Политика обработки персональных данных

Общие положения

1.1 Настоящий документ (далее Политика) определяет политику ГАУЗ «ДГКБ № 8 г. Челябинск» (далее Учреждения) в отношении обработки персональных данных, определяет цели, порядок их обработки, а также содержит сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика Учреждения разработана на основании: Конституции Российской Федерации; Трудового Кодекса Российской Федерации; Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»; Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012г. № 1119 и других нормативно-правовых актов в области защиты персональных данных.

1.3. Настоящей Политикой определяется порядок обращения с персональными данными субъектов, которые обращаются в учреждение или присылаются из других медицинский организаций по Челябинской области, и персональными данными работников Учреждения.

Целью настоящей Политики является защита интересов Учреждения, его пациентов, работников, субъектов персональных данных из других медицинских организаций по Челябинской области, а также выполнения законодательства Российской Федерации в области обеспечения безопасности персональных данных.

Информация об операторе

Наименование: Государственное автономное учреждение здравоохранения «Детская городская клиническая больница № 8 г. Челябинск»,

ИНН 7450006213

КПП 746001001

ОГРН 1027402818178

Юридический адрес учреждения: г. Челябинск, ул. Дружбы 2

Бюджетное учреждение имеет обособленные структурные подразделения, не являющиеся филиалами или представительствами, где так же осуществляется обработка персональных данных:

– Поликлиника, расположенная по адресу: 454047, Россия, Челябинская область, г. Челябинск, ул. Дружбы, д. 2;

– Поликлиника, расположенная по адресу: 454047, Россия, Челябинская область, г. Челябинск, ул. 50 летия ВЛКСМ, д. 3;

– Поликлиника, расположенная по адресу: 454047, Россия, Челябинская область, г. Челябинск, ул. Трудовая, д. 25 А.

Правовые основания обработки персональных данных

Информационная система персональных данных «Бухгалтерия и кадры»: ст. 86 «Трудовой кодекс Российской Федерации» от 30.12.2001 № 197-ФЗ; ст. 6 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»; п. 6,9,27,28 Постановления Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете», Федеральным законам от 27 июля 2006 года № 149-ФЗ, «Об информации, информационных технологиях и защите информации».
Информационная система персональных данных «Медицинская информационная система»: ст. 6,10 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»; ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан Российского Федерации», глава IV Постановления Правительства РФ от 4 октября 2012 г. № 1006 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг».

Цели обработки персональных данных

4.1 ГАУЗ «ДГКБ № 8 г. Челябинск» осуществляет обработку ПДн работников, пациентов и(или) их законного представителя в следующих целях:

− обеспечение соблюдения Конституции Российской Федерации, федеральных законов, нормативных правовых актов РФ и локальных нормативных актов ГАУЗ «ДГКБ № 8 г. Челябинск» в сфере защиты и обработки персональных данных;

− осуществление функций, полномочий и обязанностей, возложенных законодательством РФ на ГАУЗ «ДГКБ № 8 г. Челябинск» в том числе по предоставлению ПДн в органы государственной власти, такие как: Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования и иные;

− обеспечение трудовых и производственных процессов и выполнения законодательства РФ, связанного с трудовыми отношениями;

− подготовка, заключение, исполнение и прекращение договоров;

− исполнение судебных и иных актов, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве;

− размещение информации о работнике – субъекте персональных данных на сайте ГАУЗ «ДГКБ № 8 г. Челябинск» в сети интернет;

− обеспечение соблюдения законов и иных нормативных правовых актов, связанных с установлением медицинского диагноза пациента и оказания медицинских услуг пациенту;

− ведение персонифицированного учета пациентов в сфере обязательного медицинского страхования;

− ведения персонифицированного учета сведений о медицинской помощи в рамках исполнения программы государственных гарантий бесплатного оказания гражданам медицинской помощи;

− выполнение иных требований законодательства РФ.

Информационная система персональных данных «Бухгалтерия и кадры»: обеспечение соблюдения законов и иных нормативных правовых актов, содействие работникам в трудоустройстве, получении образования и продвижении по службе, обеспечение личной безопасности работников, контроль количества и качества выполняемой работы и обеспечение сохранности имущества.
Учреждение прекращает обработку персональных данных в следующих случаях:

– при выявлении неправомерной обработки персональных данных, осуществляемой Учреждением;

– при передаче персональных данных в архив (Хранение документов в архиве организованно согласно Федеральному закону №125-ФЗ “Об архивном деле в Российской Федерации”);

– при прекращении деятельности Учреждения;

– при ликвидации информационной системы персональных данных;

– при окончании срока хранения и обработки персональных данных.

Категории обрабатываемых персональных данных, источники получения

В информационной системе персональных данных «Бухгалтерия и кадры» обрабатываются персональные данные сотрудников, состоящих в трудовых отношениях с Учреждением. Источники получения: сотрудники Учреждения.
В информационной системе персональных дынных «Медицинская информационная система» обрабатываются персональные данные физических лиц (пациентов). Источники получения: пациенты Учреждения.

Принципы обработки персональных данных

Учреждение в своей деятельности обеспечивает соблюдение принципов обработки персональных данных, указанных в ст. 5 Федерального закона № 152-ФЗ «О персональных данных», Федеральном законе от 27 июля 2006 года № 149-ФЗ, «Об информации, информационных технологиях и защите информации».

Обработка персональных данных Учреждением осуществляется на основе следующих принципов:

Обработка персональных данных осуществляется на законной и справедливой основе.
Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
Обработке подлежат только те персональные данные, которые отвечают целям их обработки;
Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям обработки.
При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Учреждение должно принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению, неполных или неточных данных.
Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Обязанности лица ответственного за организацию обработки персональных данных

Ответственный за организацию обработки персональных данных обязан:

Знать перечень персональных данных и технических средств, входящих в информационные системы персональных данных ГАУЗ «ДГКБ № 8 г. Челябинск».

