Политика в отношении обработки персональных данных

Назначение и область действия
1. Настоящая Политика в отношении обработки персональных данных (далее соответственно – Политика) является локальным нормативным актом ФГБУ «НМИЦ онкологии им. Н.Н. Петрова» Минздрава России (далее - Оператор), разработанным в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных (далее также – ПДн) Оператором, в том числе, защиты прав на неприкосновенность частной жизни, личную и семейную тайну, соблюдение требований законодательства Российской Федерации в области персональных данных.
2. Политика определяет цели и общие принципы обработки персональных данных, а также общие требования к реализуемым Оператором мерам, направленным на защиту прав субъектов ПДн.
3. Политика распространяется на работников Оператора, лиц, состоящих в образовательных отношениях с Оператором (обучающихся) и контрагентов Оператора по гражданско-правовым и иным договорам, если соблюдение требований Политики относится к условиям таких договоров.
4. Требования Политики учитываются в отношении с иными лицами, в случае возникновения необходимости участия таких лиц в процессах обработки Оператором ПДн.
5. Политика является общедоступным документом, декларирующим концептуальные основы деятельности Оператора при обработке ПДн. Политика подлежит размещению на официальном сайте Оператора в информационно-телекоммуникационной сети «Интернет».
6. В Политике используются термины и определения в соответствии с их значениями, как они определены в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ).
7. Права и обязанности субъектов, ПДн которых обрабатываются Оператором, определены Законом № 152-ФЗ.
8. Обработку ПДн вправе осуществлять все работники Оператора в рамках выполнения своих трудовых функций и должностных обязанностей, в соответствии с требованиями законодательства Российской Федерации и локальных актов Оператора.
9. Работники оператора несут дисциплинарную, административную и уголовную ответственность за нарушение требований законодательства Российской Федерации в области персональных данных.
Правовые основания обработки ПДн
1. Правовым основанием обработки ПДн является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку ПДн, которая включает в себя: Конституция Российской Федерации; Гражданский кодекс Российской Федерации; Трудовой кодекс Российской Федерации; Налоговый кодекс Российской Федерации; Федеральный закон от 12.01.1996 № 7-ФЗ «О некоммерческих организациях»; Федеральный закон от 23.08.1996 № 127-ФЗ «О науке и государственной научно-технической политике»; Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»; Федеральный закон от 30.03.1999 № 52-ФЗ «О санитарно-эпидемиологическом благополучии населения»; Федеральный закон от 16.07.1999 № 165-ФЗ «Об основах обязательного социального страхования»; Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»; Федеральный закон от 25.12.2008 № 273-ФЗ «О противодействии коррупции»; Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг»; Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»; Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»; Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»; иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.
2. Правовым основанием обработки ПДн также являются: учредительные документы Оператора; гражданско-правовые и иные договоры, заключаемые между Оператором и субъектами ПДн; согласие субъектов ПДн на обработку их ПДн.
Цели обработки ПДн
1. Оператор осуществляет обработку ПДн в следующих целях:
  1. осуществление научной (научно-исследовательской), научно-технической деятельности и экспериментальных разработок;
  2. оказание гражданам медицинской помощи и выполнение обязанностей медицинской организации;
  3. оказание образовательных услуг и осуществление образовательной деятельности, в том числе оформление и прекращение образовательных отношений, выполнение иных обязанностей организации, осуществляющей обучение;
  4. выполнение функций национального медицинского исследовательского центра;
  5. оформление, осуществление и прекращение трудовых отношений;
  6. оформление, осуществление и прекращение гражданско-правовых отношений с физическими и юридическими лицами;
  7. формирование первичной и отчётной документации, её хранение в течение сроков, установленных законодательством Российской Федерации.
2. Оператор осуществляет обработку ПДн также в целях выполнение обязанностей юридического лица, установленных законодательством Российской Федерации.
Категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн
1. Оператор обрабатывает общие и специальные категории ПДн.
