Политика конфиденциальности

СВЕДЕНИЯ ОБ ОПЕРАТОРЕ

1. Полное наименование: Государственное бюджетное учреждение Республики Коми «Территориальный центр медицины катастроф Республики Коми» (далее – Оператор).

2. Юридический адрес: 167000, Республика Коми, г. Сыктывкар, ул. Бабушкина, д. 11.

3. ИНН: 1101147121.

4. Регистрационный номер в Реестре операторов, осуществляющих обработку персональных данных (ПДн): 11-17-001434.

5. Контактный телефон: 8(8212) 30-12-49.

6. Почтовый адрес: Республика Коми, г. Сыктывкар, ул. Бабушкина, д. 11.

7. Адрес электронной почты: tcmk_rk@minzdrav.rkomi.ru.

8. Все вопросы и предложения по внесению изменений и дополнений в настоящую политику следует направлять на имя ответственного должностного лица Оператора за организацию обработки ПДн, а также обеспечение их безопасности при обработке в ИСПДн по указанному выше контактному телефону, почтовому адресу или адресу электронной почты.

Общие положения

1. Настоящая политика разработана в соответствии с Конституцией РФ, Трудовым кодексом РФ, Гражданским процессуальным кодексом РФ, Уголовно-процессуальным кодексом РФ, Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27.07.2006 № 152-ФЗ «О ПДн», Федеральным законом от 29.12.2012 № 273-ФЗ «Об образовании в РФ» и определяет систему взглядов Оператора в отношении обработки ПДн.

2. Целью настоящей политики является обеспечение соблюдения и выполнения Оператором норм и требований законодательства РФ в области ПДн.

3. Настоящая политика вступает в силу с момента ее утверждения главным врачом и действует бессрочно до замены или отмены.

4. Положения настоящей политики распространяются на весь объем ПДн, обрабатываемых Оператором, полученных как до, так и после вступления ее в силу.

5. Настоящая политика является общедоступным документом и подлежит размещению на информационном стенде Оператора по адресу: Республика Коми, г. Сыктывкар, ул. Бабушкина, д. 11 и публикации на его официальном сайте в сети «Интернет» по адресу med-bspec-tcmk-syktyvkar-r11.gosweb.gosuslugi.ru.

Субъекты ПДн

1. Оператор осуществляет обработку ПДн своих работников, граждан.

2. Обработка ПДн осуществляется на законной и справедливой основе и ограничивается достижением конкретных, заранее определенных целей.

3. Цели и основания обработки ПДн определяются Перечнем обрабатываемых ПДн. К таким целям относятся:

• заключение служебного контракта (трудового договора) или гражданско-правового договора;
• обеспечение соблюдения конституционных прав субъектов ПДн, норм и требований законодательства РФ;
• исполнение обязательств и функций работодателя, а также обязательств и функций, возложенных на Оператора законодательством РФ или предусмотренных гражданско-правовым договором и др.

Права субъекта ПДн

1. Субъект ПДн является собственником своих ПДн и самостоятельно принимает решение об их предоставлении Оператору. В случае недееспособности либо несовершеннолетия решение о предоставлении ПДн принимает законный представитель субъекта ПДн.
2. Субъект ПДн имеет право на получение сведений о наличии у Оператора его ПДн, а также на ознакомление с ними, в том числе на безвозмездное получение копии любой записи, содержащей его ПДн, за исключением случаев, предусмотренных законодательством РФ.

3. Право субъекта ПДн на доступ к своим ПДн ограничивается в случае нарушения при таком доступе конституционных прав и свобод третьих лиц, а также в соответствии с федеральными законами.

4. Субъект ПДн вправе запрашивать у Оператора следующие сведения, касающиеся обработки его ПДн:

   • подтверждение факта обработки его ПДн Оператором;
   • правовые основания и цели обработки его ПДн;

   • используемые Оператором способы обработки его ПДн;

   • наименование и адрес местонахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к его ПДн или которым они могут быть раскрыты на основании федерального закона или договора с Оператором;

   • состав и содержание обрабатываемых ПДн, источник их получения, если иной порядок представления таких сведений не предусмотрен федеральным законом;

   • сроки обработки его ПДн, в т.ч. сроки их хранения;

   • порядок осуществления им прав, предусмотренных законодательством РФ;

   • информацию об осуществленной или о предполагаемой трансграничной передаче его ПДн;

   • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку его ПДн по поручению Оператора, если обработка поручена или будет поручена такому лицу;

   • иные сведения, предусмотренные законодательством РФ.

