УТВЕРЖДЕНО

Приказом генерального директора

ООО «Клиника доктора Булатовой»

от «___» __________ 2025 г. № ___

 

ПОЛОЖЕНИЕ

об обработке и защите персональных данных

в ООО «Клиника доктора Булатовой»

 
1. Общие положения
1.1. Настоящее Положение об обработке и защите персональных данных (далее – Положение) разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» и устанавливает порядок обработки и защиты персональных данных в ООО «Клиника доктора Булатовой» (далее – Оператор, Клиника).

1.2. Настоящее Положение является внутренним документом Оператора и обязательно для исполнения всеми работниками Клиники.

1.3. Все работники Клиники, имеющие доступ к персональным данным, должны быть ознакомлены с настоящим Положением под подпись.

1.4. Основные понятия определены в Политике обработки персональных данных ООО «Клиника доктора Булатовой».
 
2. Организация обработки персональных данных
2.1. Обработку персональных данных организует генеральный директор Клиники путем издания приказов и распоряжений.

2.2. Для организации обработки персональных данных приказом генерального директора назначается ответственный за организацию обработки персональных данных.

2.3. Непосредственную обработку персональных данных осуществляют работники Клиники в соответствии со своими должностными обязанностями.

2.4. Перечень лиц, имеющих доступ к персональным данным, определяется ответственным за организацию обработки персональных данных и утверждается генеральным директором.

2.5. Работники Клиники, осуществляющие обработку персональных данных:
• проходят инструктаж по вопросам обработки и защиты персональных данных;
• подписывают обязательство о неразглашении персональных данных;
• несут ответственность за нарушение требований законодательства о персональных данных.
 
3. Порядок сбора персональных данных и получения согласий
3.1. Сбор персональных данных осуществляется непосредственно у субъекта персональных данных.

3.2. При сборе персональных данных субъекту персональных данных предоставляется информация:
• о наименовании и адресе Оператора;
• о целях обработки персональных данных;
• о правовых основаниях обработки персональных данных;
• о категориях обрабатываемых персональных данных;
• о сроках обработки персональных данных;
• о правах субъекта персональных данных.

3.3. Для обработки персональных данных получается письменное согласие субъекта персональных данных по форме, утвержденной Оператором.

3.4. Согласие на обработку персональных данных пациента оформляется:
• при первичном обращении в Клинику;
• при изменении целей обработки персональных данных;
• при изменении перечня обрабатываемых персональных данных.

3.5. Согласие на обработку персональных данных работника оформляется при заключении трудового договора.

3.6. Согласия на обработку персональных данных хранятся в течение срока обработки персональных данных и 3 лет после прекращения обработки.

3.7. В случае отсутствия согласия на обработку персональных данных обработка может осуществляться только при наличии оснований, предусмотренных законодательством Российской Федерации.
 
4. Порядок хранения персональных данных
4.1. Персональные данные на бумажных носителях хранятся в запираемых шкафах в помещениях с ограниченным доступом.

4.2. Персональные данные в электронном виде хранятся в информационных системах с ограниченным доступом.

4.3. Доступ к помещениям, в которых хранятся персональные данные, имеют только уполномоченные лица.

4.4. Сроки хранения персональных данных:
• медицинская документация пациентов – 25 лет;
• документы по личному составу работников – 75 лет;
• согласия на обработку персональных данных – 3 года после прекращения обработки.

4.5. По истечении сроков хранения персональные данные подлежат уничтожению.
 
5. Порядок уничтожения персональных данных
5.1. Уничтожение персональных данных осуществляется:
• по истечении сроков хранения;
• при отзыве субъектом персональных данных согласия на обработку (если обработка не может быть продолжена без согласия);
• при достижении целей обработки;
• по требованию субъекта персональных данных в случаях, предусмотренных законодательством.

5.2. Уничтожение персональных данных на бумажных носителях осуществляется путем:
• механического уничтожения (измельчение в шредере);
• сжигания.

5.3. Уничтожение персональных данных на электронных носителях осуществляется путем:
• удаления файлов с перезаписью;
• физического уничтожения носителей.

5.4. Уничтожение персональных данных оформляется актом об уничтожении персональных данных.
 
6. Меры по обеспечению безопасности персональных данных
6.1. Оператор применяет организационные меры защиты:
• определение угроз безопасности персональных данных при их обработке;
• разработка локальных актов по вопросам обработки персональных данных;
• назначение ответственного за организацию обработки персональных данных;
• ознакомление работников с требованиями законодательства и локальных актов;
• организация учета документов, содержащих персональные данные;
• определение перечня лиц, имеющих доступ к персональным данным;
• контроль за соблюдением требований к защите персональных данных.

6.2. Оператор применяет технические меры защиты:
• использование антивирусных программ;
• применение средств межсетевого экранирования;
• использование паролей доступа;
• резервное копирование персональных данных;
• учет действий пользователей информационных систем;
• обнаружение фактов несанкционированного доступа.

6.3. Оператор обеспечивает:
• сохранность персональных данных;
• предотвращение несанкционированного доступа к персональным данным;
• своевременное обнаружение фактов несанкционированного доступа;
• недопущение воздействия на технические средства обработки персональных данных;
• восстановление персональных данных;
• контроль за принимаемыми мерами.
 
7. Порядок рассмотрения обращений субъектов персональных данных
7.1. Субъект персональных данных имеет право направить Оператору обращение по вопросам обработки его персональных данных.

7.2. Обращение может быть направлено:
• лично по адресу Клиники;
• почтовым отправлением;
• по электронной почте.

7.3. Обращение должно содержать:
• фамилию, имя, отчество субъекта персональных данных;
• контактную информацию;
• суть обращения;
• подпись (при обращении в письменной форме).

7.4. Обращения субъектов персональных данных регистрируются в Журнале учета обращений субъектов персональных данных.

7.5. Обращение рассматривается ответственным за организацию обработки персональных данных в срок, не превышающий 30 дней со дня получения обращения.

7.6. По результатам рассмотрения обращения субъекту персональных данных направляется мотивированный ответ.

7.7. Оператор вправе отказать в выполнении требований субъекта персональных данных в случаях, предусмотренных законодательством Российской Федерации.
 
8. Ответственность за нарушение требований по обработке и защите персональных данных
8.1. Работники Клиники, виновные в нарушении требований настоящего Положения и законодательства о персональных данных, несут дисциплинарную, материальную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.

8.2. Оператор несет ответственность перед субъектами персональных данных за нарушение их прав при обработке персональных данных в соответствии с законодательством Российской Федерации.
 
9. Заключительные положения
9.1. Настоящее Положение вступает в силу со дня его утверждения.

9.2. Изменения в настоящее Положение вносятся приказом генерального директора Клиники.

9.3. Контроль за исполнением настоящего Положения осуществляет ответственный за организацию обработки персональных данных.