ПОЛОЖЕНИЕ
об обработке и защите персональных данных в учреждении здравоохранения «Светлогорская центральная районная больница»
Общие положения
1.1. Настоящее Положение об обработке и защите персональных данных (далее - Положение) определяет политику учреждения здравоохранения «Светлогорская центральная районная больница» (далее – Учреждение, или Оператор) в отношении обработки персональных данных, порядок обработки Учреждением персональных данных лиц, являющихся субъектами персональных данных, включая порядок сбора, хранения, использования, передачи и защиты таких данных.
1.2. Упорядочение обращения с персональными данными имеет целью обеспечить права и свободы физических лиц – субъектов персональных данных при обработке персональных данных, сохранение конфиденциальности персональных данных и их защиту.
1.3. Положение и изменения к нему утверждаются главным врачом Учреждения.
1.4. Положение является локальным правовым актом Учреждения, обязательным для соблюдения и исполнения работниками, а также иными лицами, участвующими в обработке персональных данных в соответствии с настоящим Положением.
1.5. Положение разработано на основе и во исполнение:
Конституции Республики Беларусь;
Трудового кодекса Республики Беларусь;
Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных»;
Закона Республики Беларусь от 21.07.2008 № 418-З «О регистре населения»;
Закона Республики Беларусь от 10.11.2008 № 455-З «Об информации, информатизации и защите информации»;
постановления Министерства здравоохранения Республики Беларусь от 07.06.2021 г. № 74 «О формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных пациента»;
иных нормативных правовых актов Республики Беларусь.
1.6. В настоящем Положении используются термины и определения в соответствии со статьёй 1 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Закон о защите персональных данных).
- Основные понятия
2.1. В настоящем Положении используются следующие основные понятия и термины:
Учреждение или Оператор – учреждение здравоохранения «Светлогорская центральная районная больница» расположенное по адресу: 247435, Гомельская область, г. Светлогорск, ул. Социалистическая, 73;
персональные данные - любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;
субъект персональных данных или субъект - физическое лицо, физическое лицо, в отношении которого осуществляется обработка персональных данных;
обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемые с использованием средств автоматизации или без их использования, в том числе: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (обезличивание, блокирование, удаление персональных данных;
автоматизированная обработка персональных данных – обработка персональных данных с использованием средств вычислительной техники;
специальные персональные данные – персональные данные, касающиеся расовой либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или половой жизни, привлечения к административной или уголовной ответственности, а также биометрические и генетические персональные данные;
распространение персональных данных - действия, направленные на ознакомление с персональными данными неопределенного круга лиц;
предоставление персональных данных - действия, направленные на ознакомление с персональными данными определенных лица или круга лиц;
блокирование персональных данных - прекращение доступа к персональным данным без их удаления;
удаление персональных данных - действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства;
информация - сведения (сообщения, данные) независимо от формы их представления;
физическое лицо, которое может быть идентифицировано - физическое лицо, которое может быть прямо или косвенно определено, в частности через фамилию, собственное имя, отчество, дату рождения, идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности.
Иные термины и их определения, употребляющиеся в настоящем Положении, используются в значениях, определенных законодательством.
- Принципы и цели обработки персональных данных.
Функции Учреждения при обработке персональных данных
- Учреждение, являясь оператором персональных данных, осуществляет обработку персональных данных работников учреждения, а также пациентов и других субъектов персональных данных.
- Обработка персональных данных в учреждении осуществляется на основе следующих принципов:
осуществляется на законной и справедливой основе;
должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц;
персональные данные обрабатываются с согласия субъекта персональных данных, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами;
должна ограничиваться достижением конкретных, заранее заявленных законных целей. Не допускается обработка персональных данных, не совместимая с первоначально заявленными целями их обработки;
содержание и объем обрабатываемых персональных данных соответствуют заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
должна носить прозрачный характер. В этих целях субъекту персональных данных в случаях, предусмотренных Законом о защите персональных данных, предоставляется соответствующая информация, касающаяся обработки его персональных данных;
оператор обязан принимать меры по обеспечению достоверности обрабатываемых им персональных данных, при необходимости обновлять их;
хранение персональных данных должно осуществляться в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.
- Обработка персональных данных осуществляется в следующих целях:
обеспечение соблюдения Конституции Республики Беларусь, законодательных и иных нормативных правовых актов Республики Беларусь, локальных правовых актов Учреждения;
осуществление функций, полномочий и обязанностей, возложенных законодательством Республики Беларусь на Учреждение, в том числе по предоставлению персональных данных в органы государственной власти, в Фонд социальной защиты населения Министерства труда и социальной защиты Республики Беларусь, а также в иные государственные органы;
регулирование трудовых отношений с работниками Учреждения (содействие в трудоустройстве, обучение, переподготовка, повышение квалификации, контроль выполняемой работы, обеспечение сохранности имущества);
защита жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
ведение переговоров, подготовка, заключение, исполнение и прекращение договоров с контрагентами;
обеспечение пропускного и внутриобъектового режимов на объектах Учреждения. Записи систем видеонаблюдения, установленных в помещениях Учреждения, обрабатываются с целью обеспечения личной безопасности субъектов персональных данных, обеспечения сохранности имущества Учреждения и субъектов персональных данных, повышения качества услуг, не используются для идентификации субъекта персональных данных и, следовательно, не являются биометрическими персональными данными;
формирование справочных материалов для внутреннего информационного обеспечения деятельности Учреждения;
исполнение судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Республики Беларусь об исполнительном производстве;
осуществление прав и законных интересов Учреждения в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными правовыми актами, либо достижения общественно значимых целей;
осуществление коммуникаций с субъектами персональных данных;
выполнение учреждением своих обязательств перед субъектами персональных данных;
обработка обращений и запросов, получаемых от субъектов персональных данных;
привлечение и отбор кандидатов на вакантные должности;
ведение кадрового делопроизводства Учреждения;
выдача доверенностей и иных уполномочивающих документов;
организация постановки на индивидуальный (персонифицированный) учёт работников Учреждения в системе обязательного пенсионного страхования;
заполнение и передача в органы исполнительной власти и иные уполномоченные органы требуемых форм отчетности;
осуществление гражданско-правовых отношений;
подтверждение наличия полномочий на осуществление представительских функций;
ведение бухгалтерского учета;
в иных законных целях.
Перечень персональных данных, обрабатываемых в Учреждении, определяется в соответствии с законодательством Республики Беларусь и локальными правовыми актами учреждения с учетом целей обработки персональных данных, указанных в настоящем пункте.
