Локальный акт ООО «ПРОДЕНТ» (Оператор персональных данных). Форма Ф-05.
Настоящая Политика разработана во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и является основным внутренним документом ООО «ПРОДЕНТ» (далее — Организация, Оператор), определяющим политику Оператора в отношении обработки персональных данных.
Политика подлежит опубликованию и обеспечению неограниченного доступа к ней. Электронная версия размещается по адресу https://prodentconcept.com/policy-med; действующая редакция на бумажном носителе хранится по адресу 119034, г. Москва, Гагаринский пер., д. 5, стр. 1.
1. Общие положения
1.1. Политика определяет цели, правовые основания, объем и категории обрабатываемых персональных данных, порядок и условия их обработки, права субъектов персональных данных, а также реализуемые Оператором требования к защите персональных данных.
1.2. Действие Политики распространяется на все персональные данные, обрабатываемые Оператором с использованием средств автоматизации и без использования таких средств, включая сведения, составляющие врачебную тайну.
1.3. Обработка персональных данных осуществляется в соответствии с Федеральным законом № 152-ФЗ, Федеральным законом от 21 ноября 2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Трудовым кодексом Российской Федерации, постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687, постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 и иными нормативными правовыми актами.
1.4. Требования Политики обязательны для всех работников Оператора. Работники, непосредственно осуществляющие обработку персональных данных, знакомятся с Политикой под подпись.
2. Принципы обработки
2.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определенных и законных целей.
2.2. Обрабатываются только те персональные данные, которые отвечают целям обработки. Содержание и объем данных соответствуют заявленным целям; избыточность не допускается.
2.3. Не допускается объединение баз данных, обработка которых осуществляется в целях, несовместимых между собой.
2.4. Хранение осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором.
3. Категории субъектов, состав данных и цели обработки
| Категория субъектов | Состав персональных данных | Цель обработки | Правовое основание |
|---|---|---|---|
| Пациенты, их законные представители | Фамилия, имя, отчество; дата рождения; пол; адрес места жительства; данные документа, удостоверяющего личность; контактный телефон; адрес электронной почты; сведения о состоянии здоровья, диагнозе, проведенных обследованиях и лечении; рентгенологические изображения и данные компьютерной томографии; сведения о дозовых нагрузках; данные о расчетах | Медико-профилактические цели: установление диагноза, оказание медицинских услуг; ведение медицинской документации; заключение и исполнение договора; передача сведений в единую государственную информационную систему в сфере здравоохранения; выдача документов для социального налогового вычета | Пункт 4 части 2 статьи 10 и пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ; статьи 13, 20, 22, 79 Федерального закона № 323-ФЗ; договор с субъектом |
| Заказчики, не являющиеся пациентами | Фамилия, имя, отчество, адрес места жительства; данные документа, удостоверяющего личность; контактный телефон; адрес электронной почты; сведения о расчетах | Заключение и исполнение договора в пользу пациента; расчеты | Пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ |
| Работники, кандидаты на трудоустройство | Данные, предусмотренные главой 14 Трудового кодекса Российской Федерации, сведения об образовании, квалификации, аккредитации, результатах обязательных медицинских осмотров | Ведение кадрового учета, исполнение трудового договора, выполнение обязанностей работодателя; подтверждение квалификации медицинских работников | Пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ; статья 86 Трудового кодекса Российской Федерации |
| Посетители помещений Организации | Изображение, полученное системой видеонаблюдения; дата и время нахождения в помещении | Обеспечение безопасности имущества, работников и посетителей, предупреждение противоправных действий | Пункты 2 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ |
| Лица, обращающиеся по телефону | Номер телефона; фамилия, имя, отчество; содержание обращения; аудиозапись разговора при наличии согласия | Организация записи на прием, обработка обращений, контроль качества обслуживания | Пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ; согласие субъекта — для аудиозаписи |
| Пользователи сайта | Фамилия, имя, отчество; контактный телефон; адрес электронной почты; сведения, добровольно указанные в форме обращения | Обработка обращения и запись на прием | Согласие субъекта; порядок обработки установлен формами Ф-06 и Ф-08 |
Оператор обрабатывает специальные категории персональных данных — сведения, касающиеся состояния здоровья. Обработка осуществляется в медико-профилактических целях, в целях установления медицинского диагноза и оказания медицинских услуг лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну (пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ).
