Политика конфиденциальности и пользовательское Соглашение

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. В настоящем документе определена политика АО «Медскан» (далее – Оператор) в отношении обработки персональных данных (далее – Политика).
1.2. Политика разработана в соответствии с федеральными законами и подзаконными актами Российской Федерации, определяющими случаи и особенности обработки персональных данных (далее – ПДн) и обеспечения безопасности и конфиденциальности такой информации (далее – Законодательство о персональных данных).
1.3. Положения и требования настоящей Политики направлены на обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн Оператором.
1.4. Политика разработана в целях реализации требований Законодательства о персональных данных и распространяется на все действия и операции, совершаемые Оператором с ПДн, как с использованием средств автоматизации, так и без использования таковых.
1.5. Настоящая Политика устанавливает:
• принципы обработки ПДн;
• правовые основания обработки ПДн;
• категории субъектов ПДн и цели обработки ПДн;
• права субъектов ПДн;
• обязанности Оператора при осуществлении обработки ПДн;
• состав обрабатываемых ПДн;
• порядок и условия обработки ПДн;
• условия соблюдения конфиденциальности ПДн и обеспечения безопасности ПДн;
• порядок взаимодействия с субъектами ПДн и Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзор).
1.6. Ознакомление работников Оператора с настоящей Политикой, в том числе с изменениями настоящей Политики, осуществляется под подпись либо с использованием информационных технологий, доступных Оператору, позволяющих зафиксировать факт ознакомления работников с внутренним документом.
1.7. Положения и требования настоящей Политики являются обязательными для исполнения всеми работниками Оператора, имеющими доступ к ПДн.
1.8. Политика является общедоступной и подлежит размещению на официальном Сайте Оператора по адресу: https://medscangroup.ru/content/politika-obrabotki-personalnykh-dannykh/ или иным образом обеспечивается неограниченный доступ к настоящему документу.
1.9. Оператор имеет право вносить изменения в настоящую Политику. Положения настоящей Политики подлежат актуализации в случае изменения Законодательства о персональных данных.
1.10. По общему правилу Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации.
1.11. В случаях, когда Оператор поручает обработку персональных данных другим лицам, им соблюдаются все требования Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», предусмотренные для поручения обработки ПДн третьими лицами (далее – Закон № 152-ФЗ).
1.12. Обработка персональных данных Оператором должна ограничиваться достижением законных, конкретных и заранее определенных целей. Обработке подлежат только те персональные данные, и только в том объеме, которые отвечают целям их обработки.
1.13. Положения Политики являются основой для организации работы по обработке персональных данных Оператором, в том числе, для разработки внутренних документов (регламентов, методик, технологических схем и пр.), регламентирующих процесс обработки персональных данных Оператором.
1.14. Использование сайта, сервисов, услуг Оператора означает ознакомление и согласие субьекта ПДн с Политикой и указанными в ней условиями обработки ПДн.
1.15. Оператор обязуется соблюдать нормы законодательства Российской федерации в области защиты и обработки персональных данных.
1.16. Оператор, а также его должностные лица и работники несут гражданско-правовую, административную и иную ответственность за несоблюдение принципов и условий обработки персональных данных физических лиц, а также за разглашение или незаконное использование персональных данных в соответствии с законодательством Российской Федерации.

2. ОСНОВНЫЕ ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

В Политике используются следующие основные термины и определения:
Автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники;
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Информационная система ПДн (далее – ИСПДн) – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
Конфиденциальность ПДн – обязанность не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.
Личный кабинет − специализированный раздел сайта Оператора (доступ осуществляется посредством учетной записи Пользователя), предназначенный для (a) взаимодействия между Оператором и Субъектом ПДн, в том числе, при заключении и исполнении договора, (b) управления Субъектом ПДн услугами, (c) отражения статистических данных. По мере развития функционала личного кабинета Субъекта ПДн взаимодействие может осуществляться в иных аспектах деятельности Оператора.
Обработка персональных данных – любое действие (операция) Оператора или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.
Оператор ПДн (Оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В рамках положений настоящей Политики АО «Медскан» выступает Оператором персональных данных.
Персональные данные, ПДн – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн).
ПДн, разрешенные субъектом ПДн для распространения, – ПДн, доступ неограниченного круга лиц к которым представлен субъектом ПДн путем дачи согласия на обработку ПДн, разрешенных субъектом ПДн для распространения в порядке, предусмотренном Законом № 152-ФЗ.
Партнеры Оператора – организации, индивидуальные предприниматели или иные физические лица, действующие от своего имени или от имени Оператора и продвигающие Услуги/Сервисы Оператора на основании заключенных с ним договоров.
Предоставление ПДН – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Работник – физическое лицо, заключившее с Оператором трудовой договор.
Распространение ПДн – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Соискатель – физическое лицо, претендующее на вакантную должность Оператора, персональные данные которого получены Оператором.
Субъект персональных данных (Субъект ПДн) – физическое лицо, которое прямо или косвенно определено с помощью персональных данных, в отношении которого осуществляется обработка персональных данных. В рамках настоящей Политики к Субъектам ПДн относятся физические лица, действующие от собственного имени, а также физические лица-представители юридических лиц, уполномоченные действовать от имени таких юридических лиц на основании устава, доверенности, трудового договора, гражданско-правового договора или по другим основаниям. В том числе к уполномоченным представителям юридических лиц относятся лица, осуществившие доступ к учетным записям на сайте Оператора, с использованием логина и пароля, присвоенного соответствующему Субъекту ПДн в рамках заключенного им с Оператором договора об оказании услуг.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. ПРИНЦИПЫ ОБРАБОТКИ ПДН