- Персональные данные обрабатываются исключительно для достижения одной или нескольких указанных законных целей. Если персональные данные были собраны и обрабатываются для достижения определенной цели, для использования этих данных в других целях необходимо поставить в известность об этом субъекта персональных данных и, в случае необходимости, получить новое согласие на обработку.
- Персональные данные могут обрабатываться в иных целях, если это необходимо в связи с обеспечением соблюдения законодательства.
- Учреждение при осуществлении обработки персональных данных выполняет следующие функции:
принимает меры, необходимые и достаточные для обеспечения выполнения требований законодательства Республики Беларусь и локальных правовых актов Учреждения в области персональных данных;
принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
назначает лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных;
издает локальные правовые акты, определяющие политику и вопросы обработки и защиты персональных данных в Учреждении;
ознакамливает работников Учреждения, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Республики Беларусь и локальных правовых актов Учреждения в области персональных данных, в том числе требованиями к защите персональных данных, при необходимости обучает указанных работников;
обеспечивает неограниченный доступ к Политике защиты персональных данных учреждения путем размещения в открытом доступе на официальном сайте учреждения;
сообщает в установленном порядке субъектам персональных данных или их представителям информацию о наличии персональных данных, относящихся к соответствующим субъектам, предоставляет возможность ознакомления с этими персональными данными при обращении и (или) поступлении запросов указанных субъектов персональных данных или их представителей, если иное не установлено законодательством Республики Беларусь;
прекращает обработку и уничтожает персональные данные в случаях, предусмотренных законодательством Республики Беларусь в области персональных данных;
совершает иные действия, предусмотренные законодательством Республики Беларусь в области персональных данных.
- Категории субъектов персональных данных, содержание и объем персональных данных
4.1. Учреждение может обрабатывать персональные данные следующих субъектов персональных данных:
кандидатов на работу, работников Учреждения, в том числе бывших, их супругов и близких родственников;
пациентов, их законных представителей;
студентов, иных лиц, прибывших в учреждение на практику, стажировку;
контрагентов Учреждения - физических лиц в рамках гражданско-правовых договоров, в том числе потенциальных, их представителей;
работников и иных представителей контрагентов - юридических лиц;
посетителей официального интернет-сайта учреждения;
иных субъектов, взаимодействие которых с Оператором создает необходимость обработки персональных данных.
4.2. Содержание и объем персональных данных каждой категории субъектов определяется необходимостью достижения конкретных целей их обработки, а также необходимостью Учреждения реализовать свои права и обязанности, а также права и обязанности соответствующего субъекта.
4.3. К персональным данным, обрабатываемым Учреждением, относятся:
фамилия, имя, отчество (а также все предыдущие фамилии);
дата рождения;
место рождения;
гражданство;
паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ, и др.);
данные виз и иных документов миграционного учета;
данные свидетельства о рождении (номер, дата выдачи, наименование органа, выдавшего документ, и др.);
пол;
сведения о семейном положении и составе семьи с указанием фамилий, имен и отчеств членов семьи, даты рождения, места работы и/или учебы;
сведения о регистрации по месту жительства (включая адрес, дату регистрации);
сведения о месте фактического проживания;
номер и серия страхового свидетельства государственного социального страхования;
реквизиты банковского счета;
данные об образовании, повышении квалификации и профессиональной переподготовке, ученой степени, ученом звании;
идентификационный номер налогоплательщика;
сведения о трудовой деятельности (включая стаж и опыт работы, данные о занятости с указанием должности, подразделения, сведений о работодателе и др.);
специальность, профессия, квалификация;
должность;
сведения о воинском учете;
сведения медицинского характера;
сведения о месте пребывания;
биометрические персональные данные (включая фотографии, изображения с камер видеонаблюдения, записи голоса);
сведения о социальных льготах и выплатах;
контактные данные (включая номера рабочего, домашнего и/или мобильного телефона, электронной почты и др.);
сведения, предоставленные кандидатом на занятие должности в ходе заполнения личностных опросников и прохождения мероприятий по психометрическому тестированию, а также результаты такого тестирования (психометрический профиль, способности и характеристики), а также иные данные, которые могут быть указаны в резюме или анкете кандидата;
данные свидетельства о регистрации права собственности;
иные данные, необходимые для исполнения взаимных прав и обязанностей.
4.4. Доступ к обрабатываемым персональным данным разрешается только работникам Учреждения, занимающим должности, включенные в перечень должностей, при замещении которых осуществляется обработка персональных данных (приложение 1). В перечень включаются и допускаются к обработке персональных данных работники Учреждения, трудовые обязанности которых предполагают работу с персональными данными. Соответствующие работники должны быть ознакомлены под подпись со всеми локальными правовыми актами Учреждения в области персональных данных.
4.5. Если необходимо предоставить доступ к персональным данным работникам, не входящим в перечень, им может быть предоставлен временный доступ к ограниченному кругу персональных данных по распоряжению главного врача учреждения. Данные работники также должны быть ознакомлены под подпись со всеми локальными правовыми актами Учреждения в области персональных данных.
4.6. Работникам Учреждения, не имеющим надлежащим образом оформленного допуска, доступ к персональным данным запрещается.
4.7. Работники Учреждения, работающие с персональными данными, обязаны использовать информацию о персональных данных исключительно для целей, связанных с исполнением своих трудовых обязанностей.
- Правила, условия и порядок обработки персональных данных
5.1. Персональные данные обрабатываются путем смешанной (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, в том числе с использованием внутренней сети и сети Интернет.
5.2. Основным условием обработки персональных данных является получение согласия соответствующего субъекта персональных данных, за исключением случаев, установленных законодательством.
Оператор без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено законодательством Республики Беларусь.
Согласие субъекта персональных данных представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных.
Согласие субъекта персональных данных может быть получено в письменной форме, в виде электронного документа или в иной электронной форме, путем присоединения к публичному договору на оказание платных медицинских услуг.
В случае смерти субъекта персональных данных, объявления его умершим согласие на обработку его персональных данных дают один из наследников, близких родственников, усыновителей (удочерителей), усыновленных (удочеренных) либо супруг (супруга) субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
В случае признания субъекта персональных данных недееспособным или ограниченно дееспособным, а также до достижения им возраста шестнадцати лет, за исключением вступления в брак до достижения возраста шестнадцати лет, согласие на обработку его персональных данных дает один из его законных представителей. Законодательными актами может быть предусмотрен иной возраст несовершеннолетнего, до достижения которого согласие на обработку его персональных данных дает один из его законных представителей.
