Защита персональных данных клиентов
- Подробности
- Категория: Услуги
- Просмотров: 4362
|
УТВЕРЖДЕНО |
||
| Директор ООО «ДИНА-С» |
|
Сухов И.Н. |
| 04 декабря 2012г. |
|
|
|
|
Локальный нормативный акт
О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПАЦИЕНТОВ И РАБОТНИКОВ
1 Общая часть
1.1. Основанием для разработки данного локального нормативного акта являются:
- Конституция РФ от 12 декабря 1993 г. (ст. 2, 17-24, 41);
- глава 14 (ст. 85-90) Трудового кодекса РФ;
- часть 1 и 2, часть 4 Гражданского кодекса РФ;
- Указ Президента РФ от 06 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера»;
- Федеральный закон от 30 марта 1999 г. № 52-ФЗ «О санитарно-эпидемиологическом благополучии населения»;
- Федеральный закон от 02 мая 2006 г. № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;
- Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
- Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Постановление Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;
- «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (утв. ФСТЭК РФ 14 февраля 2008 г.);
- Лицензии на осуществление медицинской деятельности;
- Устав ООО «ДИНА-С»;
1.2. Целью настоящего акта является определение порядка обработки персональных данных пациентов Учреждения-оператора, а так же лиц, работающих по трудовым договорам и гражданско-правовым договорам (далее - работников) Учреждения-оператора, обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным пациентов и работников Учреждения-оператора, за невыполнение требований и норм, регулирующих обработку и защиту персональных данных.
1.3. Персональные данные пациентов относятся к категории конфиденциальной информации. Конфиденциальность, сохранность и защита персональных данных обеспечиваются отнесением их к сфере негосударственной (служебной, профессиональной) тайны.
2. Основные понятия.
Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Пациенты (субъекты персональных данных) - физические лица, обратившиеся к Учреждению-оператору с целью получения медицинского обслуживания, либо состоящие в иных гражданско-правовых отношениях с Учреждением-оператором по получения медицинских услуг.
Работники (субъекты персональных данных) - физические лица, состоящие в трудовых и иных гражданско-правовых отношениях с Учреждением-оператором.
Документы, содержащие персональные данные пациента - документы, необходимые для осуществления действий в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг, а также для оформления договорных отношений.
Документы, содержащие персональные данные работника - документы, которые работник предоставляет Учреждению-оператору (работодателю) в связи с трудовыми отношениями и касающиеся конкретного работника (субъекта персональных данных), а также другие документы, содержащие сведения, предназначенные для использования в служебных целях.
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Врачебная тайна - соблюдение конфиденциальности информации о факте обращения за медицинской помощью, состоянии здоровья гражданина, диагнозе его заболевания и иных сведений, полученных при его обследовании и лечении.
Обработка персональных данных пациента или работника - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных пациента или работника.
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
Конфиденциальность персональных данных - операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законодательством.
Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с Федеральным законодательством не распространяется требование соблюдения конфиденциальности.
3. Принципы и условия обработки персональных данных пациентов и работников
3.1. Обработка персональных данных пациентов и работников осуществляется на основе принципов:
1) Обработка персональных данных должна осуществляться на законной и справедливой основе.
2) Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
3) Обработке подлежат только персональные данные, которые отвечают целям их обработки.
4) Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
5) Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Федеральным законом № 152-ФЗ, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законодательством.
3.2. В целях обеспечения прав и свобод человека и гражданина, Учреждение-оператор и его представители при обработке персональных данных пациента или работника обязаны соблюдать следующие общие требования:
1) Обработка персональных данных пациента может осуществляться исключительно в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг, оформления договорных отношений с пациентом при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну в соответствии с законодательством Российской Федерации.
2) Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения законодательства Российской Федерации в области персональных данных и иных нормативных правовых актов с учетом положений Федерального закона № 152-ФЗ «О персональных данных», оформления трудовых отношений, расчета и выдачи заработной платы или других доходов, налоговых и пенсионных отчислений, содействия работникам в трудоустройстве, обучении, повышении квалификации и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы, обеспечения сохранности имущества работодателя.
3) Все персональные данные пациента следует получать у него самого или у его полномочного представителя. Все персональные данные работника работодатель должен получать у него самого. Если персональные данные пациента или работника, возможно, получить только у третьей стороны, то пациент или работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.
4) Учреждение-оператор не имеет права получать и обрабатывать персональные данные пациента или работника, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, предусмотренных Федеральным законом № 152-ФЗ. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции Российской Федерации, работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.
