ПОЛИТИКА в отношении обработки персональных данных

ПОЛИТИКА в отношении обработки персональных данных

ГЛАВА 1 ОБЩИЕ ПОЛОЖЕНИЯ

1. Настоящая Политика в отношении обработки персональных данных (далее - Политика) подготовлена во исполнение требований Закона Республики Беларусь от 7 мая 2021 года № 99-3 «О защите персональных данных» (далее - Закон) и определяет основные принципы, цели, условия и порядок обработки персональных данных, перечень субъектов их обрабатываемых в учреждении здравоохранения «6-я городская клиническая больница» (далее - Учреждение, Оператор) персональных данных, функции Учреждения при обработке персональных данных, права субъектов персональных данных, а также реализуемые в Учреждении требования к защите персональных данных.

2. Политика разработана с учетом требований Конституции Республики Беларусь, законодательных и иных нормативных правовых актов в области персональных данных.

3. Политика является общедоступным документом, устанавливающим подходы Оператора к обеспечению безопасности и защите прав субъектов персональных данных при обработке их персональных данных.

4. Положения Политики служат основой для разработки локальных правовых актов, регламентирующих в Учреждении вопросы обработки персональных данных работников Учреждения, Пациентов и других субъектов персональных данных.

5. Действие Политики распространяется на все процессы обработки персональных данных, осуществляемые Оператором с использованием средств автоматизации и без их использования, если такая обработка соответствует целям, определенным настоящей Политикой.

6. Политика публикуется в свободном доступе в сети Интернет на официальном сайте Оператора: https://6gkb.by, а также предоставляет неограниченный доступ к ней любому лицу, лично обратившемуся к Оператору.

ГЛАВА 2

ЗАКОНОДАТЕЛЬНЫЕ И ИНЫЕ НОРМАТИВНЫЕ ПРАВОВЫЕ АКТЫ РЕСПУБЛИКИ БЕЛАРУСЬ, В СООТВЕТСТВИИ С КОТОРЫМИ ОПРЕДЕЛЯЕТСЯ ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Обработка персональных данных в Учреждении осуществляется на основании и во исполнение следующих нормативных правовых актов Республики Беларусь:

   Конституция Республики Беларусь;

   Закон Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных»;

   Закон Республики Беларусь от 10.11.2008 № 455-3 «Об информации, информатизации и защите информации»;

   Закон Республики Беларусь от 18.06.1993 № 2435-XII «О здравоохранении»;

   Закон Республики Беларусь от 21.07.2008 № 418-3 «О регистре населения»;

   Указ Президента Республики Беларусь № 422 от 28.01.2021 «О мерах по совершенствованию защиты персональных данных»;

Постановление Министерства здравоохранения Республики Беларусь от

2021. № 64 «Об утверждении инструкции о порядке обезличивания персональных данных лиц, которым оказывается медицинская помощь;

Постановление Министерства здравоохранения Республики Беларусь от

2021. № 74 «О формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных пациента;

      Приказ Министерства здравоохранения Республики Беларусь от 25.05.2018 № 536 «О некоторых вопросах формирования интегрированных электронных медицинских карт в Республике Беларусь»;

      иные акты законодательства Республики Беларусь, регулирующие отношения в сфере здравоохранения и защиты персональных данных.

2022. При организации обработки персональных данных Учреждение руководствуется также:

      рекомендациями по обработке персональных данных в сфере здравоохранения, разработанными Национальным центром защиты персональных данных Республики Беларусь совместно с государственным учреждением «Республиканский научно-практический центр медицинских технологий, информатизации, управления и экономики здравоохранения» и согласованными с Министерством здравоохранения Республики Беларусь;

      внутренними организационно-распорядительными документами Учреждения, изданными во исполнение требований законодательства.