5.3. До получения согласия субъекта персональных данных оператор в письменной либо электронной форме, соответствующей форме выражения такого согласия, обязан предоставить субъекту персональных данных информацию, содержащую:
наименование и место нахождения оператора, получающего согласие субъекта персональных данных;
цели обработки персональных данных;
перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
срок, на который дается согласие субъекта персональных данных;
информацию об уполномоченных лицах в случае, если обработка персональных данных будет осуществляться такими лицами;
перечень действий с персональными данными, на совершение которых дается согласие субъекта персональных данных, общее описание используемых оператором способов обработки персональных данных;
иную информацию, необходимую для обеспечения прозрачности процесса обработки персональных данных.
5.4. Письменное согласие субъекта персональных данных на обработку его персональных данных должно включать в себя:
фамилию, собственное имя, отчество (если таковое имеется);
дату рождения;
идентификационный номер, а в случае отсутствия такого номера - номер документа, удостоверяющего его личность;
подпись субъекта персональных данных.
Если цели обработки персональных данных не требуют обработки информации, эта информация не обрабатывается оператором при получении согласия субъекта персональных данных.
5.5. Согласие субъекта персональных данных на обработку его персональных данных, за исключением специальных персональных данных, не требуется в следующих случаях:
для целей ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности;
для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов;
в целях осуществления контроля (надзора) в соответствии с законодательными актами;
при реализации норм законодательства в области национальной безопасности, о борьбе с коррупцией, о предотвращении легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения;
при реализации норм законодательства о выборах, референдуме, об отзыве депутата Палаты представителей, члена Совета Республики Национального собрания Республики Беларусь, депутата местного Совета депутатов;
для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в том числе профессионального пенсионного страхования;
при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
для осуществления нотариальной деятельности;
при рассмотрении вопросов, связанных с гражданством Республики Беларусь, предоставлением статуса беженца, дополнительной защиты, убежища и временной защиты в Республике Беларусь;
в целях назначения и выплаты пенсий, пособий;
для организации и проведения государственных статистических наблюдений, формирования официальной статистической информации;
в научных или иных исследовательских целях при условии обязательного обезличивания персональных данных;
при осуществлении учета, расчета и начисления платы за жилищно-коммунальные услуги, платы за пользование жилым помещением и возмещения расходов на электроэнергию, платы за другие услуги и возмещения налогов, а также при предоставлении льгот и взыскании задолженности по плате за жилищно-коммунальные услуги, плате за пользование жилым помещением и возмещению расходов на электроэнергию;
при получении персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;
при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;
для осуществления законной профессиональной деятельности журналиста и (или) деятельности средства массовой информации, организации, осуществляющей издательскую деятельность, направленных на защиту общественного интереса, представляющего собой потребность общества в обнаружении и раскрытии информации об угрозах национальной безопасности, общественному порядку, здоровью населения и окружающей среде, информации, влияющей на исполнение своих обязанностей государственными должностными лицами, занимающими ответственное положение, общественными деятелями, за исключением случаев, предусмотренных гражданским процессуальным, хозяйственным процессуальным, уголовно-процессуальным законодательством, законодательством, определяющим порядок административного процесса;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
в отношении распространенных ранее персональных данных до момента заявления субъектом персональных данных требований о прекращении обработки распространенных персональных данных, а также об их удалении при отсутствии иных оснований для обработки персональных данных, предусмотренных Законом Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» и иными законодательными актами;
в случаях, когда обработка персональных данных является необходимой для исполнения обязанностей (полномочий), предусмотренных законодательными актами;
в случаях, когда Законом о защите персональных данных и иными законодательными актами прямо предусматривается обработка персональных данных без согласия субъекта персональных данных.
5.6. Обработка специальных персональных данных без согласия субъекта персональных данных запрещается, за исключением следующих случаев:
если специальные персональные данные сделаны общедоступными персональными данными самим субъектом персональных данных;
при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
при обработке общественными объединениями, политическими партиями, профессиональными союзами, религиозными организациями персональных данных их учредителей (членов) для достижения уставных целей при условии, что эти данные не подлежат распространению без согласия субъекта персональных данных;
в целях организации оказания медицинской помощи при условии, что такие персональные данные обрабатываются медицинским, фармацевтическим или иным работником здравоохранения, на которого возложены обязанности по обеспечению защиты персональных данных и в соответствии с законодательством распространяется обязанность сохранять врачебную тайну;
для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов, совершения исполнительной надписи, оформления наследственных прав;
для целей ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности;
в случаях, предусмотренных уголовно-исполнительным законодательством, законодательством в области национальной безопасности, об обороне, о борьбе с коррупцией, о борьбе с терроризмом и противодействии экстремизму, о предотвращении легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения, о Государственной границе Республики Беларусь, о гражданстве, о порядке выезда из Республики Беларусь и въезда в Республику Беларусь, о статусе беженца, дополнительной защите, убежище и временной защите в Республике Беларусь;
в целях обеспечения функционирования единой государственной системы регистрации и учета правонарушений;
в целях ведения криминалистических учетов;
для организации и проведения государственных статистических наблюдений, формирования официальной статистической информации;
для осуществления административных процедур;
в связи с реализацией международных договоров Республики Беларусь о реадмиссии;
при документировании населения;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
в случаях, когда обработка специальных персональных данных является необходимой для исполнения обязанностей (полномочий), предусмотренных законодательными актами;
в случаях, когда Законом о защите персональных данных и иными законодательными актами прямо предусматривается обработка специальных персональных данных без согласия субъекта персональных данных.
Обработка специальных персональных данных допускается лишь при условии принятия комплекса мер, направленных на предупреждение рисков, которые могут возникнуть при обработке таких персональных данных для прав и свобод субъектов персональных данных.
5.7. Сбор персональных данных.
5.7.1. Источником информации обо всех персональных данных является непосредственно субъект персональных данных.
5.7.2. Если иное не установлено Законом о защите персональных данных, Учреждение вправе получать персональные данные субъекта персональных данных от третьих лиц только при уведомлении об этом субъекта либо при наличии письменного согласия субъекта на получение его персональных данных от третьих лиц.
5.7.3. Уведомление субъекта персональных данных о получении его персональных данных от третьих лиц должно содержать:
наименование Оператора и адрес его местонахождения;
цель обработки персональных данных и ее правовое основание;
предполагаемых пользователей персональных данных;
установленные законом права субъекта персональных данных;
источник получения персональных данных.
5.8. Хранение персональных данных.
5.8.1. При хранении персональных данных должны соблюдаться условия, обеспечивающие сохранность персональных данных.
5.8.2. Документы, включающие в себя персональные данные, содержащиеся на бумажных носителях, находятся в специально отведенных для этого местах с ограниченным доступом в условиях, которые обеспечивают их защиту от несанкционированного доступа. Перечень мест хранения документов определяется Учреждением.