5. Субъект ПДн вправе требовать от Оператора уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав и законных интересов, в т.ч. на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

6. Субъект ПДн вправе обжаловать действия или бездействия Оператора в уполномоченный орган по защите прав субъектов ПДн (Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по республике Коми) или в судебном порядке.

7. С целью реализации своих прав и защиты законных интересов субъект ПДн имеет право обратиться к Оператору. Оператор рассматривает любые обращения и жалобы субъектов ПДн, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения и урегулирования спорных и конфликтных ситуаций в досудебном порядке.

8. В случае, если обработка ПДн осуществляется с согласия субъекта ПДн, он имеет право в любое время отозвать данное ранее согласие, обратившись к Оператору.

Категории обрабатываемых ПДн

1. Оператор обрабатывает только ПДн, соответствующие заявленным целям их обработки. Обработка ПДн, избыточных по отношению к заявленным целям их обработки, не допускается.

2. Состав и содержание обрабатываемых ПДн определяются Перечнем обрабатываемых ПДн в соответствии с Конституцией РФ и действующими федеральными законами.

3. Оператор осуществляет обработку ПДн следующих категорий:

   • первичные сведения (фамилия, имя, отчество, дата рождения и др.);

   • сведения о реквизитах документов (паспортные данные, ИНН, СНИЛС и др.);

   • сведения об образовании (уровень образования, специальность и др.);

   • сведения о социальном положении (семейное положение, состав семьи и др.);

   • сведения о трудовой деятельности (занимаемая должность, трудовой стаж и др.);

   • сведения о финансовом обеспечении (тарифная ставка, сведения о начисленных суммах и др.);

   • медицинские (диагнозы, жалобы, результаты осмотров) и иные сведения.

4. Сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические ПДн) Оператором не обрабатываются.

5. Оператором обрабатываются сведения, касающиеся, состояния здоровья (специальные категории ПДн).

Обработка ПДн

1. При обработке ПДн Оператором обеспечивается соблюдение принципов, определенных ст.5 Федерального закона от 27.07.2006 № 152-ФЗ «О ПДн».

2. Оператор осуществляет обработку ПДн как с использованием средств вычислительной техники, так и без использования таких средств. Обработка осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), обезличивания, блокирования, удаления и уничтожения ПДн. Главный врач Оператора определяет способы документирования и обработки ПДн на базе современных информационных технологий.

3. Оператор получает ПДн напрямую от субъектов ПДн или их законных представителей.

4. В случае возникновения необходимости получения ПДн от третьей стороны, Оператор извещает об этом субъекта ПДн заранее и сообщает ему о целях, предполагаемых источниках и способах получения ПДн, за исключением случаев, предусмотренных законодательством РФ.

5. Для получения ПДн от третьей стороны Оператор сначала получает письменное согласие субъекта ПДн, за исключением случаев, предусмотренных законодательством РФ.

6. Работники Оператора, осуществляющие сбор ПДн, разъясняют субъектам ПДн юридические последствия их отказа в предоставлении своих ПДн, если предоставление ПДн является обязательным в соответствии с законодательством РФ, и обеспечивают точность, достаточность и актуальность ПДн при их обработке.

7. Оператор хранит ПДн и их материальные носители в порядке, исключающем их утрату, неправомерное использование или несанкционированный доступ к ним, не дольше, чем этого требуют цели их обработки и требования действующего законодательства РФ, и уничтожает их по истечению установленных сроков хранения.

8. Сроки хранения ПДн на бумажных носителях соответствуют срокам хранения содержащих их документов, установленным законодательством РФ. При обработке ПДн на бумажных носителях Оператором обеспечивается выполнение требований «Положения об особенностях обработки ПДн, осуществляемой без использования средств автоматизации», утвержденного постановлением Правительства РФ от 15.09.2008 № 687.

