Министерство здравоохранения Саратовской области

Государственное бюджетное учреждение здравоохранения

Саратовской области

                                    «Дезинфекционная станция Саратовской области»

         УТВЕРЖДЕНО

         Приказом №____41-од___

                                                                                                            от « 29 »_ 03_______2018г.

Положение о политике

обработки персональных данных

1. Общие положения

1.1. ГБУЗ СО «Дезинфекционная станция Саратовской области» (далее – Учреждение), выполняя требования Федерального закона от  27 июля 2006 года № 152-ФЗ "О персональных данных" применяет настоящую Политику в отношении обработки персональных данных (далее – Политика обработки ПД) и сведений о реализуемых требованиях к защите  персональных данных.

1.2. Основные понятия.

1.2.1. Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)
          1.2.2. Оператор персональных данных, оператор - ГБУЗ СО «Дезинфекционная станция Саратовской области», самостоятельно или совместно с другими лицами организующие или осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия и операции, совершаемые с персональными данными.

1.2.3. Субъект персональных данных – это физическое лицо, персональные данные которого обрабатываются учреждением

1.2.4. Обработка персональных данных - любое действие, операция или совокупность действий, операций с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя: сбор, запись, систематизацию, накопление, хранение, уточнение, обновление или изменение, извлечение, использование, передачу, распространение, предоставление, доступ, обезличивание, блокирование, удаление, уничтожение.

1.2.5. Конфиденциальность персональных данных – обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным работников, требование не допускать их распространения  без согласия работника или иного законного основания;

1.2.6. Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных работников или в результате которых уничтожаются материальные носители персональных данных работников;

1.2.7. Блокирование персональных данных – временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных работников, в том числе их передачи;

1.2.8. Обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному работнику;

1.2.9. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

1.2.10. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

           1.3. Политика обработки ПД разработана с целью обеспечения защиты прав и свобод субъекта персональных данных при обработке его персональных данных (далее – ПД).

           1.4. Субъекты персональных данных имеют право:

           1.4.1. На полную информацию о персональных данных и их обработке.

           1.4.2. Доступ к своим персональным данным. Требовать уточнения ПД, их блокирования или уничтожения если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

           1.4.3. Предоставление сведений о наличии персональных данных в доступной форме.

           1.5.  Субъекты персональных данных обязаны:

           1.5.1. Представлять ПД соответствующие действительности. Сообщать оператору об изменении своих персональных данных в срок не превышающий 14 дней.

           1.6. Оператор персональных данных обязан:

           1.6.1. Осуществлять обработку ПД исключительно в целях обеспечения  соблюдения законов и иных нормативных актов;

           1.6.2. Предоставить субъекту ПД по его просьбе информацию, касающуюся обработки его ПД;

           1.6.3. Разъяснять субъекту ПД юридические последствия отказа предоставить его персональные данные;

           1.6.4. При сборе ПД оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, указанных в п.2,3,4,8 ч.1 ст.6 Федерального закона о персональных данных №152-ФЗ от 27.07.2006г. 

           1.7. Оператор персональных данных имеет право:

           1.7.1. На получение достоверных персональных данных.

           1.8. Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих в  учреждении   вопросы обработки персональных данных работников учреждения и других субъектов персональных данных.

2. Цели обработки персональных данных

2.1.Персональные данные обрабатываются оператором, соблюдая требования закона и исключительно в следующих целях:

2.1.1. Осуществление и выполнение возложенных законодательством Российской Федерации на учреждение функций, полномочий и обязанностей, в частности:

-         выполнение требований законодательства в сфере труда, а именно оформление трудовых отношений, получения сотрудниками образования, продвижения по службе, контроля количества и качества выполняемой работы, обеспечения безопасности сотрудников и сохранности имущества. Любые сведения личного характера – о состоянии здоровья, составе семьи, наличии несовершеннолетних детей и иждивенцев и т.д. – оператор обрабатывает только для целей трудовых отношений и предоставления гражданам гарантий и компенсаций, положенных по закону и локальным нормативным актам учреждения;

-         ведение текущего кадрового, бухгалтерского и налогового учёта, формирование, изготовление и своевременная подача кадровой, бухгалтерской, налоговой и статистической отчётности;

-         выполнение требований законодательства по определению порядка обработки  и защиты ПД граждан, являющихся клиентами или контрагентами учреждения (далее – субъекты персональных данных).