5.8.3. Персональные данные, хранящиеся в электронном виде, защищаются от несанкционированного доступа с помощью специальных технических и программных средств защиты. Хранение персональных данных в электронном виде вне применяемых Учреждением информационных систем и специально обозначенных Учреждением баз данных (внесистемное хранение персональных данных) не допускается.
5.8.4. Персональные данные должны храниться в форме, позволяющей идентифицировать субъекта персональных данных, но не дольше, чем этого требуют цели их обработки, если иной срок не установлен законодательством Республики Беларусь или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
5.8.5. Если иное не предусмотрено законодательством, обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, в случае утраты необходимости в достижении этих целей или по истечении сроков их хранения.
5.8.6. Уничтожение или обезличивание персональных данных должно производиться способом, исключающим дальнейшую обработку этих персональных данных. При этом в случае необходимости следует сохранять возможность обработки иных данных, зафиксированных на соответствующем материальном носителе (удаление, вымарывание).
5.8.7. При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
5.8.8. При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
5.9. Использование.
5.9.1. Персональные данные обрабатываются и используются для целей, указанных в разделе 3 настоящего Положения.
5.9.3. Работники, обрабатывающие персональные данные, информируются (в том числе путем ознакомления с настоящим Положением) о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных законодательством и настоящим Положением.
5.9.4. При необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных персональные данные, подлежащие распространению или использованию, копируются способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных.
5.9.5. Уточнение персональных данных при их обработке без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
5.10. Передача.
5.10.1. Передача персональных данных субъектов третьим лицам допускается в минимально необходимых объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных.
5.10.2. Передача персональных данных третьим лицам, в том числе в коммерческих целях, допускается только при наличии согласия субъекта либо иного законного основания.
5.10.3. Информация, содержащая персональные данные, должна передаваться способом, обеспечивающим защиту от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий в отношении такой информации.
5.10.4. Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, когда:
дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;
персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;
персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством;
такая передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
персональные данные обрабатываются в рамках исполнения международных договоров Республики Беларусь;
такая передача осуществляется органом финансового мониторинга в целях принятия мер по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения в соответствии с законодательством;
получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных.
5.10.5. В случаях, когда государственные органы имеют право запросить персональные данные, или персональные данные должны быть предоставлена в силу законодательства, а также в соответствии с запросом суда, соответствующая информация может быть им предоставлена в порядке, предусмотренном законодательством Республики Беларусь.
5.11. Поручение обработки.
5.11.1. Учреждение вправе поручить обработку персональных данных уполномоченному лицу.
5.11.2. В договоре между оператором и уполномоченным лицом, акте законодательства либо решении государственного органа должны быть определены:
цели обработки персональных данных;
перечень действий, которые будут совершаться с персональными данными уполномоченным лицом;
обязанности по соблюдению конфиденциальности персональных данных;
меры по обеспечению защиты персональных данных в соответствии со ст.17 Закона о защите персональных данных.
5.11.3. Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению оператора необходимо получение согласия субъекта персональных данных, такое согласие получает оператор.
5.11.4. В случае если оператор поручает обработку персональных данных уполномоченному лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Уполномоченное лицо несет ответственность перед оператором.
5.12. Защита.
5.12.1. Под защитой персональных данных понимается ряд правовых, организационных и технических мер, направленных на:
обеспечение защиты персональных данных от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных;
соблюдение конфиденциальности персональных данных;
реализацию права на доступ к персональным данным.
5.12.2. Для защиты персональных данных Учреждение принимает необходимые предусмотренные законом меры (включая, но не ограничиваясь):
ограничивает и регламентирует состав работников, функциональные обязанности которых требуют доступа к информации, содержащей персональные данные (в том числе путем использования паролей доступа к электронным информационным ресурсам);
обеспечивает условия для хранения документов, содержащих персональные данные, в ограниченном доступе;
организует уничтожение информации, содержащей персональные данные, если законодательством не установлены требования по хранению соответствующих данных;
контролирует соблюдение требований по обеспечению безопасности персональных данных, в том числе установленных настоящим Положением (путем проведения внутренних проверок, установления специальных средств мониторинга и др.);
проводит расследование случаев несанкционированного доступа или разглашения персональных данных с привлечением виновных работников к ответственности, принятием иных мер;
внедряет программные и технические средства защиты информации в электронном виде;
обеспечивает возможность восстановления персональных данных модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
5.12.3. Для защиты персональных данных при их обработке в информационных системах Учреждение проводит необходимые предусмотренные законом мероприятия (включая, но не ограничиваясь):
определение угроз безопасности персональных данных при их обработке;
применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
учет машинных носителей персональных данных;
обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных.
5.12.4. В Учреждении назначаются лица, ответственные за обработку персональных данных и осуществление внутреннего контроля за обработкой персональных данных.
5.12.5. В Учреждении принимаются иные меры, направленные на обеспечение исполнения обязанностей в сфере персональных данных, предусмотренных законодательством Республики Беларусь.
5.13. Порядок подачи заявления субъектом персональных данных
Субъект персональных данных для реализации прав, предусмотренных разделом 6 настоящего Положения, подает оператору заявление в письменной форме либо в виде электронного документа. Законодательными актами может быть предусмотрена обязательность личного присутствия субъекта персональных данных и предъявления документа, удостоверяющего личность, при подаче им заявления оператору в письменной форме.
Заявление субъекта персональных данных должно содержать:
фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);
дату рождения субъекта персональных данных;
идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия оператору или обработка персональных данных осуществляется без согласия субъекта персональных данных;
изложение сути требований субъекта персональных данных;
личную подпись либо электронную цифровую подпись субъекта персональных данных.
Ответ на заявление направляется субъекту персональных данных в форме, соответствующей форме подачи заявления, если в самом заявлении не указано иное.
5.14. Обработка персональных данных прекращается при наступлении одного или нескольких из указанных событий:
- поступил отзыв согласия на обработку персональных данных в порядке, установленном п.6.1.1 настоящего Положения (за исключением случаев, предусмотренных действующим законодательством);
- достигнуты цели их обработки;
- истек срок действия согласия субъекта;
- обнаружена неправомерная обработка персональных данных;
- прекращена деятельность Учреждения.
5.15. В целях внутреннего информационного обеспечения Учреждение может создавать справочники, адресные книги и другие источники, в которые с согласия субъекта персональных данных, если иное не предусмотрено законодательством Республики Беларусь, могут включаться его персональные данные.
5.16. Обработка персональных данных пациентов.
