Персональні дані

Положення про порядок обробки та захист персональних даних у КНП "Кремінська багатопрофільна лікарня".

І. Загальні положення
1.1. Положення про порядок обробки та захист персональних даних у КНП "Кремінська багатопрофільна лікарня" визначає комплекс організаційних і технічних заходів для забезпечення захисту персональних даних осіб, які звертаються до Кремінської БЛ від несанкціонованого доступу, витоку інформації, неправомірного її використання або втрати під час обробки, визначає порядок обробки персональних даних, а саме збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення.

Метою обробки персональних даних у Кремінської БЛ і є формування обліку пацієнтів, зберігання відомостей та їх використання у процесі надання медичних послуг Кремінської БЛ та, поширення корисної інформації серед пацієнтів.

1.2. Положення розроблено на підставі Закону України «Про захист персональних даних» від 1 червня 2010 р. № 2297-УІ (далі — Закон) та Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого Верховної ради України з прав людини від 08.01.2014 № 1/02-14 (далі — Типовий порядок).
1.3. Положення є обов'язковим для виконання працівниками Кремінської БЛ.
1.4. Усі терміни у цьому Положенні визначаються відповідно до Закону, Типового порядку та Закону України “Про основи законодавства України про охорону здоров’я” від 19.11.1992 № 2801-XII.
1.5. До персональних даних пацієнтів належать будь-які відомості чи сукупність відомостей про пацієнта, за якими він ідентифікується чи може бути конкретно ідентифікованим.
1.6. Персональні дані пацієнтів є конфіденційною інформацією.
1.7. Персональні дані пацієнтів Кремінської БЛ обробляються у базі персональних даних, володільцем якої є Кремінська БЛ.
1.8. Під обробкою персональних даних пацієнтів розуміється будь-яка дія або сукупність дій, здійснюваних повністю або частково у будь-якій автоматизованій системі та/або в картотеках персональних даних, які пов'язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, відновленням, використанням та поширенням, знеособленням, знищенням відомостей про пацієнтів медичного закладу.
1.9. Персональні дані у базі персональних даних «Пацієнти», обробляються за допомогою комп’ютерних систем, а за наявності необхідності можуть оброблятись і на паперових носіях.

II. Мета обробки персональних даних.
2.1. Обробка персональних даних у базі персональних даних «Пацієнти» проводиться з метою забезпечення реалізації процесу надання медичних послуг Кремінської БЛ.
2.2. Обробка персональних даних працівників є необхідною для:

• ведення обліку пацієнтів;
• підготовки визначеної законодавством статистичної та іншої звітності;
• надання медичних послуг пацієнтам;
• поширення корисної інформації серед пацієнтів;
• зберігання та використання персональних даних в процесі надання медичних послуг.

III. Склад персональних даних у базі персональних даних «Пацієнти».
3.1. Відповідно до визначеної мети обробки, нормативно-правових актів, потреб управлінської діяльності Кремінської БЛ у базі персональних даних «Пацієнти» обробляються персональні дані, необхідність обробки яких передбачена законодавством:

• прізвище, ім'я, по батькові;
• дата народження;
• паспортні дані;
• інформація про стан здоров’я та лікування пацієнта.

3.2. У Товаристві та його структурних підрозділах не обробляються відомості про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, засудження до кримінального покарання.
3.3. Працівники Кремінської БЛ, його структурних підрозділів та інші особи, яким у зв'язку з виконанням професійних або службових обов'язків стало відомо про хворобу, медичне обстеження, огляд та їх результати, інтимну і сімейну сторони життя громадянина, не мають права розголошувати ці відомості, крім передбачених законодавчими актами випадків.
3.4. Інформація щодо генетичних даних, статевого життя пацієнта, його здоров’я може бути необхідною в цілях охорони здоров’я, встановлення медичного діагнозу, для забезпечення надання Кремінської БЛ медичних послуг, а тому не неї не поширюється заборона, передбачена ч. 1 ст. 7 Закону України “Про обробку персональних даних” в порядку п. 6 ч. 2 ст. 7 цього ж Закону.

