Положение об обработке и защите персональных данных
в обществе с ограниченной ответственностью «Клиника доктора Корецкой» (ООО «КЛИНКОР», ИНН 3000021479, ОГРН 1253000004520)
Положение об обработке и защите персональных данных является локальным нормативным актом общества с ограниченной ответственностью «Клиника доктора Корецкой» (далее ООО «КЛИНКОР»), разработанным на основе Конституции Российской Федерации, Трудового Кодекса Российской Федерации, Федерального закона от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», иных нормативно-правовых актов, действующих на территории Российской Федерации.
Основные понятия, используемые в Положении:
- Оператор, Работодатель – общество с ограниченной ответственностью «Клиника доктора Корецкой» (ООО «КЛИНКОР», ИНН 3000021479, ОГРН 1253000004520); юридический адрес: 414045, Астраханская область, г.о. город Астрахань, г. Астрахань, ул. Ахшарумова, д. 27в, помещ. 6, электронная почта: kklinkor@mail.ru;
- Клиент - физическое лицо, потребитель услуг, предоставляемых обществом
с ограниченной ответственностью «Клиника доктора Корецкой» (ООО «КЛИНКОР»), субъект персональных данных;
- Работник, сотрудник – физическое лицо, вступившее с обществом с ограниченной ответственностью «Клиника доктора Корецкой» (ООО «КЛИНКОР») в трудовые отношения, субъект персональных данных;
- Соискатель – физическое лицо, претендующее на замещение вакантных должностей, намеревающееся вступить в трудовые отношения с обществом с ограниченной ответственностью «Клиника доктора Корецкой» (ООО «КЛИНКОР»), субъект персональных данных.
- Уволенный сотрудник – физическое лицо, прекратившее трудовые отношения
с обществом с ограниченной ответственностью «Клиника доктора Корецкой»
(ООО «КЛИНКОР»), субъект персональных данных.
- Персональные данные - информация, сохраненная в любом формате, относящаяся
к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), которая сама по себе или в сочетании с другой информацией, имеющейся в распоряжении Оператора, позволяет идентифицировать личность Клиента и/или Сотрудника (Соискателя, Уволенного сотрудника);
- Персональные данные работника – информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника;
- Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами
не распространяется требование соблюдения конфиденциальности;
- Информационная система персональных данных – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;
- Обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение, передачу, обезличивание, блокирование, уничтожение персональных данных;
- Использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;
- Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания;
- Защита персональных данных – комплекс мер технического, организационного и организационно-технического, правового характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных);
- Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
- Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных работников и (или) в результате которых уничтожаются материальные носители персональных данных;
- Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- Передача персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц;
- Распространение персональных данных – действия, направленные на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение
в информационно-телекоммуникационных сетях или предоставление доступа
к персональным данным каким-либо иным способом;
- Информация - сведения (сообщения, данные), независимо от формы их представления;
- Документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.
Правила обработки персональных данных
в обществе с ограниченной ответственностью
«Клиника доктора Корецкой» (ООО «КЛИНКОР»)
I. Общие положения
1. Обработка персональных данных в обществе с ограниченной ответственностью «Клиника доктора Корецкой» (далее - ООО «КЛИНКОР») выполняется с использованием средств автоматизации или без использования таких средств и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов персональных данных, персональные данные которых обрабатываются в ООО «КЛИНКОР».
2. Обработка персональных данных без использования средств автоматизации может осуществляться в виде документов на бумажных носителях и в электронном виде (файлы, базы данных) на электронных носителях информации.
3. К субъектам персональных данных, персональные данные которых обрабатываются
в ООО «КЛИНКОР», в соответствии с настоящими Правилами относятся:
1) лица, обработка персональных данных которых осуществляется в связи с исполнением гражданско-правовых договоров, заключаемых с ООО «КЛИНКОР»;
2) клиенты, пациенты и контрагенты ООО «КЛИНКОР»;
3) лица, обработка персональных данных которых осуществляется в связи с выполнением возложенных законодательством Российской Федерации на ООО «КЛИНКОР» функций, полномочий и обязанностей;
4) пользователи и посетители сайта ООО «КЛИНКОР» в информационно-телекоммуникационной сети «Интернет» по сетевым адресам:
https://www.klinika-kk.ru, https://vk.ru/clinkor, https://t.me/KlinKor1,
https://www.instagram.com/klin.kor?igsh=Nm1qNmFzb2g5eWph, (далее — Сайт);
5) сотрудники ООО «КЛИНКОР» и члены их семьи;
6) соискатели на вакантные должности ООО «КЛИНКОР»;
7) уволенные сотрудники ООО «КЛИНКОР»;
8) ученики и студенты, проходящие по договору с учебным заведением практику
в ООО «КЛИНКОР».
4. Обработка персональных данных осуществляется с согласия субъекта персональных данных. Обработка персональных данных может осуществляться без согласия субъекта персональных данных на обработку его персональных данных только лишь в случаях, установленных пунктом 2 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ
«О персональных данных» (далее – Федеральный закон «О персональных данных») -
для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на ООО «КЛИНКОР».
5. Обработка персональных данных в ООО «КЛИНКОР» осуществляется с соблюдением принципов и условий, предусмотренных настоящими Правилами и законодательством Российской Федерации в области персональных данных.
II. Цели, условия и порядок обработки персональных данных и соответствующие им перечни обрабатываемых персональных данных
6. Персональные данные субъектов персональных данных, указанных в подпунктах 1-2 пункта 3 настоящих Правил, обрабатываются в целях предоставления услуг клиентам и пациентам ООО «КЛИНКОР», предоставления консультаций, медицинских услуг, иной информации о деятельности и услугах Оператора по запросам пользователей, исполнения иных договорных обязательств, одной из сторон которых является Клиент. Оператор собирает данные только в объеме, необходимом для достижения названных целей.
7. В целях, указанных в пункте 6 настоящих Правил, обрабатываются следующие категории персональных данных субъектов персональных данных, указанных в подпунктах 1-2 пункта 3 настоящих Правил:
1) фамилия, имя, отчество (при наличии);
2) дата рождения;
3) место рождения;
4) сведения о гражданстве;
5) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, выдавшего его, дата выдачи;
6) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации за пределами Российской Федерации, наименование органа, выдавшего его, дата выдачи;
7) адрес места жительства, дата регистрации по месту жительства (месту пребывания);
8) номер телефона или сведения о других способах связи;
9) сведения, содержащиеся в страховом свидетельстве обязательного пенсионного страхования или документе, подтверждающем регистрацию в системе индивидуального (персонифицированного) учета;
10) идентификационный номер налогоплательщика;
11) реквизиты свидетельства о государственной регистрации актов гражданского состояния;
12) сведения о семейном положении;
13) сведения о трудовой деятельности, включая работу по совместительству, предпринимательскую и иную деятельность, военную службу;
14) фотография;
15) сведения о состоянии здоровья, противопоказаниях к услугам ООО «КЛИНКОР»;
16) номер расчетного счета;
17) номер банковской карты;
18) иные сведения, которые субъект персональных данных пожелал сообщить о себе и которые отвечают целям обработки персональных данных, указанным в пункте 6 настоящих Правил.
8. Обработка персональных данных осуществляется с согласия субъекта персональных данных. Обработка биометрических персональных данных субъектов персональных данных, указанных в подпунктах 1–2 пункта 3 настоящих Правил, не осуществляется.
9. Осуществляется обработка следующих специальных категорий персональных данных субъектов персональных данных: сведения о состоянии здоровья; национальная принадлежность; религиозные или философские убеждения.
10. Согласие субъектов персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом «О персональных данных».
11. Обработка персональных данных субъектов персональных данных, указанных
в подпунктах 1-2 пункта 3 настоящих Правил, осуществляется ООО «КЛИНКОР»
и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
12. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных субъектов персональных данных осуществляется путем:
1) получения оригиналов необходимых документов (далее – оригиналы документов);
2) копирования оригиналов документов;
3) внесения сведений в договоры, заявки и медицинскую карту пациентов;
4) формирования персональных данных в ходе исполнения гражданско-правовых договоров;
5) внесения персональных данных в журналы, информационные системы персональных данных.
13. Запрещается получать, обрабатывать и приобщать к личному делу субъектов персональных данных, указанных в подпунктах 1-2 пункта 3 настоящих Правил, персональные данные, не предусмотренные пунктами 7, 9 настоящих Правил.
14. Персональные данные субъектов персональных данных, указанных
в подпункте 4 пункта 3 настоящих Правил, обрабатываются в целях информирования
об услугах и товарах ООО «КЛИНКОР», записи на услуги, приобретения услуг и товаров ООО «КЛИНКОР». Оператор собирает данные только в объеме, необходимом для достижения названных целей.
15. В целях, указанных в пункте 14 настоящих Правил, обрабатываются следующие категории персональных данных субъектов персональных данных, указанных в подпункте 4 пункта 3 настоящих Правил:
1) фамилия, имя, отчество (при наличии);
2) номер телефона или сведения о других способах связи;
3) адрес электронной почты;
4) иные сведения, которые субъект персональных данных пожелал сообщить о себе и которые отвечают целям обработки персональных данных, указанным в пункте 14 настоящих Правил.
16. Обработка персональных данных осуществляется с согласия субъекта персональных данных. Обработка биометрических персональных данных субъектов персональных данных, указанных в подпункте 4 пункта 3 настоящих Правил, не осуществляется.
17. Обработка специальных категорий персональных данных субъектов персональных данных не осуществляется.
18. Согласие субъектов персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом «О персональных данных». К письменной форме
по данному пункту Положения приравниваются действия по регистрации на Сайте и/или
по оставлению отзыва, вопроса, пожелания в Форме обратной связи, Форме обратного звонка, Форме обратной связи, выполнении инструкции в интерфейсах Сайта, нажатии
на специальные кнопки или совершении иных действий, а также действия по заполнению формы обратной связи, формы обратного звонка, формы записи на услугу. Согласие предоставляется в момент совершения Субъектом действий, выражающих согласие. Моментом предоставления Согласия является проставление Субъектом отметки (символа «галочка» либо иного) в поле слева от фразы «Настоящим подтверждаю, что ознакомлен и согласен с условиями Политики в отношении обработки персональных данных и даю согласие на обработку своих персональных данных» на Сайте, в форме обратной связи, форме обратного звонка, форме записи на услугу. Согласием также считается совершение Субъектом иных действий, выражающих волю Субъекта на предоставление согласия
(к примеру, самостоятельное оставление данных Субъектом в переписке с Оператором
и в иных случаях).
19. Обработка персональных данных субъектов персональных данных, указанных
в подпункте 4 пункта 3 настоящих Правил, осуществляется ООО «КЛИНКОР»
и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
20. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных субъектов персональных данных осуществляется путем:
1) получения данных Субъекта, оставленных им на Сайте оператора;
2) переписки Субъекта с Оператором;
3) внесения сведений в договоры и заявки;
4) формирования персональных данных в ходе исполнения гражданско-правовых договоров;
5) внесения персональных данных в информационные системы персональных данных.
21. Запрещается получать, обрабатывать и хранить персональные данные,
не предусмотренные пунктом 14 настоящих Правил, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.
22. Персональные данные субъектов персональных данных, указанных в подпунктах 5-7 пункта 3 настоящих Правил, обрабатываются в целях в целях исполнения трудового договора, обеспечения содействия в выполнении осуществляемой работы, организации и прохождения стажировки, обучения и должностного роста, обеспечения установленных законодательством Российской Федерации условий труда, гарантий и компенсаций, исполнения трудового, пенсионного и налогового законодательства.
23. В целях, указанных в пункте 22 настоящих Правил, обрабатываются следующие категории персональных данных субъектов персональных данных, указанных в подпунктах 5-7 пункта 3 настоящих Правил:
1) фамилия, имя, отчество (при наличии) (в том числе прежние фамилии, имена и (или) отчества (при наличии), в случае их изменения);
2) дата рождения;
3) место рождения;
4) сведения о гражданстве;
5) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, выдавшего его, дата выдачи;
6) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации за пределами Российской Федерации, наименование органа, выдавшего его, дата выдачи;
7) адрес места жительства, дата регистрации по месту жительства (месту пребывания);
8) номер телефона или сведения о других способах связи;
9) сведения, содержащиеся в страховом свидетельстве обязательного пенсионного страхования или документе, подтверждающем регистрацию в системе индивидуального (персонифицированного) учета;
10) идентификационный номер налогоплательщика;
11) реквизиты страхового медицинского полиса обязательного медицинского страхования;
12) реквизиты свидетельства о государственной регистрации актов гражданского состояния;
13) сведения о семейном положении, составе семьи и о близких родственниках (в том числе бывших супругах);
14) сведения о трудовой деятельности, включая работу по совместительству, предпринимательскую и иную деятельность, военную службу;
15) отношение к воинской обязанности, сведения о воинском учете
и реквизиты документов воинского учета (серия, номер, дата выдачи документов воинского учета, наименование органа, выдавшего его);
16) сведения об образовании с указанием наименования образовательной организации, года ее окончания, квалификации, специальности и (или) направления подготовки, наименования и реквизитов документа об образовании;
17) сведения об ученой степени, ученом звании;
18) сведения о владении иностранными языками;
19) фотография;
20) сведения о наличии или отсутствии судимости;
21) сведения о профессиональной переподготовке и (или) повышении квалификации;
22) номер расчетного счета;
23) номер банковской карты;
24) иные сведения, которые субъект персональных данных пожелал сообщить о себе и которые отвечают целям обработки персональных данных, указанным в пункте 22 настоящих Правил.
24. Обработка персональных данных субъектов персональных данных, указанных в подпунктах 5-7 пункта 3 настоящих Правил, осуществляется без их согласия в целях, определенных пунктом 22 настоящих Правил, в соответствии с пунктом 2 части 1 статьи 6 и частью 2 статьи 11 Федерального закона «О персональных данных» и Трудовым кодексом Российской Федерации.
25. Обработка специальных категорий персональных данных субъектов персональных данных осуществляется без их согласия в целях, указанных в пункте 22 настоящих Правил,
в соответствии с подпунктом 2.3 пункта 2 части 2 статьи 10 Федерального закона
«О персональных данных», за исключением случаев получения персональных данных
у третьей стороны в соответствии с пунктом 3 статьи 86 Трудового кодекса Российской Федерации.
26. Обработка персональных данных субъектов персональных данных, указанных
в подпунктах 5-7 пункта 3 настоящих Правил, осуществляется с их согласия в следующих случаях:
1) при передаче персональных данных третьим лицам в случаях, не предусмотренных законодательством Российской Федерации;
2) при принятии решений, порождающих юридические последствия в отношении указанных лиц или иным образом затрагивающих их права и законные интересы, на основании исключительно автоматизированной обработки их персональных данных.
27. В случаях, предусмотренных пунктом 26 настоящих Правил, согласие субъектов персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом «О персональных данных».
28. Обработка персональных данных субъектов персональных данных, указанных
в подпунктах 5-7 пункта 3 настоящих Правил, осуществляется ООО «КЛИНКОР»
и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
29. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных субъектов персональных данных осуществляется путем:
1) получения оригиналов необходимых документов (заявление, трудовая книжка, автобиография, документы об образовании, повышении квалификации, иные документы, предоставляемые ООО «КЛИНКОР») (далее – оригиналы документов);
2) копирования оригиналов документов;
3) внесения сведений в учетные формы (на бумажных и электронных носителях);
4) формирования персональных данных в ходе кадровой работы;
5) внесения персональных данных в журналы, информационные системы персональных данных.
30. Запрещается получать, обрабатывать и приобщать к личному делу субъектов персональных данных, указанных в подпунктах 5-7 пункта 3 настоящих Правил, персональные данные, не предусмотренные пунктом 23 настоящих Правил, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.
31. Персональные данные субъектов персональных данных, указанных в подпункте 8 пункта 3 настоящих Правил, обрабатываются в целях предоставления образовательных услуг ученикам и студентам, проходящим на основании договора с образовательной организацией практику либо стажировку, предоставления консультаций, иной информации о деятельности и услугах Оператора по запросам пользователей, исполнения иных договорных обязательств, одной из сторон которых является ученик или студент ООО «КЛИНКОР» либо образовательная организация. Оператор собирает данные только в объеме, необходимом для достижения названных целей.
32. В целях, указанных в пункте 31 настоящих Правил, обрабатываются следующие категории персональных данных субъектов персональных данных, указанных в подпункте 8 пункта 3 настоящих Правил:
1) фамилия, имя, отчество (при наличии);
2) дата рождения;
3) место рождения;
4) сведения о гражданстве;
5) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, выдавшего его, дата выдачи;
6) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации за пределами Российской Федерации, наименование органа, выдавшего его, дата выдачи;
7) адрес места жительства, дата регистрации по месту жительства (месту пребывания);
8) номер телефона или сведения о других способах связи;
9) сведения о трудовой деятельности, включая работу по совместительству, предпринимательскую и иную деятельность, военную службу;
10) сведения об образовании;
11) сведения о состоянии здоровья;
12) фотография;
13) номер расчетного счета;
14) номер банковской карты;
15) сведения о наличии либо отсутствии судимости;
16) иные сведения, которые субъект персональных данных пожелал сообщить о себе и которые отвечают целям обработки персональных данных, указанным в пункте 6 настоящих Правил.
33. Обработка персональных данных осуществляется с согласия субъекта персональных данных. Обработка биометрических персональных данных субъектов персональных данных, указанных в подпунктах 1–2 пункта 3 настоящих Правил, не осуществляется.
34. Обработка специальных категорий персональных данных субъектов персональных данных не осуществляется, за исключением сведений о состоянии здоровья.
35. Согласие субъектов персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом «О персональных данных».
36. Обработка персональных данных субъектов персональных данных, указанных
в подпункте 8 пункта 3 настоящих Правил, осуществляется ООО «КЛИНКОР»
и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
37. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных субъектов персональных данных осуществляется путем:
1) получения оригиналов необходимых документов (далее – оригиналы документов);
2) копирования оригиналов документов;
3) внесения сведений в договоры и заявки;
4) формирования персональных данных в ходе исполнения гражданско-правовых договоров;
5) внесения персональных данных в журналы, информационные системы персональных данных.
38. Запрещается получать, обрабатывать и приобщать к личному делу субъектов персональных данных, указанных в подпункте 8 пункта 3 настоящих Правил, персональные данные, не предусмотренные пунктом 7 настоящих Правил, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.
III. Порядок хранения, сроки обработки и хранения персональных данных.
Порядок уничтожения персональных данных
39. Обработка персональных данных Клиентов / Пациентов / Контрагентов / Учеников и Студентов / Посетителей Сайта / Сотрудников / Соискателей / Уволенных сотрудников ведется методом смешанной обработки.
40. К обработке персональных данных Клиентов, Пациентов, Контрагентов, Учеников и Студентов, Посетителей Сайта, Сотрудников, Соискателей и Уволенных сотрудников могут иметь доступ только работники Оператора, допущенные к работе с персональными данными, ознакомленные под роспись с Положением об обработке и защите персональных данных.
41. Перечень сотрудников, имеющих право доступа к персональным данным (далее – Перечень), определяется приказом Оператора на основании должностных обязанностей сотрудников и производственной необходимости. С указанным Приказом сотрудники должны быть ознакомлены под роспись.
42. Документы, содержащие персональные данные Клиентов, Пациентов, Контрагентов, Учеников, Студентов, Сотрудников, Соискателей и Уволенных сотрудников хранятся
в ООО «КЛИНКОР» по адресу: 414045, Астраханская область, г.о. город Астрахань,
г. Астрахань, ул. Ахшарумова, д. 27в, помещ. 6, доступ к ним посторонних лиц
(за исключением сотрудников ООО «КЛИНКОР», допущенных к обработке персональных данных и подписавших соответствующее письменное обязательство о неразглашении персональных данных) исключен.
43. Персональные данные Клиентов, Пациентов, Контрагентов, Учеников, Студентов, Посетителей Сайта в электронном виде хранятся в базе локальной компьютерной сети Оператора, расположенной по адресу: 414045, Астраханская область, г.о. город Астрахань,
г. Астрахань, ул. Ахшарумова, д. 27в, помещ. 6. Доступ к персональным данным имеют только лица, допущенные к обработке персональных данных.
44. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
45. Персональные данные подлежат уничтожению в следующих случаях:
1) При достижении цели обработки персональных данных или в случае утраты необходимости в достижении цели обработки персональных данных, если иное
не предусмотрено Федеральным законом «О персональных данных»;
2) При изменении, признании утратившими силу нормативных правовых актов, устанавливающих правовые основания обработки персональных данных;
3) При выявлении факта неправомерной обработки персональных данных;
4) При отзыве субъектом персональных данных согласия, если иное не предусмотрено Федеральным законом «О персональных данных».
46. Уполномоченными сотрудниками ООО «КЛИНКОР» осуществляется, систематический контроль и выявление документов, содержащих персональные данные с истекшими сроками хранения.
47. Уничтожение персональных данных по окончании срока их обработки на бумажных и электронных носителях производится путем механического нарушения их целостности,
не позволяющего произвести считывание и восстановление персональных данных, или удаления с электронных носителей методами и средствами гарантированного удаления остаточной информации.
48. При передаче персональных данных Оператор должен соблюдать следующие требования:
- Предупредить лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные Клиентов и сотрудников Оператора, обязаны соблюдать режим конфиденциальности. Данное положение не распространяется в случае обезличивания персональных данных и в отношении общедоступных данных.
- Разрешать доступ к персональным данным только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций.
49. Лица, в установленном порядке получившие доступ к персональным данным и другой конфиденциальной информации обязаны не предоставлять и не разглашать такую информацию в любой возможной форме (устной, письменной, иной форме, в т.ч.
с использованием технических средств) без согласия обладателя такой информации либо вопреки трудовому договору.
50. Трансграничная передача персональных данных Оператором не производится.
IV Защита персональных данных от несанкционированного доступа.
51. Оператор обязан при обработке персональных данных принимать необходимые организационные и технические меры для защиты персональных данных
от несанкционированного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
52. Для эффективной защиты персональных данных Оператором предпринимаются следующие меры:
52.1 Оператор и его сотрудники соблюдают порядок получения, учета и хранения материальных носителей персональных данных.
52.2. Применяются организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требований к защите персональных данных.
52.3. Оператором определяются угрозы безопасности персональных данных при их обработке в информационных системах персональных данных.
52.4. Сотрудники оператора, ответственные за обработку персональных данных, а также сотрудники, чьи обязанности связаны с получением, обработкой и защитой персональных данных должны быть ознакомлены настоящим Положением под роспись. Кроме того, перечисленные сотрудники должны быть ознакомлены с положениями законодательства Российской Федерации о персональных данных, в том числе
с требованиями к защите персональных данных, иными локальными актами Оператора в отношении обработки персональных данных, и проходят соответствующий инструктаж и/или обучение.
52.5. Сотрудники, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, привлекаются к дисциплинарной ответственности.
52.6. Допуск к персональным данным работникам Оператора, не имеющим надлежащим образом оформленного доступа, запрещается.
52.7. Обеспечивается защита от несанкционированного доступа к сведениям и документам, содержащим персональные данные.
52.8. Защита доступа к электронным базам данных, содержащим персональные данные Клиентов, Пациентов и сотрудников, обеспечивается:
- использованием SSL–протоколов, антивирусного программного обеспечения, межсетевых экранов;
- использованием лицензионных программных продуктов, предотвращающих несанкционированный доступ третьих лиц к персональным данным;
- использованием системы паролей условно-постоянного действия длинной не менее шести буквенно-цифровых символов. Пароли устанавливаются системным администратором и сообщаются индивидуально сотрудникам, имеющим доступ
к персональным данным;
- наличием средств восстановления системы защиты персональных данных;
- использованием средств резервного копирования;
- передачей данных по защищенным каналам связи;
- ведением учета машинных носителей информации;
- выявлением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер;
- восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- разработкой и установлением правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;
- установлением физической охраны информационных систем (технических средств
и носителей информации), предусматривающей контроль доступа в помещения информационных систем посторонних лиц, наличием надежных препятствий для несанкционированного проникновения в помещения информационных систем
и хранилище носителей информации;
- ведением учета всех защищаемых носителей информации.
53. Копировать и делать выписки персональных данных разрешается исключительно
в служебных целях с письменного разрешения генерального директора ООО «КЛИНКОР».
54. Сотрудникам Оператора запрещается выносить вышеуказанную информацию за пределы рабочего места на бумажных, машиночитаемых и иных носителях за исключением случаев, когда это необходимо в силу производственной необходимости для выполнения сотрудниками своих должностных обязанностей.
55. При работе с персональными данными сотрудникам Оператора следует соблюдать меры, предупреждающие и ограничивающие доступ к указанной информации не уполномоченных на ее получение лиц. В том числе:
- не передавать свой пароль от входа в информационную систему третьим лицам;
- по окончании работы в системе – завершить сеанс пользователя;
- не допускать хранения в открытом доступе документов, содержащих конфиденциальную информацию;
- осуществлять хранение архивов документов в помещениях с ограниченным доступом, в закрывающихся на ключ шкафах/сейфах в течение установленного нормативно-правовыми актами РФ срока;
- после истечения установленного нормативно-правовыми актами РФ срока хранения документы уничтожаются вручную, либо с использование специального оборудования о чем составляется соответствующий акт.
56. Нарушение данных обязанностей считается совершенным, когда сведения, содержащие персональные данные и другую конфиденциальную информацию, стали известны лицам, которые не должны располагать такой информацией.
57. По разрешению Оператора раскрытие конфиденциальной информации (персональных данных) третьим лицам возможно в случае привлечения их к деятельности, требующей знания такой информации, и только в том объеме, который необходим для реализации целей и задач, а также при условии принятия ими на себя обязательства не разглашать полученные сведения.
58. В случаях, установленных законодательством РФ, раскрытие конфиденциальной информации возможно сотрудникам правоохранительных органов, при наличии законных оснований и надлежащим образом оформленных документов, подтверждающих такие основания.
59. Сотрудники и лица, сотрудничающие с Оператором на основании гражданско-правовых договоров, обязаны:
- Осуществлять обработку персональных данных Клиентов, Пациентов исключительно в целях оказания законных услуг Клиентам.
- Получать персональные данные Клиента, Пациента, Контрагента или Сотрудника/Соискателя непосредственно у него самого. Если персональные данные Клиента, Пациента, Контрагента или Сотрудника/Соискателя возможно получить только у третьей стороны, то Клиент, Пациент, Контрагент или Сотрудник/Соискатель должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Сотрудники Оператора должны сообщить Клиентам о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа клиента дать письменное согласие на их получение.
