Политика конфиденциальности

Общие положения

Настоящая Политика информационной безопасности (далее – Политика) государственного бюджетного учреждения здравоохранения «Архангельская городская клиническая больница №7» (Далее - Учреждения), разработана в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и на основании:

• Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации»;
• Приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Приказа ФСБ России от 10.07.2014 N 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности".

1.2. Целью настоящей Политики является обеспечение прав граждан при обработке и хранении их персональных данных.

1.3. Задачами настоящей Политики являются определение правовых оснований, категорий субъектов и их прав, условия и методы хранения и обработки персональных данных в Учреждении.

1.4. Политика действует в отношении всех персональных данных, обрабатываемых Учреждением и распространяются на всех сотрудников Учреждения (штатных, временных, работающих по контракту и т.п.), а также всех прочих лиц, вступающих в отношения с Учреждением (подрядчики, аудиторы и т.п.).

Правовые основания для обработки персональных данных

2.1. Учреждение обрабатывает персональные данные возникающие в процессе:

-  трудовых отношений между работниками и работодателем;

-  выполнения основной функции учреждения – оказания медицинской помощи населению.

2.2. При хранении и обработке персональных данных Учреждение руководствуется:

-  Конституцией РФ;

-  Гражданским кодексом РФ;

-  Налоговым кодексом РФ;

-  Трудовым кодексом РФ;

-  Федеральным законом РФ от 21.11.2011 № 323ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;

-  Федеральным законом РФ от 29.11.2010 № 326ФЗ «Об обязательном медицинском страховании в Российской Федерации» и принятые в соответствии с ним нормативные правовые акты РФ;

-  Федеральным законом РФ от 27.07.2006 № 152ФЗ «О персональных данных» и принятые в соответствии с ним нормативные правовые акты РФ;

-  Федеральным законом РФ от 27.07.2006 № 149ФЗ «Об информации, информационных технологиях и о защите информации»;

- Федеральным законом РФ от 02.05.2006 № 59ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;

- Постановление Госкомстата России от 05.01.2004 № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;

-  Уставом;

Категории обрабатываемых персональных данных

3.1. Учреждение обрабатывает персональные данные следующих категорий:

- Граждане, состоящие в трудовых отношениях с Учреждением (работники учреждения);

- Граждане или их  законные представители, получающие медицинскую помощь в Учреждении;

3.2. Содержание и объем обрабатываемых Учреждением персональных данных определен для каждой категории субъектов персональных данных и определяется потребностью Учреждения в выполнении ее функций. Учреждение не обрабатывает персональные данные, которые являются избыточными или несовместимыми с целями обработки. Перечень обрабатываемых персональных данных приведен в Приложении 1

3.3. Обработка персональных данных только с письменного согласия субъекта персональных данных на обработку его персональных данных. Перед началом обработки персональных данных субъект заполняет форму согласия на обработку его персональных данных, где ему разъясняются цели, задачи, объемы и сроки обработки и хранения его персональных данных. Обработка персональных данных без согласия субъекта персональных данных возможна лишь в случаях, установленных пунктами 2-11 части 1 статьи 6 Федерального закона РФ от 27.07.2006 № 152ФЗ «О персональных данных».

Принципы обработки персональных данных в Учреждении.

4.1. Учреждение в своей деятельности обеспечивает соблюдение требований к обработке персональных данных, содержащихся в документах, перечисленных в п 1.1 настоящей Политики.

4.2. Учреждение использует смешанный (с использованием средств автоматизации и без использования средств автоматизации) способ обработки персональных данных, содержащихся как в электронных базах данных, так и на бумажных носителях информации, путем сбора, систематизации, хранения, уточнения, использования, передачи, обезличивания, блокирования и уничтожения.

4.3. Учреждение осуществляет обработку специальной категории персональных данных о состоянии здоровья пациентов в целях оказания медицинских услуг. Обработка персональных данных осуществляется лицами, профессионально занимающимися медицинской деятельностью либо лицами, являющиеся сотрудниками Учреждения, которые обязаны сохранять врачебную тайну и соблюдать конфиденциальность в отношении персональных данных.

4.3. Учреждение передает персональные данные по локальной сети Учреждения и посредством глобальной сети Интернет. Передача данных по глобальной сети Интернет между филиалами Учреждения и/или в уполномоченные государственные органы осуществляется только по защищенным каналам связи с использованием сертифицированных средств и только в шифрованном виде.

4.4 Учреждение передает персональные данные в уполномоченные организации, государственные органы, государственные внебюджетные фонды только на основаниях и в случаях, предусмотренных законодательством Российской Федерации, в том числе:

- в рамках осуществления информационного взаимодействия в сфере ОМС;

- в целях осуществления правосудия, исполнения судебного акта;

- при ответах на официальные письменные мотивированные запросы правоохранительных органов и органов судебной власти.

4.5. Учреждение не осуществляет обработку биометрических персональных данных субъектов персональных данных т.е. сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.

Меры по обеспечению безопасности персональных данных при их обработке.

5.1 Меры по обеспечению безопасности персональных данных при их обработке принимаются в соответствии требованиями документов, перечисленных в п. 1.1 настоящей Политики.

5.2 Учреждение обеспечивает конфиденциальность обрабатываемых персональных данных, обеспечивает их защиту от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Персональные данные не раскрываются третьим лицам и не распространяются без согласия субъекта персональных данных, если иное не предусмотрено федеральными законами.