IV. Повноваження Директора Кремінської БЛ та відповідальної особи за організацію роботи, пов'язаної із захистом персональних даних «Пацієнти».
4.1. Директор Кремінської БЛ є відповідальною особою за організацію роботи відповідного спеціаліста, пов'язаного із захистом персональних даних у Кремінської БЛ.
4.2. Директор Кремінської БЛ:

• наділений контрольними функціями щодо здійснення роботи працівниками, пов’язаної із захистом персональних даних;
• затверджує проекти змін та доповнень до цього Положення;
• у випадку виявлення порушень в сфері законодавства про персональні дані, може звертатися з вимогою усунути будь-яке порушення такого характеру до відповідного спеціаліста або працівників Кремінської БЛ;
• має право призначати внутрішні розслідування щодо обставин порушень законодавства в сфері персональних даних;
• погоджує пропозиції відповідного спеціаліста щодо проведення службового розслідування за фактами порушення режимного захисту персональних даних;
• визначає Наказом склад експертної комісії, яка проводить відбір для знищення документів з персональними даними, терміни зберігання яких закінчилися.

4.2. Відповідний спеціаліст:
забезпечує:

• організацію обробки персональних даних у Кремінської БЛ в обсязі, необхідному для виконання їх функцій;
• аналіз процесів обробки персональних даних відповідно до основних завдань та функцій структурних підрозділів Кремінської БЛ, у т. ч. визначення мети, з якою обробляються персональні дані, правових підстав для обробки персональних даних;
• відповідності та не надмірності персональних даних згідно з визначеною метою їх обробки, визначення третіх осіб, та приведення переліку персональних даних у відповідність до визначеної мети та правових підстав їх обробки;
• ознайомлення працівників Кремінської БЛ та його структурних підрозділів з вимогами законодавства про захист персональних даних та змінами до нього, зокрема, щодо зобов'язання не допускати у будь-який спосіб розголошення персональних даних, які було довірено, або які стали відомі у зв'язку з виконанням посадових обов'язків;
• організацію обробки запитів щодо доступу до персональних даних суб'єктів відносин, пов'язаних з обробкою персональних даних;
• сприяє доступу суб'єктів персональних даних до власних персональних даних;
• за необхідності готує проекти змін та доповнень до цього Положення на затвердження Директору Кремінської БЛ;
• фіксує факти порушень режиму захисту персональних даних у порядку визначеному розділом VII цього Положення.

4.3. Відповідний спеціаліст має право:

• перевіряти стан дотримання працівниками Кремінської БЛ законодавства у сфері захисту персональних даних та виконання вимог цього Положення, брати участь у службових розслідуваннях з питань порушень порядку обробки та захисту персональних даних;
• розглядати вимоги працівників щодо заперечення проти обробки їх персональних даних.

V. Права пацієнта як суб'єкта персональних даних.
5.1. Пацієнт Кремінської БЛ як фізична особа, щодо якої здійснюється обробка її персональних даних є суб'єктом персональних даних.
5.2. Пацієнт має право:

• знати про джерела збирання, місце знаходження своїх персональних даних, мету їх обробки, місце знаходження володільця чи розпорядника персональних даних або дати відповідне доручення щодо отримання цієї інформації уповноваженим ним особам, крім випадків, встановлених законом;
• отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані;
• на доступ до своїх персональних даних;
• отримувати не пізніш як за тридцять календарних днів з дня надходження запиту, крім випадків, передбачених законом, відповідь про те, чи обробляються його персональні дані, а також отримувати зміст таких персональних даних;
• пред’являти вмотивовану вимогу володільцю персональних даних із запереченням проти обробки своїх персональних даних;
• пред'являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними;
• на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв'язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;
• звертатися із скаргами на обробку своїх персональних даних до Уповноваженого або до суду;
• застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних;
• вносити застереження стосовно обмеження права на обробку своїх персональних даних під час надання згоди;
• відкликати згоду на обробку персональних даних;
• знати механізм автоматичної обробки персональних даних;
• на захист від автоматизованого рішення, яке має для нього правові наслідки.