5) Защита персональных данных пациентов и работников от неправомерного их использования или утраты должна быть обеспечена ГБУЗ СО «ССП № 3» за счет своих средств, в порядке, установленном Федеральным законодательством и другими нормативными документами.
4. Получение персональных данных пациента и работника
4.1. Получение персональных данных преимущественно осуществляется путем представления их самим пациентом или работником, на основании его письменного согласия, за исключением случаев прямо предусмотренных действующим законодательством РФ.
В случаях, предусмотренных Федеральным законодательством, обработка персональных данных осуществляется только с согласия пациента и работника в письменной форме. Согласие пациента и работника в письменной форме на обработку его персональных данных должно включать в себя, в частности:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
3) наименование или фамилию, имя, отчество и адрес Учреждения-оператора, получающего согласие субъекта персональных данных;
4) цель обработки персональных данных;
5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
6) подпись субъекта персональных данных.
Для обработки персональных данных, содержащихся в согласии в письменной форме пациента и работника на обработку его персональных данных, дополнительное согласие не требуется.
В случае недееспособности пациента или не достижения пациентом возраста 15 лет согласие на обработку его персональных данных дает в письменной форме его законный представитель.
4.2. В случае необходимости проверки персональных данных пациента или работника заблаговременно должно сообщить об этом пациенту или работнику, о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа пациента или работника дать письменное согласие на их получение.
5. Хранение и использование персональных данных пациентов и работников.
5.1. Информация персонального характера пациента и работника хранится и обрабатывается с соблюдением требований действующего Российского законодательства о защите персональных данных.
5.2. Порядок хранения документов, содержащих персональные данные работников осуществлять в соответствии с:
- Правилами, устанавливающими порядок ведения и хранения трудовых книжек, а также порядок изготовления бланков трудовой книжки и обеспечения ими работодателей, утвержденными Постановлением Правительства РФ от 16 апреля 2003 г. № 225 «О трудовых книжках»;
- Унифицированными формами первичной учетной документации по учету труда и его оплаты, утвержденными Постановлением Госкомстата России от 05 января 2004 г. № 1;
- Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
5.3. Обработка персональных данных пациентов и работников осуществляется смешанным путем:
- не автоматизированным способом обработки персональных данных;
- автоматизированным способом обработки персональных данных (с помощью ПЭВМ и специальных программных продуктов).
5.4. Персональные данные пациентов и работников хранятся на бумажных носителях и в электронном виде.
5.5. Ответственные лица за хранение документов, содержащих персональные данные пациентов и работников, назначены Приказом ООО «Доктор М. Семейная клиника».
5.6. Хранение персональных данных пациентов и работников осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
5.7. Учреждение-оператор обеспечивает ограничение доступа к персональным данным пациентов и работников лицам, не уполномоченным Федеральным законодательством, либо Учреждением-оператором для получения соответствующих сведений.
6. Защита персональных данных пациентов и работников.
6.1. Учреждение-оператор при обработке персональных данных пациентов и работников обязано принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
6.2. Для обеспечения безопасности персональных данных пациентов и работников при не автоматизированной обработке предпринимаются следующие меры:
1) Определяются места хранения персональных данных, которые оснащаются средствами защиты:
2) В кабинетах, где осуществляется хранение документов, содержащих персональные данные пациентов и работников, имеются сейфы, шкафы, стеллажи, тумбы.
3) Дополнительно кабинеты, где осуществляется хранение документов, оборудованы замками и системами охранной и пожарной сигнализаций.
4) Учреждение-оператор использует услуги вневедомственной охраны.
6.3. Для обеспечения безопасности персональных данных пациента и работника при автоматизированной обработке предпринимаются следующие меры:
1) Все действия при автоматизированной обработке персональных данных пациентов и работников осуществляются только должностными лицами, согласно Списка должностей, утвержденного Приказом ООО «Доктор М. Семейная клиника» и только в объеме, необходимом данным лицам для выполнения своей трудовой функции.
2) Персональные компьютеры, имеющие доступ к базам хранения персональных данных пациентов и работников, защищены паролями доступа. Пароли устанавливаются Администратором информационной безопасности и сообщаются индивидуально работнику, допущенному к работе с персональными данными и осуществляющему обработку персональных данных пациентов и работников на данном ПК.
3) Обработка персональных данных осуществляется с соблюдением порядка, предусмотренного Постановлением Правительства от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».