Фотографии пациента, рентгенологические изображения и данные компьютерной томографии обрабатываются исключительно в медицинских целях и не используются Оператором для установления личности субъекта, в связи с чем не относятся к биометрическим персональным данным. Указанные сведения относятся к специальным категориям персональных данных и защищаются как сведения, составляющие врачебную тайну.
Обработка персональных данных, разрешенных субъектом для распространения, осуществляется исключительно на основании отдельного согласия, оформляемого в соответствии со статьей 10.1 Федерального закона № 152-ФЗ и требованиями, утвержденными приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 24 февраля 2021 г. № 18.
4. Порядок получения согласия
4.1. Согласие на обработку персональных данных оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект персональных данных (часть 1 статьи 9 Федерального закона № 152-ФЗ в редакции Федерального закона от 24 июня 2025 г. № 156-ФЗ). Включение согласия в текст договора, информированного добровольного согласия на медицинское вмешательство или иного документа не допускается.
4.2. Каждая цель обработки, требующая согласия, оформляется самостоятельным согласием с отдельной отметкой и подписью субъекта. Заранее проставленные отметки о согласии не применяются.
4.3. Отказ субъекта от предоставления согласия, не требующегося для заключения и исполнения договора, не может являться основанием для отказа в заключении договора и оказании медицинских услуг (пункт 4 статьи 16 Закона Российской Федерации «О защите прав потребителей»).
4.4. Оператор применяет следующие самостоятельные формы согласий:
| Форма согласия | Назначение |
|---|---|
| Согласие на обработку персональных данных пользователя сайта (форма Ф-08) | обработка обращений и запись на прием через сайт |
| Согласие на разглашение сведений, составляющих врачебную тайну, указанным лицам | передача информации о состоянии здоровья и стоимости лечения лицам, названным пациентом (пункт 5 части 5 статьи 19 Федерального закона № 323-ФЗ) |
| Согласие на обработку персональных данных, разрешенных для распространения | публикация фотографий, видеозаписей и рентгенологических изображений (статья 10.1 Федерального закона № 152-ФЗ, статья 152.1 Гражданского кодекса Российской Федерации) |
| Согласие на аудиозапись телефонного разговора | запись разговоров, содержащих сведения о состоянии здоровья |
| Согласие на видеосъемку в лечебном кабинете | видеонаблюдение в помещениях, где оказывается медицинская помощь |
| Согласие на получение информационных и рекламных сообщений | направление сообщений по телефону, СМС и электронной почте (часть 1 статьи 18 Федерального закона «О рекламе») |
| Согласие на передачу медицинской документации для оценки качества медицинской помощи | привлечение внешних экспертов и организаций |
5. Порядок и условия обработки
5.1. Обработка включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.
5.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ). Первичный сбор персональных данных осуществляется только в такие базы данных.
5.3. Трансграничная передача персональных данных Оператором не осуществляется. Использование информационных сервисов, предполагающих передачу персональных данных за пределы Российской Федерации, допускается исключительно в порядке, установленном статьей 12 Федерального закона № 152-ФЗ, после уведомления уполномоченного органа и получения предусмотренного законом подтверждения.
5.4. Передача персональных данных третьим лицам осуществляется исключительно при наличии правового основания: согласия субъекта, в силу договора либо в случаях, прямо предусмотренных законом.
5.5. Обработка персональных данных может быть поручена другому лицу. Поручение оформляется договором, содержащим перечень действий, цели обработки, обязанность соблюдать конфиденциальность и требования к защите данных (часть 3 статьи 6
Федерального закона № 152-ФЗ). Обработка персональных данных без такого договора не допускается.