ГЛАВА 3

ОСНОВНЫЕ ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ, ИСПОЛЬЗУЕМЫЕ В ЛОКАЛЬНЫХ ПРАВОВЫХ АКТАХ УЧРЕЖДЕНИЯ, РЕГЛАМЕНТИРУЮЩИХ ВОПРОСЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. В настоящей Политике и иных локальных правовых актах Учреждения, регламентирующих вопросы обработки персональных данных, используются следующие основные термины и определения в значениях, установленных Законом, а также иными актами законодательства Республики Беларусь:

   персональные данные - любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;

   субъект персональных данных - физическое лицо, в отношении которого осуществляется обработка персональных данных;

   оператор - государственный орган, юридическое лицо Республики Беларусь, иное уполномоченное лицо, организующее и (или) осуществляющие обработку персональных данных;

   обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, представление, удаление персональных данных;

   предоставление персональных данных - действия, направленные на ознакомление с персональными данными определенного лица или круга лиц.

   распространение персональных данных - действия, направленные на ознакомление с персональными данными неопределенного круга лиц;

   общедоступные персональные данные - персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательных актов;

   специальные персональные данные - персональные данные, касающиеся расовой либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или половой жизни, привлечения к административной или уголовной ответственности, а также биометрические и генетические персональные данные;

   биометрические персональные данные - информация, характеризующая физиологические и биологические особенности человека, которая используется для его уникальной идентификации (отпечатки пальцев рук, ладоней, радужная оболочка глаза, характеристики лица и его изображение и др.);

генетические персональные данные - информация, относящаяся к наследуемым либо приобретенным генетическим характеристикам человека, которая содержит уникальные данные о его физиологии либо здоровье и может быть выявлена, в частности, при исследовании его биологического образца;

блокирование персональных данных - прекращение доступа к персональным данным без их удаления;

удаление персональных данных - действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства;

согласие субъекта персональных данных - свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных;

врачебная тайна - информация о факте обращения гражданина за медицинской помощью, состоянии его здоровья, диагнозе и иные сведения, полученные при его медицинском обследовании и лечении;

пациент - физическое лицо, обратившееся за медицинской помощью, находящееся под медицинским наблюдением либо получающее медицинскую помощь и (или) в отношении которого проводится медицинская экспертиза;

законные представители - лица (родители, усыновители, опекны, попечители) или организации, которым на основании актов законодательства предоставлено право без специальных полномочий (без доверенности) защищать права и законные интересы других граждан;

уполномоченное лицо - государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, которые в соответствии с актом законодательства, решением государственного органа, являющегося оператором, либо на основании договора с оператором осуществляют обработку персональных данных от имени оператора или его интересах.

ГЛАВА 4

ЦЕЛИ И ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ

ДАННЫХ

1. Учреждение, являясь оператором персональных данных,

осуществляет обработку персональных данных работников Учреждения, пациентов Учреждения и других субъектов персональных данных, не состоящих с Учреждением в трудовых отношениях.

2. Особенности обработки персональных данных в процессе трудовой деятельности и при осуществлении административных процедур устанавливаются соответствующей Политикой в отношении обработки персональных данных в процессе трудовой деятельности и при осуществлении административных процедур.

3. Учреждение осуществляет обработку персональных данных в следующих целях:

   обеспечения соблюдения Конституции Республики Беларусь, законодательных и иных нормативных правовых актов Республики Беларусь, локальных правовых актов Учреждения;

   осуществления функций, полномочий и обязанностей, возложенных законодательством Республики Беларусь на Учреждение, в том числе по предоставлению персональных данных в органы государственной власти, а также иные государственные органы;

   оказания медицинской помощи пациентам в соответствии с профилем Учреждения;

   защиты жизни, здоровья и иных жизненно важных интересов субъектов персональных данных;

   обеспечения договорных отношений и взаимодействие с контрагентами;

   планирования и организации работы Учреждения, управления внутренними процессами;

   обеспечения пропускного и внутриобъектового режимов, контроль доступа на территорию и в здания Учреждения, в том числе с использованием систем видеонаблюдения;

   информационного обеспечения деятельности Учреждения; формирования справочных материалов для внутреннего информационного обеспечения деятельности Учреждения;

   осуществления прав и законных интересов Учреждения в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными правовыми актами Учреждения;

   взаимодействия с правоохранительными, судебными и контролирующими органами в случаях, установленных законодательством;

   реализации иных функций, полномочий и обязанностей, возложенных на Учреждение законодательством Республики Беларусь.

