Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — "Политика") разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее — "Закон о персональных данных") и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в Обществе с ограниченной ответственностью «Медицинский центр «Сфера»» (далее — "Оператор").

1.2. Оператор ставит соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, одним из важнейших условий осуществления своей деятельности.

1.3. Политика является общедоступным документом, устанавливающим основы деятельности Оператора при обработке персональных данных.

2. Основные понятия, используемые в Политике

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.3. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

2.4. Конфиденциальность персональных данных — обязательное для соблюдения Оператором требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

2.5. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

2.6. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2.7. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

2.8. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. Принципы и условия обработки персональных данных

3.1. Обработка персональных данных у Оператора осуществляется на основе следующих принципов:

• законности и справедливости;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
• недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработки только тех персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
• недопущения обработки избыточных по отношению к заявленным целям обработки персональных данных;
• обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;
• уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей.

4. Цели обработки персональных данных

4.1. Оператор обрабатывает персональные данные в следующих целях:

4.1.1. Оказание медицинских услуг, включая:

• диагностику заболеваний;
• профилактику заболеваний;
• лечение заболеваний;
• медицинскую реабилитацию;
• проведение медицинских обследований и процедур.

4.1.2. Выполнение договорных обязательств:

• заключение, исполнение, изменение, прекращение договоров на оказание медицинских услуг;
• идентификация сторон по договору;
• проведение расчетов за оказанные медицинские услуги;
• претензионная работа.

4.1.3. Взаимодействие со страховыми компаниями:

• предоставление информации по программам добровольного медицинского страхования (ДМС);
• оформление документов для страховых выплат;
• ведение учета оказанных услуг по программам ДМС.

4.1.4. Выполнение требований законодательства:

• ведение медицинской документации в соответствии с требованиями Федерального закона от 21.11.2011 № 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации";
• представление отчетности и сведений в государственные органы (Росздравнадзор, Роспотребнадзор, ФОМС и др.);
• обработка персональных данных в системе ЕГИСЗ;
• исполнение требований налогового, бухгалтерского законодательства.

4.1.5. Информирование пациентов:

• оповещение о расписании приема врачей;
• информирование о проводимых акциях и специальных предложениях;
• напоминание о необходимости прохождения профилактических осмотров;
• информирование об изменениях в режиме работы медицинского центра.

5. Категории обрабатываемых персональных данных

5.1. Оператор обрабатывает следующие категории персональных данных:

5.1.1. Общие персональные данные:

• фамилия, имя, отчество;
• дата и место рождения;
• адрес регистрации и фактического проживания;
• контактные телефоны;
• адрес электронной почты;
• реквизиты документа, удостоверяющего личность (паспорт, свидетельство о рождении);
• данные полиса обязательного медицинского страхования (ОМС);
• данные полиса добровольного медицинского страхования (ДМС).

5.1.2. Специальные категории персональных данных:

• сведения о состоянии здоровья;
• информация о диагнозах и заболеваниях;
• данные медицинских обследований и анализов;
• информация о назначенном лечении и его результатах;
• данные о перенесенных операциях и процедурах;
• информация о принимаемых лекарственных препаратах;
• аллергологический анамнез;
• наследственность и семейный анамнез.

6. Правовые основания обработки персональных данных

6.1. Правовыми основаниями обработки персональных данных Оператором являются:

• Конституция Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных";
• Федеральный закон от 21.11.2011 № 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации";
• Приказ Минздрава России от 15.12.2014 № 834н "Об утверждении унифицированных форм медицинской документации";
• Согласие субъекта персональных данных на обработку персональных данных;
• Договоры, заключаемые между Оператором и субъектом персональных данных;
• Требования иных нормативных правовых актов Российской Федерации.

7. Порядок и условия обработки персональных данных

7.1. Обработка персональных данных осуществляется Оператором с соблюдением принципов и правил, установленных Законом о персональных данных.

7.2. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

7.3. Обработка специальных категорий персональных данных, касающихся состояния здоровья, осуществляется Оператором исключительно при наличии письменного согласия субъекта персональных данных, за исключением случаев, предусмотренных частью 2 статьи 10 Закона о персональных данных.

7.4. Оператор не осуществляет трансграничную передачу персональных данных.

7.5. Принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, не осуществляется.

