Политика конфиденциальности

Приложение

 к приказу от 31.10.2025     №20

УТВЕРЖДЕНО

приказом от 31.10.2025   .№20

Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в Обществе с ограниченной ответственностью «Поликлиника медицинских осмотров «Стандарт» (далее — клиника, оператор) с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, гарантируемых Конституцией.

1.2. Политика обработки персональных данных разработана в соответствии с Федеральными законами от 27.07.2006 № 152-ФЗ «О персональных данных» и от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»; постановлениями Правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», от 15.09.2008 № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

1.3. Настоящая Политика раскрывает принципы, порядок и условия обработки персональных данных физических лиц при обращении за медицинской помощью в клинику,  персональных данных кадрового состава клиники,  персональных данных, обрабатываемых в процессе исполнения договорных обязательств в процессе повседневной деятельности, персональных данных посетителей сайта клиники в информационно-коммуникационной сети «Интернет».

1.4. Действие Политики распространяется на все персональные данные субъектов, обрабатываемые клиникой  с применением средств автоматизации и без применения таких средств, а также на персональные данные, обрабатываемые  программными средствами интернет-статистики.

Основные понятия и определения:

Оператор — клиника, осуществляющая обработку персональных данных, а также определяющая цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Персональные данные –любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Обработка персональных данных  — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Конфиденциальность персональных данных — обязанность оператора и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное  не предусмотрено федеральным законом;

Субъекты персональных данных — физические лица: посетители сайта клиники  в информационно-коммуникационной сети «Интернет»; пациенты  клиники; представители пациентов; представители юридических лиц, с которыми у клиники заключен гражданско-правовой договор в рамках оказания медицинских услуг; контрагенты по гражданско-правовым договорам, заключенным (заключаемым) для осуществления повседневной деятельности клиники; сотрудники клиники; иные физические лица, чьи персональные данные могут обрабатываться клиникой в установленном законом порядке для целей деятельности клиники по оказанию медицинских услуг, обеспечению административно-хозяйственного функционирования клиники, обеспечения соблюдения трудового и социального законодательства РФ.

2. Категории обрабатываемых персональных данных и цели обработки персональных данных

Клиника обрабатывает персональные данные с целью осуществления возложенных на клинику законодательством Российской Федерации функций в соответствии с (в том числе, но не ограничиваясь) Гражданским кодексом Российской Федерации, Налоговым кодексом Российской Федерации, Трудовым кодексом Российской Федерации, федеральными законами, в том числе,  от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», от 27.07.2006 № 152-ФЗ «О персональных данных»,  принятыми в целях их исполнения нормативными правовыми  актами,  а также  целях проведения маркетинговых мероприятий, качественного оказания медицинских услуг, статистической обработки персональных данных для оценки удовлетворенности пациентов.

Категории обрабатываемых персональных данных включают в себя:

2.1. Персональные данные пациентов  или представителей пациентов — физических лиц,  с которыми заключен договор на оказание медицинских услуг,  обрабатываемые оператором:

— паспортные данные (в том числе номер и серия документа, Ф. И. О., дата рождения, место рождения, пол, место регистрации);

— номера телефонов, адрес, электронная почта (контактная информация);

— специальная категория персональных данных — информация о состоянии здоровья пациента, собранном анамнезе,  поставленных диагнозах, проведенном или планируемом к проведению медицинском вмешательстве, заболеваниях, случаях обращения за медицинской помощью, сведения о диагностических мероприятиях и данных рекомендациях (в отношении непосредственно пациентов);

— Данные СНИЛС (в отношении непосредственно пациентов);

В случае, если обработка специальных категорий персональных данных  необходима в соответствии с  действующим законодательством Российской Федерации или для осуществления деятельности клиники, то такая обработка осуществляется с письменного согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.

Персональные данные субъектов персональных данных, полученные при заключении договора на медицинские услуги, обрабатываются  в целях предоставления качественной медицинской помощи, проведения оценки качества оказываемых услуг, исполнения договора на оказание медицинских услуг.

В отношении физических лиц —  представителей юридических лиц, с которыми заключен договор на оказание медицинских услуг, персональные данные обрабатываются лишь в части, необходимой для целей такой обработки .

2.2. Перечень формируемых документов при обращении пациента в медицинскую организацию предусматривается Гражданским кодексом, Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Правилами предоставления медицинскими организациями платных медицинских услуг, утвержденными Постановлением Правительства РФ от 11.05.2023 № 736.

