Положение о политике в отношении обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) подготовлена во исполнение требований Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Закон) и иных нормативных правовых актов Республики Беларусь в сфере защиты информации и персональных данных и определяет основные принципы, цели, условия и способы обработки персональных данных, перечни субъектов и обрабатываемых в ООО «Медицинский центр ТОМОГРАФИЯ» (далее – Организация, Оператор) персональных данных, функции Организации при обработке персональных данных, права субъектов персональных данных, а также реализуемые в Организации требования к защите персональных данных.

Место нахождения Оператора: Республика Беларусь, 220026,
г. Минск, ул. Жилуновича,11А.

1.2. Политика разработана с учетом требований Конституции Республики Беларусь, законодательных и иных нормативных правовых актов Республики Беларусь в области персональных данных.

1.3. Положения Политики служат основой для разработки локальных правовых актов, регламентирующих в Организации вопросы обработки персональных данных работников Организации и других субъектов персональных данных.

1.4. Политика действует в отношении всех процессов обработки персональных данных в рамках деятельности Оператора.

1.5. Целью настоящей Политики является обеспечение надлежащей защиты персональных данных от несанкционированного доступа и разглашения, соблюдение прав и свобод граждан при обработке их персональных данных, в том числе обеспечение защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.6. Политика публикуется в свободном доступе в сети Интернет на официальном сайте Оператора: https://mrt.by/.

1.5. Оператор вправе при необходимости в одностороннем порядке вносить в Политику соответствующие изменения с последующим размещением новой Политики по вышеуказанному электронному адресу.

1.6. В настоящей Политике используются термины и их определения в значении, определенном Законом.

1.7. В целях реализации положений Политики в Организации разрабатываются соответствующие локальные правовые акты и иные документы, в том числе:

Положение об обработке персональных данных в Организации;

иные локальные правовые акты и документы, регламентирующие в Организации вопросы обработки персональных данных.

ГЛАВА 2

ЦЕЛИ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ, ЧЬИ ДАННЫЕ ПОДВЕРГАЮТСЯ ОБРАБОТКЕ, ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, ПРАВОВЫЕ ОСНОВАНИЯ И СРОКИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Оператором осуществляется обработка полученных в установленном законом порядке персональных данных, принадлежащих:

работникам, их близким родственникам, а также работникам, прекратившим трудовые отношения с Оператором;

соискателям работы у Оператора;

физическим лицам, состоящим в договорных и иных гражданско-правовых отношениях с Оператором;

пациентам и их законным представителям;

гражданам, подавших (подающих) обращения;

гражданам, обратившихся (обращающихся) за осуществлением административной процедуры;

контрагентов-физических лиц;

иным субъектам, взаимодействие которых с Оператором создает необходимость обработки персональных данных (для обеспечения реализации целей обработки, указанных в пункте 2.2. главу 2 Политики).

2.2. Обработка Оператором персональных данных может осуществляется в следующих целях:

обеспечения соблюдения Конституции Республики Беларусь, законодательных и иных нормативных правовых актов Республики Беларусь, локальных правовых актов Организации;

осуществления функций, полномочий и обязанностей, возложенных законодательством Республики Беларусь на Организацию, в том числе по предоставлению персональных данных в органы государственной власти, в Фонд социальной защиты населения Министерства труда и социальной защиты Республики Беларусь, а также в иные государственные органы;

осуществления и выполнения функций, полномочий и обязанностей, возложенных на Оператора действующим законодательством;

оформление первичной медицинской документации на бумажном носителе, формирование электронной медицинской карты пациента, информационных систем, информационных ресурсов, баз (банков) данных, реестров (регистров) в здравоохранении (далее - информационная система);

выдача справок, выписок из медицинских документов;

ведения кадрового делопроизводства; проверка кандидатов (в том числе их квалификации и опыта работы) и рассмотрение возможности их трудоустройства;

предоставления родственникам работников льгот и компенсаций;

выявления конфликта интересов;

проверки соискателей работы (в том числе их квалификации и опыта работы);

выдачи справок и иных документов в рамках осуществления административных процедур;

