1 ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика)
является основополагающим локальным нормативным актом Общества с ограниченной
ответственностью «ЭтраМЕД» (далее — Медицинская организация, Оператор) и издана во
исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27 июля 2006 года № 152-ФЗ
«О персональных данных» (далее — Закон № 152-ФЗ) как документ, определяющий политику
Оператора в отношении обработки персональных данных и содержащий сведения о
реализуемых требованиях к защите персональных данных.
1.2. Политика разработана в целях реализации требований законодательства Российской
Федерации в области обработки и защиты персональных данных и направлена на обеспечение
защиты прав и свобод человека и гражданина при обработке его персональных данных, в том
числе защиты прав на неприкосновенность частной жизни, личной и семейной тайны, а также
на охрану врачебной тайны.
1.3. Политика подлежит обязательному опубликованию на официальном сайте Оператора в
информационно-телекоммуникационной сети «Интернет» по адресу https://этрамед.рф (в
системе доменных имён — https://xn--80aic1asl0f.xn--p1ai) на странице, посвящённой
обработке персональных данных, а также размещению на информационных стендах
Медицинской организации в целях обеспечения к ней неограниченного доступа
неопределённого круга лиц в соответствии с частью 2 статьи 18.1 Закона № 152-ФЗ.
1.4. Действие Политики распространяется на все процессы Медицинской организации, в
рамках которых осуществляется обработка персональных данных как с использованием
средств автоматизации, в том числе информационно-телекоммуникационных сетей, так и без
использования таких средств.
1.5. Положения Политики являются основой для разработки локальных актов Оператора,
регламентирующих вопросы обработки и защиты персональных данных, определяющих для
каждой цели обработки категории и перечень обрабатываемых персональных данных,
категории субъектов, способы, сроки обработки и хранения, порядок уничтожения
персональных данных, а также процедуры, направленные на предотвращение и выявление
нарушений законодательства и устранение их последствий.

2 ОСНОВНЫЕ ПОНЯТИЯ
В настоящей Политике используются понятия в значениях, определённых статьёй 3 Закона №
152-ФЗ, в том числе:
—Персональные данные: любая информация, относящаяся прямо или косвенно к
определённому или определяемому физическому лицу (субъекту персональных данных).
—Специальные категории персональных данных: персональные данные, касающиеся
расовой, национальной принадлежности, политических взглядов, религиозных или
философских убеждений, состояния здоровья, интимной жизни, обработка которых
допускается в случаях, предусмотренных статьёй 10 Закона № 152-ФЗ.
—Оператор: Общество с ограниченной ответственностью «ЭтраМЕД», самостоятельно или
совместно с другими лицами организующее и (или) осуществляющее обработку
персональных данных, а также определяющее цели обработки, состав персональных
данных, подлежащих обработке, действия (операции), совершаемые с персональными
данными.
—Субъект персональных данных: физическое лицо, которое прямо или косвенно
определено или определяемо с помощью персональных данных: пациент, законный
представитель пациента, заказчик медицинских услуг, работник, кандидат на замещение
вакантной должности, уволенный работник, родственник работника, контрагент —
физическое лицо, посетитель сайта, иное лицо.
—Обработка персональных данных: любое действие (операция) или совокупность
действий (операций), совершаемых с использованием средств автоматизации или без
использования таких средств, включая сбор, запись, систематизацию, накопление,
хранение, уточнение (обновление, изменение), извлечение, использование, передачу
(распространение, предоставление, доступ), обезличивание, блокирование, удаление,
уничтожение персональных данных.
—Распространение персональных данных: действия, направленные на раскрытие
персональных данных неопределённому кругу лиц.
—Трансграничная передача персональных данных: передача персональных данных на
территорию иностранного государства органу власти иностранного государства,
иностранному физическому или юридическому лицу.
—Уничтожение персональных данных: действия, в результате которых становится
невозможным восстановить содержание персональных данных в информационной
системе персональных данных и (или) в результате которых уничтожаются материальные
носители персональных данных.
3 СВЕДЕНИЯ ОБ ОПЕРАТОРЕ
3.1. Полное наименование: Общество с ограниченной ответственностью «ЭтраМЕД».
