Положение об обработке персональных данных в Некоммерческой организации «Благотворительный Фонд Ильинской больницы»

1. Общие положения
   • Положение об обработке персональных данных в Некоммерческой организации

«Благотворительный Фонд Ильинской больницы» (далее – Положение) определяет политику в отношении организации и обеспечения безопасности персональных данных при их обработке оператором персональных данных – Некоммерческой организации «Благотворительный Фонд Ильинской больницы» (далее – Фонд).

• Настоящее Положение разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – Федеральный закон «О персональных данных»), Федеральным законом от 11 августа 1995 года № 135-ФЗ «О благотворительной деятельности и добровольчестве (волонтерстве)», Федеральным законом от 21 ноября 2011 года № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иными действующими нормативными правовыми актами Российской Федерации, определяющими требования к обработке и защите персональных данных, соблюдению прав и основных свобод граждан в сфере персональных данных.
• Положение разработано в целях обеспечения реализации требований законодательства Российской Федерации в области обработки персональных данных, защиты прав и свобод человека и гражданина при обработке персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, в частности, в целях защиты от несанкционированного доступа и неправомерного распространения персональных данных, обрабатываемых Фондом, включая случаи обработки Фондом персональных данных по поручению Акционерного общества «Ильинская больница» (ОГРН 1157746997374), далее – АО «Ильинская больница» в соответствии с частямм 3 – 5 статьи 6 Федерального закона «О персональных данных».
• Перечень персональных данных, подлежащих защите, формируется в соответствии с действующим законодательством Российской Федерации о персональных данных. Перечень персональных данных работников Фонда указан в Приложении № 1 к настоящему Положению.
• Настоящее Положение утверждается и вводится в действие Приказом Генерального директора Фонда и является обязательным для исполнения органами управления Фонда и работниками Фонда, а также подлежит доведению до сведения лиц, состоящих в гражданско- правовых и иных отношениях с Фондом, и других заинтересованных лиц.

2.    Термины и определения

В настоящем Положении используются следующие термины и определения:

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). К такой информации, в частности, относится:

• фамилия, имя, отчество, пол, дата и место рождения;
• паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ), и гражданство;
• адрес места жительства (по паспорту), фактический адрес и дата регистрации по месту жительства или по месту пребывания;
• номер телефона   (мобильного   и/или    домашнего),   адрес   электронной   почты, зарегистрированные на субъекта персональных данных;
• информация о состоянии здоровья, заболеваниях, случаях обращения за медицинской помощью;
• результаты проведенных    медицинских    процедур,   выполненных    медицинских исследований и выданных медицинских рекомендаций;
• сведения об образовании, профессии;
• сведения о семейном, имущественном положении, доходах.

Персональные данные, разрешенные субъектом персональных данных для распространения, – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), в том числе трансграничную передачу, обезличивание, блокирование, удаление, уничтожение персональных данных.

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Субъект персональных данных (субъект) – физическое лицо, в отношении которого осуществляется обработка персональных данных.

Оператор персональных данных – Фонд – юридическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и содержание обработки персональных данных.

Представитель – лицо, которое наделено правом представлять интересы субъекта персональных данных в силу специального указания закона, или лицо, представляющее субъекта персональных данных, действующее на основании поручения (доверенности или иного документа).

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Обезличивание персональных данных – действия, в результате которых невозможно без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3.    Категории субъектов, персональные данные которых обрабатываются

В целях реализации Положения в качестве субъектов персональных данных, персональные данные которых могут обрабатываться Фондом с использованием средств автоматизации или без использования таковых, понимаются нижеперечисленные категории физических лиц, условно именуемые далее:

• работники Фонда, в состав которых включаются:
• персонал Фонда (работники, имеющие трудовые отношения с Фондом), кандидаты на работу в Фонд и лица, имевшие ранее трудовые отношения с Фондом;
• лица, с которыми Фонд заключил гражданско-правовые договоры, или находящиеся на этапе преддоговорных отношений подобного характера;
• благополучатели – физические лица, являющиеся пациентами или потенциальными пациентами АО «Ильинская больница», которые получают или намерены получить медицинскую помощь в АО «Ильинская больница» и в иных медицинских учреждениях, медицинских организациях, направления в которые выполнены лечащими врачами АО «Ильинская больница», а также члены их семей, представители и сопровождающие лица, персональные данные которых подлежат обработке Фондом по поручению АО «Ильинская больница», согласно пункту
  • настоящего Положения (при этом Фонд не обязан получать согласие указанных субъектов персональных данных на обработку их персональных данных – благополучателей, ответственность перед указанными субъектами персональных данных за действия Фонда несет АО «Ильинская больница», являясь оператором персональных данных, а Фонд несет ответственность перед АО

«Ильинская больница»);

• иные субъекты персональных данных, которые не вошли в вышеперечисленные

категории, и обработка персональных данных которых не противоречит законодательству Российской Федерации, в т.ч., но не ограничиваясь, контрагенты Фонда – физические лица и представители контрагентов Фонда – юридических лиц.

