ПОЛИТИКА

УЗ «Витебская областная клиническая инфекционная больница» в отношении обработки персональных данных субъектов персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика УЗ «Витебская областная клиническая инфекционная больница» в отношении обработки персональных данных (далее – Политика) разработана в соответствии с  Законом Республики Беларусь от 07.05.2021 №99-З «О защите персональных данных» в отношении информации о субъектах персональных данных, которую может обрабатывать УЗ «Витебская областная клиническая инфекционная больница» (далее по тексту – Оператор).

1.2. Настоящая Политика распространяется на все процессы Оператора, связанные с обработкой персональных данных субъектов, и обязательна для применения всеми работниками Оператора, осуществляющими обработку персональных данных в силу своих должностных обязанностей.

1.3. Во всех случаях, не урегулированных настоящей Политикой, необходимо руководствоваться действующим законодательством. Если международным договором установлены иные правила чем те, которые предусмотрены Законом Республики Беларусь от 07.05.2021 №99-З «О защите персональных данных», то применяются правила международного договора.

1.4. Обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных целей.

1.5. Действие настоящей Политики распространяется на персональные данные, обрабатываемые Оператором как с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, так и без использования таких средств.

Автоматизированная обработка персональных данных производится с помощью средств вычислительной техники, как установленных локально, так и объединенных в информационные системы. Доступ к информационным системам предоставляется уполномоченным работникам только для исполнения ими своих функций и должностных обязанностей.

При автоматизированной обработке, персональные данные содержатся на машинных, электронных носителях персональных данных. Фиксация персональных данных на машинном носителе производится с использованием средств вычислительной техники (копирование персональных данных на любой съемный или несъемный машинный носитель, ввод персональных данных в базу данных и т.п.).

1.6. Неавтоматизированная обработка персональных данных осуществляется, если при этом обеспечивается поиск персональных данных и (или) доступ к ним по определенным критериям (картотеки, списки, базы данных, журналы и др).

2. ПОНЯТИЕ, СОСТАВ И КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. В рамках настоящей Политики под персональными данными понимается любая информация, относящиеся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано.

2.2. Персональные данные могут обрабатываться самостоятельно или в составе другой информации конфиденциального характера.

2.3. Обработка персональных данных осуществляется с согласия субъекта персональных данных.

Согласие на обработку персональных данных может быть получено в письменной форме, в виде электронного документа или в иной электронной форме. 

Субъект персональных данных при даче своего согласия оператору указывает свои фамилию, собственное имя, отчество (если таковое имеется), дату рождения, идентификационный номер, а в случае отсутствия такого номера – номер документа, удостоверяющего его личность.

 В случае смерти субъекта персональных данных, объявления его умершим согласие на обработку его персональных данных дают один из наследников, близких родственников, усыновителей (удочерителей), усыновленных (удочеренных) либо супруг (супруга) субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.

В случае признания субъекта персональных данных недееспособным или ограниченно дееспособным, а также до достижения им возраста шестнадцати лет, за исключением вступления в брак до достижения возраста шестнадцати лет, согласие на обработку его персональных данных дает один из его законных представителей.

Лица, в случае дачи согласия на обработку персональных данных вместо субъекта персональных данных пользуются правами субъекта персональных данных, предусмотренными законодательством

2.4.  Оператор  осуществляет обработку персональных данных  при оформлении трудовых отношений, а также в процессе трудовой деятельности субъекта персональных данных следующих категорий субъектов персональных данных:

- действующие работники;

- уволенные работники;

- близкие родственники работников;

- студенты;

- внешние совместители;

- соискатели вакансий.

2.5. Целями обработки персональных данных работников Оператора являются:

-  ведение кадрового делопроизводства;

- начисление и выплата заработной платы, вознаграждений, премирования, материальной помощи;

- начисление взносов в пенсионный фонд, фонд социального страхования;

- начисление налога на доход физических лиц;

- формирование отчетности для предоставления в государственные органы;

- обеспечение общехозяйственной деятельности;

- обеспечение экономической, пожарной, информационной безопасности;

- предотвращение конфликта интересов,

- учет налоговых льгот при начислении заработной платы;

- сбор, обработка и предоставление статистических данных;

- иные цели в соответствии с законодательством.

2.6. Перечень  персональных данных, подлежащих обработке:

- фамилия, имя, отчество,

- данные о поле, дате рождения, гражданстве,

- адрес регистрации (проживания), номера телефонов,

- данные документа, удостоверяющего личность (его серии, номере, дате и месте выдачи),

- сведения из трудовой книжки: опыт работы, место работы и должности,

- иные персональные данные, в соответствии с законодательством.