Обработка ПДн Оператором осуществляется с соблюдением следующих принципов, установленных законодательством Российской Федерации:
• обработка ПДн осуществляется на законной и справедливой основе;
• обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка ПДн, несовместимая с целями сбора ПДн;
• не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только ПДн, которые отвечают целям их обработки;
• содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки ПДн и не должны быть избыточными по отношению к заявленным целям их обработки;
• при обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн. Оператор принимает необходимые меры по удалению или уточнению неполных и (или) неточных данных;
• хранение ПДн в форме, позволяющей определить субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого является субъект ПДн;
• обрабатываемые ПДн подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Законодательством о персональных данных;
• обеспечение конфиденциальности и безопасности обрабатываемых персональных данных.

4. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПДН

Правовыми основаниями обработки ПДн Оператором являются:
• Конституция Российской Федерации;
• Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ;
• Федеральный закон от 21.11.2011 № 323-ФЗ «Об охране здоровья граждан в Российской Федерации»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Требования к защите персональных данных при их обработке в информационных системах персональных данных, утвержденные постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
• Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденные постановлением Правительства Российской Федерации от 15.09.2008 № 687;
• Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные приказом Федеральной службы по техническому и экспортному контролю Российской Федерации от 18.02.2013 № 21;
• Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности, утвержденные приказом Федеральной службы безопасности Российской Федерации от 10.07.2014 № 378;
• Перечень случаев, при которых к операторам, осуществляющим трансграничную передачу персональных данных в целях выполнения возложенных международным договором Российской Федерации, законодательством Российской Федерации на государственные органы, муниципальные органы функций, полномочий и обязанностей, не применяются требования частей 3–6, 8–11 статьи 12 Федерального закона «О персональных данных», утвержденные постановлением Правительства РФ от 29.12.2022 № 2526;
• Правила принятия решения о запрещении или об ограничении трансграничной передачи персональных данных уполномоченным органом по защите прав субъектов персональных данных и информирования операторов о принятом решении, утвержденные постановлением Правительства РФ от 10.01.2023 № 6;
• Правила принятия решения уполномоченным органом по защите прав субъектов персональных данных о запрещении или об ограничении трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан, утвержденные постановлением Правительства РФ от 16.01.2023 № 24;
• Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утвержденный приказом Роскомнадзора от 05.08.2022 № 128;
• Порядок и условия взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденный приказом Роскомнадзора от 14.11.2022 № 187;
• Порядок взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных, утвержденный приказом ФСБ России от 13.02.2023 № 77;
• Требования к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», утвержденные приказом Роскомнадзора от 27.10.2022 № 178;
• Требования к подтверждению уничтожения персональных данных, утвержденные приказом Роскомнадзора от 28.10.2022 № 179;
• иные нормативные правовые акты.

5. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, СОСТАВ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, СПОСОБЫ, СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ, ПОРЯДОК ИХ УНИЧТОЖЕНИЯ