5.6. Актуальный перечень лиц, которым поручена обработка персональных данных, с указанием их наименований, адресов, порученных действий и состава передаваемых данных ведется Оператором в форме Ф-09. Перечень является внутренним документом, опубликованию не подлежит и актуализируется без внесения изменений в настоящую Политику. Сведения из Перечня предоставляются субъекту персональных данных по его запросу в порядке и сроки, установленные статьей 20 Федерального закона № 152-ФЗ.
5.7. Сведения, составляющие врачебную тайну, разглашаются только с письменного согласия пациента, за исключением случаев, исчерпывающе перечисленных в части 4 статьи 13 Федерального закона № 323-ФЗ.
5.8. Обезличивание персональных данных осуществляется способами, обеспечивающими невозможность определения принадлежности данных конкретному субъекту персональных данных без использования дополнительной информации, с соблюдением требований уполномоченного органа.
6. Видеонаблюдение и аудиозапись
6.1. В помещениях Организации ведется видеонаблюдение в целях обеспечения безопасности имущества, работников и посетителей и предупреждения противоправных действий. Видеонаблюдение ведется в зонах общего пользования: холле, коридорах, зоне регистратуры.
6.2. Обработка изображений посетителей в зонах общего пользования осуществляется без согласия субъекта на основании пунктов 2 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ. Оператор информирует посетителей о ведении видеонаблюдения путем размещения информационных табличек при входе и в зонах наблюдения (часть 1 статьи 18 Федерального закона № 152-ФЗ).
6.3. Видеонаблюдение в лечебных кабинетах и иных помещениях, где оказывается медицинская помощь, ведется исключительно при наличии письменного согласия пациента, оформляемого отдельным документом. При отсутствии такого согласия видеонаблюдение в лечебном кабинете не ведется.
6.4. Аудиофиксация в помещениях Организации не ведется, за исключением записей телефонных разговоров в порядке, установленном пунктом 6.6 настоящей Политики.
6.5. Срок хранения видеозаписей составляет [указать срок, но не менее срока, установленного требованиями к антитеррористической защищенности объекта] суток, после чего записи автоматически уничтожаются. Доступ к архиву видеозаписей имеют только лица, определенные приказом руководителя.
6.6. Запись телефонных разговоров ведется в целях организации записи на прием и контроля качества обслуживания. В начале разговора абоненту сообщается о ведении записи, ее цели и способе отказа. Если разговор содержит сведения о состоянии здоровья, запись ведется только при наличии согласия субъекта, подтверждаемого способом, позволяющим его зафиксировать. При отказе абонента запись не ведется, а произведенная часть записи уничтожается.
6.7. Подменные номера, предоставляемые сервисами аналитики звонков, не используются в договорах, локальных актах и на информационных стендах Организации.
7. Сроки обработки и уничтожение
| Категория данных | Срок хранения |
|---|---|
| Медицинская карта пациента, получающего медицинскую помощь в амбулаторных условиях, в том числе стоматологическая | 25 лет — в соответствии с Перечнем документов, образующихся в процессе деятельности Министерства здравоохранения Российской Федерации и подведомственных ему организаций, с указанием сроков хранения, утвержденным приказом Министерства здравоохранения Российской Федерации от 3 августа 2023 г. № 408 |
| Договоры об оказании платных медицинских услуг и приложения к ним | 5 лет после исполнения обязательств — Перечень, утвержденный приказом Росархива от 20 декабря 2019 г. № 236 |
| Согласия на обработку персональных данных | в течение срока обработки соответствующих данных и 3 года после его окончания |
| Кадровые документы работников | в соответствии с Перечнем, утвержденным приказом Росархива от 20 декабря 2019 г. № 236 |
| Записи телефонных разговоров | 6 месяцев |
| Видеозаписи | 14 суток |
| Данные пользователей сайта | до достижения цели обработки, но не более 1 года с даты последнего обращения |
По достижении целей обработки либо в случае утраты необходимости в их достижении персональные данные уничтожаются или обезличиваются. Факт уничтожения фиксируется актом. При обработке без использования средств автоматизации уничтожение оформляется в порядке, установленном постановлением Правительства Российской Федерации № 687.