2. В перечень общих категорий ПДн, обрабатываемых Оператором, входят:
  1. фамилия, имя, отчество (последнее - при наличии);
  2. пол;
  3. дата рождения;
  4. место рождения;
  5. гражданство;
  6. данные документа, удостоверяющего личность;
  7. место жительства;
  8. дата регистрации;
  9. место регистрации;
  10. семейное положение;
  11. сведения о документе, подтверждающем полномочия законного представителя физического лица;
  12. реквизиты свидетельства о заключении брака;
  13. реквизиты свидетельства о рождении ребёнка;
  14. реквизиты свидетельства о смерти;
  15. реквизиты документа, подтверждающего полномочия представителя физического или юридического лица;
  16. индивидуальный номер налогоплательщика;
  17. платёжные реквизиты;
  18. страховой номер индивидуального лицевого счета (при наличии), принятый в соответствии с законодательством Российской Федерации об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования;
  19. сведения об образовании;
  20. сведения об учёной степени, учёном звании;
  21. сведения о документах воинского учёта и документа, относящихся к воинской и приравненной к ней службе;
  22. сведения о доходах, расходах, об имуществе и обязательствах имущественного характера, а также сведения о доходах, расходах, об имуществе и обязательствах имущественного характера супруги (супруга) и несовершеннолетних детей;
  23. сведения о поощрениях, наградах, дисциплинарных и иных взысканиях;
  24. сведения о судимости и факте привлечении к уголовной ответственности;
  25. сведения о документах, используемых при осуществлении миграционного учёта иностранных граждан и лиц без гражданства;
  26. сведения о служебном удостоверении;
  27. номер телефона;
  28. адрес электронной почты;
  29. почтовый адрес (адрес для корреспонденции);
  30. сведения о проездных документах;
  31. сведения о транспортном средстве, включая государственный регистрационный номер;
  32. виде- и фотоизображение, в т.ч. медицинское, субъекта ПДн;
  33. аудиозапись голоса субъекта ПДн;
  34. адрес личной страницы (сайта) в сети «Интернет», в том числе в социальных сетях;
  35. сведения о потребительских предпочтениях;
  36. электронные пользовательские данные (в т.ч. идентификаторы пользователя, сетевые адреса, файлы cookies, идентификаторы устройств, размеры и разрешение экрана, сведения об аппаратном и программном обеспечении, интернет-браузерах, операционной системе, установленных приложениях, геолокация, языковые настройки, часовой пояс, время и статистика использования информационных ресурсов Оператора, действия пользователей на веб-сайте, источники переходов на веб-страницы, отправленные поисковые запросы);
  37. копии документов субъекта ПДн.
3. В перечень общих категорий ПДн медицинских и фармацевтических работников, обрабатываемых Оператором, помимо определённых пунктом 4.2 Политики ПДн, входят:
  1. сведения об образовании, об обучении или о периоде обучения, в том числе данные об организациях, осуществляющих образовательную деятельность по реализации профессиональных образовательных программ медицинского образования и фармацевтического образования, о документах об образовании и (или) о квалификации, о договоре о целевом обучении, а также данные о сертификате специалиста или о прохождении аккредитации специалиста, сведения о результатах сдачи экзамена для получения допуска к осуществлению медицинской деятельности или фармацевтической деятельности на должностях специалистов со средним медицинским или средним фармацевтическим образованием;
  2. наименование организации, осуществляющей медицинскую деятельность, или организации, осуществляющей фармацевтическую деятельность;
  3. занимаемая должность в организации, осуществляющей медицинскую деятельность, или в организации, осуществляющей фармацевтическую деятельность;
  4. сведения о членстве в профессиональных некоммерческих организациях, указанных в статье 76 Федерального закона от 21.11.2011 N 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (при наличии).