- Представлять на утверждение список лиц, доступ которых к персональным данным, обрабатываемым в информационных системах, необходим для выполнения служебных (трудовых) обязанностей, а также изменений к нему.
- Своевременно и точно отражать изменения в организационно-распорядительных и нормативных документах, касающихся обеспечения безопасности персональных данных в ГАУЗ «ДГКБ № 8 г. Челябинск».
- Доводить до сотрудников ГАУЗ «ДГКБ № 8 г. Челябинск» положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных.
- Осуществлять контроль выполнения требований локальных нормативных актов по защите персональных данных сотрудниками ГАУЗ «ДГКБ № 8 г. Челябинск».
- Организовать учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных.
- Проводить разбирательства по фактам нарушений, приводящим к снижению уровня защищенности персональных данных;
- Организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
- Участвовать в расследовании причин совершения нарушений и возникновения внештатных ситуаций в процессе функционирования информационной системы персональных данных.
- Участвовать в работе по пересмотру планов защиты.
- Участвовать в проверках ГАУЗ «ДГКБ № 8 г. Челябинск» и осуществлять общения с контролирующими органами в области защиты информации.
- При угрозе несанкционированного доступа или возникновения нештатной ситуации немедленно предпринять действия по предотвращению утечки информации, или минимизации ущерба. Обратиться к ответственному за обеспечение безопасности персональных данных информационной системы, c целью восстановления работоспособности технических средств.
- Доложить главному врачу служебной запиской о факте несанкционированного доступа или возникновения нештатной ситуации.
- Планировать и принимать меры по предотвращению повторного возникновения инцидентов.
- При обращении пользователей информационной системы персональных данных по вопросам, организации обработки персональных данных или обеспечении безопасности персональных данных, своевременно принимать необходимые решения.
- Контроль за организацией и соблюдением режима безопасности персональных данных.
- Представлять интересы ГАУЗ «ДГКБ № 8 г. Челябинск» при проведении проверок контролирующими органами в области защиты информации.

Права ответственного за организацию обработки персональных данных

Ответственный за организацию обработки персональных данных имеет право:

- Запрашивать у сотрудников ГАУЗ «ДГКБ № 8 г. Челябинск» информацию, необходимую для реализации своих обязанностей.
- Требовать от всех пользователей информационных систем персональных данных выполнения установленной технологии обработки персональных данных, инструкций и других нормативных правовых документов по обеспечению безопасности персональных данных.
- Требовать от должностных лиц, блокирования или уничтожения недостоверных, или полученных незаконным путем персональных данных.
- Участвовать в разработке мероприятий по совершенствованию безопасности персональных данных.
- Инициировать проведение служебных расследований по фактам нарушения установленных требований обеспечения информационной безопасности, несанкционированного доступа, утраты, порчи защищаемых персональных данных и технических средств из состава информационных систем.
- Принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации.
- Вносить предложения главному врачу о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных или нарушения режима конфиденциальности.
- Вносить главному врачу предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке.

Сведения о третьих лицах, участвующих в

Обработке персональных данных

В соответствии с требованиями ст. 7 Федерального закона от 27 июля 2006 года №152-ФЗ «О персональных данных», медицинские организации, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Передача осуществляется с использованием криптографических средств защиты информации, сертифицированных ФСБ России.
Передача персональных данных по запросу полиции осуществляется согласно ст. 13, части 1, пункта 4 Федерального закона «О полиции» от 07.02.2011 №3-Ф3.

Меры по обеспечению безопасности персональных данных при их обработке
- Учреждение при обработке персональных данных обязано принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

10.2 Меры по обеспечению защиты, выявлению и предотвращению нарушений в процессе обработки персональных данных:

Определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
Применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
Оценка эффективности принимаемых мер по обеспечению

Безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

Учет машинных носителей персональных данных;
Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
Восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
Установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
Контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.

Права субъектов персональных данных.

В соответствии с Федеральными законами от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральными законами от 27 июля 2006 года № 149-ФЗ, «Об информации, информационных технологиях и защите информации» субъект персональных данных имеет право:

Субъект персональных данных вправе требовать от Учреждения уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

Подтверждение факта обработки персональных данных;
Правовые основания и цели обработки персональных данных;
Цели и применяемые Учреждением способы обработки персональных данных;
Наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании Федерального закона;
Обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен законодательством
Сроки обработки персональных данных, в том числе сроки их хранения;
Информацию о трансграничной передаче данных;
Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных.
Иные сведения, предусмотренные настоящим Федеральным законом или другими Федеральными законами.
Порядок осуществления субъектом персональных данных прав, предусмотренных законодательством;
- Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.
- Сведения, указанные в пункте 9.2, должны быть предоставлены субъекту персональных данных в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
- Если субъект персональных данных считает, что Учреждение осуществляет обработку его персональных данных с нарушением требований обработки персональных данных или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Учреждения в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
- Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Контактная информация
- Ответственным за организацию обработки и обеспечения безопасности персональных данных в Учреждении является специалист по защите информации.
- Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных», является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Телефон справочно-информационного центра: +7(495)987-68-00.

Заключительные положения
- Настоящая политика разработана и утверждается главным врачом Учреждения.
- Учреждение имеет право вносить изменения в настоящую Политику.
- При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее утверждения и размещения на сайте Учреждения, если иное не предусмотрено новой редакцией Политики.
- Настоящая политика обязательна для соблюдения и ознакомления всеми сотрудниками Учреждения.