5.1. Категории субъектов ПДн.
Оператором осуществляется обработка ПДн следующих категорий субъектов:
• кандидаты на вакантные должности;
• работники Оператора;
• уволенные работники Оператора;
• близкие родственники работников Оператора;
• потенциальные и действующие контрагенты (физические лица, индивидуальные предприниматели, представители юридических лиц);
• пациенты, родственники пациентов, а также их представители (в том числе законные);
• физические лица, направившие Оператору обращения;
• физические лица, являющиеся посетителями офиса Общества;
• физические лица, являющиеся посетителями сайта Общества.
5.2. Цели обработки ПДн
5.2.1. Обработка ПДн кандидатов на вакантные должности осуществляется в целях привлечения и отбора Соискателей на работу у Оператора.
5.2.2. Обработка ПДн работников осуществляется в целях:
• заключения, исполнения, прекращения трудовых договоров;
• выполнения обязательств в рамках трудовых отношений, а также обязательств, связанных с трудовыми отношениями, предусмотренных трудовым, пенсионным, налоговым законодательством Российской Федерации;
• предоставления социальных льгот и компенсаций работникам и (или) родственникам работников в случаях и порядке, установленном действующим законодательством Российской Федерации;
• организации пропускного режима на территорию Оператора.
5.2.3. Обработка ПДн уволенных работников осуществляется в целях:
• выполнения обязательств в соответствии с налоговым законодательством, законодательством о бухгалтерском учете.
5.2.4. Обработка ПДн близких родственников работников осуществляется в целях предоставления социальных льгот и компенсаций работникам и (или) близким родственникам работников в случаях и порядке, установленном действующим законодательством Российской Федерации.
5.2.5. Обработка ПДн потенциальных, действующих контрагентов (представителей юридических лиц, физических лиц, индивидуальных предпринимателей) осуществляется в целях:
• заключения, исполнения, прекращения договоров с контрагентами;
• выполнения обязательств в соответствии с налоговым законодательством, законодательством о бухгалтерском учете;
• продвижения услуг, направления рекламно-информационных сообщений;
• информационно-сервисного обслуживания;
• повышения качества обслуживания и оказываемых услуг;
• реализации пропускного режима на территорию Общества.
5.2.6. Обработка ПДн пациентов, родственников пациентов, а также их представителей (в т.ч. законных) осуществляется в целях:
• информационно-сервисного обслуживания;
• продвижения услуг, направления рекламно-информационных сообщений;
• повышения качества обслуживания и оказываемых услуг;
• обеспечения соблюдения законодательства Российской Федерации в сфере здравоохранения.
5.2.7. Обработка ПДн физических лиц, направивших Оператору обращения, осуществляется в целях обеспечения связи с Субъектом ПДн
5.3. Состав обрабатываемых ПДн
5.3.1. Для цели, указанной в п. 5.2.1, осуществляется обработка следующих ПДн кандидатов на вакантные должности:
• фамилия, имя, отчество, информация о смене фамилии, дата рождения, данные документа, удостверяющего личность, место рождения, адрес регистрации, дата регистрации, адрес фактического проживания, ИНН, СНИЛС, информация о наличии загранпаспорта, семейное положение;
• информация о ближайших родственниках, в составе: ФИО, степень родства, дата и место рождения, место работы, должность, домашний адрес, номер телефона;
• адрес электронной почты (e-mail), номер телефона;
• информация об образовании;
• информация о предыдущем месте работы и опыте работы;
• информация о воинском учете;
• хобби/увлечения/интересы (по желанию).
5.3.2. Для цели, указанной в п. 5.2.2, осуществляется обработка следующих ПДн работников:
• фамилия, имя, отчество, дата и место рождения, данные документа, удостоверяющего личность, адрес регистрации, дата регистрации, адрес фактического проживания, пол, гражданство, место работы;
• телефонный номер, ИНН, СНИЛС, сведения, содержащиеся в документах воинского учета, сведения об образовании, сведения о занимаемой должности, сведения о доходах, фотография;
• адрес электронной почты, сведения о семейном положении, сведения о составе семьи, сведения о наградах, сведения об отнесении к категориям ветеранов;
• сведения о социальных льготах, которые предоставляются в соответствии с законодательством Российской Федерации, а также коллективными договорами и внутренними нормативными документами Общества;
• сведения о владении иностранными языками, сведения о наличии ученой степени, ученого звания;
• номер банковского счета, кредитных и дебетовых карт;
• сведения об участии в коммерческих организациях;
• сведения о принадлежащих акциях, долях участия в уставных капиталах юридических лиц;
• сведения об участии в органах управления юридических лиц;
• сведения об аттестации, о дисциплинарных взысканиях, табельный номер.
5.3.3. Для цели, указанной в п. 5.2.3, осуществляется обработка следующих ПДн уволенных работников:
• фамилия, имя, отчество;
• адрес электронной почты;
• номер телефона;
• ИНН.
5.3.4. Для цели, указанной в п. 5.2.4, осуществляется обработка следующих ПДн близких родственников работников:
• фамилия, имя, отчество;
• степень родства;
• дата и место рождения;
• место работы;
• должность;
• номер телефона.
5.3.5. Для цели, указанной в п. 5.2.5, осуществляется обработка следующих ПДн потенциальных и действующих контрагентов (физических лиц, индивидуальных предпринимателей, представителей юридических лиц):
• фамилия, имя, отчество;
• дата и место рождения;
• паспортные данные;
• ИНН, СНИЛС;
• номер телефона;
• адрес электронной почты;
• адрес проживания.
5.3.6. Для цели, указанной в п. 5.2.6, осуществляется обработка следующих ПДн:
• фамилия, имя, отчество; дата рождения; место рождения; пол; адрес электронной почты; адрес места жительства; адрес регистрации по месту жительства; номер телефона; СНИЛС; гражданство; данные документа, удостоверяющего личность; профессия; наименование работодателя;
• сведения о состоянии здоровья;
• данные об изображении лица;
• номер полиса обязательного медицинского страхования застрахованного лица; номер полиса добровольного медицинского страхования;
• сведения об организации, оказавшей медицинские услуги; вид оказанной медицинской помощи; факт обращения гражданина за оказанием медицинской помощи; условия оказания медицинской помощи; сроки оказания медицинской помощи; объем оказанной медицинской помощи; результат обращения за медицинской помощью; сведения об оказанных медицинских услугах.
5.3.7. Для цели, указанной в п. 5.2.7, осуществляется обработка следующих ПДн физических лиц, направивших в Общество обращения:
• фамилия, имя, отчество;
• номер основного документа, удостоверяющего личность Субъекта ПДн, сведения о дате выдачи указанного документа и выдавшем его органе;
• телефон;
• адрес электронной почты.
5.4. Категории обрабатываемых ПДн
5.4.1. Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных и философских убеждений, интимной жизни, судимости физических лиц.
5.4.2. Оператор вправе осуществлять обработку биометрических персональных данных, а именно фотоизображение Субьекта ПДн с целью идентификации работников Оператора, при установлении личности работников.
5.4.3. Оператором могут создаваться общедоступные источники, содержащие ПДн работников Оператора, а именно: фамилия, имя, отчество, месяц и дата рождения, мобильный телефон, должность, фотоизображения лица, образование с целью организации информационного обеспечения в Обществе на основании письменного согласия Субъекта ПДн.
5.4.4. Обработка ПДн осуществляется Оператором с использованием средств автоматизации, а также без использования таких средств (на бумажных носителях информации).
5.4.5. Сроки обработки и хранения ПДн определяются в соответствии с:
• целями обработки ПДн субъектов ПДн;
• договором, стороной которого является субъект ПДн;
• согласием субъекта ПДн на обработку его ПДн;
• требованиями законодательства Российской Федерации.
5.4.6. Прекращение обработки и уничтожение ПДн осуществляется:
• по требованию субъекта прекратить обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
• по требованию Роскомнадзора об уничтожении недостоверных или полученных незаконным путем ПДн;
• при выявлении неправомерной обработки ПДн;
• при отзыве согласия субъекта ПДн на обработку его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
• по требованию субъекта ПДн прекратить обработку его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
• при утрате необходимости в достижении целей обработки ПДн;
• по достижении целей обработки;
• по истечении установленных сроков хранения ПДн.

