АДМИНИСТРАЦИЯ

СТРУКТУРА

РЕЖИМ РАБОТЫ

ВЫШЕСТОЯЩАЯ ОРГАНИЗАЦИЯ

ПОЛОЖЕНИЕ
о политике коммунального унитарного предприятия «Поликлиника №7»
в отношении обработки персональных данных пациентов

ГЛАВА 1
ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящее Положение о политике коммунального унитарного предприятия «Поликлиника №7» в отношении обработки персональных данных (далее — Положение) определяет  порядок обработки персональных данных лиц (далее—Пациенты), обратившихся за оказанием медицинской помощи  включая порядок сбора, хранения, использования, передачи и защиты персональных данных.

1.2. Положение разработано на основе и во исполнение:

-Конституции Республики Беларусь;

-Гражданского кодекса Республики Беларусь;

-Закона Республики Беларусь от 07.05.2021 N 99-З «О защите персональных данных» (далее — Закон о защите персональных данных);

-Закона Республики Беларусь 18.06.1993. № 2435-XII «О здравоохранении»;

-Постановления МЗ РБ от 07.06.2021. №74 «О формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных пациента»;

-иных нормативных правовых актов Республики Беларусь и нормативных документов уполномоченных органов государственной власти.

1.3. обработка персональных данных пациентов проводится в целях организации оказания медицинской помощи в виде проведения медицинских осмотров и оказания лечебно-диагностических услуг. Персональные данные обрабатываются медицинскими и иными работниками, на которых возложены обязанности по обеспечению защиты персональных данных и распространяется обязанность сохранять врачебную тайну (ст. 8 Закона о защите персональных данных);

1.4. Положение и изменения к нему утверждаются приказом главного врача Предприятия.

1.5. Положение является локальным правовым актом Предприятия, обязательным для соблюдения и исполнения работниками, а также иными лицами, участвующими в обработке персональных данных в соответствии с настоящим Положением.

ГЛАВА 2
ОСНОВНЫЕ ПОНЯТИЯ

2.1. В настоящем Положении используются следующие основные понятия и термины:

– оператор ( Предприятие) — коммунальное унитарное предприятие «Поликлиника №7»  по адресу г. Гомель, ул. Педченко 10а.

– персональные данные – любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;

– предоставление персональных данных – действия, направленные на ознакомление с персональными данными определенных лица или круга лиц;

– распространение персональных данных – действия, направленные на ознакомление с персональными данными неопределенного круга лиц;

-субъект персональных данных – физическое лицо, в отношении которого осуществляется обработка персональных данных;

– обработка персональных данных — любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;

– блокирование персональных данных — прекращение доступа к персональным данным без их удаления;

– удаление персональных данных — действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных;

– обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

ГЛАВА 3
КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

3. Предприятие  обрабатывает персональные данные:

3.1. пациентов, получающих за наличный расчет, путем подтверждения публичного договора, или за безналичный расчет путем реализации договоров заключенных между Предприятием и субъектами юридических лиц всех форм собственности, в том числе страховыми компаниями, следующие категории платных медицинских услуг:

-услуги лечебно-диагностического характера;

-услуги проведения профилактических, обязательных и других видов медицинских осмотров и медицинских осыидетельствований;

-услуги вакцинации;

3.2. пациентов, являющихся пользователями сайта предприятия, при регистрации на сайте с целью электронной записи на медицинские услуги.

Кроме того обрабатываются  изображения пациента при применении системы видеонаблюдения в интересах обеспечения общественного порядка.

ГЛАВА 4
СОДЕРЖАНИЕ И ОБЪЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ

4. Содержание и объем персональных данных каждой категории субъектов определяется необходимостью достижения конкретных целей их обработки, а также необходимостью Предприятия реализовать свои права и обязанности, а также права и обязанности соответствующего субъекта. Содержание и объем персональных данных каждой категории субъектов в зависимости от  конкретной цели обработки изложены в главе 10 Положения.

ГЛАВА 5
ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Обработка персональных данных пациентов основывается на следующих принципах:

– обработка персональных данных осуществляется в соответствии с Законом о защите персональных данных и иными актами законодательства;

– обработка персональных данных должна быть соразмерна заявленным целям их;

– обработка персональных данных осуществляется с согласия субъекта персональных данных для пользователей сайта предприятия, зарегистрированных на сайте с целью электронной записи на медицинские услуги полученного в электронной форме посредством: проставления субъектом персональных данных соответствующей отметки на интернет-ресурсе, позволяющих установить факт получения согласия;

– хранение персональных данных должно осуществляться в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.

5.2. Обработка персональных данных Пациентов осуществляется с целью оказания им первичной медицинской помощи, в том числе путем проведения медицинских осмотров, представляющих собой медицинскую услугу, направленную на оценку состояния здоровья пациента, выявление заболеваний, факторов риска их возникновения и проводимую в целях динамического контроля за состоянием здоровья пациента для оказания ему медицинской помощи, определения возможности выполнения пациентом определенных видов работ, осуществления профессиональной либо учебной деятельности, службы, занятия спортом и физической культурой и в иных целях, установленных законодательством.