Оператор в рамках своей деятельности вправе осуществлять обработку специальных категорий персональных данных, включая сведения о судимости.

2.7. Оператор  осуществляет обработку персональных данных  при оказании медицинской помощи пациентам. Целями обработки персональных данных являются:

- выполнение требований Закона Республики Беларусь «О здравоохранении»,

- оформление медицинской документации,

- оформление документов по экспертизе временной нетрудоспособности,

- оформление рецептов врача,

- хранения всех вышеназванных данных на электронных носителях и иных носителях информации,

-  в  иных целях в соответствии с законодательством.

2.8. Перечень  персональных данных, подлежащих обработке:

- фамилия, имя, отчество,

- данные о поле, дате рождения, гражданстве,

- адрес регистрации (проживания), номера телефонов,

- данные документа, удостоверяющего личность (его серии, номере, дате и месте выдачи),

- место работы и должность,

- о лицах, которым может предоставляться информация, составляющая врачебную тайну, в отношении субъекта персональных данных,

- иные персональные данные, в соответствии с законодательством.

3. ПЕРЕДАЧА И ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4. 1. Обработка персональных данных Оператором может осуществляться:

- работниками Оператора;

- другими лицами, осуществляющими обработку персональных данных по поручению Оператора.

3.2. Обработка персональных данных другими лицами может осуществляться на основании соответствующего договора с Оператором, в котором содержится поручение на обработку персональных данных. В поручении должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных.

3.3. Оператор в процессе своей деятельности вправе осуществлять трансграничную передачу персональных данных.

Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, когда:

дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;

персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;

персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством;

такая передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;

обработка персональных данных осуществляется в рамках исполнения международных договоров Республики Беларусь;

такая передача осуществляется органом финансового мониторинга в целях принятия мер по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения в соответствии с законодательством;

получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных.

Уполномоченный орган по защите прав субъектов персональных данных определяет перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных.

4. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Субъект персональных данных имеет право на получение информации, касающейся обработки своих персональных данных, содержащей:

наименование (фамилию, собственное имя, отчество (если таковое имеется)) и место нахождения (адрес места жительства (места пребывания)) оператора;

подтверждение факта обработки персональных данных оператором (уполномоченным лицом);

его персональные данные и источник их получения;

правовые основания и цели обработки персональных данных;

срок, на который дано его согласие;

наименование и место нахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка персональных данных поручена такому лицу;

иную информацию, предусмотренную законодательством.

Для получения указанной информации, субъект персональных данных подает оператору заявление в письменной форме либо в виде электронного документа. Законодательными актами может быть предусмотрена обязательность личного присутствия субъекта персональных данных и предъявления документа, удостоверяющего личность, при подаче им заявления оператору в письменной форме.

 Заявление субъекта персональных данных должно содержать:

фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);

дату рождения субъекта персональных данных;

идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия оператору или обработка персональных данных осуществляется без согласия субъекта персональных данных;

изложение сути требований субъекта персональных данных;

личную подпись либо электронную цифровую подпись субъекта персональных данных.

Ответ на заявление направляется субъекту персональных данных в форме, соответствующей форме подачи заявления, если в самом заявлении не указано иное;

4.2. требовать уточнения своих персональных данных, их блокирования или уничтожения, в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для завяленной цели обработки или используются в целях, не заявленных ранее при предоставлении субъектов персональных данных согласия на обработку персональных данных;

4.3. принимать предусмотренные законом меры по защите своих прав;

4.4. отозвать свое согласие на обработку персональных данных.

4. 5. Субъект персональных данных, в целях уточнения и актуализации своих персональных данных обязан своевременно представлять Оператору информацию об изменении своих персональных данных.

5. МЕРЫ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор обязан принимать организационные и технические меры по обеспечению защиты персональных данных от  несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных.

5. 2. Обязательными мерами по обеспечению защиты персональных данных являются:
   назначение оператором структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;

издание оператором документов, определяющих политику оператора в отношении обработки персональных данных;

ознакомление работников оператора и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику оператора (уполномоченного лица) в отношении обработки персональных данных, а также обучение указанных работников и иных лиц в порядке, установленном законодательством;

установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);

осуществление технической и криптографической защиты персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.

Классификация информационных ресурсов (систем), содержащих персональные данные, в целях определения предъявляемых к ним требований технической и криптографической защиты персональных данных устанавливается уполномоченным органом по защите прав субъектов персональных данных.

6. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ЗАКОНОДАТЕЛЬСТВА ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
7. 1. Лица, виновные в нарушении законодательства по защите персональных данных несут дисциплинарную, гражданско-правовую, административную, уголовную ответственность.