6. ПРАВА СУБЬЕКТА ПДН

Субъект ПДн имеет право:
• свободно, своей волей и в своем интересе предоставлять свои ПДн и давать согласие на их обработку;
• отозвать свое согласие на обработку ПДн;
• получать информацию, касающуюся обработки своих ПДн в порядке, форме и в сроки, установленные Законодательством о ПДн;
• требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее;
• требовать прекращения обработки своих ПДн;
• требовать прекращения обработки своих ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
• заявлять возражение против решения, принятого исключительно на основании автоматизированной обработки ПДн;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке, если считает, что Оператор осуществляет обработку его ПДн с нарушением требований Закона № 152-ФЗ или иным образом нарушает его права и свободы;
• принимать предусмотренные законодательством Российской Федерации меры по защите своих прав и законных интересов, в том числе право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

7. ОБЯЗАННОСТИ ОПЕРАТОРА ПРИ ОБРАБОТКЕ ПДН

7.1. Оператор при осуществлении обработки ПДн обязан:
• опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
• уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
• при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
• разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
• обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
• не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
• разъяснить субъекту ПДн порядок принятия решения на основании исключительно автоматизированной обработки его ПДн и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения;
• предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
• внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
• немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
• уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
• в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
• по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
• Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн Субъекта.
• принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
• уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
• осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
• сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2. Оператор имеет право:
• обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
• требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
• ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
• блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
• осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
• поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.