5.16.1. Внесение и обработка персональных данных пациентов и информации, составляющей врачебную тайну, при формировании электронной медицинской карты пациента, информационных систем, информационных ресурсов, баз (банков) данных, реестров (регистров) в здравоохранении (далее – информационная система) осуществляется с соблюдением требований Инструкции о формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных, информации, составляющей врачебную тайну, отказа от их внесения и обработки и порядке информирования о праве на отказ от внесения информации, составляющей врачебную тайну, в централизованную информационную систему здравоохранения, утвержденной постановлением Министерства здравоохранения Республики Беларусь от 07.06.2021 № 74 (далее – Инструкция).
5.16.2. Перед внесением персональных данных, информации, составляющей врачебную тайну, в электронную медицинскую карту пациента, информационную систему должно быть получено письменное согласие пациента или лиц, указанных в части второй статьи 18 Закона Республики Беларусь «О здравоохранении» (далее – законных представителей пациента), на внесение и обработку персональных данных пациента, информации, составляющей врачебную тайну (далее – согласие).
5.16.3. Согласие дается однократно при первичном посещении государственной организации здравоохранения:
совершеннолетним пациентом – по месту закрепления в государственной организации здравоохранения и действует до его отзыва;
одним из законных представителей несовершеннолетнего пациента – по месту закрепления несовершеннолетнего пациента в государственной организации здравоохранения и действует до его отзыва или достижения несовершеннолетним пациентом восемнадцатилетнего возраста или приобретения полной дееспособности;
опекуном пациента – по месту закрепления пациента, являющегося лицом, признанным в установленном порядке недееспособным, в государственной организации здравоохранения и действует до его отзыва;
супругом (супругой) или одним из близких родственников – по месту закрепления в государственной организации здравоохранения пациента, не способного по состоянию здоровья к принятию осознанного решения до его отзыва.
5.16.4. До получения согласия медицинским работником пациенту или его законным представителям предоставляется в доступной для них форме полная информация о сборе, систематизации, хранении, изменении, использовании, обезличивании, блокировании, распространении, предоставлении, удалении персональных данных, информации, составляющей врачебную тайну, для целей диагностики, постановки диагноза, установления заболевания, лечения, проведения медицинской абилитации, оказания медицинской помощи, медицинской профилактики, проведения медицинской реабилитации.
5.16.5. Согласие оформляется в виде документа на бумажном носителе по установленной форме, подписывается пациентом или его законным представителем, и медицинским работником либо формируется в форме электронного документа, подписывается пациентом или его законным представителем и медицинским работником, и включается в электронную медицинскую карту пациента в виде электронной копии документа на бумажном носителе либо электронного документа.
5.16.6. Пациент или его законные представители вправе при обращении в государственную организацию здравоохранения по месту закрепления пациента отозвать свое согласие на внесение и обработку персональных данных пациента, информации, составляющей врачебную тайну, при формировании электронной медицинской карты пациента, информационной системы, предоставив отзыв согласия по форме согласно приложению.
5.16.6. Отказ пациента или его законных представителей от внесения и обработки персональных данных пациента, информации, составляющей врачебную тайну, при формировании электронной медицинской карты пациента, информационной системы, оформляется по установленной форме.
5.16.7. В целях обеспечения полноты и достоверности статистического учета данных о случаях оказания медицинской помощи пациентам оператор информационной системы с момента оформления отказа от внесения и обработки персональных данных пациента, информации, составляющей врачебную тайну, вправе продолжить хранение и обработку обезличенных данных (информации) пациента в порядке, установленном законодательными актами.
5.16.7. При первичной регистрации в централизованной информационной системе здравоохранения (далее – ЦИСЗ) пациент или его законные представители в доступной для них форме должны быть проинформированы медицинским работником о праве на отказ от внесения информации, составляющей врачебную тайну, в ЦИСЗ.
5.16.8. Пациент или его законные представители вправе отказаться от внесения информации, составляющей врачебную тайну, в ЦИСЗ.
Отказ пациента или его законных представителей от внесения информации, составляющей врачебную тайну, в ЦИСЗ оформляется в виде документа на бумажном носителе или иным способом, не запрещенным законодательством, по установленной форме.
Информация об отказе от внесения информации, составляющей врачебную тайну, в ЦИСЗ вносится медицинским работником в ЦИСЗ.
- Права и обязанности
6.1. Субъект персональных данных имеет право:
6.1.1. В любое время без объяснения причин отозвать свое согласие посредством подачи оператору заявления в порядке, установленном п.5.13 настоящего Положения, либо в форме, посредством которой получено его согласие.
Отзыв согласия субъекта персональных данных не имеет обратной силы, то есть обработка персональных данных до ее прекращения в соответствии с частью первой настоящего пункта не является незаконной.
6.1.2. На получение информации, касающейся обработки своих персональных данных, содержащей:
наименование (фамилию, собственное имя, отчество (если таковое имеется)) и место нахождения (адрес места жительства (места пребывания)) оператора;
подтверждение факта обработки персональных данных оператором (уполномоченным лицом);
его персональные данные и источник их получения;
правовые основания и цели обработки персональных данных;
срок, на который дано его согласие;
наименование и место нахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка персональных данных поручена такому лицу;
иную информацию, предусмотренную законодательством.
Информация, указанная в настоящем пункте, не предоставляется:
если персональные данные могут быть получены любым лицом посредством направления запроса в порядке, установленном законодательством, либо доступа к информационному ресурсу (системе) в глобальной компьютерной сети Интернет;
если обработка персональных данных осуществляется:
в соответствии с законодательством о государственной статистике;
в соответствии с законодательством в области национальной безопасности, об обороне, о борьбе с коррупцией, о борьбе с терроризмом и противодействии экстремизму, о предотвращении легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения, о Государственной границе Республики Беларусь;
в соответствии с законодательством об оперативно-розыскной деятельности, процессуально-исполнительным законодательством об административных правонарушениях, уголовно-процессуальным, уголовно-исполнительным законодательством;
по вопросам ведения криминалистических учетов;
в иных случаях, предусмотренных законодательными актами.
6.1.3. Требовать от оператора внесения изменений в свои персональные данные в случае, если они являются неполными, устаревшими или неточными. В этих целях субъект персональных данных подает оператору заявление в порядке, установленном п.5.13 настоящего Положения, с приложением соответствующих документов и (или) их заверенных в установленном порядке копий, подтверждающих необходимость внесения изменений в персональные данные;
6.1.4. Получать от оператора информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно, если иное не предусмотрено Законом о защите персональных данных и иными законодательными актами. Для получения указанной информации субъект персональных данных подает заявление оператору в порядке, установленном п.5.13 настоящего Положения.
6.1.5. Требовать от оператора бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами. Для реализации указанного права субъект персональных данных подает оператору заявление в порядке, установленном п.5.13 настоящего Положения;
6.1.6. Обжаловать действия (бездействие) и решения оператора, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных (Национальный центр защиты персональных данных Республики Беларусь) в порядке, установленном законодательством об обращениях граждан и юридических лиц.