ГЛАВА 6
ПРАВИЛА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Общие правила.

6.1.1. Обработка персональных данных осуществляется путем смешанной (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, в том числе с использованием внутренней защищенной сети.

6.1.2. При оказании всего спектра платных медицинских услуг, оказываемых Предприятием,  обработка специальных персональных данных проводится без согласия субъекта персональных данных на основании пункта 2 статьи 8 Закона о защите персональных данных:

– в целях организации оказания медицинской помощи при условии, что такие персональные данные обрабатываются медицинским, фармацевтическим или иным работником здравоохранения, на которого возложены обязанности по обеспечению защиты персональных данных и в соответствии с законодательством распространяется обязанность сохранять врачебную тайну;

– обработка специальных персональных данных является необходимой для выполнения должностных обязанностей сотрудников Предприятия, предусмотренных законодательными актами (Законом Республики Беларусь 18.06.1993. № 2435-XII «О здравоохранении»; Постановлениями МЗ РБ:

 -от 29 июля 2019 г. N 74 «О проведении обязательных и внеочередных медицинских осмотров работающих»;

-от 05.09.2022 № 94 «О заболеваниях и противопоказаниях, препятствующих управлению механическими транспортными средствами, самоходными машинами, моторными маломерными судами»;

-от 12.04.2019 № 28 «О мерах по реализации постановления Совета Министров Республики Беларусь от 13.02.2019 №92»,

– от 15.06.2012  № 75 «Об установлении перечня заболеваний, представляющих опасность для здоровья населения»;

– 16.05.2003. № 24 «Об утверждении перечня заболеваний, которые могут препятствовать труду работников, направленных за границу, и членов их семей»;

– от 05.08.2022 №512 «О перечне заболеваний, препятствующих исполнению служебных обязанностей на государственной гражданской службе и работе с государственными секретами»;

– от 09.06.2014 №38 «Об утверждении Инструкции о порядке распределения обучающихся в основную, подготовительную, специальную медицинскую группы, группу лечебной физической культуры» с целью проведения  медицинского освидетельствования и принятия решения о допуске к обучению по специальности (профессии), от 25.07.2022 №71 «Об установлении медицинских противопоказаний к обучению по получаемой специальности, присваиваемой квалификации».

 а также другими нормативными актами).6.1.3. для пользователей сайта предприятия, зарегистрированных на сайте с целью электронной записи на медицинские услуги обработка персональных данных осуществляется с согласия субъекта персональных данных полученного в электронной форме посредством проставления субъектом персональных данных соответствующей отметки на интернет-ресурсе, позволяющих установить факт получения согласия;

6.1.4. Обработка персональных данных пациентов осуществляется медицинскими и иными работниками предприятия, на которых приказом главного врача возложены обязанности по обеспечению защиты персональных данных.  Допуск лиц к обработке персональных данных с использованием средств автоматизации осуществляется на основании приказа главного врача при наличии паролей доступа.

6.2. Хранение персональных данных.

6.2.1. При хранении персональных данных должны соблюдаться условия, обеспечивающие сохранность персональных данных.

6.2.2. Документы, включающие в себя персональные данные, содержащиеся на бумажных носителях, находятся в специально отведенных для этого местах с ограниченным доступом в условиях, которые обеспечивают их защиту от несанкционированного доступа. Перечень мест хранения документов определяется Предприятием.

6.2.3. Персональные данные, хранящиеся в электронном виде, защищаются от несанкционированного доступа с помощью специальных технических и программных средств защиты.

6.2.4. Хранение персональных данных осуществляется в форме, позволяющей идентифицировать субъекта персональных данных, на период, соответствующий целям их обработки, или иной срок установленный законодательством Республики Беларусь.

6.2.5. Если иное не предусмотрено законодательством, обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, в случае утраты необходимости в достижении этих целей или по истечении сроков их хранения.

6.3. Использование персональных данных.

6.3.1. Персональные данные обрабатываются и используются для целей, указанных в п. 5.2. Положения.

6.3.2. Доступ к персональным данным предоставляется только тем работникам Предприятия, должностные обязанности которых предполагают работу с персональными данными и соблюдение законодательства по их защите. Перечень таких лиц определяется приказом по Предприятию.

6.3.3. В случае возникновения необходимости предоставить доступ к персональным данным работникам, не входящих в перечень лиц с доступом к персональным данным, им может быть предоставлен временный доступ к ограниченному кругу персональных данных по распоряжению главного врача или иного уполномоченного лица. Соответствующие работники должны быть ознакомлены под подпись со всеми локальными правовыми актами Предприятия в области персональных данных, а также подписать обязательство о неразглашении персональных данных.

6.4. Передача персональных данных.

6.4.1. Передача персональных данных субъектов третьим лицам допускается в минимально необходимых объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных.

