдение требований законодательства в области налогооблажения и бухгалтерского учета;
— соблюдение требований законодательства в области здравоохранения;
— подготовка, заключение, исполнение, и прекращения гражданско-правовых договоров стороной которых является Клиника;
— оказание медицинских услуг и исполнение обязательств ООО «Стоматологическая клиника Стражниковой Е.Ю.» перед пациентом по договору с ним;
— предоставления сведений страховым компаниям (в случае оплаты ими оказываемых услуг);
— рассмотрение обращений граждан;
— иные случаи, в соответствии с законодательством РФ и уставом Оператора.
3.3 Категории субъектов, персональные данные которых обрабатываются в Клинике:
- Физическое лицо (пациент), обратившееся в ООО «Стоматологическая клиника Стражниковой Е.Ю.» с целью получения медицинских услуг, представитель контрагента, либо лицо, состоящее в иных гражданско-правовых отношениях с Клиникой;
- Работники ООО «Стоматологическая клиника Стражниковой Е.Ю.» и соискатели (в рамках трудовых отношений);
- Посетители сайта (в рамках переписки и работы с обращениями граждан).
3.4 Категории и перечень обрабатываемых данных в Клинике.
Для первой категории субъектов:
Информация, полученная медицинской организацией при первоначальном обращении пациента, при заключении с пациентом договора на оказание медицинских услуг, а также информация, полученная в процессе оказания медицинской помощи, в том числе: фамилия, имя, отчество, год, месяц, дата и место рождения, паспортные данные или данные другого документа, удостоверяющего личность, адрес регистрации и фактического проживания, идентификационный номер налогоплательщика (ИНН), страховое свидетельство государственного пенсионного страхования (СНИЛС), семейное, социальное положение, профессия, специальность, серия и номер полиса ДМС и его действительность, номер амбулаторной карты, анамнез, сведения о состоянии здоровья, аллергических реакциях, о проведенных медицинских экспертизах, медицинских осмотрах и их результаты, фотопротоколирование процесса лечения, зарегистрированные диагнозы по результатам обращения пациентов к врачу, информация об оказанных медицинских услугах, в том числе о проведенных лабораторных анализах и исследованиях и их результатах, протезировании, выполненных оперативных вмешательствах, случаях стационарного лечения и их результатах, сведения о медицинских работниках, оказывавших медицинскую помощь, информация о выписанных лекарственных средствах и изделиях медицинского назначения, иные сведения, необходимые Клинике в соответствии с действующим законодательством Российской Федерации в области охраны здоровья, коммерческой деятельности и персональных данных, с помощью которых можно идентифицировать субъекта персональных данных.
Для второй категории субъектов:
Фамилия, имя, отчество, год, месяц, дата и место рождения, фото-видео изображение работника, папиллярный узор, паспортные данные, идентификационный номер налогоплательщика (ИНН), номер страхового свидетельства государственного пенсионного страхования (СНИЛС), стаж работы, состав семьи, свидетельство о браке и (или) смене фамилии, сведения об образовании, в том числе данные об организациях, осуществляющих образовательную деятельность по реализации профессиональных образовательных программ, информация по воинскому учету, трудовой договор, назначения, повышение квалификации, профессиональная переподготовка, сертификаты, данные об аккредитации специалистов, государственные и ведомственные награды, почетные звания, информация об отпусках, больничные листы, трудовая деятельность до приема на работу в Клинику, дата и основание выхода на пенсию, наличие судимостей, заработная плата, номер расчетного счета в банке.
Для третьей категории субъектов:
Фамилия, имя, отчество, телефон, адрес электронной почты.
3.5. Перечень действий с персональными данными:
Сбор, запись, систематизация, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ) в случаях, установленных законодательством на основании нормативно-правовых документов, обезличивание, блокирование, удаление, уничтожение персональных данных.
4. Порядок и условия обработки персональных данных
4.1 Обработка персональных данных осуществляется с соблюдением принципов и правил, установленных 149-ФЗ и 152-ФЗ.
4.2 Обработка персональных данных осуществляется на основании:
— Трудового кодекса Российской Федерации;
— 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» и принятых на его основе нормативно-правовых актов, регулирующих отношения, связанные с оказанием медицинских услуг;
— договоров, заключаемых между Оператором и субъектами персональных данных;
— согласия субъекта персональных данных (или его законного представителя) на обработку персональных данных субъекта;
4.3 Обработка персональных данных необходима для достижения целей указанных в п.п. 3.2;
4.4 Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
4.5 Осуществляется обработка персональных данных, подлежащих обязательному раскрытию в соответствии с законодательством Российской Федерации.