5.3. Учреждение принимает необходимые правовые, организационные, технические, физические, криптографические меры защиты персональных данных, среди них:

-      назначение работника Учреждения, ответственного за организацию обработки персональных данных;

-       издание нормативных актов, регламентирующих вопросы обработки и защиты персональных данных;

- ознакомление работников Учреждения, непосредственно осуществляющих обработку персональных данных, под подпись с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных;

-     ограничение доступа работников Учреждения и иных лиц в помещения, где размещены технические средства, предназначенные для обработки персональных данных, и хранятся носители персональных данных, к информационным ресурсам, программным средствам обработки и защиты информации;

- учет материальных (машинных, бумажных) носителей персональных данных и обеспечение их сохранности;

- использование сертифицированных средств защиты информации, прошедших в процедуру оценки соответствия;

- обеспечение защиты персональных данных при подключении информационных систем к информационно-телекоммуникационным сетям, в том числе сети Интернет;

Права субъекта персональных данных.

6.1. Субъект персональных данных имеет право на:

- получение информации о целях обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами, в том числе по основаниям, установленным частью 8 статьи 14 Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;

- требование от Учреждения уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными или не являются необходимыми для заявленной цели обработки;

- отзыв своего согласия на обработку персональных данных в соответствии со статьей 9 Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;  

- обжалование действий или бездействия Учреждения в уполномоченный орган по защите прав субъектов персональных данных, если у субъекта персональных данных есть основания полагать, что Учреждение осуществляет обработку его персональных данных с нарушением требований федерального законодательства;

-  защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;

6.2. Информация, касающаяся обработки персональных данных, предоставляется субъекту персональных данных или его представителю при обращении в Учреждение или при получении Учреждением письменного запроса субъекта персональных данных или его представителя в течение десяти рабочих дней со дня обращения. Срок предоставления информации, в исключительных случаях, может быть продлен не более чем на пять рабочих дней с обязательным направлением Учреждением в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления информации.

Сведения об операторе.

Наименование: Государственное бюджетное учреждение здравоохранения Архангельской области «Архангельская городская клиническая больница №7»;

Сокращенное наименование: ГБУЗ «АГКБ №7»;

Адрес: 163013 г. Архангельск, ул. Ярославская д. 42;

ИНН: 2901056972;

Регистрационный номер записи в реестре операторов: 08-0031869

Дата и основание внесения оператора в реестр операторов: 26.12.2008, приказ № 295

Ответственным за организацию обработки персональных данных в Учреждении назначен начальник отдела ИТ

Кононов Вячеслав Евгеньевич

контактный телефон: +7 921 720 4409

адрес электронной почты: admin@agkb-7.ru

Приложение 1. Перечень персональных данных субъектов, обрабатываемые В ГБУЗ АГКБ №7

. Для граждан, состоящих в трудовых отношениях с Учреждением (работники учреждения):

• ФИО;
• табельный номер;
• СНИЛС;
• структурное подразделение;
• должность;
• дата рождения;
• место рождения;
• пол;
• гражданство;
• адрес регистрации;
• адрес проживания;
• дата регистрации по месту жительства;
• контактные телефоны;
• данные документа, удостоверяющего личность;
• наименование органа, выдавшего документ, удостоверяющий личность;
• дата выдачи документа, удостоверяющего личность;
• ИНН;
• реквизиты документа об образовании;
• сведения об образовании;
• сведения о послевузовском профессиональном образовании;
• направление подготовки или специальность по документу об образовании;
• квалификация по документу об образовании;
• профессия;
• реквизиты трудового договора;
• характер, вид работы;
• стаж работы;
• семейное положение;
• сведения о составе семьи;
• сведения о воинском учете;
• сведения о приеме на работу и переводах на другие должности;
• сведения об увольнении;
• основание прекращения трудового договора (увольнения);
• сведения об аттестации;
• сведения о повышении квалификации;
• сведения о профессиональной переподготовке;
• сведения о наградах (поощрениях);
• сведения о почетных званиях;
• сведения о социальных льготах, на которые работник имеет право в соответствии с законодательством;
• данные об отпусках;
• сведения о владении иностранными языками.

2. Для граждан или их законных представителей, получающих медицинскую помощь в Учреждении:

• ФИО;
• дата рождения;
• возраст;
• пол;
• адрес;
• СНИЛС;
• контактные телефоны (или иной вид связи);
• серия, номер и дата выдачи документа, удостоверяющего личность;
• заключение медицинского осмотра;
• данные инструментальных и лабораторных исследований;
• данные медицинского страхового полиса;
• номер медицинской карты;
• реквизиты листка нетрудоспособности;
• сведения об оказанной медицинской помощи;
• сведения о нетрудоспособности (в том числе диагноз);
• диагноз;
• сведения о заболевании;
• сведения об инвалидности;
• сведения о наличии инвалидности;
• результаты медицинского обследования;
• антропометрические данные;
• сведения об иммунизации;
• сведения о вакцинации;
• сведения о госпитализации;
• сведения об оперативных вмешательствах;
• сведения о постановке на учет в ранние сроки беременности;
• сведения о беременности;
• иные сведения, необходимые в целях оказания медицинской помощи;

Документ целиком