8. ОСНОВНЫЕ УЧАСТНИКИ СИСТЕМЫ УПРАВЛЕНИЯ ПРОЦЕССОМ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В целях осуществления эффективного управления процессом обработки персональных данных определены следующие основные его участники:
8.1. Генеральный директор Оператора:
8.1.1. Определяет, рассматривает и утверждает политику Оператора в отношении обработки персональных данных.
8.1.2. Принимает решения по реализации действий Оператора, связанных с использованием персональных данных, подверженных риску.
8.2. Лицо, ответственное за организацию обработки и защиту персональных данных:
8.2.1. Разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с законодательством о персональных данных, настоящей Политикой, внутренними нормативными документами Оператора.
8.2.2. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
▪ Разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся вопросов обработки персональных данных, требований к защите персональных данных;
▪ Организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, настоящей Политики, внутренних документов Оператора по вопросам обработки персональных данных, требований к защите персональных данных;
▪ Осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
▪ Осуществляет оценку влияния процессов на права и свободы Субъектов ПДн;
▪ Осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области обработки и защиты персональных данных;
▪ Осуществляет ведение учета процедур и средств обработки персональных данных;
▪ Осуществляет контроль наличия и полноты содержания договоров поручения на обработку персональных данных, договоров на передачу персональных данных;
▪ Осуществляет разработку и организацию применения правовых, организационных и технических мер защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных;
▪ Осуществляет определение угроз безопасности персональных данных при их обработке;
▪ Осуществляет организацию и контроль уровня защищенности информационных систем персональных данных;
▪ Осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
▪ Разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
▪ Организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Оператора, требований к защите персональных данных;
▪ Организует прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов;
▪ Осуществляет методологическую помощь структурным подразделениям Оператора по вопросам взаимодействия с органами государственной власти и надзорными органами по вопросам обработки персональных данных;
▪ Осуществляет взаимодействие с органами государственной власти по вопросам защиты персональных данных;
▪ Осуществляет уведомление надзорного органа в соответствии с применимыми требованиями о фактах утечки персональных данных;
▪ Организует оповещение Субъектов персональных данных о фактах утечки их персональных данных.
8.3. Руководитель юридического департамента Оператора:
8.3.1. Осуществляет мониторинг законодательства и доведение до сведения заинтересованных лиц и подразделений информации об изменении правовых норм;
8.3.2. Обеспечивает правовую защиту интересов Оператора в судах и государственных органах по спорам, связанным с обработкой персональных данных, а также при рассмотрении административных дел, связанных с нарушением законодательства в указанной сфере.

9. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1. Сбор ПДн
9.1.1. Сбор ПДн осуществляется непосредственно у самого субъекта ПДн.
При сборе ПДн на страницах сайта Оператор предоставляет субъекту ПДн возможность ознакомиться с настоящей Политикой и дать согласие на обработку ПДн свободно, своей волей и в своем интересе.
9.1.2. Если в соответствии с законодательством Российской Федерации предоставление ПДн и (или) получение Оператором согласия на обработку ПДн являются обязательными, Оператор разъясняет субъекту ПДн юридические последствия отказа предоставить его ПДн и (или) дать согласие на их обработку.
9.1.3. Оператор не отказывает работникам в заключении трудового договора в случае отказа предоставить биометрические ПДн и (или) дать согласие на обработку ПДн, если в соответствии с законодательством Российской Федерации предоставление биометрических ПДн и получение Оператором согласия на обработку ПДн не является обязательным.