подготовки ответов на обращения граждан, юридических лиц, индивидуальных предпринимателей, по вопросам, входящим в компетенцию Организации;

ведения переговоров, заключения, изменения, исполнения и расторжения договоров с контрагентами;

подготовки претензий, исковых заявлений, а также при использовании иных способов защиты нарушенных прав Организации;

проведения мероприятий и обеспечения участия в них субъектов персональных данных;

подготовки доверенностей субъектам персональных данных на право совершения от имени представляемого юридически значимых действий;

установления с пациентами обратной связи, включая направление уведомлений, запросов, связанных с оказанием медицинской помощи (медицинских услуг), прохождением обследования, проведения медицинских исследований и т.д.;

предоставления субъектам персональных данных доступа к персонализированным ресурсам сайта; установления с ними обратной связи, включая направление уведомлений, запросов; обработка запросов;

в целях, связанных с диагностикой, постановкой диагноза, лечения, оказания медицинской помощи (медицинских услуг), а также целях, направленных на обеспечение соблюдения заключенных договоров, нормативных правовых актов;

публикация новостных статей о деятельности Оператора на официальном сайте Оператора;

осуществления прав и законных интересов Организации в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными правовыми актами Организации, либо достижения общественно значимых целей;

в иных законных целях.

Цели, объем, правовые основания и сроки обработки персональных данных Организации приведены в приложении 1 к настоящей Политике.

ГЛАВА 3

ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Принципы обработки персональных данных:

3.1.1 обработка персональных данных должна осуществляться на законной и справедливой основе;

3.1.2 обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, не совместимая с целями сбора персональных данных;

3.1.3 не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;

3.1.4 обработке подлежат только те персональные данные, которые отвечают целям их обработки;

3.1.5 содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;

3.1.6 при обработке персональных данных должны быть обеспечены их точность и достаточность, а в необходимых случаях и актуальность сведений, предоставляемых субъектом персональных данных, по отношению к целям обработки;

3.1.7 хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных.

3.2. Условия обработки персональных данных:

3.2.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных согласно приложениям 2 и 3 к настоящей Политике, при внесении  и    обработке   персональных   данных   и   информации, составляющей     врачебную     тайну, при    формировании    электронной медицинской   карты   пациента, информационных   систем, информационных ресурсов,  осуществлении информационной и рекламной рассылки, напоминании пациенту о назначенном времени визита, взаимодействии с пациентом для организации повторного визита по рекомендации врача – специалиста, направлении результатов исследований и консультативных заключений на электронный адрес пациента и (или) адрес проживания, указанный пациентом, направлении SMS cобщения с целью получения обратной связи от пациента для проведения оценка качества оказываемых услуг, создании личного кабинета пользователя для просмотра статуса и истории визитов, записи на консультационные и иные медицинские услуги, в том числе внесение корректировок (изменение даты и времени визита), просмотра консультативных заключений, результатов протоколов исследований, оперативного информирования и уточнения вопросов, возникающих в отношении оказываемых Оператором услуг, за исключением случаев, предусмотренных настоящей Политикой, Законом и иными законодательными актами.

3.2.2. Согласие субъекта персональных данных на обработку персональных данных, за исключением специальных персональных данных, не требуется:

для целей ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности;

для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов;

при реализации норм законодательства в области национальной безопасности, о борьбе с коррупцией, о предотвращении легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения;

для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в том числе профессионального пенсионного страхования;

при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;

в целях назначения и выплаты пенсий, пособий;

при получении персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;

при обработке персональных данных, когда они указаны в документе, адресованном Оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;

для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;

в отношении распространенных ранее персональных данных до момента заявления субъектом персональных данных требований о прекращении обработки распространенных персональных данных, а также об их удалении при отсутствии иных оснований для обработки персональных данных, предусмотренных настоящим Законом и иными законодательными актами;

в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами;

в случаях, когда Законом и иными законодательными актами прямо предусматривается обработка персональных данных без согласия субъекта персональных данных.

3.2.3. Организация без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено законодательством Республики Беларусь.