2.1.2. Осуществления прав и законных интересов учреждения в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами учреждения, или третьих лиц либо достижения общественно значимых целей;

3. Правовое основание обработки персональных данных

3.1. Оператор обрабатывает персональные данные сотрудников в соответствии:

3.1.1. С  Трудовым кодексом Российской Федерации, другими федеральными законами и подзаконными нормативными актами, содержащими нормы трудового права.

3.1.2. Уставом.

3.1.3.Трудовыми договорами, дополнительными соглашениями которое учреждение заключает с работниками.

3.1.4. Согласием работников на обработку персональных данных.

4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

4.1. При обработке ПД оператор будет осуществлять следующие действия с ПД: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных в целях указанных в п.2.1.1 и п. 2.1.2 настоящей Политики.

4.1.1. Конфиденциальная информация о работниках и бывших работниках:

- фамилия, имя, отчество, возраст, дата рождения;

- паспортные данные;

- образование, специальность, квалификация, трудовой стаж, опыт работы;

- повышение квалификации, профессиональная переподготовка, аттестация;

- занимаемая должность или выполняемая работа;

- сведения о воинском учете;

- социальные гарантии и льготы и основания для них;

- состояние здоровья работника, результаты медицинского обследования;

- адрес места жительства, номер телефона;

4.1.2. Конфиденциальная информация о семейном положении сотрудников и членов их семей:

- сведения о браке;

- о наличии детей и иждивенцев;

- состоянии здоровья членов семьи;

- необходимости ухода за больным членом семьи;

- усыновлении и удочерении;

- иных фактах, на основании которых работникам по закону и локальным актам учреждения должны быть предоставлены гарантии и компенсации.

4.2. Учреждение обрабатывает персональные данные следующих субъектов персональных данных:

4.2.1. Работников, бывших работников, кандидатов на замещение вакантных должностей, а также родственников работников.

4.2.2. Клиентов и контрагентов – физических лиц.

4.2.3. Представителей или работников, клиентов и контрагентов –юридических лиц.

4.2.4. Граждан, выполняющих работу по гражданским договорам.

4.3. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, сведений о состоянии здоровья, когда это не связано с выполнением работы,  интимной и частной жизни, в учреждении не осуществляется.

5. Порядок и условия обработки персональных данных

5.1. В учреждении организована система конфиденциального делопроизводства. Система обеспечивает создание, движение и хранение документов по личному составу и иных документов, содержащих персональные данные, таким образом, чтобы исключить несанкционированное использование этих сведений.

5.2. Доступ к персональным данным в учреждении имеют только те специалисты, кому это необходимо для исполнения должностных обязанностей. Права, обязанность и ответственность сотрудников, обрабатывающих персональные данные в учреждении, закреплены в Положении о защите ПД работников учреждения. За нарушение правил обработки и хранения ПД, ставших им известным по работе, сотрудники привлекаются к дисциплинарной, административной, гражданско-правовой ответственности в соответствии с федеральными законами.  

5.3. Все ПД  оператор получает только у субъекта персональных данных. В случае, когда ПД можно получить только у третьих лиц, это делается исключительно с письменного согласия субъекта.

5.4. В случаях, предусмотренных законом, оператор обрабатывает ПД без специального согласия на то субъекта персональных данных при наличии оснований, указанных в п.2-11 ч.1 ст.6, ч.2 ст.10 и ч.2 ст.11 Федерального закона «О персональных данных» №152-ФЗ от 27.07.2006г. В остальных ситуациях  предлагается субъекту оформить персональное и конкретное письменное согласие на обработку ПД.