6.1.7. Право субъекта на доступ к его персональным данным может быть ограничено в соответствии с законодательством Республики Беларусь.
6.1.8. Все обращения субъектов или их представителей в связи с обработкой их персональных данных регистрируются в журнале регистрации входящих документов.
6.2. Субъект персональных данных обязан:
представлять Учреждению исключительно достоверные персональные данные;
своевременно информировать Учреждение об изменениях и дополнениях своих персональных данных;
в случае необходимости предоставлять Учреждению документы, содержащие персональные данные в объеме, необходимом для цели их обработки;
осуществлять свои права в соответствии с законодательством Республики Беларусь и локальными правовыми актами Учреждения в области обработки и защиты персональных данных;
исполнять иные обязанности, предусмотренные законодательством Республики Беларусь и локальными правовыми актами Учреждения в области обработки и защиты персональных данных.
6.3. Учреждение имеет право:
устанавливать правила обработки персональных данных в Учреждении, вносить изменения и дополнения в Положение, самостоятельно в рамках требований законодательства разрабатывать и применять формы документов, необходимых для исполнения обязанностей оператора;
отказать субъекту персональных данных в удовлетворении требований о прекращении обработки его персональных данных и (или) их удалении при наличии оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами, в том числе если они являются необходимыми для заявленных целей их обработки, с уведомлением об этом субъекта персональных данных в пятнадцатидневный срок;
осуществлять иные права, предусмотренные законодательством Республики Беларусь и локальными правовыми актами Учреждения в области обработки и защиты персональных данных.
6.4. Обязанности Учреждения:
6.4.1. Учреждение обязано:
разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;
получать согласие субъекта персональных данных, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами;
обеспечивать защиту персональных данных в процессе их обработки;
предоставлять субъекту персональных данных информацию о его персональных данных, а также о представлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами;
вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;
прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами;
уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее 3 рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных;
осуществлять изменение, блокирование или удаление недостоверных или полученных незаконным путем персональных данных субъекта персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами;
исполнять иные требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных;
исполнять иные обязанности, предусмотренные Законом о защите персональных данных и иными законодательными актами.
6.4.2. В пятнадцатидневный срок после получения заявления субъекта персональных данных об отзыве согласия в порядке п.6.1.1 настоящего Положения в соответствии с его содержанием прекратить обработку персональных данных, осуществить их удаление и уведомить об этом субъекта персональных данных, если отсутствуют иные основания для таких действий с персональными данными, предусмотренные Законом о защите персональных данных и иными законодательными актами.
При отсутствии технической возможности удаления персональных данных оператор обязан принять меры по недопущению дальнейшей обработки персональных данных, включая их блокирование, и уведомить об этом субъекта персональных данных в тот же срок.
6.4.3. В течение пяти рабочих дней после получения заявления субъекта персональных данных о получении информации, касающейся обработки своих персональных данных в порядке п.6.1.2 настоящего Положения, если иной срок не установлен законодательными актами, предоставить ему в доступной форме требуемую информацию, либо уведомить его о причинах отказа в ее предоставлении. Предоставляется такая информация субъекту персональных данных бесплатно, за исключением случаев, предусмотренных законодательными актами.
6.4.5. В пятнадцатидневный срок после получения заявления субъекта персональных данных о внесении изменений в свои персональные данные в порядке п.6.1.3 настоящего Положения, внести соответствующие изменения в его персональные данные и уведомить об этом субъекта персональных данных либо уведомить субъекта персональных данных о причинах отказа во внесении таких изменений, если иной порядок внесения изменений в персональные данные не установлен законодательными актами.
6.4.6. В пятнадцатидневный срок после получения заявления субъекта персональных данных в порядке п.6.1.4 настоящего Положения, предоставить ему информацию о том, какие персональные данные этого субъекта и кому предоставлялись в течение года, предшествовавшего дате подачи заявления, либо уведомить субъекта персональных данных о причинах отказа в ее предоставлении.
Информация, указанная в настоящем пункте, может не предоставляться в случаях, предусмотренных частью 2 пункта 6.1.2 настоящего Положения, а также если обработка персональных данных осуществляется в соответствии с законодательством об исполнительном производстве, при осуществлении правосудия и организации деятельности судов общей юрисдикции.
6.4.7. В пятнадцатидневный срок после получения заявления субъекта персональных данных о прекращении обработки своих персональных данных в соответствии с п.6.1.5 настоящего Положения прекратить обработку персональных данных, а также осуществить их удаление (обеспечить прекращение обработки персональных данных, а также их удаление уполномоченным лицом) и уведомить об этом субъекта персональных данных.
При отсутствии технической возможности удаления персональных данных оператор обязан принять меры по недопущению дальнейшей обработки персональных данных, включая их блокирование, и уведомить об этом субъекта персональных данных в тот же срок.
- Меры по обеспечению защиты персональных данных
7.1. Учреждение принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных субъектов и пользователей сайта Учреждения от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.
7.2. К мерам, принимаемым Учреждением для защиты персональных данных, относятся:
7.2.1. разработка и применение локальных правовых актов по обработке и защите персональных данных в Учреждении;
7.2.2. публикация на официальном сайте документов, определяющих политику Учреждения в отношении обработки персональных данных, до начала такой обработки, обеспечение неограниченного доступа к ним.
7.2.3. назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
7.2.4. ознакомление работников Учреждения непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику Учреждения в отношении обработки персональных данных, а также обучение указанных работников в порядке, установленном законодательством;
7.2.5. применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных (использование защищенных и сертифицированных каналов передачи данных, установление порядка доступа к персональным данным, ограничение доступа в помещения, где хранятся носители информации, определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных);
7.2.6. осуществление внутреннего контроля за соблюдением работниками Учреждения, осуществляющими работу с персональными данными субъектов, требований законодательства Республики Беларусь и локальных правовых актов Учреждения;
7.2.7. прекращение обработки и уничтожение или блокировка персональных данных в случаях, предусмотренных законодательством Республики Беларусь в области персональных данных;
7.2.8. осуществление технической и криптографической защиты персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные;
7.2.9. совершение иных действий, предусмотренных законодательством Республики Беларусь в области персональных данных.
- Контроль за соблюдением законодательства и локальных правовых актов Учреждения в области защиты персональных данных
8.1. Контроль за соблюдением структурными подразделениями и работниками Учреждения законодательства и локальных правовых актов при обработке персональных данных осуществляется с целью оценки соответствия процесса обработки персональных данных законодательству и локальным правовым актам, а также полноты принимаемых мер, направленных на предотвращение и своевременное выявление нарушений законодательства при обработке персональных данных, возможных каналов утечки и несанкционированного доступа к персональным данным, устранение последствий таких нарушений.