2.3. Персональные данные сотрудников клиники,  обрабатываемые оператором (в том числе членов их семей , а также бывших сотрудников, в части, необходимой для  достижения целей такой обработки):

— паспортные данные (Ф. И. О., дата рождения, место рождения, место регистрации, пол, семейное положение, наличие или отсутствие детей, номер и серия паспорта);

-контактные данные – адрес, телефон, электронная почта;

— данные трудовой книжки работника (информация обо всех местах работы по трудовому договору, поощрениях);

— номер страхового свидетельства государственного пенсионного страхования;

— информация из документов воинского учета – для военнообязанных и лиц, подлежащих призыву на военную службу;

— информация об образовании, о квалификации или наличии специальных знаний;

— информация, получаемая при проведении предварительных, периодических медицинских осмотров;

— информация о прививках (вакцинопрофилактике);

—  информация о факте беременности женщины;

— информация об инвалидности.

Персональные данные сотрудников (иных субъектов персональных данных, указанных в настоящем пункте) обрабатываются исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов в сфере трудового и социального законодательства Российской Федерации,  в том числе получения сотрудниками дополнительного образования, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы.

Обработка персональных данных сотрудников, разрешенных ими для распространения, осуществляется при наличии соответствующего согласия. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

2.4. Персональные данные посетителей сайта клиники в информационно-коммуникационной сети «Интернет»,обрабатываемые оператором:

— Ф. И. О., пол, номера телефонов, адрес электронной почты, иные сведения, сообщаемые посетителем сайта по собственной инициативе.

Обработка таких персональных данных производится в целях продвижения услуг оператора на рынке, заключения и исполнения гражданско-правовых договоров (в том числе при выборе  услуги, заполнении и отправке онлайн-форм на сайте).

2.5. Персональные данные  физических лиц, являющихся стороной договора на оказание немедицинских услуг,  обрабатываемые оператором:

— паспортные данные (Ф. И. О., дата рождения, место рождения, место регистрации, пол, номер и серия паспорта);

-контактные данные – адрес, телефон, электронная почта;

— иные данные, сообщаемые субъектом персональных данных по собственной инициативе.

Обработка таких персональных данных производится в целях продвижения услуг оператора на рынке, заключения и исполнения гражданско-правовых договоров в целях обеспечения деятельности клиники, в том числе административно-хозяйственной, функционирования клиники как частной медицинской организации.

В отношении физических лиц —  представителей юридических лиц, с которыми заключен договор, персональные данные обрабатываются лишь в части, необходимой для целей такой обработки.

2.6. Общедоступные персональные данные:

В целях информационного обеспечения деятельности клиники  могут создаваться общедоступные для сотрудников клиники источники персональных данных (в том числе Дела, Адресные книги). В  них  с письменного согласия субъектов персональных данных могут включаться  фамилия, имя, отчество, год и место рождения, адрес, включая адрес электронной почты, клиентский номер, сведения о профессии и иные данные, сообщаемые субъектом персональных данных.

Указанные сведения должны быть в любое время исключены из общедоступных источников  по обращению  субъекта персональных данных,  либо по решению  суда или уполномоченных государственных органов.

3. Сроки обработки персональных данных

Сроки обработки персональных данных составляют:

— для персональных данных, полученных в связи с заключением гражданско-правовых договоров — 5 лет, если иное не предусмотрено целями их обработки или законом;

– для персональных данных специальных категорий (данные о здоровье) – 25 лет;

— для персональных  данных иных категорий — до достижения целей их обработки.

4. Принципы и условия обработки персональных данных

4.1. Обработка персональных данных в клинике производится на основе следующих принципов:

– законности и справедливости целей и способов обработки;

– ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;

– недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;

– недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

– обработки только тех персональных данных, которые отвечают целям их обработки;

– соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;

– недопущения обработки избыточных персональных данных по отношению к заявленным целям их обработки;

— при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;

— хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;

–уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом и иными нормативно-правовыми актами Российской Федерации.

4.2. Клиника  обрабатывает персональные данные только при наличии хотя бы одного из следующих условий:

– обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

– обработка персональных данных необходима для достижения целей, предусмотренных законом ( части 1 статьи 6, части 2 статьи 10 Федерального закона от 27.07.2006 № 152-ФЗ);

– обработка персональных данных необходима для исполнения договора, стороной которого  является субъект персональных данных;

– производится обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (общедоступные данные);

– обрабатываются персональные данные, подлежащие опубликованию или обязательному раскрытию в соответствии с федеральным законом;

– обработка персональных данных производится в соответствии с законодательством об обязательных видах страхования, со страховым или трудовым законодательством.