4. Обработка персональных данных в Учреждении осуществляется с учетом необходимости обеспечения защиты прав и свобод работников Учреждения, Пациентов Учреждения и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну.

Обработка персональных данных осуществляется на законной и справедливой основе. Учреждение не допускает обработку персональных данных способами, противоречащими законодательству Республики Беларусь, а также способами, ущемляющими права и законные интересы субъектов персональных данных на основе следующих принципов:

обработка персональных данных должна осуществляться на законной и справедливой основе;

обработка персональных данных осуществляется соразмерно заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;

обработка и защита персональных данных осуществляется с использованием организационных и технических мер, предотвращающих несанкционированный доступ, разглашение, изменение или уничтожение;

обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательными актами;

обработка персональных данных носит прозрачный характер. Субъекту персональных данных может предоставляться соответствующая информация, касающаяся обработки его персональных данных;

оператор принимает меры по обеспечению достоверности обрабатываемых им персональных данных, при необходимости обновляет их;

хранение персональных данных осуществляется в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем это требуют заявленные цели;

ГЛАВА 5 КАТЕГОРИИ СУБЪЕКТОВ, ПЕРСОНАЛЬНЫЕ ДАННЫЕ КОТОРЫХ ОБРАБАТЫВАЮТСЯ В УЧРЕЖДЕНИИ

1. В Учреждении обрабатываются персональные данные следующих категорий субъектов:

   работников Учреждения;

   пациентов, обратившихся за медицинской помощью; пациентов, находящихся на стационарном лечении в Учреждении; законных представителей пациентов (в случаях, когда пациент является несовершеннолетним или недееспособным); соискателям работы у Оператора;

   граждан, обратившихся (обращающихся) за осуществлением административной процедуры;

граждан, подавших (подающих) обращения; контрагентов (их представителей);

иных субъектов, для обеспечения реализации целей обработки персональных данных, указанных в гл. 4 Политики.

ГЛАВА 6

ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ

ДАННЫХ

1. Субъект персональных данных имеет право:

   отзывать согласия субъекта персональных данных;

   получать информацию, касающуюся обработки персональных данных, и изменять персональных данных;

   получать информацию о предоставлении персональных данных третьим лицам;

   вносить изменения в свои персональные данные;

   требовать прекращения обработки персональных данных и (или) их удаление;

   обжаловать действия (бездействия) и решения Оператора, связанных с обработкой персональных данных.

2. Субъект персональных данных обязан:

   предоставлять Оператору достоверные, полные и актуальные персональные данные, необходимые для целей обработки;

   своевременно сообщать Оператору об изменениях своих персональных данных;

   осуществлять свои права в соответствии с законодательством Республики Беларусь в области обработки и защиты персональных данных;

ГЛАВА 7

УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В

УЧРЕЖДЕНИИ

1. Обработка персональных данных в Учреждении осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Республики Беларусь в области персональных данных при формировании электронной медицинской карты пациента информационных систем, информационных ресурсов, баз (банков) данных реестров (регистров) в здравоохранении, за исключением случаев предусмотренных Политикой.

2. Оператор предоставляет субъекту персональных данных перед получением согласия на обработку персональных данных всю информацию, необходимую для прозрачности обработки персональных данных, разъясняет последствия дачи отказа от дачи согласия, обеспечивает получение и однозначного согласия.

3. Учреждение без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено законодательством Республики Беларусь.

4. Учреждение вправе поручить обработку персональных данных от имени Учреждения или в его интересах уполномоченному лицу на основании заключаемого с этим лицом договора. Договор должен содержать:

   цели обработки персональных данных;

   перечень действий, которые могут совершаться с персональными данными уполномоченным лицом;

   обязанности по соблюдению конфиденциальности персональных данных;

   меры по обеспечению защиты персональных данных в соответствии со статьей 17 Закона.