6.4.2. Передача персональных данных третьим лицам, допускается только при наличии согласия субъекта либо иного законного основания.

6.4.3. Лица, получающие персональные данные, должны предупреждаться о том, что эти данные могут быть использованы с соблюдением режима конфиденциальности лишь в целях, для которых они сообщены. Предприятие вправе требовать от этих лиц подтверждение того, что это правило соблюдено.

6.5. Поручение обработки персональных данных.

6.5.1. При оказании платных медицинских услуг в рамках заключенных договоров   между Предприятием (Исполнитель) и  организациями всех форм собственности, в том числе и страховыми компаниями (Заказчик), Исполнитель выступает в роли уполномоченного лица, которое на основании договора с оператором-Заказчиком осуществляют обработку персональных данных от имени оператора или в его интересах. (ст.1 Закона о защите персональных данных).

6.5.2. Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению Оператора необходимо получение согласия субъекта персональных данных, такое согласие получает Оператор.

6.5.3. В случае если Оператор поручает обработку персональных данных уполномоченному лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Оператор. Уполномоченное лицо несет ответственность перед Оператором.

6.6. Защита персональных данных.

6.6.1. Под защитой персональных данных понимается ряд правовых, организационных и технических мер, направленных на:

– обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

– соблюдение конфиденциальности информации ограниченного доступа;

– реализацию права на доступ к информации.

6.6.2. Для защиты персональных данных Предприятие принимает необходимые предусмотренные законом меры (включая, но не ограничиваясь):

– ограничивает и регламентирует состав работников, функциональные обязанности которых требуют доступа к информации, содержащей персональные данные (в том числе путем использования паролей доступа к электронным информационным ресурсам);

– обеспечивает условия для хранения документов, содержащих персональные данные, в ограниченном доступе;

– организует уничтожение информации, содержащей персональные данные, в соответствии с законодательством и  сроками хранения  соответствующих данных;

– контролирует соблюдение требований по обеспечению безопасности персональных данных, в том числе установленных настоящим Положением (путем проведения внутренних проверок, установления специальных средств мониторинга и др.);

– проводит расследование случаев несанкционированного доступа или разглашения персональных данных с привлечением виновных работников к ответственности, принятием иных мер;

– внедряет программные и технические средства защиты информации в электронном виде;

6.6.3. Для защиты персональных данных при их обработке в закрытой информационной системе Предприятие проводит необходимые предусмотренные законом мероприятия (включая, но не ограничиваясь):

– определение угроз безопасности персональных данных при их обработке;

– применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных;

– учет машинных носителей персональных данных;

– обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;

– восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

– установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.

6.6.4. На Предприятии назначаются лица, ответственные за организацию обработки персональных данных и принимаются иные меры, направленные на обеспечение выполнения Предприятием обязанностей в сфере персональных данных, предусмотренных действующим законодательством Республики Беларусь.

ГЛАВА 7
ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Субъект персональных данных вправе:

– получать  информацию, касающуюся обработки своих персональных данных;

– требовать внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными.

– получать информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно, если иное не предусмотрено Законом о защите персональных данных и иными законодательными актами.

– требовать от Оператора бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами.

– обжаловать действия (бездействие) и решения Предприятия, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц.

– Все обращения субъектов или их представителей в связи с обработкой их персональных данных регистрируются в соответствующем журнале.

7.2. Субъект персональных данных обязан:

– предоставлять Предприятию достоверные персональные данные;

– своевременно сообщать Предприятию об изменениях и дополнениях своих персональных данных;

– осуществлять свои права в соответствии с законодательством Республики Беларусь и локальными правовыми актами Предприятия в области обработки и защиты персональных данных;

– исполнять иные обязанности, предусмотренные законодательством Республики Беларусь и локальными правовыми актами Предприятия в области обработки и защиты персональных данных.

ГЛАВА 8
ПРАВА И ОБЯЗАННОСТИ ОРГАНИЗАЦИИ

8.1. Предприятие вправе:

– устанавливать правила обработки персональных данных на Предприятии, вносить изменения и дополнения в настоящее Положение, самостоятельно в рамках требований законодательства разрабатывать и применять формы документов, необходимых для исполнения обязанностей в роли Оператора или уполномоченного лица;

– осуществлять иные права, предусмотренные законодательством Республики Беларусь и локальными правовыми актами Предприятия в области обработки и защиты персональных данных.

8.2. Предприятие обязано:

– разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;

– получать согласие субъекта персональных данных, если это предусмотрено законодательством Республики Беларусь;

– обеспечивать защиту персональных данных в процессе их обработки;

– предоставлять субъекту персональных данных информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных законодательством Республики Беларусь;

– вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;

– прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных законодательством Республики Беларусь;

– уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных;

– осуществлять изменение, блокирование или удаление недостоверных или полученных незаконным путем персональных данных субъекта персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательством Республики Беларусь;

– исполнять иные требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных;