Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) составлена в соответствии с требованиями Закона № 152-ФЗ от 27 июля 2006 г. «О персональных данных» и является внутренним регулирующим документом ООО «М.П.А. медицинские партнеры» ИНН 7734171740, адрес места нахождения: 127083, г. Москва, ул. 8 Марта, д. 1, стр. 12, эт. 4, пом. XXVIII, ком. 4 (далее – Организация или Оператор), определяющим основные направления деятельности в области обработки и защиты персональных данных (далее – ПДн), оператором которых является Организация.

1.2. Политика разработана в целях реализации требований законодательства в области обработки и защиты ПДн и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн в Организации.

1.3. Положения Политики распространяются на отношения по обработке и защите ПДн, полученных Компанией как до, так и после принятия и утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите ПДн, возникших до ее утверждения.

1.4. Обработка ПДн в Компании осуществляется в целях выполнения Оргнаизацией функций, предусмотренных ее внутренними (уставными) документами и определяемых:

Конституцией РФ (принята всенародным голосованием 12.12.1993);
Законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
Постановлением Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Постановлением Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
иными нормативными правовыми актами Российской Федерации.

1.5. Организация имеет право вносить изменения в настоящую Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее размещения на сайте, если иное не предусмотрено новой редакцией Политики.

2. Термины, принятые сокращения и состав персональных данных пациента

Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3. Принципы обработки персональных данных

3.1. Обработка ПДн осуществляется на основе следующих принципов:

3.1.1. законность целей и способов обработки персональных данных, добросовестность и справедливость в деятельности Организации;

3.1.2. обработка только персональных данных, отвечающих целям их обработки;

3.1.3. обработка ПДн, несовместимая с целями сбора, не допускается;

3.1.4. соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;

3.1.5. недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

3.1.6. обеспечение точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Организация принимает необходимые меры либо обеспечивает их приятие по удалению или уточнению неполных, или неточных данных;

3.1.7. хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки ПДн, если срок хранения не установлен федеральным законом, договором или иным нормативно правовым актом.

4. Получение персональных данных

4.1. Согласие на обработку персональных свободно, своей волей и в своем интересе данных дает субъект персональных данных. Персональные данные субъекта ПДн получаются путем заполнения и подписания им письменного согласия на обработку персональных данных, а также в устной или электронной форме, используя средства телекоммуникаций, с последующим письменным подтверждением.

4.2. Оператор должен сообщить субъекту о целях, способах получения ПДн, характере подлежащих получению ПДн, перечне действий с ПДн, сроке, в течение которого действует согласие, порядке его отзыва, а также о последствиях отказа субъекта дать письменное согласие на получение ПДн.

4.3. Обработка ПДн производится с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

4.4. Обработка персональных данных осуществляется:

4.4.1. С письменного согласия субъекта персональных данных на обработку его персональных данных.

4.4.2. В случаях, когда обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации функций, полномочий и обязанностей.

4.4.3. Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

4.4.4. В случаях, когда осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных).

4.5. Цели обработки ПДн

обработка персональных данных осуществляется в целях продвижения товаров, работ и услуг на рынке путем осуществления прямых контактов с потенциальным контрагентами с помощью средств связи с согласия субъектов ПДн. Организация выполняет все требования к обработке персональных данных представителей контрагентов, оформляющих заказ на сайтах Организации, участвующих в переговорах и т.д., в целях продвижения товаров, работ и услуг, предусмотренные Федеральным законом от 27 июля 2006 г. №152-ФЗ «О персональных данных;
осуществления дистанционного взаимодействия с контрагентами и иными заинтересованными лицами в рамках сервисно-информационного обслуживания, путем использования телефонной связи, сообщений, электронной почте, IP-телефонии;
осуществления дистанционного взаимодействия с контрагентами и иными заинтересованными лицами посредством сайта Организации в сети «Интернет»;
замещение вакантных должностей в Организации соискателями;
выполнение Организацией требований действующих норм трудового законодательства в отношении работников Организации;
налаживание коммуникации между сотрудниками посредством ведения справочника контактных данных сотрудников Организации;
обеспечение личной безопасности сотрудников, иных лиц, посещающих Организацию, а также обеспечение сохранности материальных и иных ценностей, находящихся в ведении Организации;
подключение информационных вычислительных средств, создание новых пользователей в информационных системах Организации, предоставления доступа к ресурсам информационных систем Организации, а также решения вопросов, возникающих у пользователей в процессе работы с компьютерами (аппаратным и программным обеспечением);
контроль использования корпоративной стационарной связи, сети «Интернет» сотрудниками организации;

организация и осуществление внутреннего контроля качества продвижения товаров, работ и услуг на рынке и внутренних производственных процессов.

4.6. Категории субъектов персональных данных

обработка ПДн в Организации осуществляется при заключении договоров поставки товаров, оказания работ и услуг, при оформлении заказов представителями контрагентов на поставку товаров, на оказание услуг на сайтах Организации;
сотрудники и представители действующих контрагентов Организации;
лица, являющиеся соискателями на замещение вакантных должностей в Организации;
сотрудники (представители, контактные лица) Организации;
сотрудники юридических лиц и физические лица, представляющие интересы Организации;
посетители помещений и территории Организации.