4.6 Персональные данные пациентов организация получает только лично от пациента или от его законного представителя. Персональные данные пациента могут быть получены с его слов и не проверяются.
4.7 Обработка персональных данных Оператором происходит как неавтоматизированным, так и автоматизированным способом.
4.8 Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
4.9 К обработке персональных данных допускаются только сотрудники прошедшие определенную процедуру допуска, к которой относятся:
— ознакомление сотрудника с локальными нормативными актами организации (политика, положения, инструкции и т.д.), строго регламентирующими порядок и процедуру работы с персональными данными;
— взятие с сотрудника подписки о соблюдении обязательства о неразглашении персональных данных при работе с ними;
— получение сотрудником и использование в работе индивидуальных атрибутов доступа к информационным системам Оператора, содержащим в себе персональные данные. При этом каждому сотруднику выдаются минимально необходимые для исполнения трудовых обязанностей права на доступ в информационные системы.
4.10 Сотрудники, имеющие доступ к персональным данным, получают только ту информацию, которая необходима им для выполнения конкретных трудовых функций.
4.11 При увольнении сотрудника, имеющего доступ к персональным данным, прекращении доступа к персональным данным, документы и иные носители, содержащие персональные данные, сдаются непосредственному руководителю.
5. Хранение персональных данных
5.1 Персональные данные пациентов хранятся в бумажном (амбулаторная карта, бланки направлений, результаты обследований, заказ-наряды и т.д.) и электронном виде.
5.2 В электронном виде персональные данные пациентов хранятся в медицинской информационной системе (МИС), внутренней информационной системе Клиники, а также в архивных копиях баз данных этой системы.
5.3 При хранении персональных данных пациентов, работников и представителей контрагентов соблюдаются организационные, правовые, технические и физические меры, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.
6. Меры по обеспечению безопасности персональных данных при их обработке
1) назначение сотрудника, ответственного за организацию обработки персональных данных, определение перечня лиц, допущенных к работе с персональными данными;
2) утверждение настоящей Политики, локальных нормативных актов, регламентирующих порядок обработки персональных данных;
3) реализация организационных, правовых и технических мер по обеспечению безопасности персональных данных;
4) контроль доступа к персональным данным путём подписания обязательства о неразглашении персональных данных и разграничение прав доступа по ролям;
5) проведение внутреннего контроля информационной системы организации, содержащей персональные данные;
6) обучение и информирование персонала требованиям по защите персональных данных, проведение инструктажей;
7) проведением периодических проверок состояния защищенности внутренней информационной системы Клиники.
8) полное соответствие законодательству по лицензированию и безопасности медицинской информационной системы (МИС) с которой у ООО «Стоматологическая клиника Стражниковой Е.Ю.» заключен договор.
7. Порядок обработки персональных данных в информационной системе
7.1 Обработка персональных данных в информационных системах осуществляется после реализации организационных и технических мер по обеспечению безопасности персональных данных, определенных с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.
7.2 Уполномоченному работнику, имеющему право осуществлять обработку персональных данных в информационных системах, предоставляется уникальный логин и пароль для доступа к соответствующей информационной системе. Доступ предоставляется в соответствии с функциями, предусмотренными должностными обязанностями работника.
7.3 Обеспечение безопасности персональных данных, обрабатываемых в информационных системах, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным.
7.4 В случае выявления нарушений порядка обработки персональных данных уполномоченным работником незамедлительно принимаются меры по установлению причин нарушений и их устранению.
7.5 В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
– идентификация и аутентификация субъектов доступа и объектов доступа;
– управление доступом субъектов доступа к объектам доступа;
– защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
– регистрация событий безопасности;
– антивирусная защита;
– контроль (анализ) защищенности персональных данных;
– защита среды виртуализации и технических средств;
– защита информационной системы, ее средств, систем связи и передачи данных;
– управление конфигурацией информационной системы и системы защиты персональных данных.
7.6 Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.
Угрозы первого типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.
Угрозы второго типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.
Угрозы третьего типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.
Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Федеральн