3.2. Идентификационный номер налогоплательщика (ИНН): 4253054861
3.3. Юридический и фактический адрес: 654059, Кемеровская область — Кузбасс,
Новокузнецкий городской округ, город Новокузнецк, улица Тореза, дом 83
3.4. Контактный телефон: +7 (905) 963-98-19.
3.5. Адрес электронной почты для обращений субъектов персональных данных: Katrinas-
19@yandex.ru.
3.6. Лицо, ответственное за организацию обработки персональных данных: Гарбуз Екатерина
Александровна.
3.7. Сведения о включении в реестр операторов, осуществляющих обработку персональных
данных: Оператор включён в реестр Федеральной службы по надзору в сфере связи,
информационных технологий и массовых коммуникаций (регистрационный номер записи 42-
24-009548, дата внесения — 19 июня 2024 года).
4 ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Обработка персональных данных осуществляется Оператором на следующих правовых
основаниях (в действующих редакциях):
—Конституция Российской Федерации;
—Гражданский кодекс Российской Федерации;
—Трудовой кодекс Российской Федерации (в том числе статьи 65, 86–90);
—Налоговый кодекс Российской Федерации;
—Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
—Федеральный закон от 21 ноября 2011 года № 323-ФЗ «Об основах охраны здоровья
граждан в Российской Федерации»;
—Федеральный закон от 29 ноября 2010 года № 326-ФЗ «Об обязательном медицинском
страховании в Российской Федерации»;
—Федеральный закон от 1 апреля 1996 года № 27-ФЗ «Об индивидуальном
(персонифицированном) учёте в системах обязательного пенсионного страхования и
обязательного социального страхования»;
—Федеральный закон от 15 декабря 2001 года № 167-ФЗ «Об обязательном пенсионном
страховании в Российской Федерации»;
—Федеральный закон от 6 декабря 2011 года № 402-ФЗ «О бухгалтерском учёте»;
—Постановление Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об
утверждении требований к защите персональных данных при их обработке в
информационных системах персональных данных»;
—Приказ ФСТЭК России от 18 февраля 2013 года № 21;
—Приказ Роскомнадзора от 24 февраля 2021 года № 18 (о требованиях к содержанию
согласия на обработку персональных данных, разрешённых для распространения);
—Приказ Роскомнадзора от 28 октября 2022 года № 179 «Об утверждении Требований к
подтверждению уничтожения персональных данных»;
—устав и иные локальные нормативные акты Оператора;
—договоры, заключаемые между Оператором и субъектом персональных данных (его
законным представителем);
—согласия субъектов персональных данных на обработку их персональных данных,
оформленные в соответствии со статьями 9 и 10.1 Закона № 152-ФЗ.
5 ПРИНЦИПЫ, ПЕРЕЧЕНЬ ДЕЙСТВИЙ И СПОСОБЫ ОБРАБОТКИ
5.1. Обработка персональных данных осуществляется на законной и справедливой основе,
ограничивается достижением конкретных, заранее определённых и законных целей и не
осуществляется несовместимым с ними образом. Содержание и объём обрабатываемых
персональных данных соответствуют заявленным целям и не являются избыточными по
отношению к ним (статья 5 Закона № 152-ФЗ).
5.2. Оператор осуществляет следующие действия с персональными данными: сбор, запись,
систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение,
использование, передачу (предоставление, доступ, а в случаях, предусмотренных настоящей
Политикой, — распространение), обезличивание, блокирование, удаление, уничтожение.
5.3. Обработка осуществляется смешанным способом, включающим автоматизированную
обработку с использованием средств вычислительной техники и обработку без использования
таких средств. Обработка осуществляется с передачей и без передачи по информационно-
телекоммуникационной сети «Интернет», а также с передачей и без передачи по внутренней
локальной вычислительной сети Оператора.
5.4. Согласие субъекта персональных данных, когда оно является правовым основанием
обработки, оформляется в соответствии со статьёй 9 Закона № 152-ФЗ: является конкретным,
предметным, информированным, сознательным и однозначным, оформляется отдельно от
иных документов, а при обработке специальных категорий и при распространении — в
письменной форме либо в форме электронного документа. Согласие на передачу
персональных данных иному лицу оформляется отдельно применительно к каждой цели и
каждому получателю в случаях, установленных законом.