9. Сроки хранения ПДн в электронной форме, в виде электронных документов и (или) записей баз данных, составляют три года или соответствуют срокам исковой давности, установленным законодательством РФ. При обработке ПДн на машинных носителях и в ИСПДн Оператором обеспечивается выполнение «Требований к защите ПДн при их обработке в ИСПДн», утвержденных постановлением Правительства РФ от 01.11.2012 № 1119.

10. Оператор предоставляет ПДн третьим лицам исключительно с согласия субъекта ПДн либо в случаях, установленных законодательством РФ.

11. По достижению целей обработки ПДн или в случае утраты в необходимости достижения этих целей, Оператор уничтожает ПДн либо обезличивает их, если иное не предусмотрено федеральным законом.

12. Передача ПДн на территорию иностранных государств, органам власти иностранных государств, иностранным физическим или юридическим лицам (трансграничная передача ПДн) Оператором не осуществляется.

13. В соответствии с пп.з п.1 ч.2 и ч. 3 ст.29 Федерального закона от 29.12.2012 № 273 «Об образовании в РФ» сведения о персональном составе педагогических работников Оператора с указанием уровня образования, квалификации и опыта работы подлежат размещению на официальном сайте Оператора в сети «Интернет» и обновлению в течение десяти дней со дня их создания, получения или внесения в них соответствующих изменений.

14. Оператор вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн или взять на себя такую обязанность, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

15. В случае поручения обработки ПДн другому лицу, ответственность перед субъектом ПДн за действия указанного лица несет Оператор.

СВЕДЕНИЯ О РЕАЛИЗУЕМЫХ ТРЕБОВАНИЯХ К ЗАЩИТЕ ПДН

1. С целью выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн, Оператором принимаются организационные и (или) технические меры по обеспечению безопасности ПДн для их защиты от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления и распространения, а также от иных неправомерных действий в отношении ПДн.

2. Меры по обеспечению безопасности ПДн реализуются в рамках системы защиты ПДн, нейтрализующей актуальные угрозы безопасности ПДн, определенные в соответствии с ч.5 ст.19 Федерального закона от 27.07.2006 № 152-ФЗ «О ПДн».

3. Защита ПДн представляет собой динамический технологический процесс, предупреждающий нарушение их конфиденциальности, целостности и доступности ПДн.

4. Безопасность ПДн, в частности, достигается:

   • назначением ответственных должностных лиц за организацию обработки ПДн и обеспечение их безопасности при обработке в ИСПДн;

   • изданием Оператором документов, определяющих политику Оператора в отношении обработки ПДн (настоящая политика), локальных нормативных актов по вопросам обработки ПДн, документа, определяющего перечень лиц, доступ которых к ПДн, обрабатываемым в ИСПДн, необходим для выполнения ими служебных (трудовых) обязанностей, а также локальных нормативных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;

   • осуществлением внутреннего контроля и (или) аудита соответствия обработки ПДн Федеральному закону от 27.07.2006 № 152-ФЗ «О ПДн» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, локальным нормативным актам;

   • оценкой вреда, который может быть причинен субъектам ПДн в случае нарушения Федерального закона от 27.07.2006 № 152-ФЗ «О ПДн», соотношением указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных указанным федеральным законом;

   • ознакомлением работников, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ в области ПДн, в т.ч. требованиями к защите ПДн, локальными нормативными актами в отношении обработки ПДн, и (или) обучением указанных работников;

   • определением угроз безопасности ПДн при их обработке в ИСПДн;

   • принятием организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для обеспечения установленных уровней защищенности ПДн при их обработке в ИСПДн;

   • применением средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности ПДн;

   • оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;

   • обеспечением сохранности и учетом машинных носителей ПДн;

   • обнаружением фактов несанкционированного доступа к ПДн и принятием мер;

   • восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

   • установлением правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечением регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;

   • контролем за принимаемыми мерами по обеспечению безопасности ПДн;

   • организацией режима обеспечения безопасности помещений, в которых размещены ИСПДн, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения.

5. Порядок проведения конкретных мероприятий по защите ПДн с использованием средств вычислительной техники или без использования таких средств определяется приказами главного врача и иными локальными нормативными актами Оператора.