7.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

8. Передача персональных данных третьим лицам

8.1. Оператор передает персональные данные третьим лицам в следующих случаях:

• субъект персональных данных выразил согласие на такие действия;
• передача предусмотрена российским или иным применимым законодательством в рамках установленной законодательством процедуры;
• в целях обеспечения возможности защиты прав и законных интересов Оператора или третьих лиц в случаях, когда субъект персональных данных нарушает положения договора на оказание медицинских услуг.

8.2. Перечень третьих лиц, которым могут передаваться персональные данные:

• Страховые медицинские организации (по программам ДМС);
• Территориальные фонды обязательного медицинского страхования (ОМС);
• Организации-заказчики медицинских услуг (по корпоративным договорам);
• Государственные органы и учреждения (Росздравнадзор, Роспотребнадзор, ФОМС, налоговые органы, правоохранительные органы, суды) по их мотивированному запросу в установленном законодательством порядке;
• Передавать персональные данные пациентов в объеме, необходимом для выполнения медицинской организацией обязанности, предусмотренной п. 16 ст. 79 ФЗ «Об основах охраны здоровья граждан в Российской Федерации», а именно: осуществлять выгрузку персональных данных и сведений о состоянии здоровья граждан в ЕГИСЗ при помощи Иной информационной системы «МИС МедЛок», принадлежащей ООО «МедРокет» (ИНН: 2311144947).

9. Конфиденциальность персональных данных

9.1. Оператор обеспечивает конфиденциальность обрабатываемых персональных данных в соответствии с требованиями законодательства Российской Федерации, в том числе Федерального закона "Об основах охраны здоровья граждан в Российской Федерации" в части соблюдения врачебной тайны.

9.2. Доступ к персональным данным имеют только работники Оператора, которым они необходимы для выполнения трудовых обязанностей.

9.3. Все работники Оператора, имеющие доступ к персональным данным, подписывают Соглашение о неразглашении персональных данных и врачебной тайны.

10. Защита персональных данных

10.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ними третьих лиц.

10.2. Меры по обеспечению безопасности персональных данных включают:

• назначение ответственного за организацию обработки персональных данных;
• определение угроз безопасности персональных данных при их обработке;
• применение организационных и технических мер по обеспечению безопасности персональных данных;
• оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
• учет машинных носителей персональных данных;
• обнаружение фактов несанкционированного доступа к персональным данным;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• установление правил доступа к персональным данным, обрабатываемым в информационной системе;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных.

11. Права субъектов персональных данных

11.1. Субъект персональных данных имеет право:

• на получение информации, касающейся обработки его персональных данных;
• на доступ к своим персональным данным;
• на уточнение своих персональных данных, их блокирование или уничтожение в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• на отзыв согласия на обработку персональных данных;
• на принятие предусмотренных законом мер по защите своих прав;
• на обжалование действий или бездействия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

11.2. Для реализации своих прав субъект персональных данных может обратиться к Оператору с запросом в письменной форме по адресу: 603005, г. Нижний Новгород, проспект Октября, дом 8, помещение 3, либо направить запрос на электронную почту медицинского центра.

11.3. Запрос должен содержать:

• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя;
• сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором;
• подпись субъекта персональных данных или его представителя.

11.4. Оператор обязуется рассмотреть и направить ответ на поступивший запрос в течение 30 дней с момента получения обращения.

12. Сроки обработки и хранения персональных данных

12.1. Сроки обработки персональных данных определяются:

• целями обработки персональных данных;
• сроком действия договора с субъектом персональных данных;
• требованиями законодательства Российской Федерации.

12.2. Персональные данные, содержащиеся в медицинской документации, хранятся в течение сроков, установленных законодательством об архивном деле в Российской Федерации и в соответствии с Приказом Минздрава России от 29.06.2016 № 425н.

12.3. После достижения целей обработки персональных данных или в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или другими федеральными законами;
• иное не предусмотрено иным соглашением между Оператором и субъектом персональных данных.

13. Заключительные положения

13.1. Настоящая Политика является общедоступной и подлежит размещению на официальном сайте Оператора в информационно-телекоммуникационной сети "Интернет".

13.2. Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных документов по обработке и защите персональных данных.

13.3. Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки персональных данных в Операторе.

13.4. Ответственность за нарушение требований законодательства Российской Федерации и настоящей Политики в области обработки и защиты персональных данных определяется в соответствии с законодательством Российской Федерации.