8.2. Внутренний контроль за соблюдением работниками и структурными подразделениями Учреждения законодательства Республики Беларусь и локальных правовых актов в области персональных данных, в том числе требований к защите персональных данных, осуществляет лицо, назначенное приказом главного врача ответственным за осуществление внутреннего контроля за обработкой персональных данных.
8.3. Работа по осуществлению внутреннего контроля за обработкой персональных данных включает в себя:
- мониторинг соблюдения в структурных подразделениях требований законодательства и локальных правовых актов в сфере защиты персональных данных, а также контроль наличия в указанных подразделениях условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
- организацию ознакомления работников Учреждения, непосредственно осуществляющих обработку персональных данных, с нормами законодательства и локальных правовых актов в сфере защиты персональных данных, в том числе с требованиями по защите персональных данных.
8.4. Работник Учреждения, ответственный за осуществление внутреннего контроля за обработкой персональных данных, вправе:
- запрашивать и получать в установленном порядке от структурных подразделений и работников Учреждения сведения и материалы, необходимые для надлежащего выполнения функций, определенных настоящим Положением и иными локальными правовыми актами в сфере защиты персональных данных;
- вносить на рассмотрение главного врача Учреждения предложения, направленные на устранение причин и условий, способствующих совершению нарушений законодательства и локальных правовых актов в сфере защиты персональных данных, а также на совершенствование внутреннего контроля за обработкой персональных данных;
- принимать участие в мероприятиях, проводимых в структурных подразделениях Учреждения по вопросам, касающимся обеспечения защиты персональных данных;
- требовать от структурных подразделений и должностных лиц Учреждения принятия в соответствии с компетенцией необходимых мер к соблюдению требований законодательства и локальных правовых актов в сфере защиты персональных данных;
- вносить в установленном порядке предложения о привлечении к дисциплинарной ответственности работников, нарушивших требования законодательства и локальных правовых актов в сфере защиты персональных данных;
- выполнять иные обязанности, предусмотренные локальными правовыми актами и организационно-распорядительными документами Учреждения.
8.5. Сотрудники Учреждения, работающие с персональными данными, обязаны немедленно сообщать своему непосредственному руководителю и (или) лицу, ответственному за осуществление внутреннего контроля за обработкой персональных данных, обо всех ставших им известными фактах получения третьими лицами несанкционированного доступа либо попытки получения доступа к персональным данным, об утрате или недостаче носителей информации, содержащих персональные данные, удостоверений, пропусков, ключей от сейфов (хранилищ), личных печатей, электронных ключей и других фактах, которые могут привести к несанкционированному доступу к персональным данным, а также о возможных причинах и условиях возможной утечки этих сведений.
- 9. Ответственность
9.1. Каждый сотрудник Учреждения несет персональную ответственность в пределах своей компетенции за соблюдение требований настоящего Положения, иных локальных правовых актов Учреждения, а также законодательства Республики Беларусь в области персональных данных при их обработке.
9.2. Персональная ответственность за соблюдение требований законодательства Республики Беларусь и локальных правовых актов Учреждения при обработке персональных данных в структурных подразделениях, а также за обеспечение конфиденциальности и безопасности персональных данных в указанных подразделениях возлагается на их руководителей.
9.3. Персональная ответственность за соблюдение требований законодательства Республики Беларусь и локальных правовых актов Учреждения при обработке персональных данных на официальном сайте Учреждения, а также за обеспечение конфиденциальности и безопасности персональных данных возлагается на администратора сетей.
9.4. За нарушение законодательства и локальных правовых актов Учреждения при обработке персональных данных работники Учреждения, по чьей вине произошло такое нарушение, в зависимости от характера и степени нарушения могут быть привлечены к дисциплинарной, административной или уголовной ответственности.
9.5. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, установленных Законом о защите персональных данных, подлежит возмещению в соответствии с законодательством. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
- 10. Заключительные положения
10.1. Вопросы, касающиеся обработки персональных данных, не закрепленные в настоящем Положении, регулируются законодательством Республики Беларусь.
10.2. В случае, если какое-либо требование настоящего Положения является противоречащим законодательству, до внесения изменений в Положение применяются требования законодательства. Остальные требования, соответствующие законодательству, остаются в силе и являются действующими.
10.3. При внесении изменений в акты законодательства, а также в случае принятия иных нормативных правовых актов по вопросам, регулируемым настоящим Положением, необходимо руководствоваться такими изменениями, иными нормативными правовыми актами до внесения соответствующих изменений в настоящее Положение.
10.4. С настоящим Положением должны быть ознакомлены под личную подпись все работники Учреждения, имеющие отношение к обработке персональных данных в Учреждении. Ответственные за инструктаж – руководители структурных подразделений, в которых обрабатываются персональные данные.
10.5. Настоящее Положение вступает в силу с даты его утверждения.
Приложение 1
к Положению об обработке и защите
персональных данных в
УЗ «Светлогорская ЦРБ»
Перечень должностей, имеющих право на
осуществление обработки персональных данных в учреждении здравоохранения «Светлогорская центральная районная больница»
- Главный врач.
- Заместитель главного врача.
- Главная медицинская сестра.
- Начальник отдела кадров.
- Инспектор по кадрам.
- Специалист по кадрам.
- Инженер по охране труда.
- Инженер по метрологии.
- Инженер.
- Юрисконсульт.
- Начальник отдела материально-технического снабжения.
- Специалист по организации закупок.
- Агент по снабжению.
- Главный бухгалтер.
- Заместитель главного бухгалтера.
- Бухгалтер.
- Начальник планово-экономического отдела.
- Экономист.
- Врач-дерматовенеролог (заведующий).
- Врач клинической лабораторной диагностики (заведующий лабораторией).
- Врач-методист (заведующий организационно-методического кабинета).
- Врач-дерматовенеролог.
- Врач клинической лабораторной диагностики.
- Врач-интерн.
- Врач-терапевт.
- Врач – анестезиолог- реаниматолог (заведующий).
- Врач – инфекционист (заведующий).
- Врач – инфекционист
- Врач – кардиолог (заведующий).
- Врач – кардиолог
- Врач – невролог (заведующий).
- Врач – невролог
- Врач- оториноларинголог (заведующий).
- Врач- оториноларинголог
- Врач- офтальмолог.
- Врач – уролог (заведующий)
- Врач – уролог
- Врач- травматолог – ортопед (заведующий).
- Врач- травматолог – ортопед
- Врач-хирург (заведующий).
- Врач-хирург
- Врач- педиатр (заведующий).
- Врач- педиатр
- Врач- педиатр участковый.