9.2. Условия передачи ПДн третьим лицам.
9.2.1. Предоставление ПДн органам государственной власти, органам местного самоуправления, а также иным уполномоченным органам допускается в случаях и на основаниях, предусмотренных законодательством Российской Федерации.
9.2.2. Передача ПДн между подразделениями Оператора осуществляется только между работниками, имеющими доступ к ПДн субъектов.
9.2.3. Передача ПДн субъекта третьему лицу осуществляется только с согласия субъекта ПДн. В согласии субъекта ПДн указываются сведения о третьем лице (третьих лицах), которому (которым) передаются ПДн, а также цель передачи ПДн.
9.2.4. Передача ПДн или поручение обработки ПДн третьему лицу осуществляется на основании договора, существенными условиями которого являются соблюдение третьим лицом конфиденциальности и обеспечение безопасности ПДн в соответствии с требованиями Законодательства о ПДн.
9.2.5. При передаче ПДн третьим лицам, которые на основании договоров получают доступ или осуществляют обработку ПДн, Оператор ограничивает эту информацию только теми ПДн, которые необходимы для выполнения указанными лицами их функций (услуг, работ).
9.3. Трансграничная передача ПДн
Оператором может осуществляться трансграничная передача ПДн.
9.3.1. До начала трансграничной передачи ПДн Оператор определяет:
• цели трансграничной передачи ПДн;
• правовые основания трансграничной передачи ПДн;
• категории субъектов ПДн;
• состав передаваемых ПДн;
• перечень иностранных государств, под юрисдикцией которых находятся иностранные получатели ПДн (органы государственной власти, юридические или физические лица).
9.3.2. Оператор уведомляет Роскомнадзор об осуществлении трансграничной передачи ПДн.
9.3.3. Передача или поручение обработки ПДн иностранному получателю осуществляется с учетом условий и ограничений, установленных Законом № 152-ФЗ, нормативными правовыми актами Правительства Российской Федерации.
9.4. Хранение ПДн
9.4.1. Хранение ПДн осуществляется в информационных системах Оператора и на бумажных носителях.
9.4.2. Документы на бумажных носителях, резервные копии баз данных информационных систем хранятся в специально выделенных помещениях Оператора, доступ к которым предоставляется работникам в соответствии с должностными обязанностями.
9.5. Прекращение обработки и уничтожение ПДн.
9.5.1. В случае выявления неправомерной обработки ПДн при обращении субъекта ПДн или его представителя либо по запросу субъекта ПДн или его представителя либо Роскомнадзора, Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку ПДн и в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки ПДн, уничтожает такие ПДн.
9.5.2. В случае отзыва субъектом согласия на обработку его ПДн Оператор прекращает такую обработку и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожает ПДн в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено законодательством Российской Федерации, нормами архивного хранения документов, содержащих ПДн, а также договором, стороной которого является субъект.
9.5.3. В случае обращения субъекта ПДн с требованием о прекращении обработки ПДн Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты получения соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных законодательством Российской Федерации.
9.5.4. В случае утраты необходимости в достижении целей Оператор уничтожает обрабатываемые ПДн в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством Российской Федерации.
9.5.5. В случае достижения целей обработки ПДн, а также по истечении установленных сроков хранения ПДн Оператор уничтожает обрабатываемые ПДн в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством Российской Федерации.

10. КОНФИДЕНЦИАЛЬНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1. Доступ к ПДн ограничивается в соответствии с законодательством Российской Федерации.
10.2. Доступ к обрабатываемым ПДн предоставляется только тем работникам Оператора, которым он необходим в связи с исполнением ими своих должностных обязанностей.
10.3. Работники Оператора, получившие доступ к ПДн, принимают на себя обязательства по обеспечению конфиденциальности и безопасности обрабатываемых ПДн.
10.4. Оператор не раскрывает третьим лицам и не распространяет ПДн без согласия на это субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации.
10.5. Третьи лица, получившие доступ к ПДн, или осуществляющие обработку ПДн по поручению Оператора, обязуются соблюдать требования договоров и соглашений с Оператором в части обеспечения конфиденциальности и безопасности ПДн.

11. БЕЗОПАСНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

11.1. Оператором соответствующими распорядительными документами назначены лица, ответственные за организацию обработки и обеспечение безопасности ПДн.
11.2. В целях обеспечения безопасности ПДн Оператором выполняются следующие мероприятия:
• систематическая оценка угроз безопасности ПДн при их обработке в информационных системах ПДн;
• оценка причинения вреда и (или) нанесения ущерба субъектам ПДн в случае нарушения Законодательства о персональных данных;
• определение необходимого уровня защищенности ПДн, обрабатываемых в информационных системах Оператора, в соответствии с постановлением Правительства РФ от 01.11.2012 г. №1119 «Об утверждении требований к защите ПДн при их обработке в информационных системах персональных данных»;
• разграничение доступа к информационным системам ПДн, материальным носителям (документам), съемным (машинным) носителям ПДн;
• регистрация и учет действий пользователей и администраторов информационных систем с ПДн, программными средствами информационных систем, съемными (машинными) носителями и средствами защиты информации;
• предотвращение внедрения в информационные системы Общества вредоносных программ;
• использование защищенных каналов связи;
• резервирование и восстановление работоспособности технических средств и программного обеспечения, баз данных и средств защиты информационных систем;
• исключение возможности бесконтрольного прохода в офисы Оператора, а также в помещения, где размещены технические средства, позволяющие осуществлять обработку ПДн, а также хранятся носители ПДн;
• выявление инцидентов, связанных с нарушением требований по обработке и обеспечению безопасности ПДн, и реагирование на них;
• повышение уровня знаний работников Оператора в сфере обработки и обеспечения безопасности ПДн;
• проведение внутренних и внешних проверок (аудитов) соответствия безопасности ПДн требованиям настоящей Политики, внутренних документов Оператора, требованиям Законодательства о персональных данных;
• оценка эффективности принимаемых мер по обеспечению безопасности ПДн и совершенствование системы защиты ПДн.

