ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана и применяется в ООО «Стоматология Коломакиных» (далее — Оператор) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, включая защиту права на неприкосновенность частной жизни, личную и семейную тайну, честь и достоинство.
1.2. В соответствии со статьёй 23 Конституции Российской Федерации каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну. Согласно статье 24 Конституции Российской Федерации, сбор, хранение, использование и распространение информации о частной жизни лица допускаются исключительно с его согласия.
1.3. В силу положений статьи 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» сведения о факте обращения за медицинской помощью, состоянии здоровья гражданина, диагнозе заболевания и иные сведения, полученные при его обследовании и/или лечении, составляют врачебную тайну. Разглашение такой информации лицами, которым она стала известна при исполнении профессиональных, служебных или иных обязанностей, не допускается, за исключением случаев, предусмотренных действующим законодательством Российской Федерации.
1.4. Отношения, связанные с получением, хранением, обработкой, передачей, обезличиванием, уничтожением и иным использованием персональных данных, регулируются Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», и распространяются на любые формы обработки — как с использованием средств автоматизации, так и без них, при условии соответствия таких действий характеру обработки, осуществляемой с помощью информационных технологий.
1.5. Настоящая Политика разработана во исполнение требований Конституции Российской Федерации, Трудового кодекса РФ, Гражданского кодекса РФ, Федеральных законов № 152-ФЗ и № 323-ФЗ, иных нормативных актов Российской Федерации, а также Устава ООО «Стоматология Коломакиных». Политика направлена на обеспечение законности обработки персональных данных, соблюдение конфиденциальности медицинской и иной охраняемой законом информации, а также на защиту интересов всех категорий субъектов персональных данных: пациентов, их представителей, сотрудников, контрагентов, соискателей и иных лиц, чьи данные обрабатываются Оператором.
1.6. Политика обязательна для исполнения всеми сотрудниками ООО «Стоматология Коломакиных», а также лицами, обрабатывающими персональные данные по поручению Оператора на основании договоров или иных правовых оснований.
1.7. Настоящая Политика подлежит обязательному размещению в общедоступных местах, включая:
● официальный сайт Оператора: https://stkolomakin.ru;
● информационные стенды в помещениях всех филиалов ООО «Стоматология Коломакиных», доступных для пациентов, сотрудников и иных субъектов персональных данных.

2. Правовые основания, понятие и определения
2.1. Правовые основания обработки персональных данных
Обработка персональных данных в ООО «Стоматология Коломакиных» осуществляется в соответствии с:
● Конституцией Российской Федерации;
● Трудовым кодексом Российской Федерации;
● Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
● Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ»;
● Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
● Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации»;
● Указом Президента Российской Федерации от 06.03.1997 № 188;
● Уставом ООО «Стоматология Коломакиных»;
● трудовыми, гражданско-правовыми договорами и иными соглашениями с субъектами персональных данных;
● письменными согласиями субъектов персональных данных на их обработку.
2.2. Понятие персональных данных
Персональные данные — это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных), включая, но не ограничиваясь: идентификационные данные, сведения медицинского характера, контактные данные и иная информация, необходимая для целей, указанных в настоящей Политике.
В контексте деятельности клиники персональные данные пациента — это информация, полученная в ходе записи на приём, оказания медицинской помощи, ведения медицинской документации, консультаций, лечения и последующего сопровождения.
2.3. Термины и определения
Для целей настоящей Политики применяются следующие определения:
Оператор — юридическое лицо, государственный орган, муниципальный орган или физическое лицо, самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных, а также определяющее цели, состав и способы такой обработки. В настоящей Политике Оператором является ООО «Стоматология Коломакиных».
Субъект персональных данных — физическое лицо, к которому относятся обрабатываемые персональные данные.
Обработка персональных данных — любое действие (операция) или совокупность действий с ПД, включая:
сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, распространение, доступ), обезличивание, блокирование, удаление, уничтожение — с использованием автоматизированных средств или без них.
Автоматизированная обработка персональных данных — обработка ПД с применением информационных технологий, вычислительной техники, цифровых платформ, включая медицинские и CRM-системы.
Неавтоматизированная обработка персональных данных — обработка ПД без использования информационных систем, в том числе в бумажных регистрах, карточках, анкетах, ИДС, планах лечения.
Информационная система персональных данных (ИСПДн) — совокупность баз данных и обеспечивающих их обработку информационных технологий и технических средств.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения данных).
Уничтожение персональных данных — действия, при которых персональные данные полностью уничтожаются с невозможностью их восстановления.
Обезличивание персональных данных — действия, в результате которых становится невозможным определить принадлежность данных конкретному субъекту без дополнительной информации.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных конкретному лицу или ограниченному кругу лиц.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц, включая размещение на сайте, в социальных сетях, рассылках, СМИ.
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства или международной организации.
Персональные данные, разрешённые субъектом для распространения — ПД, доступ к которым субъект персональных данных предоставил неограниченному кругу лиц путём выражения отдельного, информированного согласия, оформленного в письменной форме в порядке, предусмотренном ст. 10.1 ФЗ № 152-ФЗ.