4. В перечень общих категорий ПДн обучающихся, обрабатываемых Оператором, помимо определённых пунктом 4.2 Политики ПДн, входят:
  1. сведения об образовании:
    1. уровень профессионального образования;
    2. код и наименование специальности среднего профессионального образования, код и наименование специальности, направления подготовки высшего образования, шифр и наименование научной специальности высшего образования (по программам бакалавриата, программам специалитета, программам магистратуры, программам ординатуры, программам подготовки научных и научно-педагогических кадров в аспирантуре (адъюнктуре);
    3. наименование организации, осуществляющей образовательную деятельность по реализации профессиональных образовательных программ медицинского образования и фармацевтического образования;
    4. форма обучения (очная, очно-заочная, заочная);
    5. источник финансирования получения образования (обучение за счет бюджетных ассигнований или за счет средств физических и (или) юридических лиц);
  2. период освоения образовательной программы (дата начала и дата окончания обучения), срок освоения образовательной программы;
  3. сведения об отчислении с обучения по образовательной программе или о переводе на обучение по другой образовательной программе, в другую организацию, осуществляющую образовательную деятельность (при наличии);
  4. сведения о целевом обучении (при наличии):
    1. заказчик целевого обучения (наименование федерального государственного органа, органа государственной власти субъекта Российской Федерации, органа местного самоуправления или юридического лица либо индивидуальный предприниматель);
    2. реквизиты договора о целевом обучении, наименование организации, в которую будет трудоустроен гражданин в соответствии с договором о целевом обучении.
5. В перечень специальных категорий ПДн, обрабатываемых Оператором, входят:
6. Оператор не осуществляет обработку биометрических ПДн.
7. Оператор осуществляет обработку ПДн следующих категорий субъектов ПДн:
  1. работники;
  2. лица, намеревающиеся вступить в трудовые отношения (соискатели);
  3. пациенты и лица, обратившиеся за медицинской помощью;
  4. представители пациентов;
  5. обучающиеся;
  6. лица, намеревающиеся вступить в образовательные отношения;
  7. контрагенты – физические лица;
  8. представители контрагентов – юридических лиц;
  9. участники научных исследований;
  10. граждане, обратившиеся к Оператору в порядке, установленном законодательством Российской Федерации о порядке рассмотрения обращений граждан;
  11. должностные лица и представители органов государственной и муниципальной власти;
  12. лица, разместившие свои ПДн в общедоступных источниках ПДн;
  13. лица, ПДн которых получены Оператором на законном основании.
8. Оператор осуществляет обработку всех категории ПДн, определённых пунктами 4.2 – 4.5 Политики и относящихся ко всем субъектам ПДн, категории которых определённы пунктом 4.7 Политики, для достижения всех целей обработки ПДн, определённых разделом 3 Политики.
9. Содержание и объем обрабатываемых ПДн определяются, исходя из целей обработки. Не обрабатываются ПДн, избыточные или несовместимые по отношению к целям, определённым разделом 3 Политики.
10. Оператор осуществляет обработку ПДн, доступ неограниченного круга лиц к которым предоставлен субъектом ПДн, либо по его просьбе.
11. Обработка ПДн Оператором ведется смешанным способом: с использованием средств автоматизации и без использования средств автоматизации.
12. Оператора совершает с ПДн следующие действия: сбор; запись; систематизацию; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (распространение, предоставление, доступ); обезличивание; блокирование; удаление, уничтожение.
13. При обработке Оператор обеспечивает точность ПДн, их достаточность и актуальность по отношению к целям обработки ПДн. При обнаружении неточных или неполных ПДн может производиться их уточнение и актуализация. В случаях, когда актуализация ПДн находится вне зоны ответственности Оператора, обработка может быть приостановлена до момента актуализации. Обязанности и ответственность за своевременную актуализацию ПДн для отдельных случаев обработки могут устанавливаться соглашениями или локальными актами Оператора.
14. Обработка и хранение ПДн осуществляются не дольше, чем того требуют цели обработки ПДн, если отсутствуют законные основания для дальнейшей обработки.
15. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию при наступлении следующих условий:
  1. достижение целей обработки или максимальных сроков хранения ‑ подлежат уничтожению либо обезличиванию в течение 30 дней;
  2. утрата необходимости в достижении целей обработки ‑ в течение 30 дней;
  3. предоставление субъектом ПДн или его законным представителем подтверждения того, что ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки ‑ в течение 7 дней;
  4. невозможность обеспечения правомерности обработки ПДн - в течение 10 дней;
  5. отзыв субъектом ПДн согласия на обработку ПДн, если сохранение ПДн более не требуется для целей обработки ПДн ‑ в течение 30 дней;
  6. требование субъекта ПДн о прекращении обработки ПДн – в течение 10 дней;
  7. ликвидация (реорганизация) Оператора, если отсутствует какой-либо правопреемник Оператора.
16. ПДн могут передаваться Оператором иным органам организациям с учётом положений настоящей Политики, в случаях, предусмотренных законодательством Российской Федерации (в т.ч. без согласия субъекта ПДн), и в случаях, определённых согласиями на обработку ПДн и (или) соглашениями с субъектами ПДн.
17. В зависимости от особенности носителя, на котором находятся ПДн, подлежащие уничтожению, уничтожение ПДн происходит одним из следующих способов:
  1. с использованием шредера ‑ для персональных данных на бумажных носителях;
  2. путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации - для персональных данных на электронных носителях.
18. Уничтожение ПДн осуществляется на основании решения специально созданной Оператором комиссии. Факт уничтожения ПДн оформляется актом.
19. Трансграничная передача ПДн Оператором не осуществляется, если иное не предусмотрено законодательством Российской Федерации, согласием на обработку ПДн и (или) соглашением с субъектом ПДн.
20. В соответствии с действующим законодательством Российской Федерации оператор выполняет обработку специальных категорий ПДн, в том числе без получения согласия на обработку таких ПДн.
Обработка электронных пользовательских данных, включая cookies
1. Оператор в целях обработки ПДн, определённых Политикой, может собирать электронные пользовательские данные на своих сайтах в информационно-телекоммуникационной сети «Интернет» (далее – сайты Оператора) автоматически, без необходимости участия пользователя и совершения им каких-либо действий по отправке данных (далее – электронные пользовательские данные).
2. Достоверность собранных электронных пользовательских данных не проверяется, информация обрабатываются «как есть» в том виде, как она поступила с клиентского устройства.
3. Посетителям и пользователям сайтов Оператора могут показываться всплывающие уведомления о сборе и обработке данных cookies со ссылкой на Политику и предоставлением технической возможности принятия условий обработки, либо закрытия всплывающего уведомления.
4. Уведомления, определённые пунктом 5.3 Политики, означают, что при посещении и использовании сайтов Оператора в браузере на устройстве пользователя может сохраняться информация (например, данные cookies), позволяющая в дальнейшем идентифицировать пользователя или устройство, запомнить сеанс работы или сохранить некоторые настройки и предпочтения пользователя, специфичные для этих конкретных сайтов. Такая информация после сохранения в браузер и до истечения установленного срока действия или удаления с устройства отправляется при каждом последующем запросе на сайт в сети «Интернент», от имени которого они были сохранены, вместе с этим запросом для обработки на стороне Оператора.
5. Обработка данных cookies необходима Оператору для корректной работы сайтов Оператора, в частности, их функций, относящихся к доступу; персонализации пользователей; повышения эффективности и удобства работы с сайтами, а также для иных целей, предусмотренных Политикой.
6. Кроме обработки данных cookies, установленных самими сайтами Оператора, пользователям и посетителям могут устанавливаться cookies, относящиеся к сайтам сторонних организаций, например, в случаях, когда на сайтах Оператора используются сторонние компоненты и программное обеспечение. Обработка таких cookies регулируется политиками соответствующих сайтов, к которым они относятся, и может изменяться без уведомления пользователей сайтов Оператора. К таким случаям может относиться размещение на сайтах:
  1. счетчиков посещений, аналитических и статистических сервисов, таких как Яндекс.Метрика, для сбора статистики посещаемости общедоступных страниц сайтов;
  2. виджетов вспомогательных сервисов для сбора обратной связи, организации чатов и иных видов коммуникаций с пользователями;
  3. функций авторизации на сайтах с помощью учетных записей в социальных сетях.