8. Права субъекта персональных данных
Субъект персональных данных имеет право:
- получать информацию, касающуюся обработки его персональных данных, в объеме, установленном частью 7 статьи 14 Федерального закона № 152-ФЗ, включая сведения о лицах, которым поручена обработка;
- требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных в любое время;
- выдвигать условие предварительного согласия при обработке в целях продвижения услуг на рынке;
- получать медицинские документы, их копии и выписки из них (часть 5 статьи 22 Федерального закона № 323-ФЗ);
- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.
8.1. Обращения направляются по адресу 119034, г. Москва, Гагаринский пер., д. 5, стр. 1 либо по электронной почте info@prodentconcept.com. Ответ предоставляется в срок, не превышающий десяти рабочих дней с даты получения обращения; срок может быть продлен не более чем на пять рабочих дней с уведомлением субъекта (часть 1 статьи 20 Федерального закона № 152-ФЗ).
8.2. При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий тридцати дней, если сохранение данных не требуется законом (часть 5 статьи 21 Федерального закона № 152-ФЗ). Отзыв согласия не прекращает обработку, осуществляемую на иных законных основаниях, включая ведение медицинской документации.
8.3. Порядок приема и рассмотрения обращений субъектов персональных данных устанавливается отдельным локальным актом Оператора. Обращения регистрируются в журнале учета обращений субъектов персональных данных.
9. Меры по обеспечению безопасности
Оператор реализует меры, предусмотренные пунктом 1 части 1 статьи 18.1 и статьей 19 Федерального закона № 152-ФЗ:
- назначение лица, ответственного за организацию обработки персональных данных;
- издание локальных актов по вопросам обработки и защиты персональных данных, определение перечня обрабатываемых данных и перечня лиц, имеющих к ним доступ;
- определение угроз безопасности информации и применение мер защиты в соответствии с постановлением Правительства Российской Федерации № 1119; проведение внутреннего контроля и аудита соответствия обработки персональных данных требованиям законодательства не реже одного раза в год;
- ознакомление работников с законодательством Российской Федерации, локальными актами Оператора и обучение работников;
- обеспечение безопасности помещений, в которых размещены информационные системы и архивы бумажных носителей.
9.1. Ответственным за организацию обработки персональных данных является [должность, фамилия, имя, отчество], назначаемый приказом руководителя.
9.2. Оператор осуществляет оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ, в порядке, установленном пунктом 5 части 1 статьи 18.1 указанного Закона и приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 27 октября 2022 г. № 178. Оценка вреда оформляется актом и пересматривается не реже одного раза в год.
9.3. Оператор направляет уведомление об обработке персональных данных в уполномоченный орган до начала обработки, а при изменении ранее представленных сведений — информационное письмо в установленный срок (части 1, 7 статьи 22 Федерального закона
№ 152-ФЗ). Наличие и актуальность записи в реестре операторов проверяются ответственным за организацию обработки не реже одного раза в год.
9.4. При установлении факта неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет уполномоченный орган: в течение двадцати четырех часов — о произошедшем инциденте и предполагаемых причинах, в течение семидесяти двух часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента (часть 3.1 статьи 21 Федерального закона № 152-ФЗ).
9.5. Порядок действий работников при выявлении инцидента, включая порядок уведомления уполномоченного органа, устанавливается отдельным локальным актом Оператора.
9.6. Работники предупреждаются об ответственности за нарушение требований законодательства о персональных данных, включая административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях и уголовную ответственность по статье 272.1 Уголовного кодекса Российской Федерации.
10. Заключительные положения
10.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с даты ее утверждения приказом руководителя и размещения на сайте.
10.2. Политика пересматривается при изменении законодательства, но не реже одного раза в год. Изменение состава лиц, которым поручена обработка персональных данных, пересмотра настоящей Политики не требует.
10.3. Разъяснения по вопросам обработки персональных данных предоставляются по электронной почте info@prodentconcept.com.