Пользователь — любое физическое лицо, посещающее веб-сайт https://stkolomakin.ru, использующее его функционал, включая формы обратной связи, записи на приём, подачи онлайн-заявок и взаимодействия с представителями Оператора.

3. Условия, источники и цели обработки персональных данных
3.1. Принципы обработки персональных данных
Обработка персональных данных в ООО «Стоматология Коломакиных» осуществляется в соответствии с принципами, установленными статьёй 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а также с учётом специфики медицинской деятельности и положений Федерального закона № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».
При осуществлении обработки персональных данных Оператор руководствуется следующими основополагающими принципами:
● Принцип законности и добросовестности. Обработка осуществляется на основании действующего законодательства, с соблюдением прав и законных интересов субъектов персональных данных, без умаления их прав, а также исключительно в интересах достижения законных целей.
● Целевой направленности и соразмерности обработки. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка данных, несовместимая с заявленными целями их сбора, либо избыточная по объёму.
● Принцип минимизации данных. Обрабатываются исключительно те персональные данные, которые необходимы и достаточны для достижения конкретных целей, предусмотренных настоящей Политикой и/или законодательством.
● Принцип точности, достоверности и актуальности. Оператор принимает все разумные меры по обеспечению актуальности и достоверности обрабатываемых персональных данных, в том числе по их обновлению или уточнению по инициативе субъекта или уполномоченного органа.
● Ограничения по срокам хранения. Персональные данные хранятся не дольше, чем этого требуют цели обработки. По достижении целей или истечении установленных сроков хранения данные подлежат уничтожению либо обезличиванию, за исключением случаев, предусмотренных законом.
● Обеспечение конфиденциальности и безопасности. При обработке персональных данных Оператор применяет необходимые правовые, организационные и технические меры, направленные на защиту персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий.
● Прозрачность и учётность обработки. Оператор обеспечивает субъектам персональных данных возможность реализовать свои права, включая получение информации об обработке, доступ к персональным данным, их корректировку и отзыв согласия, в порядке, установленном законодательством. Все действия, связанные с обработкой персональных данных, документируются и контролируются уполномоченным лицом по защите персональных данных.
3.2. Источники получения персональных данных
Персональные данные, обрабатываемые ООО «Стоматология Коломакиных», могут быть получены исключительно из законных и достоверных источников. В зависимости от категории субъекта персональных данных и цели обработки, данные могут быть получены:
● непосредственно от самого субъекта персональных данных — путём:
o заполнения регистрационных форм, анкет, договоров, заявлений, согласий;
o подачи документов при записи на приём, трудоустройстве, обращении через сайт или иные каналы связи;
o устного сообщения данных в ходе приёма, если это допускается законодательством (с последующим документальным подтверждением).
● от законного представителя субъекта персональных данных — в случаях, предусмотренных действующим законодательством Российской Федерации, в частности:
o при оказании медицинской помощи несовершеннолетнему пациенту (в соответствии с частью 2 статьи 20 ФЗ № 323-ФЗ);
o при недееспособности субъекта ПД;
o при оформлении трудовых, договорных и иных отношений от имени представляемого лица.
● от третьих лиц, включая:
o государственные органы, учреждения, медицинские организации, работодателей, страховые компании — в рамках исполнения закона или договора;
o сублицензиатов, партнёров, операторов связи — в пределах переданных полномочий;
o иные организации или физические лица — при наличии письменного согласия субъекта персональных данных и при условии предварительного уведомления о таком получении.
3.3. Документальное подтверждение предоставленных данных
В целях надлежащей идентификации субъектов персональных данных, соблюдения требований законодательства Российской Федерации, а также обеспечения законности обработки, все персональные данные, собираемые ООО «Стоматология Коломакиных», должны быть документально подтверждены.
3.3.1. Пациенты предоставляют:
● документ, удостоверяющий личность (паспорт гражданина РФ, свидетельство о рождении — для несовершеннолетних, документ иностранного гражданина или иное, признанное законодательством РФ);
● страховой медицинский полис ОМС/ДМС (при наличии);
● направление из другой медицинской организации (при наличии);
● документы, подтверждающие статус законного представителя (например, свидетельство о рождении ребёнка, решение суда о назначении опекуна, нотариальная доверенность);
● иные документы, необходимые для оказания медицинской помощи, оформления договорных отношений, ведения учёта и соблюдения требований законодательства РФ.
3.3.2. Сотрудники и соискатели предоставляют:
● паспорт гражданина РФ;
● документы об образовании, квалификации, стаже работы;
● СНИЛС, ИНН;
● трудовую книжку (при наличии);
● медицинские справки и заключения (при необходимости в соответствии с требованиями СанПиН, профстандартов, приказов Минздрава РФ);
● иные документы, предусмотренные трудовым законодательством и локальными нормативными актами Оператора.
3.3.3. Представители контрагентов и физических лиц:
● доверенность или иной документ, подтверждающий полномочия;
● документ, удостоверяющий личность;
● иные сведения, необходимые для идентификации и заключения договоров.