3.2.4. Организация вправе поручить обработку персональных данных от имени Организации или в её интересах уполномоченному лицу на основании заключаемого с этим лицом договора. Договор должен содержать:

цели обработки персональных данных;

перечень действий, которые будут совершаться с персональными данными уполномоченным лицом;

обязанности по соблюдению конфиденциальности персональных данных;

меры по обеспечению защиты персональных данных в соответствии со ст. 17 Закона о защите персональных данных.

3.2.5. Доступ к обрабатываемым в Организации персональным данным разрешается только работникам Организации, занимающим должности, включенные в перечень должностей структурных подразделений Организации, при замещении которых осуществляется обработка персональных данных.

ГЛАВА 4

ПЕРЕЧЕНЬ ДЕЙСТВИЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ И СПОСОБЫ ИХ ОБРАБОТКИ

4.1. Организация осуществляет обработку персональных данных (любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных).

4.2. Обработка персональных данных в Организации осуществляется следующими способами:

4.2.1 с использованием средств автоматизации;

4.2.2 без использования средств автоматизации, если при этом обеспечиваются поиск персональных данных и (или) доступ к ним по определенным критериям путем:

4.2.2.1 получения оригиналов необходимых документов, предоставляемых субъектами персональных данных;

4.2.2.2 получения заверенных в установленном порядке копий документов, содержащих персональные данные, или копирования оригиналов документов;

4.2.2.3 формирования персональных данных в ходе кадровой работы;

4.2.2.4 получения информации, содержащей персональные данные, в устной и письменной форме непосредственно от субъектов персональных данных;

4.2.2.5 получения персональных данных в ответ на запросы, направляемые Оператором в органы государственной власти, иные государственные органы, коммерческие и некоммерческие организации, физическим лицам в случаях и порядке, предусмотренных законодательством;

4.2.2.6 получения персональных данных из общедоступных источников;

4.2.2.7 фиксации (регистрации) персональных данных в журналах, книгах, реестрах и других учетных формах;

4.2.2.8 внесения персональных данных в информационные системы Оператора;

4.2.2.9 использования иных средств и способов фиксации персональных данных, получаемых в рамках осуществляемой Оператором деятельности.

смешанным (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, в том числе с использованием внутренней сети и сети Интернет.

Учет обрабатываемых персональных данных ведется структурными подразделениями Организации в порядке, установленном локальными правовыми актами Организации.

ГЛАВА 5

ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Субъект персональных данных вправе:

в любое время без объяснения причин отозвать свое согласие посредством подачи Оператору (лицу, ответственному за обработку персональных данных) заявления в порядке, установленном статьей 14 Закона о защите персональных данных по установленной форме либо в форме, посредством которой получено его согласие;

получить информацию, касающуюся обработки своих персональных данных, содержащую:

наименование (фамилию, собственное имя, отчество (если таковое имеется)) и место нахождения (адрес места жительства (места пребывания)) Оператора;

подтверждение факта обработки персональных данных Оператором (уполномоченным лицом);

его персональные данные и источник их получения;

правовые основания и цели обработки персональных данных;

срок, на который дано его согласие;

наименование и место нахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка персональных данных поручена такому лицу;

иную информацию, предусмотренную законодательством;

требовать от Оператора (лица, ответственного за обработку персональных данных) внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными. В этих целях субъект персональных данных подает Оператору (лицу, ответственному за обработку персональных данных) заявление в порядке, установленном статьей 14 Закона о защите персональных данных, с приложением соответствующих документов и (или) их заверенных в установленном порядке копий, подтверждающих необходимость внесения изменений в персональные данные;

получать от Оператора (лица, ответственного за обработку персональных данных) информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно, если иное не предусмотрено Законом о защите персональных данных и иными законодательными актами. Для получения указанной информации субъект персональных данных подает заявление Оператору (лицу, ответственному за обработку персональных данных) в порядке, установленном статьей 14 Закона о защите персональных данных.