5. Согласие субъекта персональных данных на обработку персональных данных, за исключением специальных персональных данных, не требуется:

   для целей ведения административного и(или) уголовного процесса, осуществления оперативно-разыскной деятельности;

   для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов;

   при реализации норм законодательства в области национальной безопасности, о борьбе с коррупцией, о предотвращении легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения;

   для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в том числе профессионального пенсионного страхования;

   при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;

   в целях назначения и выплаты пенсий, пособий;

   для организации и проведения государственных статистических наблюдений, формирования официальной статистической информации;

   в научных или иных исследовательских целях при условии обязательного обезличивания персональных данных;

   при получении персональных данных Оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;

   при обработке персональных данных, когда они указаны в документе, адресованном Оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;

   для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;

   в отношении распространенных ранее персональных данных до момента заявления субъектом персональных данных требований о

прекращении обработки распространенных персональных данных, а также об их удалении при отсутствии иных оснований для обработки персональных данных, предусмотренных настоящим Законом и иными законодательными актами;

в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами;

в случаях, когда настоящим Законом и иными законодательными актами прямо предусматривается обработка персональных данных без согласия субъекта персональных данных.

6. В целях внутреннего информационного обеспечения Учреждение может создавать внутренние справочные материалы, в которые с письменного согласия субъекта персональных данных, если иное не предусмотрено законодательством Республики Беларусь, могут включаться персональные данные, сообщаемые субъектом персональных данных.

7. Доступ к обрабатываемым в Учреждении персональным данным разрешается только работникам Учреждения, занимающим должности, включенные в перечень должностей структурных подразделений Оператора, имеющих доступ к персональным данным.

ГЛАВА 8 ПЕРЕЧЕНЬ ДЕЙСТВИЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ И СПОСОБЫ ИХ ОБРАБОТКИ

1. Учреждение осуществляет обработку персональных данных (любое действие или совокупность действий совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных).

2. Обработка персональных данных в Учреждении осуществляется следующими способами:

   с использованием средств автоматизации;

   без использования средств автоматизации, если при этом обеспечиваются поиск персональных данных и (или) доступ к ним по определенным критериям (списки, журналы, базы данных, картотеки и др);

   смешанная (сочетание автоматизированной и неавтоматизированной обработки).

   Учет обрабатываемых персональных данных ведется структурными подразделениями Учреждения в порядке, установленном локальными правовыми актами Учреждения.

ГЛАВА 9

ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ИХ ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА

1. Порядок обработки персональных данных, их трансграничная передача осуществляется Учреждением в соответствии с законодательством и локальными правовыми актами Учреждения в области персональных данных на законной и справедливой основе, руководствуясь принципами, указанными в гл. 4 Политики.

2. Оператор обеспечивает хранение персональных данных в форме позволяющей идентифицировать субъекта персональных данных не дольше, чем это требуется в соответствии с законодательством и заявленным целям обработки персональных данных.

3. В целях реализации прав, указанных в пункте 6.1 главы 6 Политики, за исключением обжалования действия или бездействия Оператора, субъект персональных данных может подать заявление Оператору в соответствии с Законом.

   Право на отзыв согласия субъекта персональных данных может быть реализовано в той же форме, в которой субъект персональных данных давал соответствующее согласие.

4. Право на обжалование действий (бездействий) и решений Оператора, связанных с обработкой персональных данных, осуществляется в уполномоченным органом по защите прав субъектов персональных данных - Национальный центр защиты персональных данных Республики Беларусь в порядке, установленном действующим законодательством.

5. Передача персональных данных третьим лицам, в том числе трансграничная передача, допускается только с письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в иных случаях, предусмотренных законодательством.