В случае невозможности немедленного представления документов, допускается предоставление сведений устно — с обязательной последующей верификацией и документальным подтверждением в разумный срок.
Все представленные документы фиксируются: сканируются, копируются, вносятся в информационные системы, регистрируются в личных делах или медицинской документации — в соответствии с установленными требованиями хранения и защиты персональных данных.
3.4. Использование информационных систем и каналов обработки персональных данных
Обработка персональных данных в ООО «Стоматология Коломакиных» осуществляется как с использованием средств автоматизации (автоматизированная обработка), так и без их использования (неавтоматизированная обработка), в зависимости от цели, объёма и характера информации.
3.4.1. Автоматизированная обработка
Осуществляется с применением следующих информационных систем персональных данных (ИСПДн):
Медицинская информационная система — используется для ввода, хранения, систематизации и анализа медицинской документации, включая электронные карты пациентов, планы лечения, диагностические заключения, рентгеновские снимки, фотоматериалы, результаты обследований, а также формы информированного добровольного согласия и иные медицинские документы;
Система управления взаимодействием с пациентами (CRM) — предназначена для обработки обращений, ведения истории коммуникации, учёта расписания приёма, обратной связи, а также внутреннего анализа обращаемости и работы администраторов;
Программное обеспечение для кадрового и бухгалтерского учёта — используется для расчёта заработной платы, ведения табельного учёта, налоговой отчётности, оформления трудовых договоров, отпуска, больничных листов и иных обязательств работодателя;
Электронная почта и защищённые цифровые каналы связи — применяются исключительно по внутренним регламентам, с обязательным соблюдением требований к шифрованию, антивирусной защите, авторизации и контролю доступа, в том числе при передаче служебной информации между филиалами;
Облачные сервисы хранения и резервного копирования, используемые на основании договоров с операторами, гарантирующими выполнение требований к защите персональных данных, в том числе по размещению серверов на территории Российской Федерации и сертификации используемых решений.
Все автоматизированные системы зарегистрированы в реестре ИСПДн и функционируют с учётом классификации по уровню защищённости, установленной постановлением Правительства РФ от 01.11.2012 № 1119.
3.5. Информирование субъекта персональных данных
До начала обработки персональных данных ООО «Стоматология Коломакиных» обеспечивает субъекту персональных данных (пациенту, сотруднику, контрагенту, представителю и т.п.) полную, прозрачную и достоверную информацию в соответствии с положениями статьи 18.1 и статьи 22.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Информирование включает:
● цель(и) обработки персональных данных — конкретно определённые, законные и заранее сформулированные;
● правовые основания обработки, в том числе ссылки на договор, письменное согласие или норму закона;
● перечень обрабатываемых персональных данных, включая специальные и биометрические (при наличии);
● предполагаемые источники получения данных, если данные получаются не от самого субъекта;
● способы обработки, включая автоматизированную и неавтоматизированную, а также краткое описание применяемых ИСПДн;
● информацию о третьих лицах, которым может быть передана информация (по закону, по договору, на основании согласия);
● сроки хранения персональных данных;
● порядок реализации субъектом своих прав, включая доступ, уточнение, блокирование, уничтожение и отзыв согласия;
● последствия отказа от предоставления персональных данных, если отказ препятствует исполнению договора или оказанию медицинской помощи (например, невозможность заключения договора, предоставления льгот, записи на приём и т.п.);
● контактные данные Оператора и уполномоченного лица по вопросам защиты персональных данных.
Факт информирования подтверждается подписью субъекта персональных данных в форме согласия на обработку ПД либо иным документом, предусмотренным внутренним регламентом.
Для пользователей веб-сайта информация доводится путём размещения Политики в открытом доступе по адресу: https://stkolomakin.ru.
3.6. Цели обработки персональных данных
Обработка персональных данных в ООО «Стоматология Коломакиных» осуществляется исключительно в целях, заранее определённых и законных, соответствующих направлениям деятельности Оператора, а также в соответствии с уставными задачами, нормативными актами Российской Федерации и условиями заключённых договоров.
3.6.1. Обработка персональных данных пациентов осуществляется в следующих целях:
● оказание стоматологической и иной медицинской помощи, включая:
o диагностику заболеваний,
o составление и реализацию индивидуального плана лечения,
o профилактические мероприятия и сопровождение;
● ведение и хранение медицинской документации в установленном порядке;
● формирование, выполнение и архивное хранение договоров на оказание платных медицинских услуг;
● выполнение требований законодательства в сфере охраны здоровья, в том числе:
o передача сведений в страховые медицинские организации, СФР, ФОМС, Росздравнадзор и иные уполномоченные органы;
● контроль качества, объёма и безопасности оказываемой медицинской помощи;
● формирование внутренней статистики и аналитики (в обезличенной форме);
● осуществление информирования и обратной связи с пациентом (включая напоминания о визитах, уведомления о ходе лечения) — на основании отдельного согласия;
● размещение фото/видео/отзывов пациента на сайте или в иных публичных источниках — исключительно на основании отдельного письменного согласия субъекта персональных данных.