4.7. Обработка персональных данных ведется

с использованием средств автоматизации;
без использования средств автоматизации.

4.8 Хранение ПДн

4.8.1. Доступ к обработке персональных данных (как с использованием средств автоматизации, так и без использования средств автоматизации) обеспечивается в установленном Организацией порядке.

4.8.2. Конкретные обязанности по работе с информационными системами персональных данных и материальными носителями информации, содержащими персональные данные, возлагаются на сотрудников Организации и закрепляются в должностных инструкциях работников и иных локальных правовых актах.

4.8.3. Работа с информационными системами персональных данных, материальными носителями, содержащими персональные данные, осуществляется в специально отведенных для этого помещениях.

4.8.4. Требования к месту обработки персональных данных, в том числе к серверной, обеспечивающие их защищенность, устанавливаются Организацией.

4.8.5. С лицами, допущенными к обработке персональных данных пациентов, заключается Соглашение о неразглашении информации, ставшей известной в ходе выполнения служебных обязанностей.

4.8.6. Организация при создании и эксплуатации информационных систем персональных данных с использованием средств автоматизации и без использования средств автоматизации принимает все необходимые организационные и технические меры, обеспечивающих выполнение установленных действующим законодательством требований к обработке персональных данных.

4.9. Передача ПДн

4.9.1. Передача персональных данных различных категорий осуществляется в соответствии с действующим законодательством в РФ.

4.10. Условия прекращения обработки ПДн

хранение ПДн в форме, позволяющей определить субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении;
представление субъектом ПДн или его законным представителем документально подтвержденных сведений о том, что ПДн являются незаконно полученными и не являются необходимыми для заявленной цели обработки;
невозможность обеспечения правомерности обработки персональных данных;
отзыв субъектом ПДн согласия на обработку ПДн, если хранение ПДн более не требуется для целей обработки ПДн

4.11. Уничтожение ПДн

4.11.1. Уничтожение документов (носителей), содержащих ПДн, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.

4.11.2. ПДн на электронных носителях уничтожаются путем стирания или форматирования носителя.

4.11.3. Уничтожение производится комиссией. Факт уничтожения ПДн подтверждается документально актом об уничтожении носителей, подписанным членами комиссии.

5. Защита персональных данных

5.1. В соответствии с требованиями нормативных документов Организацией создана система защиты персональных данных (СЗПД), состоящая из подсистем правовой, организационной и технической защиты.

5.2. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПД.

5.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе с сотрудниками, партнерами, представителями контрагентов и лругими лицами, защиты информации в открытой печати, публикаторской и рекламной деятельности, аналитической работы.

5.4. Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПДн.

5.5. Основными мерами защиты ПДн, используемыми Организацией, являются:

назначение лица ответственного за обработку ПДн, которое осуществляет организацию обработки ПДн, обучение и инструктаж, внутренний контроль за соблюдением Организацией и его работниками требований к защите ПДн;
установление правил доступа к ПДн, обрабатываемым в ИСПД, а также обеспечения регистрации и учета всех действий, совершаемых с ПДн в ИСПД;
установление индивидуальных паролей доступа сотрудников в информационную систему в соответствии с их производственными обязанностями;
антивирусное программное обеспечение с регулярно обновляемыми базами;
программное средство защиты информации от несанкционированного доступа;
соблюдение условий, обеспечивающих сохранность ПДн и исключающих несанкционированный к ним доступ, оценка эффективности принимаемых и реализованных мер по обеспечению безопасности ПДн;
установление правил доступа к обрабатываемым ПДн, обеспечение регистрации и учета действий, совершаемых с ПДн, а также обнаружение фактов несанкционированного доступа к персональным данным и принятия мер;
восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
обучение работников Организации, непосредственно осуществляющих обработку персональных данных, положениям законодательства Российской Федерации о персональных данных, в том числе требованиям к защите персональных данных, документам, определяющим политику Организации в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных;
осуществление внутреннего контроля и аудита.

6. Основные права субъекта ПДн

6.1. Субъекты персональных данных обладают правами, предусмотренными Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и другими нормативно-правовыми актами, регламентирующими обработку персональных данных.

6.2. Основные права субъекта ПДн

6.2.1. Субъект ПДн имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые оператором способы обработки персональных данных;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных Законом «О персональных данных»;
наименование или фамилию, имя, отчество лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные настоящим Законом или другими федеральными законами.

6.2.2. Субъект ПДн вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

6.2.3. Право субъекта ПДн на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе, если доступ субъекта персональных данных к его персональных данным.

7. Срок действия политики

7.1. Настоящая Политика может изменяться, пересматриваться и заново пересматриваться по мере внесения изменений:

в законодательные акты в сфере персональных данных;
в локальные правовые акты Организации, регламентирующие организацию и проведение обработки персональных данных и обеспечение их безопасности.

8. Ответственность за нарушение норм, регулирующих обработку персональных данных

8.1. Лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных субъекта персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, а также привлекаются к административной, гражданско-правовой или уголовной