12. ПОРЯДОК РАССМОТРЕНИЯ ОБРАЩЕНИЙ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

12.1. Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов от субъектов ПДн производится Оператором в объеме и сроки, предусмотренные Законом № 152-ФЗ. Установленный Законом № 152-ФЗ срок ответа субъекту на запрос о предоставлении информации, касающейся обработки его ПДн, может быть продлен не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
12.2. Запрос, направляемый субъектом ПДн, должен содержать информацию, предусмотренную Законом № 152-ФЗ.
12.3. Оператор, получив обращение/запрос субъекта ПДн и убедившись в его законности предоставляет сведения, указанные в запросе, субъекту ПДн и/или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики обращения/запроса. Предоставляемые Оператором сведения не должны содержать ПДн, принадлежащие другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.
12.4. Оператор вправе отказать субъекту ПДн в удовлетворении требований, указанных в обращении, путем направления субъекту ПДн или его представителю мотивированного отказа, если у Оператора в соответствии с законодательством Российской Федерации имеются законные основания отказать в выполнении/удовлетворении поступивших требований.
12.5. Оператором осуществляется контроль за приемом и обработкой обращений субъектов ПДн в целях обеспечения соблюдения прав и законных интересов субъектов ПДн, требований к срокам обработки обращений, обеспечения качества и полноты принятия мер в отношении законного требования субъекта ПДн и предоставления необходимой информации по его обращению в соответствии с Порядком работы с обращениями субъектов персональных данных или их представителей, и запросами уполномоченного органа по защите прав субъектов персональных данных.

13. УВЕДОМЛЕНИЕ УПОЛНОМОЧЕННОГО ОРГАНА ПО ЗАЩИТЕ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

13.1. В случаях, установленных Законом № 152-ФЗ, Оператор направляет в Роскомнадзор уведомление об обработке ПДн, а также уведомление об осуществлении трансграничной передачи ПДн.
13.2. В случае изменений сведений об обработке ПДн и осуществлении трансграничной передачи ПДн Оператора уведомляет об этом Роскомнадзор в порядке и сроки, установленные Законом № 152-ФЗ.
13.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Оператор с момента выявления такого инцидента, уведомляет Роскомнадзор:
• в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов ПДн, и предполагаемом вреде, нанесенном правам субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а также о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором, по вопросам, связанным с выявленным инцидентом;
• в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).
13.4. Оператор сообщает по запросу Роскомнадзора необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес Роскомнадзора мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

14. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

14.1. Настоящая Политика подлежит пересмотру и совершенствованию на регулярной основе в случаях изменения Законодательства о персональных данных или внутренних документов Оператора, определяющих порядок обработки и защиты ПДн.
14.2. Контроль исполнения требований настоящей Политики осуществляется лицами, ответственными за организацию обработки и обеспечение безопасности ПДн Оператора.
14.3. Ответственность должностных лиц Оператора, имеющих доступ к ПДн, за невыполнение требований и норм, регулирующих обработку и защиту ПДн, определяется в соответствии с законодательством Российской Федерации и внутренними нормативным документами Оператора.

15. КОНТАКТНАЯ ИНФОРМАЦИЯ

Любые обращения, касающиеся обработки ПДн, направляются на электронную почту: pd@medscangroup.ru, либо на почтовый адрес: 121205, Инновационный центр Сколково, Большой б-р, д. 40, БЦ «Амальтея».