3.6.2. Обработка персональных данных сотрудников осуществляется в целях:
● оформления, ведения и прекращения трудовых отношений;
● исполнения обязанностей работодателя, предусмотренных Трудовым кодексом РФ, в том числе:
o начисление и выплата заработной платы,
o оформление отпусков, командировок, больничных листов;
● соблюдения требований законодательства в части:
o воинского учёта,
o охраны труда,
o налогообложения и отчётности;
● ведения личных дел сотрудников, табелей учёта рабочего времени, расчётных и кадровых документов;
● оформления доступа к информационным системам, корпоративной почте и иным внутренним сервисам;
● предоставления сведений государственным и муниципальным органам, в том числе по запросу суда, следствия, налоговых и контрольных органов;
● архивного хранения персональных данных в установленные сроки.
3.6.3. Обработка персональных данных контрагентов и их представителей осуществляется в целях:
● заключения, исполнения и расторжения договоров гражданско-правового характера;
● идентификации и авторизации уполномоченных представителей;
● исполнения обязательств Оператора по расчётам, ведению бухгалтерского и налогового учёта;
● защиты прав и законных интересов Оператора в рамках хозяйственной и административной деятельности;
● обеспечения деловой переписки и документооборота.

4. Категории субъектов и состав обрабатываемых персональных данных
4.1. Категории субъектов персональных данных
ООО «Стоматология Коломакиных» в рамках своей деятельности обрабатывает персональные данные следующих категорий субъектов:
Пациенты — физические лица, обратившиеся за медицинской помощью (включая диагностику, профилактику и лечение), записавшиеся на приём, получившие консультацию либо находящиеся в стадии лечения;
Законные представители пациентов — родители, опекуны или иные представители, действующие от имени несовершеннолетних, недееспособных или ограниченно дееспособных пациентов на основании закона или доверенности;
Сотрудники — лица, состоящие в трудовых отношениях с Оператором, а также бывшие сотрудники, данные которых подлежат хранению в силу требований законодательства об архивном деле;
Соискатели — физические лица, предоставившие сведения о себе в связи с откликом на вакансию, направлением резюме, прохождением собеседования, анкетированием, кадровым резервом;
Контрагенты — физические лица — индивидуальные предприниматели и иные физические лица, заключившие с Оператором договоры гражданско-правового характера (аренда, подряд, оказание услуг и т.п.);
Представители юридических лиц — сотрудники, руководители и иные уполномоченные лица контрагентов (арендаторов, поставщиков, партнёров), чьи персональные данные обрабатываются Оператором в рамках исполнения договорных и иных обязательств.
Обработка персональных данных вышеуказанных категорий осуществляется строго в пределах, необходимых для достижения целей, указанных в настоящей Политике, и с соблюдением принципов, установленных законодательством Российской Федерации.
4.2. Состав и категории обрабатываемых персональных данных
Обработка персональных данных в ООО «Стоматология Коломакиных» осуществляется строго в пределах, необходимых для достижения целей, определённых в настоящей Политике, и на основании ст. 5, 6, 10 и 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Персональные данные, в зависимости от статуса субъекта и цели обработки, подразделяются на следующие категории:
4.2.1. Общие персональные данные
(обрабатываются в отношении всех категорий субъектов, включая пациентов, сотрудников, соискателей, контрагентов):
● фамилия, имя, отчество;
● пол;
● дата и место рождения;
● гражданство;
● паспортные данные или реквизиты иного удостоверяющего личность документа;
● адрес регистрации и/или фактического проживания;
● контактный телефон;
● адрес электронной почты (при наличии);
● СНИЛС;
● ИНН (при необходимости — например, для налогового вычета);
● реквизиты заключённых договоров и иных документов, подтверждающих отношения с Оператором.
4.2.2. Специальные категории персональных данных (в отношении пациентов)
В соответствии с ч. 1 ст. 10 ФЗ № 152-ФЗ, к специальным относятся персональные данные, касающиеся состояния здоровья и входящие в состав врачебной тайны:
● сведения о факте обращения за медицинской помощью;
● медицинский анамнез, жалобы, результаты диагностики;
● диагноз, его клиническое обоснование;
● сведения о назначениях, планах и результатах лечения;
● рентгеновские снимки, КТ, фотоматериалы, внутриротовые фото;
● данные о приёме препаратов, противопоказаниях, аллергиях;
● заключения, рекомендации и протоколы врачебных комиссий;
● оформленные информированные добровольные согласия или отказы от медицинского вмешательства;
● сведения о законных представителях пациента (при оказании помощи несовершеннолетним или недееспособным).
4.2.3. Биометрические персональные данные (в случае отдельного согласия)
В соответствии со ст. 11 ФЗ № 152-ФЗ:
● фото- и видеоматериалы, позволяющие установить личность пациента или сотрудника;
● изображения лица (в том числе фотографии для кейсов лечения «до/после»);
● иные данные, однозначно идентифицирующие личность субъекта (при наличии);
● голосовые сообщения и аудиозаписи — если идентификация происходит через голос.
Обработка биометрических персональных данных допускается только при наличии отдельного письменного согласия, оформленного по всем требованиям закона.