4.    Сбор и обработка персональных данных

• Правовым основанием обработки персональных данных в Фонде являются Конституция Российской Федерации, Трудовой кодекс Российской Федерации, Федеральный закон

«О персональных данных», Федеральный закон от 11 августа 1995 года № 135-ФЗ «О благотворительной деятельности и добровольчестве (волонтерстве)», Федеральный закон от 21 ноября 2011 года № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» и иные нормативные правовые акты Российской Федерации, определяющие случаи и особенности обработки персональных данных, Устав Фонда.

• Все персональные данные субъекта персональных данных принимаются Фондом от него самого, его представителя либо предоставляются АО «Ильинская больница» (в случае обработки Фондом персональных данных субъектов персональных данных – благополучателей по поручению АО «Ильинская больница»).
• Субъект обязан предоставлять Фонду достоверные сведения о себе. Фонд имеет право проверить достоверность сведений, сверяя данные, предоставленные субъектом, с имеющимися у него документами, направлять третьим лицам запросы с требованием подтвердить / опровергнуть предоставленную информацию, и совершать любые иные законные действия, соответствующие целям, указанным в настоящем пункте Положения.
• Обработка персональных данных в Фонде осуществляется на основе следующих принципов:
  • законность целей и способов обработки персональных данных и добросовестность;
  • соответствие целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям лиц, осуществляющих обработку персональных данных;
  • соответствие объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям их обработки;
  • достоверность персональных данных, их достаточность для целей обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
  • недопустимость объединения созданных несовместимых между собой по целям баз данных информационных систем персональных данных.
• Фонд обрабатывает персональные данные субъекта только с его письменного согласия за исключением случаев, когда обработка персональных данных осуществляется Фондом по поручению АО «Ильинская больница» (при этом письменное согласие на обработку персональных данных субъект должен предоставить в АО «Ильинская больница»). Форма согласия

работника Фонда на обработку его персональных данных представлена в Приложении № 2 к настоящему Положению.

• Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с его письменного согласия. Форма согласия работника АО

«Ильинская больница» на обработку его персональных данных, разрешенных им для распространения, представлена в Приложении № 3 к настоящему Положению.

• Если работник Фонда установил в согласии на обработку персональных данных, разрешенных им для распространения (составленном по форме Приложения № 3 к настоящему Положению), условия обработки и запреты на их обработку, Фонд обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.
• Доступ к обрабатываемым в Фонде персональным данным разрешается только работникам, занимающим должности, включенные в Перечень должностей Фонда, при замещении которых допускается работа с персональными данными, утвержденный Генеральным директором Фонда, и подписавшим Обязательство о соблюдении режима конфиденциальности персональных данных (Приложение № 4 к настоящему Положению).
• Для обработки персональных данных в Фонде используется смешанный способ обработки:
  • без использования средств автоматизации (использование форм документов, утвержденных нормативными правовыми актами Российской Федерации и локальными нормативными актами Фонда, трудовых книжек, трудовых договоров, договоров на оказание услуг и пр.);
  • с использованием средств автоматизации (информационные системы персональных данных «Система управления персоналом и расчета заработной платы» и пр.).
• В Фонде не допускается обработка:
  • специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений;
  • сведений о членстве в общественных объединениях и о профсоюзной деятельности субъекта, за исключением случаев, предусмотренных Трудовым кодексом и иными федеральными законами Российской Федерации.

5.    Передача персональных данных

• При передаче (в том числе трансграничной передаче) персональных данных субъектов Фонд соблюдает следующие требования:
  • не сообщает персональные данные третьей стороне без письменного согласия субъекта персональных данных (Приложения № 2, № 3 и № 5 к настоящему Положению), за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов, а

также в других случаях, предусмотренных Трудовым кодексом Российской Федерации или иными федеральными законами;

• предупреждает лиц, получающих персональные данные субъектов, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требует от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъектов, обязаны соблюдать режим конфиденциальности. Данное положение не распространяется на обмен персональными данными субъектов в порядке, установленном федеральными законами;
• разрешает доступ к персональным данным субъектов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные субъектов, которые необходимы для выполнения ими конкретных функций;
• передает персональные данные субъектов представителям субъектов в порядке, установленном федеральными законами Российской Федерации, и ограничивает эту информацию только теми персональными данными субъектов, которые необходимы для выполнения указанными представителями их функций и на которые имеются соответствующие полномочия, подтвержденные документально.
• Не требуется согласия работника на передачу его персональных данных в следующих случаях:
  • при несчастном случае в соответствующие органы и организации, при тяжелом несчастном случае или случае со смертельным исходом – родственникам пострадавшего (статья 228 Трудового кодекса Российской Федерации);
  • при осуществлении государственного надзора и контроля за соблюдением трудового законодательства и иных нормативных правовых актов, содержащих нормы трудового права, государственным инспекторам труда (статья 357 Трудового кодекса Российской Федерации);
  • при начальной регистрации застрахованных лиц для персонифицированного учета в системе обязательного пенсионного страхования;
  • в других случаях, предусмотренных федеральными законами.
• Передача персональных данных субъектов осуществляется в соответствии с Регламентом взаимодействия Фонда с внешними организациями при обработке персональных данных.
• Передача персональных данных в органы государственной власти и государственные учреждения допускается исключительно в соответствии с компетенцией таких органов на основании нормативных правовых актов Российской Федерации, обязывающих Фонд предоставлять такие данные.
• В случае передачи персональных данных работника в органы государственной власти ответственность за соблюдение требований законодательства в сфере персональных данных несет орган государственной власти, получивший такие данные.
• Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее

разрешенных субъектом персональных данных для распространения, к Фонду в случае несоблюдения требований Федерального закона «О персональных данных» или обратиться с таким требованием в суд. Фонд обязан прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

6.    Уничтожение персональных данных

Фонд прекращает обработку персональных данных и уничтожает собранные персональные данные, если иное не установлено законодательством Российской Федерации, в следующих случаях и в сроки, установленные законодательством Российской Федерации:

• по достижении целей обработки или при утрате необходимости в их достижении;
• по требованию субъекта персональных данных или уполномоченного органа по защите прав субъектов персональных данных;
• если персональные данные являются неполными, устаревшими, недостоверными или не являются необходимыми для заявленной цели обработки;
• при отзыве субъектом персональных данных согласия на обработку своих персональных данных, если такое согласие требуется в соответствии с законодательством Российской Федерации;
• при невозможности устранения допущенных нарушений при обработке персональных данных.

7.    Права и обязанности Фонда

• Фонд при обработке персональных данных вправе:
  • получать информацию, содержащую персональные данные субъекта, для обработки Фондом в соответствии законодательством Российской Федерации и настоящим Положением;
  • требовать от субъекта своевременного уточнения предоставленных персональных данных.
• В целях обеспечения прав и свобод человека и гражданина Фонд при обработке персональных данных субъекта обязан:
  • обрабатывать достоверные персональные данные субъекта;
  • рассматривать обращения субъекта (законного или уполномоченного представителя субъекта, уполномоченного органа по защите прав субъектов персональных данных) и давать мотивированные ответы в срок, не превышающий семи рабочих дней со дня поступления обращения (запроса);
  • предоставлять возможность субъекту (законному или уполномоченному представителю субъекта) безвозмездного доступа к своим персональным данным, обрабатываемым Фондом;
  • принимать меры по уточнению, уничтожению персональных данных субъекта в связи с его (законного или уполномоченного представителя) обращением с законными и обоснованными требованиями;

• разъяснять субъекту юридические последствия отказа в предоставлении персональных данных;
• прекращать обработку и уничтожать персональные данные субъекта в случаях и в сроки, предусмотренные законодательством Российской Федерации в области персональных данных;
• обеспечить безопасность персональных данных субъекта при их обработке Фондом, применяя необходимые организационные и технические меры, в том числе назначение работников Фонда, ответственных за организацию работы с персональными данными, утверждение локальных нормативных актов, определяющих порядок обработки и защиты персональных данных в Фонде, обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, включая меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
• обеспечивать конфиденциальность обрабатываемых персональных данных субъекта (не распространять их без его согласия или иного законного основания);

– организовывать оперативное и архивное хранение документов Фонда, содержащих персональные данные субъекта, в соответствии с требованиями законодательства Российской Федерации.

8.    Права и обязанности субъекта персональных данных

• Субъект персональных данных обязан:
  • сообщать Фонду достоверную информацию о себе и предоставлять документы, содержащие персональные данные, в соответствии с требованиями законодательства Российской Федерации;
  • в течение 3 (трех) рабочих дней с момента фиксирования изменений в документах, содержащих персональные данные, сообщать в Фонд об уточнении (обновлении, изменении) своих персональных данных.
• В целях обеспечения защиты персональных данных, хранящихся в Фонде, субъект имеет право:
  • на свободный бесплатный доступ к своим персональным данным, за исключением случаев, предусмотренных Федеральным законом «О персональных данных», а также право на получение копий любой записи, содержащей персональные данные;
  • на получение полной информации об обработке своих персональных данных в Фонде;
  • требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением Трудового кодекса Российской Федерации и Федерального закона «О персональных данных»;
  • требовать извещения всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях;

• иметь представителя(-ей) и наделять его (их) правами, необходимыми для защиты своих персональных данных, внесения в них изменений и осуществления им (ими) любых иных действий, на которые предоставлены полномочия;
• требовать прекращения обработки своих персональных данных;
• требовать уничтожения своих персональных данных по достижению цели обработки;
• обжаловать в суде любые неправомерные действия или бездействие Фонда при обработке и защите его персональных данных.

9.    Ответственность лиц, допущенных Фондом к обработке персональных данных, за нарушение норм, регулирующих их обработку

• Лица, допущенные к обработке персональных данных и виновные в нарушении норм, регулирующих обработку персональных данных в Фонде, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом Российской Федерации и локальными нормативными актами Фонда, а также привлекаются к гражданско- правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
• В случае разглашения персональных данных лицом, допущенным к их обработке, Фонд имеет право расторгнуть трудовой или гражданско-правовой договор с указанным лицом.