5.5. Учреждение   хранит ПД в рамках конфиденциального делопроизводства в порядке, исключающем их утрату или неправомерное использование.

При достижении целей обработки учреждение уничтожает персональные данные. Исключения:

-персональные данные должны храниться длительное время в силу требований нормативно правовых актов;

- кандидат на работу желает остаться в кадровом резерве.

5.6. Учреждение передает персональные данные в порядке, установленном законодательством.  

5.7. Состав ПД каждой из перечисленных в п. 4.2. настоящей Политики категории субъектов определяется согласно нормативным документам, перечисленным в разделе 3 настоящей Политики, а также нормативным документам учреждения, изданным для обеспечения их исполнения.

5.3. В случаях, предусмотренных действующим законодательством, субъект персональных данных принимает решение о предоставлении его ПД учреждению и дает согласие на их обработку свободно, своей волей и в своем интересе.

5.4. Учреждение обеспечивает соответствие содержания и объема обрабатываемых ПД заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки.

5.5. Обработка персональных данных учреждением осуществляется следующими способами:

     - неавтоматизированная обработка персональных данных;

     - автоматизированная обработка персональных данных с передачей полученной

        информации по информационно-телекоммуникационным сетям или без таковой;

     - смешанная обработка персональных данных.

6. Актуализация, исправление и удаление персональных данных, ответы на запросы субъектов на доступ к персональным данным.

6.1. В случае подтверждения факта неточности ПД или неправомерности их обработки ПД подлежат их актуализации, а обработка прекращена.

6.2. Учреждение при обращении или по запросу субъекта ПД либо его представителя, а также по запросу  Роскомнадзора блокирует неправомерно обрабатываемые ПД этого субъекта с момента обращения или получения запроса на период проверки.

6.3. Учреждение на основании сведений, представленных субъектом ПД или его представителем либо Роскомнадзором, или иных необходимых документов уточняет ПД в течение семи рабочих дней со дня представления таких сведений.

6.4. В случае выявления неправомерной обработки ПД учреждение в срок, не превышающий трех рабочих дней, прекращает неправомерную обработку ПД.

6.5.В случае достижения цели обработки ПД учреждение прекращает обработку ПД и уничтожает ПД в срок, не превышающий  тридцати дней с даты достижения цели обработки ПД.

6.6. В случае отзыва субъектом ПД согласия на обработку его ПД учреждение прекращает их обработку в срок, не превышающий тридцати дней с даты поступления отзыва.

6.7. Учреждение сообщает субъекту ПД или его представителю информацию о наличии ПД, относящихся к субъекту. По запросу субъекта ПД или его представителя учреждение знакомит его с этими ПД в течение тридцати дней с даты получения запроса.

 6.8. Субъект ПД вправе требовать от учреждения уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

 6.9. Сведения предоставляются субъекту персональных данных или его представителю учреждением при обращении либо при получении запроса субъекта персональных данных или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с учреждением (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных учреждением, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

6.10. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

– подтверждение факта обработки персональных данных учреждением;

– правовые основания и цели обработки персональных данных;

– цели и применяемые учреждением способы обработки персональных                       данных;

– наименование и место нахождения учреждения, сведения о лицах (за исключением сотрудников учреждения), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с учреждением или на основании федерального закона;

– обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

– сроки обработки персональных данных, в том числе сроки их хранения;

–порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом "О персональных данных";

– информацию об осуществленной или о предполагаемой трансграничной передаче данных;

6.11. Если субъект персональных данных считает, что учреждение осуществляет обработку его персональных данных с нарушением требований Федерального закона "О персональных данных" или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в орган, уполномоченный по вопросам защиты прав субъектов персональных данных, или в судебном порядке.

6.12. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.