VI. Обов'язки працівників Кремінської БЛ та його структурних підрозділів, які здійснюють обробку та використовують персональні дані.
6.1. Працівники Кремінської БЛ та його структурних підрозділів, які обробляють персональні дані зобов'язані:

• бути обізнаними з вимогами Закону та інших нормативно-правових актів у сфері захисту персональних даних;
• забезпечити, відповідно до своїх посадових обов'язків, достовірне внесення інформації та ведення бази персональних даних «Пацієнти»;
• запобігати втраті персональних даних або їх неправомірному використанню;
• не розголошувати персональні дані, які їм було довірено або які стали відомі у зв'язку з виконанням посадових обов'язків, при цьому таке зобов'язання чинне після припинення ними діяльності, пов'язаної з персональними даними, крім випадків, установлених законом.

Терміново повідомляти Відповідального спеціаліста у разі:

• втрати або неумисного знищення носіїв інформації з персональними даними;
• втрати ними ключів від приміщень, сейфів, шаф, де зберігаються персональні дані;
• якщо ідентифікаційні дані для входу в медичну інформаційну систему або до системи управління сайтом стали відомі іншим особам, за винятком відповідального спеціаліста Кремінської БЛ;
• виявлення спроби несанкціонованого доступу до персональних даних.

При звільненні з роботи або переведенні на іншу посаду своєчасно передати іншому працівнику, визначеному директором Кремінської БЛ, носії інформації, що містять відомості про персональні дані, які були отримані або створені особисто чи спільно з іншими працівниками під час виконання посадових обов'язків.
6.2.Працівники Кремінської БЛ:

• здійснюють організацію та забезпечують порядок обробки персональних даних у Кремінської БЛ, в обсязі, необхідному для реалізації відносин у сфері охорони здоров'я з урахуванням вимог Закону, нормативно-правових актів, що регулюють питання захисту персональних даних, та цього Положення;
• визначають ступінь доступу інших працівників Кремінської БЛ до певного переліку, або повного обсягу персональних даних пацієнтів Кремінської БЛ;
• забезпечують дотримання умов, термінів зберігання та знищення бази персональних даних та її складових у відповідності до нормативно-правових актів;
• у межах своїх повноважень, несуть відповідальність за порядок обробки персональних даних у підрозділі, унеможливлюють доступ сторонніх осіб до бази персональних даних та несанкціонований витік інформації.

VII. Порядок обробки персональних даних у Кремінської БЛ та його структурних підрозділах.
7.1. Збирання персональних даних:

• обробка (у т. ч. збирання) персональних даних, зазначених у пункті 3.1, проводиться на підставі згоди суб’єкта персональних даних, яка надається шляхом проставлення відмітки про надання дозволу на обробку своїх персональних даних при заповненні форми реєстрації на відповідної веб-сторінці сайту medclinic-svatove.info;
• обробка персональних даних суб’єкта персональних даних також може проводитися у зв’язку переданням персональних даних третім особам, з умовами використання персональних даних яких суб’єкт персональних даних добровільного погодився у порядку, що передбачено чинним законодавством;
• зміна мети обробки, складу персональних даних і третіх осіб потребує додаткової згоди пацієнта на обробку його персональних даних;
• важаючі, що відповідно до пункту 3 статті 6 Закону, персональні дані мають бути точними, достовірними, у разі необхідності — оновлюватися, пацієнт несе відповідальність за своєчасне надання достовірних персональних даних і змін до них;
• у разі виявлення факту внесення до бази персональних даних «Пацієнти» відомостей про пацієнта, які не відповідають дійсності, такі відомості мають бути невідкладно виправлені або знищені.

7.2. Зберігання та знищення персональних даних:

• персональні дані пацієнтів зберігаються у строк не більше, ніж це необхідно відповідно до мети їх обробки, якщо інше не передбачено законодавством у сфері архівної справи та діловодства;
• в окремих визначених випадках строки зберігання персональних даних можуть визначатися згодою суб'єкта персональних даних;
• відбір для знищення документів з персональними даними, терміни зберігання яких закінчилися, проводиться експертною комісією, склад якої визначається наказом Директора Кремінської БЛ;
• знищення персональних даних здійснюється у спосіб, що виключає подальшу можливість поновлення таких персональних даних.

7.3. Використання персональних даних працівниками Кремінської БЛ.