6.4 Режим конфиденциальности персональных данных снимается в случаях их обезличивания и по истечении срока их хранения, в соответствии с приказами по архивному делу, или продлевается на основании заключения экспертной комиссии Учреждения-оператора, если иное не определено законодательством РФ.
7. Передача персональных данных пациентов и работников третьим лицам.
7.1. Передача персональных данных пациентов третьим лицам осуществляется Учреждением-оператором только с письменного согласия пациента, с подтверждающей визой главного врача, за исключением случаев:
1) в целях проведения медицинского обследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю;
2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;
3) по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля за поведением условно осужденного, осужденного, в отношении которого отбывание наказания отсрочено, и лица, освобожденного условно-досрочно;
4) в случае оказания медицинской помощи несовершеннолетнему (до 15 лет; больному наркоманией – до 16 лет) для информирования одного из его родителей или иного законного представителя;
5) в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинен в результате противоправных действий;
6) в целях проведения военно-врачебной экспертизы по запросам военных комиссариатов, кадровых служб и военно-врачебных (врачебно-летных) комиссий федеральных органов исполнительной власти, в которых федеральным закономпредусмотрена военная и приравненная к ней служба;
7) в целях расследования несчастного случая на производстве и профессионального заболевания;
8) при обмене информацией медицинскими организациями, в том числе размещенной в медицинских информационных системах, в целях оказания медицинской помощи с учетом требований законодательства Российской Федерации о персональных данных;
9) в целях осуществления учета и контроля в системе обязательного социального страхования;
10) в целях осуществления контроля качества и безопасности медицинской деятельности в соответствии с настоящим Федеральным законом.
7.2. В целях соблюдения Федерального законодательства и иных нормативных правовых актов Российской Федерации и обеспечения положений трудового договора возможна передача:
- документов, содержащих сведения о доходах и налогах на доходы физических лиц, сведений о пенсионных накоплениях физических лиц в соответствии с Федеральным законодательством Российской Федерации - в Федеральные органы исполнительной власти;
- персональных данных, для осуществления выдачи заработной платы или других доходов работника - в уполномоченные банковские организации;
- персональных данных, для содействия работникам в трудоустройстве, обучении, повышения их квалификации, переподготовке, проведения аттестации на квалификационную категорию, получении грамот, наград и иных форм поощрений - в представительные органы власти, уполномоченные региональные и Федеральные органы исполнительной власти.
Передача указанных сведений и документов осуществляется с согласия работника. Согласие работника оформляется письменно в виде отдельного документа. После получения согласия работника дальнейшая передача указанных сведений и документов, дополнительного письменного согласия не требует и в «Журнале учета запросов персональных данных работников по запросам третьих лиц» не фиксируется.
Учреждение - оператор обеспечивает ведение Журнала учета выданных персональных данных пациентов и работников по запросам третьих лиц, в котором регистрируются поступившие запросы, фиксируются сведения о лице, направившем запрос, дата передачи персональных данных, а также отмечается, какая именно информация была передана.
В случае если лицо, обратившееся с запросом, не уполномочено Федеральным законодательством на получение персональных данных пациента или работника, либо отсутствует письменное согласие пациента или работника на передачу его персональных данных, Учреждение-оператор обязано отказать в предоставлении персональных данных. В данном случае лицу, обратившемуся с запросом, выдается мотивированный отказ в предоставлении персональных данных в письменной форме, копия отказа хранится у Учреждения-оператора.
8. Общедоступные источники персональных данных пациентов и работников
8.1. Включение персональных данных пациента в общедоступные источники персональных данных возможно только при наличии его письменного согласия.
8.2. В целях информационного обеспечения работодателем могут создаваться общедоступные источники персональных данных работников (в том числе справочники, адресные книги, информационные стенды для потребителей услуг, оказываемых работодателем). В общедоступные источники персональных данных с письменного согласия работника могут включаться его фамилия, имя, отчество, год и место рождения, адрес, иные персональные данные, предоставленные работником.
8.3. Сведения о пациентах или работников могут быть исключены из общедоступных источников персональных данных по требованию самого пациента или работника, либо по решению суда или иных уполномоченных государственных органов.
9. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных пациентов и работников.
9.1 Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных пациента и работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с Федеральным законодательством.
9.2 Работники Учреждения-оператора, допущенные к обработке персональных данных пациентов и работников, за разглашение полученной в ходе своей трудовой деятельности информации, несут дисциплинарную, административную или уголовную ответственность в соответствии с действующим законодательством Российской Федерации.