4.2.4. Персональные данные соискателей на должности
(временно обрабатываются при отклике на вакансию и/или участии в собеседовании):
● резюме, анкеты, мотивационные письма;
● сведения о квалификации, образовании, опыте работы, навыках;
● контактные данные;
● информация, полученная в процессе интервью и переписки;
● решения по итогам рассмотрения кандидатуры.
4.2.5. Персональные данные контрагентов и представителей юридических лиц:
● фамилия, имя, отчество;
● должность, наименование компании;
● контактный телефон, email, адрес для деловой переписки;
● реквизиты доверенности или иного документа, подтверждающего полномочия;
● иные данные, предоставленные в рамках исполнения договорных обязательств.
4.3. Иные сведения, обрабатываемые в рамках деятельности Оператора
При наличии правового основания или отдельного согласия, в целях исполнения закона, защиты прав и обеспечения безопасности, Оператор вправе дополнительно обрабатывать:
● видеоизображения (при ведении видеонаблюдения в помещениях клиники);
● аудиозаписи телефонных разговоров, переписку в мессенджерах (при наличии уведомления субъекта);
● данные, содержащиеся в судебных запросах, проверках, актах контролирующих органов;
● сведения, предоставленные при защите прав Оператора в административных и судебных процедурах;
● данные, предоставленные субъектом добровольно в рамках анкетирования, опросов, обратной связи или PR-согласий.

5. Порядок обработки персональных данных, права и обязанности субъектов
5.1. Основания для обработки персональных данных
Оператор осуществляет обработку персональных данных на следующих правовых основаниях:
● письменное согласие субъекта персональных данных (в том числе в электронной форме, при наличии квалифицированной электронной подписи);
● исполнение договора — как с субъектом ПД, так и по его инициативе (в том числе договор на оказание платных медицинских услуг, трудовой договор, договор подряда и др.);
● исполнение обязанностей, предусмотренных законодательством РФ — в том числе передача данных в налоговые органы, Пенсионный фонд, Росздравнадзор, МВД, суд и иные уполномоченные инстанции;
● иные основания, предусмотренные федеральными законами (включая случаи защиты жизни и здоровья, общественную безопасность, контроль качества оказания медицинской помощи и пр.).
5.2. Методы обработки персональных данных
Обработка персональных данных может осуществляться как с использованием средств автоматизации, так и без их использования. Применяемые действия:
● сбор — получение данных от субъекта или иного законного источника;
● запись — первичная фиксация информации в реестре, журнале, системе;
● систематизация — структурирование данных;
● накопление — хранение данных в соответствующих базах и папках;
● хранение — обеспечение сохранности на материальных носителях или в ИСПДн;
● уточнение (обновление, изменение) — внесение актуальных сведений;
● извлечение — доступ к данным уполномоченными лицами;
● использование — применение данных в рамках заявленных целей;
● передача (предоставление, доступ) — передача третьим лицам с соблюдением условий безопасности;
● обезличивание — удаление возможности установления принадлежности данных конкретному субъекту;
● блокирование — временное прекращение обработки данных;
● удаление — действия, исключающие возможность восстановления данных;
● уничтожение — полное удаление данных с материального или цифрового носителя.
5.3. Доступ к персональным данным
● Доступ к обработке персональных данных предоставляется только уполномоченным сотрудникам, определённым внутренним приказом, прошедшим обучение и инструктаж по защите ПД.
● Сотрудники обязаны подписать соглашение о неразглашении персональных данных.
● Контроль за доступом ведётся через журнал учёта доступа, средства разграничения прав в ИСПДн и внутренние регламенты.
5.4. Передача персональных данных третьим лицам
Передача персональных данных третьим лицам допускается только при наличии одного из следующих правовых оснований:
С согласия субъекта ПД:
● передача в страховые компании (ОМС/ДМС);
● передача в лаборатории, партнерские клиники, в рамках совместного лечения;
● передача в PR-цели (например, фото до/после) — только с отдельного письменного согласия.
Без согласия субъекта ПД:
● в случаях, прямо предусмотренных законодательством, включая:
o выполнение судебных актов, постановлений следствия, МВД, прокуратуры;
o при угрозе жизни или здоровью субъекта ПД;
o при предоставлении информации в ФОМС, СФР, Роспотребнадзор, Росздравнадзор и другие государственные органы — в пределах их компетенции;
o при проверках соблюдения санитарно-эпидемиологических требований;
o для проведения внутреннего и внешнего аудита качества медицинской помощи.
Важно: передача осуществляется только в объёме, необходимом для достижения цели, с обязательным соблюдением режима конфиденциальности и уведомлением получателя о допустимых пределах использования.
5.5. Обработка персональных данных, разрешённых для распространения
● Обработка персональных данных, разрешённых субъектом для распространения, допускается только при наличии отдельного, предварительного, письменного согласия, оформленного согласно требованиям ст. 10.1 ФЗ №152-ФЗ.
