ПОЛИТИКА БУЗ ОРЛОВСКОЙ ОБЛАСТИ "ХОТЫНЕЦКАЯ ЦРБ" В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, В ПОРЯДКЕ, УСТАНОВЛЕННОМ ФЕДЕРАЛЬНЫМ ЗАКОНОМ ОТ 27 ИЮЛЯ 2006 ГОДА № 152-ФЗ «О ПЕРСОНАЛЬНЫХ ДАННЫХ»

 

1. Данная Политика БУЗ Орловской области «Хотынецкая ЦРБ» разработана в целях выработки унифицированных подходов к структуре и форме документа, определяющего политику ЦРБ (оператор) в отношении обработки персональных данных граждан и сохранения их конфиденциальности (далее – Политика).

 

2. Общие положения:

Бюджетное учреждение здравоохранения Орловской области «Хотынецкая центральная районная больница» находится в государственной собственности Орловской области. Учредителем Учреждения является субъект Российской Федерации- Орловская область. Функции учредителя осуществляет Департамент здравоохранения Орловской области. Предметом и целями деятельности Учреждения является осуществление квалифицированной медицинской и профилактической помощи населению. Для этих целей ЦРБ (оператор) пользуется сбором, обработкой и использованием персональных данных граждан. Целью Политики оператора является сохранение конфиденциальности персональных данных граждан.

- персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

- оператор персональных данных (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

- обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:

- сбор;

- запись;

- систематизацию;

- накопление;

- хранение;

- уточнение (обновление, изменение);

- извлечение;

- использование;

- передачу (распространение, предоставление, доступ);

- обезличивание;

- блокирование;

- удаление;

- уничтожение.

- автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;

- распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

- предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

- блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

- уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

- обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

- информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

 

3. Цели сбора персональных данных:

Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

Цели обработки персональных данных происходят в результате анализа правовых актов, регламентирующих деятельность оператора, целей фактически осуществляемой оператором деятельности, а также деятельности, которая предусмотрена учредительными документами оператора, и конкретных бизнес-процессов оператора в конкретных информационных системах персональных данных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных).

3.1. Правовые основания обработки персональных данных:

Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных.

В качестве правового основания обработки персональных данных являются:

- федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;

- уставные документы оператора;

- договоры, заключаемые между оператором и субъектом персональных данных;

- согласие на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям оператора).

3.2. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных:

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки (ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

К категориям субъектов персональных данных отнесены, в том числе:

- работники оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников;

- клиенты и контрагенты оператора (физические лица);

- представители/работники клиентов и контрагентов оператора (юридических лиц).

Обрабатываемые оператором персональные данные, случаи обработки специальных категорий персональных данных и биометрических персональных данных:

 

-собирает и хранит персональные данные работников, а также персональные данные других субъектов персональных данных, полученные от контрагентов, необходимые для оказания услуги, исполнения соглашения или договора, стороной которого является субъект персональных данных.

Объем обрабатываемых персональных данных работников ЦРБ:

При приеме на работу в ЦРБ работник отдела кадров обрабатывает следующие данные работника:
— общие сведения (ф. и. о., дата рождения, место рождения, гражданство, образование, профессия, стаж работы, паспортные данные, адрес места жительства);
— сведения о воинском учете;
— другие данные, необходимые при приеме на работу в соответствии с требованиями трудового законодательства.

В дальнейшем в личную карточку работника по форме Т-2 вносятся сведения:
— о переводах на другую работу;
— об аттестации, повышении квалификации, профессиональной переподготовке;
— о социальных льготах, на которые работник имеет право в соответствии с законодательством.

Цели обработки персональных данных работников ЦРБ:
— ведение кадрового учета;
— учет рабочего времени работников;
— расчет заработной платы работников;
— ведение налогового учета;
— ведение воинского учета;
— представление отчетности в государственные органы;
— архивное хранение данных.

Датой начала обработки ПД работников — начало действия трудового договора.

 

Объем обрабатываемых персональных данных физических лиц:

 

- ЦРБ является оператором персональных данных своих пациентов;

- Оператор принимает непосредственное участие в сборе, систематизации, накоплении, хранении, уточнении, обновлении, изменении, распространении и уничтожении персональных данных. Персональные данные представляют собой любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ)).

- ЦРБ, получая персональные данные от пациента (субъекта персональных данных) при его первоначальном поступлении или заключении договора на оказание медицинских услуг, а так же в процессе лечения, приобретает статус оператора.

Началом срока обработки ПД клиентов будет дата заключения договора или дата регистрации на сайте.

Способ обработки ПД может быть автоматизированным (с использованием средств вычислительной техники) и неавтоматизированным (только вручную).

4. Порядок и условия обработки персональных данных:

К действиям, совершаемым с ПД, относятся:

- сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение (п. 3 ст. 3 Закона № 152-ФЗ).

- ЦРБ прекращает обрабатывать ПД, если:

•достигнуты цели их обработки;

•истек срок действия согласия субъекта или он отозвал согласие на обработку персональных данных;

•обнаружена неправомерная обработка персональных данных;

•прекращена деятельность организации.

 

ЦРБ имеет право передавать без письменного согласия субъекта его персональные данные органам дознания и следствия или иным уполномоченным органам по основаниям, предусмотренным законодательством.

В ЦРБ установлены следующие сроки обработки и хранения персональных данных:
— персональные данные, обрабатываемые в целях основной деятельности, — в течение срока действия гражданско-правового договора и срока исковой давности после его завершения;
— персональные данные, обрабатываемые в связи с трудовыми отношениями, — в течение действия трудового договора и 75 лет после завершения действия трудового договора;
— персональные данные кандидатов на вакантные должности, в том числе и тех, кто не был оформлен на работу, — 1 год с момента вынесения отрицательного решения.

ЦРБ может хранить персональные данные без использования средств автоматизации.

 

При осуществлении хранения персональных данных оператор персональных данных обязан использовать базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона "О персональных данных".

 

5. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным:

В случае неточности персональных данных или неправомерности их обработки оператор актуализирует информацию или прекращает обработку ПД (ч. 1 ст. 21 Закона № 152-ФЗ). ЦРБ вносит изменения, уничтожает или блокирует ПД, если субъект предоставит вам сведения о том, что данные устарели, недостоверны или получены незаконно.

В случае предоставления субъектом персональных данных фактов о неполных, устаревших, недостоверных или незаконно полученных персональных данных оператор вносит необходимые изменения, уничтожает или блокирует их, а также уведомляет о своих действиях субъекта персональных данных.

В случае подтверждения факта неточности в персональных данных они подлежат актуализации оператором, а при неправомерности их обработки такая обработка прекращается.

Условия, при которых ПД подлежат уничтожению:

Согласно Закона № 152-ФЗ, когда цели обработки ПД достигнуты или субъект ПД отозвал свое согласие, персональные данные должны быть уничтожены, если:
— иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
— оператор не вправе осуществлять обработку без согласия субъекта ПД на основаниях, предусмотренных Законом о ПД или иными федеральными законами;
— иное не предусмотрено иным соглашением между оператором и субъектом ПД.

По запросу субъекта персональных данных (его представителя) организация обязуется сообщить о наличии у нее его персональных данных, а также предоставить возможность ознакомления с ними (ч. 1 ст. 20 Закона № 152-ФЗ).

 

6. Заключительные положения:

6.1. Настоящая политика является общедоступной;

6.2. Настоящая политика подлежит изменению, дополнению в случае внесения изменений в действующие законодательные акты и появления новых законодательных актов и специальных нормативных документов по обработке и защите персональных данных.