- Врач ультразвуковой диагностики (заведующий)
- Врач ультразвуковой диагностики
- Врач - рентгенолог (заведующий)
- Врач - рентгенолог
- Врач-эндоскопист (заведующий).
- Врач-эндоскопист
- Врач функциональной диагностики (заведующий).
- Врач функциональной диагностики
- Врач – трансфузиолог (заведующий).
- Врач – трансфузиолог
- Заведующий стоматологической поликлиникой
- Врач- стоматолог – терапевт (заведующий)
- Врач- стоматолог – терапевт
- Врач – стоматолог – хирург
- Врач – стоматолог детский (заведующий)
- Врач – стоматолог детский
- Врач- стоматолог- ортодонт
- Врач – стоматолог- ортопед (заведующий)
- Врач – стоматолог- ортопе
- Зубной врач
- Зубной фельдшер.
- Заведующий поликлиникой
- Врач – эксперт
- Врач по медицинской профилактике
- Врач- эндокринолог
- Врач – онколог
- Врач – нефролог (заведующий)
- Врач – нефролог
- Врач общей практики (заведующий).
- Медицинская сестра (заведующий)
- Фельдшер (заведующий)
- Акушерка (заведующий)
- Заведующий родильным домом.
- Врач акушер-гинеколог (заведующий).
- Акушерка (старшая)
- Врач-неонатолог (заведующий)
- Врач-неонатолог
- Заведующий Паричской городской больницей
- Помощник врача по амбулаторно-поликлинической помощи (заведующий)
- Помощник врача по амбулаторно-поликлинической помощи
- Заведующий Сосновоборской городской больницы
- Заведующий станции скорой медицинской помощи
- Врач выездной бригады скорой медицинской помощи
- Фельдшер выездной бригады скорой медицинской помощи
- Фельдшер выездной бригады скорой медицинской помощи, выезжающий самостоятельно
- Медицинская сестра выездной бригады скорой медицинской помощи
- Врач-психотерапевт.
- Врач психиатр-нарколог.
- Заведующий психонаркологическим диспансером.
- Врач-реабилитолог.
- Врач-методист.
- Врач-физиотерапевт (заведующий).
- Медицинская сестра общей практики
- Медицинская сестра – анестезист (палатная)
- Медицинская сестра (старшая).
- Медицинская сестра (палатная).
- Медицинская сестра (процедурного кабинета).
- Медицинская сестра по физиотерапии.
- Медицинская сестра-диетолог.
- Медицинская сестра, медицинский брат.
- Медицинский регистратор.
- Медицинский статистик.
- Фельдшер-лаборант (старший).
- Специалист по сопровождению программного обеспечения.
- Начальник ОАСУ.
- Инженер- электроник.
- Делопроизводитель.
- Секретарь.
- Сторож.
- Заведующий складом.
СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Я, _____________________________________________________________,
(фамилия, имя, отчество полностью)
_________________, идентификационный номер __________________________,
(дата рождения) (при отсутствии номер документа, удостоверяющего личность)
руководствуясь пунктом 3 статьи 4 Закона от 07.05.2021 № 99-З «О защите персональных данных», принимаю решение о предоставлении своих персональных данных учреждению здравоохранения «Светлогорская центральная районная больница», находящемуся по адресу: г. Светлогорск, ул. Социалистическая, 73, (далее – Оператор), и даю согласие на обработку следующих моих персональных данных:
- основные персональные данные:
идентификационный номер;
фамилия, собственное имя, отчество (если таковое имеется);
пол;
число, месяц, год рождения;
место рождения;
цифровой фотопортрет;
данные о гражданстве (подданстве);
данные о регистрации по месту жительства и (или) месту пребывания;
данные о смерти или объявлении физического лица умершим, признании безвестно отсутствующим, недееспособным, ограниченно дееспособным.
- дополнительные персональные данные о (об):
родителях, опекунах, попечителях, семейном положении, супруге, ребенке (детях);
образовании, ученой степени, ученом звании;
роде занятий;
пенсии, ежемесячной страховой выплате по обязательному страхованию от несчастных случаев на производстве и профессиональных заболеваний;
налоговых обязательствах;
исполнении воинской обязанности;
инвалидности;
наличии исполнительного производства на исполнении в органах принудительного исполнения;
иных данных, позволяющих идентифицировать лицо (например, номер мобильного телефона, сведения о донорстве, сведения о принадлежности к категории «многодетный родитель», «одинокий родитель», «родитель ребенка-инвалида» и т. п.).
- специальные персональные данные (в случае, когда представление таких данных предусмотрено законодательством) о:
членстве в профессиональных союзах;
состоянии здоровья;
привлечении к административной или уголовной ответственности;
биометрических персональных данных.
Также согласен на включение моей фотографии в общедоступные источники персональных данных.
Обработка моих персональных данных может осуществляться как автоматизированным, так и неавтоматизированным способом.
Согласие дается на любые действия или совокупность действий, совершаемые с персональными данными, включая: сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, трансграничная передача, обезличивание, блокирование, удаление, уничтожение.
Цель обработки персональных данных - для соблюдения требований законодательства Республики Беларусь о защите персональных данных работников при исполнении и осуществления прав и обязанностей Оператора в соответствии с законодательством Республики Беларусь (контроль трудовой и исполнительской дисциплины, формирование справочных материалов для информационного обеспечения деятельности учреждения, обеспечение пропускного режима, размещение информации на сайте, анкетирование, осуществление административных процедур, ответы на запросы).
Я ознакомлен(а) с тем, что:
согласие на обработку персональных данных действует с даты его подписания в течение всего срока действия трудового договора;
согласие на обработку персональных данных может быть отозвано путем подачи письменного заявления;
в случае отзыва согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия при наличии оснований, указанных в Законе от 07.05.2021 № 99-З «О защите персональных данных» и в иных законодательных актах;
после увольнения из учреждения здравоохранения «Светлогорская центраольная районная больница» (прекращения трудовых отношений) персональные данные будут храниться Оператором в течение предусмотренного законодательством и локальными правовыми актами Оператора срока хранения;
предоставляемые мной персональные данные третьих лиц (в том числе близких родственников) будут обрабатываться только в целях выполнения возложенных на Оператора функций, полномочий и обязанностей оператора.
Срок действия настоящего согласия начинается с даты подписания и заканчивается в связи с моим увольнением.
Настоящее согласие может быть отозвано мною в любой момент без объяснения причин посредством направления Оператору соответствующего заявления.
В случае изменения моих персональных данных (сведений обо мне) я обязуюсь незамедлительно сообщить Оператору новые данные, а также представить подтверждающие документы.
_____________________ ___________________________
(И.О. Фамилия)
_____________________________
(дата)