требовать от Оператора (лица, ответственного за обработку персональных данных) бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами. Для реализации указанного права субъект персональных данных подает Оператору заявление в порядке, установленном Законом;

обжаловать действия (бездействие) и решения Оператора (лица, ответственного за обработку персональных данных), нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц.

5.2. Субъект персональных данных обязан:

предоставлять Организации достоверные персональные данные;

своевременно сообщать Организации об изменениях и дополнениях своих персональных данных;

осуществлять свои права в соответствии с законодательством Республики Беларусь в области обработки и защиты персональных данных.

ГЛАВА 6

ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ИХ ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА

6.1. Порядок и условия обработки персональных данных, их трансграничная передача осуществляются Организацией в соответствии с законодательством и локальными правовыми актами Организации в области персональных данных.

6.2. Передача персональных данных третьим лицам, в том числе трансграничная передача, допускается только с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, предусмотренных законодательством.

6.3. Трансграничная передача персональных данных на территорию иностранного государства может осуществляться Оператором, если:

на территории иностранного государства обеспечивается надлежащий уровень защиты прав субъектов персональных данных: Австрия, Азербайджан, Албания, Андорра, Аргентина, Армения, Бельгия, Болгария, Босния и Герцеговина, Великобритания, Венгрия, Германия, Греция, Грузия, Дания, Ирландия, Исландия, Испания, Италия, Казахстан, Кыргызстан, Кабо-Верде, Кипр, Латвия, Литва, Лихтенштейн, Люксембург, Мальта, Монако, Нидерланды, Норвегия, Остров Маврикий, Польша, Португалия, Республика Молдова, Румыния, Сан-Марино, Северная Македония, Сербия, Словацкая Республика, Словения, Турция, Украина, Финляндия, Франция, Хорватия, Черногория, Чешская республика, Швейцария, Швеция, Эстония, Марокко, Мексика, Российская Федерация, Сенегал, Тунис, Уругвай – без ограничений при наличии правовых оснований, предусмотренных Законом;

на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных – в случаях, предусмотренных статьей 9 Закона, в том числе:

когда дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;

при размещении информации о своей деятельности в глобальной компьютерной сети Интернет;

когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами и/или международными договорами Республики Беларусь.

6.4. Все персональные данные являются конфиденциальными, за исключением общедоступных персональных данных.

Общедоступными персональными данными являются персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательных актов.

Персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством.

ГЛАВА 7

МЕРЫ, ПРИНИМАЕМЫЕ ОРГАНИЗАЦИЕЙ ДЛЯ ОБЕСПЕЧЕНИЯ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ОПЕРАТОРА ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Меры, необходимые и достаточные для обеспечения выполнения Организацией обязанностей оператора, предусмотренных законодательством Республики Беларусь в области персональных данных, включают:

предоставление субъектам персональных данных необходимой информации до получения их согласий на обработку персональных данных;

разъяснение субъектам персональных данных их прав, связанных с обработкой персональных данных;

получение письменных согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Республики Беларусь;

назначение структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных в Организации;

издание документов, определяющих политику Организации в отношении обработки персональных данных;

ознакомление работников, непосредственно осуществляющих обработку персональных данных в Организации, с положениями законодательства о персональных данных;

установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);

осуществление технической и криптографической защиты персональных данных в Организации в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные;

обеспечение неограниченного доступа, в том числе с использованием глобальной компьютерной сети Интернет, к документам, определяющим политику Организации в отношении обработки персональных данных, до начала такой обработки;

прекращение обработки персональных данных при отсутствии оснований для их обработки;

незамедлительное уведомление уполномоченного органа по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных;

осуществление изменения, блокирования, удаления недостоверных или полученных незаконным путем персональных данных;

ограничение обработки персональных данных достижением конкретных, заранее заявленных законных целей;

осуществление хранения персональных данных в форме, позволяющей идентифицировать субъектов персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.

7.2. Меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с локальными правовыми актами Организации, регламентирующими вопросы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных Организации.

 

Разработано:

Юрисконсульт В.Н.Нестерович

 

 Приложение 1

 Приложение 2

 Приложение 3

 Приложение 4