● В согласии субъект указывает:
o перечень разрешённых к распространению данных;
o цели и способы распространения;
o допустимые каналы распространения и лица, которым разрешён доступ;
o ограничения или запреты на обработку (например: «только обезличено», «без указания ФИО», «только внутри группы врачей»).
● Оператор обязан прекратить распространение по первому письменному требованию субъекта в срок не позднее 3 рабочих дней с момента получения такого требования.
5.6. Права субъектов персональных данных
Субъекты персональных данных (пациенты, сотрудники, соискатели, представители контрагентов и иные лица) обладают всеми правами, предусмотренными законодательством Российской Федерации, в том числе Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
Каждый субъект персональных данных имеет право на:
5.6.1. Информированность:
● Получение полной информации о своих персональных данных, обрабатываемых Оператором, включая:
o цели, правовые основания и способы обработки;
o категории и перечень обрабатываемых данных;
o сроки хранения;
o сведения о лицах, которым передаются данные;
o применяемые меры по их защите;
● Получение сведений, указанных в ч. 7 ст. 14 ФЗ № 152-ФЗ.
5.6.2. Доступ к своим персональным данным:
● Бесплатный доступ к своим персональным данным;
● Получение копий документов, содержащих ПД, включая:
o для пациентов — амбулаторная карта, согласия, заключения;
o для сотрудников — документы личного дела, приказы, справки;
● Право назначить представителя для защиты прав субъекта ПД.
5.6.3. Подачу запросов:
● Направление запроса в письменной форме с указанием:
o ФИО;
o реквизитов удостоверяющего документа;
o номера договора (или иного основания для обработки ПД).
● Возможность направить запрос в форме электронного документа, подписанного усиленной квалифицированной электронной подписью (УКЭП).
● Получение ответа от Оператора в срок не более 30 календарных дней с момента получения запроса.
● В случае неполного запроса или отсутствия полномочий — получение мотивированного отказа с указанием причины отказа.
5.6.4. Уточнение и блокирование персональных данных:
● Требование об уточнении, блокировании или уничтожении ПД, если:
o они являются неполными, устаревшими, недостоверными;
o получены или обрабатываются с нарушением закона;
o больше не соответствуют целям, заявленным при их сборе;
● Оператор обязан блокировать спорные данные с момента обращения субъекта до завершения проверки;
● Обязан внести исправления (при наличии подтверждений) в течение 7 рабочих дней.
5.6.5. Уведомление третьих лиц:
● Требование уведомить третьих лиц, ранее получивших недостоверные или устаревшие данные, о произведённых в них изменениях.
5.6.6. Отзыв согласия:
● Право в любое время отозвать ранее данное согласие на обработку персональных данных;
● После отзыва Оператор прекращает обработку данных, за исключением случаев, предусмотренных законом.
5.6.7. Обжалование действий Оператора:
● Обращение с жалобой:
o в Роскомнадзор — как в уполномоченный орган по защите прав субъектов персональных данных;
o в судебные органы — при нарушении прав или причинении вреда субъекту ПД;
● Требование о возмещении убытков, причинённых в результате неправомерной обработки персональных данных.
5.7. Обязанности субъекта персональных данных
Субъект персональных данных при взаимодействии с Оператором обязан:
● Предоставлять достоверные и актуальные персональные данные, необходимые для достижения целей обработки;
● Своевременно сообщать об изменениях в предоставленных персональных данных (например, смена фамилии, адреса, контактного телефона, представителя);
● Воздерживаться от предоставления ложной или заведомо искажённой информации, вводящей Оператора в заблуждение;
● Уважать права других субъектов персональных данных;
● Соблюдать установленные Оператором процедуры предоставления, изменения, отзыва персональных данных;
● Воздерживаться от злоупотребления правами, включая необоснованные запросы, обращения или жалобы, если таковые используются с целью давления или препятствования законной деятельности Оператора.

6. Актуализация, исправление, удаление и доступ к персональным данным
6.1. Право на доступ и информирование
Субъект персональных данных имеет право:
● на подтверждение факта обработки его персональных данных Оператором;
● на получение информации о:
o целях и правовых основаниях обработки;
o составе и категории обрабатываемых данных;
o источниках получения персональных данных;
o сроках обработки и хранения данных;
o перечне лиц, которым передаются персональные данные, и основаниях такой передачи;
o применяемых Оператором мерах по обеспечению безопасности персональных данных.
Это право реализуется в соответствии с частью 7 статьи 14 Федерального закона № 152-ФЗ «О персональных данных».
6.2. Порядок подачи запроса субъектом персональных данных
Для реализации прав, указанных в п. 6.1, субъект персональных данных вправе направить запрос:
● в письменной форме — с указанием:
o ФИО;
o реквизитов документа, удостоверяющего личность;
o сведений, подтверждающих факт обработки (например, номер договора, дата обращения);
● в электронной форме — в виде электронного документа, подписанного усиленной квалифицированной электронной подписью (УКЭП) в соответствии с законодательством РФ.
Если запрос составлен неполно, либо если заявитель не обладает законными правами на доступ, Оператор вправе направить мотивированный отказ с обоснованием.