ПЕРЕЧЕНЬ

ОРГАНИЗАЦИЙ, ВХОДЯЩИХ В ГРУППУ КОМПАНИЙ «МЕДСКАН», И ПАРТНЕРОВ

АО «Медскан», ОГРН 1207700227118
ООО «Управляющая компания «Медассист», ОГРН 1154632010290
ООО «Медассист», ОГРН 1144632000688
ООО «Медассист–К», ОГРН 1027700262810
ООО «Центр медицинских осмотров и профилактики», ОГРН 1124632007500
Филиал компании с ограниченной ответственностью «Хадасса Медикал ЛТД»
ООО «Медскан», ОГРН 1147746128694
ООО «Клиника репродукции «Философия жизни», ОГРН 1125906003046
АО «Медицинский центр «Философия красоты и здоровья», ОГРН 1055903435422
ООО «Клиника «Любимый доктор», ОГРН 1175958025121
ООО «Клинический Госпиталь на Яузе», ОГРН 1117746919597
ООО «Интермед», ОГРН 5157746083622
ООО «Премиум Мед», ОГРН 1067746459571
ООО МЦ «Диагностика «Экстра–Новочеркасск», ОГРН 1156183002491
ООО ДЦ «Черноземье Регион Плюс», ОГРН 1073668009898
ООО МЦ «Диагностика Экстра Черноземье» , ОГРН 1143668023520
ООО ДЦ «Черноземье плюс», ОГРН 1073668009898
ООО «Диагностика–Экстра Камышин», ОГРН 1103453001673
ООО «МРТ–Регионы» , ОГРН 1193668010623
ООО МЦ «Диагностика Экстра–Астрахань», ОГРН 1103023000673
ООО «ММЦРДиЛОЗ» , ОГРН 1123668003601
ООО МЦ «Диагностика Экстра–Белореченск», ОГРН 1172375034050
ООО «МЦ «Диагностика Экстра–Сочи», ОГРН 1162366056027
ООО МЦ «Диагностика Экстра–Новороссийск», ОГРН 1122315001049
ООО МЦ «Диагностика Экстра Новороссийск», ОГРН 1192375032277
ООО МЦ «Диагностика Экстра–Миллерово» , ОГРН 1156196056114
ООО Центр магнитно–резонансной томографии «Эксперт», ОГРН 1096234003854
ООО «Медскан Лаб», ОГРН 1227700484076
ООО «Диагностика», ОГРН 1195027022057
ООО «КДЛ Тест», ОГРН 1047844011313
ООО «КДЛ Домодедово–Тест», ОГРН 1045002010085
ООО «КДЛ Сибирь», ОГРН 1135476080508
ООО «Медицинский центр «Диапазон», ОГРН 1035900995723
ООО «КДЛ Северо–Запад», ОГРН 1165027065532
ООО «КДЛ Ярославль–Тест», ОГРН 1137604011005
ООО «КДЛ Новокузнецк–Тест», ОГРН 1134217004712
ООО «КДЛ Центр», ОГРН 1165027065510
ООО «КДЛ Омтест», ОГРН 1045553003066
ООО «КДЛ Уфа–Тест», ОГРН 1130280029505
ООО «Казанский лабораторный центр», ОГРН 1101690022037
ООО «Медскан Петрозаводск», ОГРН 1231000001650
ООО «Медскан Хабаровск», ОГРН 1222700011929
ООО «ММЦ Медикал Он Груп – Иркутск», ОГРН 1053811066374
ООО «ММЦ Медикал Он Груп – Тольятти», ОГРН 1066320169596
ООО «Медикал Он Груп Инвестиции», ОГРН 1127746340842
ООО «ММЦ Медикал Он Груп – Красноярск», ОГРН 1112468058196
ООО «ММЦ Медикал Он Груп – Одинцово», ОГРН 1065032015971
ООО «ММЦ Медикал Он Груп – Самара», ОГРН 1046300010492
ООО «ММЦ Медикал Он Груп – Новосибирск», ОГРН 1105476013114
ООО «ММЦ Медикал Он Груп – Балашиха», ОГРН 1125001005106
ООО «ММЦ Медикал Он Груп – Мытищи», ОГРН 1095029007721
ООО «ТМК Санкт–Петербург», ОГРН 1157847172108
ООО «ММЦ Медикал Он Груп – Уфа», ОГРН 1050204217557
ООО «ММЦ Медикал Он Груп – Санкт–Петербург Восток», ОГРН 1137847057204
ООО «ММЦ Медикал Он Груп – Оренбург», ОГРН 1035608456938
ООО «ММЦ Медикал Он Груп – Подольск», ОГРН 1145074002325
ООО «ММЦ Медикал Он Груп – Белгород», ОГРН 1133123009832
ООО «ММЦ Медикал Он Груп – Пермь», ОГРН 1085903007211
ООО «ММЦ Медикал Он Груп – Хабаровск», ОГРН 1082723005870
ООО «ММЦ Медикал Он Груп – Тюмень», ОГРН 1107232013096
ООО «ММЦ Медикал Он Груп – Люберцы», ОГРН 1105027000484
ООО «ММЦ Медикал Он Груп – Ярославль», ОГРН 1087604019667
ООО «Телла Медика Консалтинг», ОГРН 1105032004054
ООО «ТМК Подмосковье», ОГРН 1155032013927