4.3. Клиника  и иные лица, получившие доступ к персональным данным в силу трудовых обязанностей, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

4.4.. На сайте клиники может использоваться программное средство сбора метрических данных — «Яндекс.Метрика» (далее — Программа). Она собирает такие данные как:

–    количество посещений сайта пользователями,

–    количество переходов на сайт клиники с других ресурсов,

–    подсчет кликов по ссылкам пользователями.

Сведения, собранные с помощью Программы,  хранятся  на серверах Яндекс. Обращение с данными сведениями регулируются политикой конфиденциальности Яндекс. Условия использования сервиса «Яндекс. Метрика» запрещают передавать идентификационную информацию на серверы Яндекс.

Сведения, полученные через Программу, используются только для улучшения работы сайта клиники и статистического анализа по продвижению услуг клиники. Сведения, полученные через  Программу, не объединяются и не коррелируются с персональными данными  посетителей сайта, полученными без применения Программы.

5. Права и обязанности

5.1. Права субъекта персональных данных:

— субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе без принуждения или введения в заблуждение с чьей-либо стороны;

— субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами;

— субъект персональных данных вправе требовать уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

— запрещается принимать на основании исключительно автоматизированной обработки персональных данных решения, порождающие юридические последствия в отношении субъекта персональных данных или иным образом затрагивающие его права и законные интересы, за исключением случаев, предусмотренных федеральными законами, или при наличии согласия в письменной форме субъекта персональных данных;

—  согласие на обработку персональных данных может быть отозвано субъектом персональных данных;

— если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего  закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

5.2.  Оператор обязан:

—  принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных  законодательством Российской Федерации в сфере защиты персональных данных. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения таких обязанностей,  если иное не предусмотрено  законом;

—  при обработке персональных данных принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;

  — сообщить в порядке, предусмотренном законом, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя;

— предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить отказ;

—  по требованию субъекта персональных данных уточнять обрабатываемые персональные данные, блокировать или удалять, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки в порядке, установленном законом;

— уведомлять субъекта персональных данных об обработке персональных данных в  том случае, если персональные данные были получены не от субъекта персональных данных;

— в случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено законодательством Российской Федерации, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;

— в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между клиникой  и субъектом персональных данных, либо требованиями законодательства Российской Федерации;

— уведомить субъекта персональных данных об уничтожении его персональных данных;

— в случае поступления требования субъекта о прекращении обработки персональных данных в целях продвижения товаров, работ, услуг на рынке немедленно прекратить обработку персональных данных;

— предоставлять персональные данные субъектов государственным и иным уполномоченным органам, если это предусмотрено действующим законодательством РФ (налоговые, правоохранительные органы и др.).

5.3. Оператор вправе:

— обрабатывать персональные данные субъекта без его согласия, в случаях предусмотренных законодательством РФ;

— В случае необходимости взаимодействия с третьими лицами в рамках достижения целей обработки персональных данных    передавать и предоставлять третьим лицам персональные данные, с соблюдением условий, предусмотренных частью  2 статьи 10 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

6. Обеспечение безопасности персональных данных

6.1. Безопасность персональных данных, обрабатываемых клиникой, обеспечивается реализацией правовых, организационных, технических и программных мер, необходимых и достаточных для обеспечения требований федерального законодательства в области защиты персональных данных.

6.2. Меры по обеспечению безопасности персональных данных включают в себя, в частности:

– назначение ответственного за организацию обработки персональных данных;

– издание локальных правовых актов, регулирующих права и обязанности оператора персональных данных, описывающих систему мер по защите персональных данных, определяющих доступ к информационным системам персональных данных;

– определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

– применение методов (способов) защиты информации;

– оценку эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

– учет машинных носителей персональных данных;

– обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;

– восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

– установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

– контроль принимаемых мер по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;

— условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.

7. Заключительные положения

7.1. Настоящая Политика является локальным правовым актом клиники, общедоступна и подлежит размещению на официальном сайте клиники.

7.2. Контроль исполнения требований настоящей Политики осуществляется лицом, ответственным за организацию обработки персональных данных.