6.3. Актуализация, исправление и блокировка данных
Оператор обязан:
● заблокировать персональные данные, в отношении которых субъект заявил о недостоверности, на период проведения внутренней проверки;
● при подтверждении неточностей — внести корректировки и снять блокировку в срок не позднее 7 рабочих дней с даты подтверждения;
● уведомить субъекта о произведённых изменениях.
Если недостоверность установлена органом контроля (например, Роскомнадзором), срок устранения нарушений начинается с даты получения предписания.
6.4. Действия при неправомерной обработке данных
В случае выявления факта неправомерной обработки персональных данных:
● Оператор немедленно блокирует такие данные;
● проводит служебную проверку причин и условий нарушений;
● в зависимости от характера нарушения:
o устраняет нарушение (например, уточняет данные, исключает необоснованную категорию обработки);
o либо уничтожает неправомерно обрабатываемые персональные данные (в случае отсутствия правовых оснований для их хранения).
Оператор информирует субъекта персональных данных (или его представителя) о результатах проведённых действий.
6.5. Условия и сроки уничтожения персональных данных
Персональные данные подлежат уничтожению в следующих случаях:
● при достижении целей их обработки;
● при отзыве субъектом персональных данных согласия на их обработку, если иные правовые основания отсутствуют;
● по истечении сроков хранения, установленных федеральным законодательством или локальными нормативными актами Оператора;
● при получении предписания от уполномоченного органа по защите прав субъектов персональных данных.
Отзыв согласия на обработку персональных данных может быть направлен субъектом персональных данных в письменной форме либо в электронном виде по адресу электронной почты: z.kolomakin@yandex.ru с темой письма: «Отзыв согласия на обработку персональных данных». Отзыв считается полученным с момента его регистрации Оператором.
Уничтожение персональных данных осуществляется Оператором в срок не позднее 30 календарных дней с момента наступления основания. Факт уничтожения подтверждается Актом об уничтожении персональных данных, оформляемым уполномоченным сотрудником.
● При уничтожении бумажных носителей персональные данные подлежат физическому уничтожению (измельчение, сжигание, утилизация).
● При удалении электронных персональных данных используются специализированные средства и методы, исключающие возможность их восстановления.
Все действия, связанные с доступом, блокировкой, уточнением и уничтожением персональных данных, подлежат обязательной регистрации:
● в журналах учёта действий с персональными данными (на бумажных носителях),
● и/или в логах информационных систем персональных данных (ИСПДн) в соответствии со статьёй 18.1 Федерального закона № 152-ФЗ.

7. Обеспечение безопасности персональных данных
7.1. Общие положения
ООО «Стоматология Коломакиных» как Оператор персональных данных принимает необходимые правовые, организационные и технические меры для предотвращения несанкционированного доступа, утраты, изменения, раскрытия, копирования, распространения, уничтожения или иного неправомерного использования персональных данных.
Обеспечение безопасности осуществляется в соответствии с:
● Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных»;
● Постановлением Правительства РФ от 01.11.2012 №1119;
● Приказом ФСТЭК РФ от 18.02.2013 №21;
● Приказом Минздрава России от 30.12.2014 №956н;
● иными действующими нормативными актами РФ.
7.2. Меры по обеспечению безопасности персональных данных
Для обеспечения безопасности обрабатываемых персональных данных Оператор применяет следующие меры:
7.2.1. Правовые и организационные меры:
● Назначение ответственных лиц за организацию обработки и обеспечение безопасности персональных данных, в том числе в ИСПДн;
● Разработка, утверждение и внедрение локальных нормативных актов, регламентирующих:
o порядок доступа и обработки персональных данных;
o меры по предотвращению инцидентов безопасности;
o порядок уничтожения и хранения бумажных носителей;
● Проведение регулярного обучения сотрудников, в том числе:
o первичного инструктажа при приёме на работу;
o периодического обучения в соответствии с должностными обязанностями;
● Заключение обязательств о неразглашении персональных данных со всеми лицами, допущенными к обработке;
● Ведение учётных журналов доступа к бумажным носителям и логов в ИСПДн;
● Ведение архивного учёта и контроля сроков хранения персональных данных и медицинской документации.
7.2.2. Технические меры защиты:
● Разграничение прав доступа к персональным данным в электронных системах (ИСПДн) по принципу «минимально необходимого доступа»;
● Применение сертифицированных средств защиты информации (СЗИ) — антивирусного ПО, межсетевых экранов, СКЗИ, систем резервного копирования;
● Использование шифрования при передаче медицинских данных по электронным каналам (включая телемедицину и мессенджеры);
● Настройка и контроль автоматического резервного копирования данных с регулярной проверкой восстановления;
● Учет и защита электронных носителей информации, в том числе внешних накопителей, серверов и архивных баз.
7.2.3. Физическая защита и режим помещений:
● Оборудование регистратуры, ординаторских, архивов и серверных помещениями с ограниченным физическим доступом (замки, системы контроля доступа, видеонаблюдение);
● Хранение бумажных носителей с персональными данными в металлических шкафах, сейфах, архивных хранилищах;
● Контроль доступа посторонних лиц в зоны, где осуществляется обработка или хранение ПД;
● Оформление пропусков, журналов регистрации и контроля доступа в технические помещения (серверные, архивы и пр.).