Під використанням персональних даних пацієнтів згідно зі статтею 10 Закону розуміються будь-які дії Кремінської БЛ щодо обробки цих даних, дії щодо їх захисту, а також дії щодо надання часткового або повного права обробки персональних даних іншим суб'єктам відносин, пов'язаних із персональними даними, що здійснюються за згодою суб'єкта персональних даних чи відповідно до закону;доступ до бази персональних даних «Пацієнти» мають:

• директор – до всіх персональних даних;
• лікарі, медичні сестри, молодший медичний персонал тощо, відповідно до посадових обов'язків в обсязі, необхідному для реалізації процесу надання медичних послуг Кремінської БЛ;
• працівники Кремінської БЛ, які обробляють персональні дані, або мають доступ до них зобов'язуються не розголошувати персональні дані, які їм було довірено або які стали відомі у зв'язку з виконанням посадових обов'язків.

7.4. Облік порушень режиму захисту персональних даних:

• факти порушень режиму захисту персональних даних фіксуються актами, які складає відповідний спеціаліст медичного закладу;
• за необхідності і за фактами порушень режиму захисту персональних даних відповідальним спеціалістом призначається службове розслідування за згодою директора;
• за результатами службового розслідування на працівників, винних у порушеннях, можуть бути накладені дисциплінарні стягнення;
• виявлені порушення повинні бути терміново усунені.

VIII. Передавання персональних даних.
8.1. Передавання персональних даних пацієнтів третім особам визначається умовами згоди пацієнта на обробку його персональних даних, або відповідно до вимог Закону.
8.2. Передавання персональних даних пацієнтів третім особам допускається в мінімально необхідних обсягах і лише з метою виконання завдань, які відповідають об'єктивній причині збирання відповідних даних.
8.3. Доступ до персональних даних третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов'язання щодо забезпечення виконання вимог Закону або неспроможна їх забезпечити.
8.4. Доступ до персональних даних пацієнта може бути наданий третім особам під час надання медичних послуг Кремінської БЛ, у разі, якщо залучаються лікарі-консультанти з інших закладів охорони здоров’я, а також фізичні особи - підприємці, які здійснюють господарську діяльність з медичної практики.
8.5. Без згоди пацієнта його персональні дані можуть передаватися у випадках:

• коли передача персональних даних прямо передбачена законодавством України, і лише в інтересах національної безпеки, економічного добробуту та прав людини;
• отримання запиту від органів державної влади і місцевого самоврядування, що діють у межах повноважень, наданих законодавством України.

8.6. В інших, ніж зазначені у пункті 8.4 випадках, доступ до персональних даних пацієнта надається третім особам лише за письмової згоди пацієнта кожному запиту окремо у порядку, визначеному пунктами 3 - 5 статті 16 Закону України “Про захист персональних даних”. Запити та факти доступу таких третіх осіб до персональних даних пацієнтів підлягають реєстрації.
8.7. Пацієнт має право на одержання будь-яких відомостей про себе, що містяться у базі персональних даних «Пацієнти», без зазначення мети запиту.

IX. Захист персональних даних при їх обробці.
9.1. Захист персональних даних працівників в автоматизованій медичної системі:

• право доступу до бази персональних даних «Пацієнти» надається працівникам Кремінської БЛ, указаним у пункті 7.3 Положення, для яких, у зв’язку з виконанням посадових обов’язків, передбачено функції з обробки даних в автоматизованій системі;
• право внесення нових (редагування існуючих) персональних даних до паперових носіїв та автоматизованої системи належить тільки працівникам указаним у пункті 7.3 Положення;
• доступ осіб до персональних даних, які не визначені пунктом 7.3, забороняється;
• при переведенні на іншу посаду, яка не передбачає обробки персональних даних, або звільненні працівника, який мав право на обробку персональних даних в автоматизованій медичної системі, необхідно припинити/закрити доступ працівника до системи.

9.2. Захист персональних даних на паперових носіях:

• відповідний спеціаліст Кремінської БЛ забезпечує захист персональних даних пацієнтів на паперових носіях від несанкціонованого доступу;
• паперові носії персональних даних пацієнтів зберігаються таким чином, щоб особи, які не вказані у пункті 7.3 не мали доступу до такої інформації.