- Предоставлять доступ к своим персональным данным Клиенту, Пациенту, Сотруднику или его законному представителю при обращении либо при получении запроса, содержащего номер основного документа, удостоверяющего личность Клиента, Пациента или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись Клиента, Пациента или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации. Сведения о наличии персональных данных должны быть предоставлены Клиенту, Пациенту в доступной форме и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
- Обеспечить хранение и защиту персональных данных Клиента, Пациента, Контрагента или Сотрудника/Соискателя от неправомерного их использования или утраты.
60. В случае выявления недостоверных персональных данных или неправомерных действий
с ними работников Оператора, при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки.
61. В случае подтверждения факта недостоверности персональных данных Оператор
на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные и снять их блокирование.
62. В случае выявления неправомерных действий с персональными данными Оператор
в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений Оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные.
Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом
по защите прав субъектов персональных данных, также указанный орган.
V Рассмотрение запросов субъектов персональных данных
или их представителей
63. Лица, указанные в пункте 3 настоящих Правил, имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных ООО «КЛИНКОР»;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые ООО «КЛИНКОР» способы обработки персональных данных;
4) наименование и место нахождения ООО «КЛИНКОР», сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные
на основании договора с ООО «КЛИНКОР» или на основании федерального закона;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению ООО «КЛИНКОР», если обработка поручена или будет поручена такому лицу;
10) информацию о способах исполнения ООО «КЛИНКОР» обязанностей, установленных статьей 18.1 Федерального закона «О персональных данных»;
11) иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
64. Лица, указанные в пункте 3 настоящих Правил, вправе требовать от ООО «КЛИНКОР» уточнения их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки,
а также принимать предусмотренные законом меры по защите своих прав.
65. Сведения, указанные в пункте 63 настоящих Правил, должны быть предоставлены субъекту персональных данных ООО «КЛИНКОР» в доступной форме, и в них
не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
66. Сведения, указанные в пункте 63 настоящих Правил, предоставляются субъекту персональных данных или его представителю уполномоченным должностным лицом
ООО «КЛИНКОР», осуществляющим обработку соответствующих персональных данных,
в течение десяти рабочих дней с момента обращения либо получения ООО «КЛИНКОР» запроса субъекта персональных данных или его представителя.
67. Запрос должен содержать:
1) номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
2) сведения, подтверждающие участие субъекта персональных данных в отношениях
с ООО «КЛИНКОР» либо сведения, иным образом подтверждающие факт обработки персональных данных ООО «КЛИНКОР»;
3) подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью
в соответствии с законодательством Российской Федерации.
68. В случае если сведения, указанные в пункте 63 настоящих Правил, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно в ООО «КЛИНКОР» или направить повторный запрос в целях получения указанных сведений и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии
с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
69. Субъект персональных данных вправе обратиться повторно в ООО «КЛИНКОР» или направить повторный запрос в целях получения сведений, указанных в пункте 63 настоящих Правил, а также в целях ознакомления с обрабатываемыми персональными данными
до истечения срока, указанного в пункте 68 настоящих Правил, в случае если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в пункте 68 настоящих Правил, должен содержать обоснование направления повторного запроса.
70. ООО «КЛИНКОР» вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 68 и 69 настоящих Правил. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит
на ООО «КЛИНКОР».
71. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
72. Оператор и его уполномоченные Сотрудники обязаны на должном уровне обеспечивать рассмотрение запросов, заявлений и жалоб субъектов персональных данных, а также содействовать исполнению требований компетентных органов.
VI Заключительные положения
73. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с действующим законодательством Российской Федерации.
74. Настоящее Положение вступает в силу с момента его утверждения Оператором.
75. Оператор имеет право вносить изменения в настоящее Положение.
76. При внесении изменений в заголовке Положения указывается дата последнего обновления редакции.
77. Новая редакция Положения вступает в силу с момента ее утверждения и размещения
на информационном стенде Оператора, а также на сайте Оператора в телекоммуникационной сети «Интернет», если иное не предусмотрено новой редакцией Положения.