7.3. Внутренний контроль и аудит
● Оператор осуществляет внутренний контроль соответствия обработки персональных данных:
o требованиям законодательства;
o условиям, указанным в согласиях субъектов;
o локальным нормативным актам Оператора.
● Назначенное ответственное лицо проводит:
o плановые и внеплановые внутренние проверки;
o контроль за соблюдением регламентов хранения и уничтожения;
o контроль за ведением журналов доступа и сроками хранения.
Все меры реализуются за счёт средств Оператора и являются обязательными для исполнения всеми сотрудниками и подрядчиками, допущенными к обработке персональных данных.

8. Ответственность за нарушение законодательства в области персональных данных
8.1. Общие положения
Лица, виновные в нарушении порядка обработки, хранения, использования, распространения или уничтожения персональных данных, несут ответственность в соответствии с законодательством Российской Федерации, а также локальными нормативными актами ООО «Стоматология Коломакиных».
К таким лицам относятся:
● сотрудники клиники (в том числе временно привлечённые или находящиеся на испытательном сроке);
● иные лица, допущенные к персональным данным по договору (например, подрядчики, IT-обслуживание, консультанты);
● руководители структурных подразделений, отвечающие за соблюдение режима работы с ПД.
8.2. Виды ответственности
8.2.1. Дисциплинарная ответственность
Применяется к сотрудникам в случаях:
● разглашения персональных данных пациента без его согласия;
● несоблюдения процедур доступа, хранения и уничтожения ПД;
● нарушения трудовой дисциплины, связанной с защитой конфиденциальной информации.
Оформляется в виде замечания, выговора, наложения взыскания или увольнения по соответствующим основаниям, предусмотренным Трудовым кодексом РФ (в т.ч. ст. 81, 192, 193 ТК РФ).
8.2.2. Административная ответственность
Возникает при установлении факта правонарушения контролирующими органами (Роскомнадзор, прокуратура, Роспотребнадзор и др.):
● за несоблюдение установленного порядка сбора, хранения, использования и распространения ПД;
● за отсутствие необходимых согласий на обработку или нарушение правил их оформления;
● за нарушение требований по уведомлению Роскомнадзора или защите ИСПДн.
8.2.3. Уголовная ответственность
В случае незаконного сбора, распространения или разглашения персональных данных, причинивших существенный вред пациенту, сотруднику или иному субъекту ПД:
● ответственность наступает по ст. 137 Уголовного кодекса РФ («Нарушение неприкосновенности частной жизни»);
● возможные санкции — от штрафа до ограничения свободы, ареста или лишения свободы до 4 лет.
8.3. Гражданско-правовая ответственность
● Субъект персональных данных вправе требовать:
o возмещения убытков (имущественный вред);
o компенсации морального вреда;
● Основание: ст. 151, 1100, 1101 Гражданского кодекса РФ;
● Оператор несёт ответственность в случае, если будет доказано, что утечка данных произошла по его вине или по вине его сотрудников.
8.4. Ответственность по локальным актам клиники
В рамках внутренней регламентации:
● все сотрудники обязаны соблюдать утверждённые Оператором локальные нормативные акты: положения, регламенты, инструкции, приказы;
● нарушения фиксируются в актах внутреннего контроля;
● меры ответственности применяются поэтапно, с возможностью предварительного объяснения и рассмотрения дисциплинарной комиссией (при её наличии).
8.5. Ответственность за бездействие
Безответственное или формальное исполнение обязанностей по защите персональных данных (например, непроведение обучения, отсутствие контроля доступа, игнорирование заявлений субъектов ПД) приравнивается к нарушению и квалифицируется как:
● упущение руководителя;
● халатность (при наличии последствий);
● дисциплинарный проступок с наложением соответствующих санкций.
Все случаи нарушения фиксируются Оператором и, при необходимости, подлежат передаче в контролирующие органы.

9. Заключительные положения
9.1. Настоящая Политика в отношении обработки персональных данных ООО «Стоматология Коломакиных» утверждается бессрочно и действует до момента её отмены либо замены новой редакцией.
9.2. Все изменения, дополнения или новая редакция Политики подлежат обязательному утверждению приказом Генерального директора ООО «Стоматология Коломакиных». При внесении существенных изменений в Политику, влияющих на права субъектов персональных данных, Оператор обеспечивает дополнительное информирование субъектов ПД.
9.3. Актуальная редакция Политики размещается:
● на информационном стенде и/или зоне ожидания каждого филиала клиники ООО «Стоматология Коломакиных» — в общедоступном и визуально обозримом месте;
● на официальном сайте Оператора https://stkolomakin.ru/ ;
● может быть предоставлена субъекту персональных данных по его запросу — в письменной или электронной форме.
9.4. Все сотрудники, а также иные лица, допущенные к обработке персональных данных в клинике, обязаны ознакомиться с настоящей Политикой под подпись до начала выполнения соответствующих трудовых или договорных обязанностей.