6. Трансграничная передача персональных данных на территорию иностранного государства может осуществляться Оператором если:

   на территории иностранного государства обеспечивается надлежащий уровень защиты прав субъектов персональных данных. Уполномоченный орган по защите прав субъектов персональных данных определяет перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных;

   на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных в случаях, предусмотренных статьей 9 Закона.

7. Все персональные данные являются конфиденциальными, за исключением общедоступных персональных данных.

К общедоступным персональным данным относятся данные, распространенные самим субъектом персональных данных, либо с его согласия или распространенные в соответствии с требованиями законодательных актов.

8. Персональные данные уничтожаются или обезличиваются по достижении целей обработки, если иное не предусмотрено законодательством.

ГЛАВА 10

МЕРЫ, ПРИНИМАЕМЫЕ УЧРЕЖДЕНИЕМ ДЛЯ ОБЕСПЕЧЕНИЯ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ОПЕРАТОРА ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Меры, необходимые и достаточные для обеспечения выполнения Учреждением обязанностей оператора, предусмотренных законодательством Республики Беларусь в области персональных данных, включают:

   предоставление субъектам персональных данных необходимой информации до получения их согласий на обработку персональных данных;

   разъяснение субъектам персональных данных их прав, связанных с обработкой персональных данных;

   получение письменных согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Республики Беларусь;

   назначение структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных в Учреждении;

   издание документов, определяющих политику Учреждения в отношении обработки персональных данных;

   ознакомление работников, непосредственно осуществляющих обработку персональных данных в Учреждении, с положениями законодательства о персональных данных;

   установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);

   осуществление технической и криптографической защиты персональных данных в Учреждении в порядке, установленном Оперативно­аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные;

   обеспечение неограниченного доступа, в том числе с использованием глобальной компьютерной сети Интернет, к документам, определяющим политику Учреждения в отношении обработки персональных данных, до начала такой обработки;

   прекращение обработки персональных данных при отсутствии оснований для их обработки;

незамедлительное уведомление уполномоченного органа по защите прав субъектов персональных данных о нарушении систем защиты персональных данных;

осуществление изменения, блокирования, удаления недостоверных или полученных незаконным путем персональных данных;

ограничение обработки персональных данных достижением конкретных, заранее заявленных законных целей;

осуществление хранения персональных данных в форме, позволяющей идентифицировать субъектов персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.

2. Меры, по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с локальными правовыми актами Учреждения, регламентирующими вопросы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных Учреждения.

ГЛАВА 11

КОНТРОЛЬ ЗА СОБЛЮДЕНИЕМ ЗАКОНОДАТЕЛЬСТВА РЕСПУБЛИКИ БЕЛАРУСЬ И ЛОКАЛЬНЫХ ПРАВОВЫХ АКТОВ УЧРЕЖДЕНИЯ В ОБЛАСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, В ТОМ ЧИСЛЕ ТРЕБОВАНИИ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Контроль за соблюдением структурными подразделениями Учреждения законодательства Республики Беларусь и локальных правовых актов Учреждения в области персональных данных, осуществляется с целью проверки соответствия обработки персональных данных в структурных подразделениях Учреждения законодательству Республики Беларусь и локальным правовым актам Учреждения в области персональных данных, в том числе требованиям к защите персональных данных, а также принятых мер, направленных на предотвращение и выявление нарушений законодательства Республики Беларусь в области персональных данных, выявления возможных каналов утечки и несанкционированного доступа к персональным данным, устранения последствий таких нарушений.

2. Внутренний контроль за соблюдением структурными подразделениями Учреждения законодательства Республики Беларусь и локальных правовых актов в Учреждении в области персональных данных, в том числе требований к защите персональных данных, осуществляется лицом, ответственным за организацию обработки персональных данных в Учреждении.

3. Персональная ответственность за соблюдение требований законодательства Республики Беларусь и локальных нормативных актов Учреждения в области персональных данных в структурных подразделениях Учреждения, а также за обеспечение конфиденциальности и безопасности

персональных данных в подразделениях Учреждения возлагается на их руководителей.