7. Принятие пользователем условий обработки cookies или закрытие всплывающего уведомления в соответствии с Политикой расценивается как согласие на обработку данных cookies на сайтах Оператора.
8. В случае если пользователь не согласен с обработкой cookies, он должен принять на себя риск, что в таком случае функции и возможности сайта могут не быть доступны в полном объеме, а затем следовать по одному из следующих вариантов:
  1. произвести самостоятельную настройку своего браузера в соответствии с документацией или справкой к нему таким образом, чтобы он на постоянной основе не разрешал принимать и отправлять данные cookies для любых сайтов либо для конкретного сайта Оператора или сайта стороннего компонента;
  2. переключиться в специальный режим «инкогнито» браузера для использования сайтом cookies до закрытия окна браузера или до переключения обратно в обычный режим;
  3. покинуть сайт Оператора во избежание дальнейшей обработки cookies.
9. Пользователь имеет возможность самостоятельно, через встроенные в браузеры средства работы с данными cookies управлять сохраненными данными, в том числе, удалять или просматривать сведения об установленных сайтами cookies, включая:
  1. адреса сайтов и пути на них, куда будут отправляться cookies;
  2. названия и значения параметров, хранящихся в cookies;
  3. сроки действия cookies.
Конфиденциальность и безопасность ПДн
1. Для ПДн Оператором обеспечивается конфиденциальность в соответствии с применимым законодательством, локальными актами Оператора, условиями заключенных соглашений и договоров Оператора, кроме случаев, в которых:
  1. ПДн содержатся в общедоступных источниках ПДн или разрешены субъектом для распространения;
  2. информация подлежит обязательному раскрытию третьим лицам, включая государственные органы, в соответствии с применимым к Оператору законодательству.
2. Оператор предпринимает необходимые и достаточные правовые, организационные и технические меры для обеспечения безопасности ПДн для их защиты от несанкционированного (в том числе, случайного) доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий. К таким мерам, в частности, относятся:
  1. назначение лица, ответственного за организацию обработки и обеспечение безопасности ПДн Оператора;
  2. создание локальных актов по вопросам обработки ПДн, информационной безопасности, ознакомление с ними работников;
  3. обучение работников по вопросам обработки ПДн, обеспечения информационной безопасности;
  4. обеспечение физической безопасности помещений и средств обработки, пропускной режим, охрана, видеонаблюдение;
  5. ограничение и разграничение прав доступа работников к ПДн и средствам обработки, мониторинг действий с ПДн;
  6. определение угроз безопасности ПДн при их обработке в информационных системах ПДн, формирование на их основе моделей угроз;
  7. применение средств обеспечения безопасности (антивирусных средств, межсетевых экранов, средств защиты от несанкционированного доступа, средств криптографической защиты информации), в том числе, в необходимых случаях, прошедших процедуру оценки соответствия в установленном порядке;
  8. учет и хранение носителей информации, исключающие их хищение, подмену, несанкционированное копирование и уничтожение;
  9. резервное копирование информации для возможности восстановления;
  10. осуществление внутреннего контроля за соблюдением установленного порядка, проверка эффективности принятых мер, реагирование на инциденты;
  11. проверка наличия в договорах, включение при необходимости в договоры пунктов об обеспечении конфиденциальности и безопасности ПДн;
  12. иные меры в соответствии с локальными актами Оператора.
3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Оператор уведомляет Роскомнадзор или иной уполномоченный орган в порядке, предусмотренном требованиями применимого законодательства.

Политика в отношении обработки персональных данных

Назначение и область действия

Правовые основания обработки ПДн

Цели обработки ПДн

Категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн

Обработка электронных пользовательских данных, включая cookies

Конфиденциальность и безопасность ПДн