6 ЦЕЛИ ОБРАБОТКИ, КАТЕГОРИИ СУБЪЕКТОВ, ПЕРЕЧЕНЬ
ПЕРСОНАЛЬНЫХ ДАННЫХ, ПРАВОВЫЕ ОСНОВАНИЯ И СРОКИ
ОБРАБОТКИ
Для каждой цели обработки ниже определены категории субъектов, конкретный перечень
обрабатываемых персональных данных, правовые основания и сроки обработки.
6.1. Оказание медицинской помощи (медицинских услуг).
—Категории субъектов: пациенты, законные представители пациентов, заказчики
медицинских услуг.
—Цель обработки: оказание медицинской помощи и медицинских услуг, ведение
медицинской документации, проведение медико-диагностических, профилактических и
лечебных мероприятий, обеспечение соблюдения законодательства Российской
Федерации в сфере охраны здоровья граждан и обязательного медицинского страхования,
осуществление взаиморасчётов за оказанные услуги.
—Перечень персональных данных: фамилия, имя, отчество; пол; дата и место рождения;
адрес регистрации и фактического проживания; контактный телефон; адрес электронной
почты; страховой номер индивидуального лицевого счёта (СНИЛС); идентификационный
номер налогоплательщика (ИНН); реквизиты документа, удостоверяющего личность;
данные полиса обязательного и (или) добровольного медицинского страхования; сведения
о законном представителе (для недееспособных).
—Специальные категории персональных данных: сведения о состоянии здоровья,
диагнозе, назначенном и проведённом лечении, медицинских вмешательствах,
результатах обследований и иные данные, составляющие врачебную тайну.
—Правовое основание: пункт 4 части 2 статьи 10, пункты 1 и 3 части 1 статьи 6 Закона №
152-ФЗ; Федеральный закон от 21 ноября 2011 года № 323-ФЗ; Федеральный закон от 29
ноября 2010 года № 326-ФЗ; договор на оказание платных медицинских услуг; при
необходимости — согласие субъекта (законного представителя).
—Срок обработки: в течение сроков хранения медицинской документации, установленных
Приказом Министерства здравоохранения Российской Федерации от 3 августа 2023 года
№ 408 и законодательством об архивном деле (для медицинской документации пациента
— 25 лет на бумажном носителе и 50 лет при её ведении в медицинской информационной
системе), а также до достижения целей обработки.
6.2. Ведение кадрового, бухгалтерского, налогового учёта и соблюдение пенсионного
законодательства.
—Категории субъектов: работники, кандидаты на замещение вакантных должностей,
уволенные работники, родственники работников.
—Цель обработки: оформление и исполнение трудовых отношений, ведение кадрового
учёта, ведение бухгалтерского и налогового учёта, обеспечение соблюдения налогового и
пенсионного законодательства Российской Федерации, обеспечение личной безопасности
работников, контроль количества и качества выполняемой работы, предоставление
предусмотренных законодательством гарантий и компенсаций.
—Перечень персональных данных: фамилия, имя, отчество; пол; дата и место рождения;
гражданство; адрес места жительства и регистрации; контактный телефон; семейное
положение и состав семьи; сведения об образовании и квалификации; сведения о трудовой
деятельности и стаже; должность; сведения о доходах; реквизиты документа,
удостоверяющего личность; СНИЛС; ИНН; реквизиты банковской карты (счёта);
сведения о воинском учёте.
—Специальные категории персональных данных: сведения о состоянии здоровья — в
объёме и случаях, прямо предусмотренных Трудовым кодексом Российской Федерации.
—Правовое основание: пункт 2 части 1 статьи 6 Закона № 152-ФЗ; статьи 65, 86–90
Трудового кодекса Российской Федерации; Налоговый кодекс Российской Федерации;
Федеральный закон от 1 апреля 1996 года № 27-ФЗ; Федеральный закон от 15 декабря 2001
года № 167-ФЗ; Федеральный закон от 6 декабря 2011 года № 402-ФЗ; трудовой договор;
согласие субъекта — в случаях, выходящих за рамки исполнения обязанностей,
возложенных законом, и условий договора.
—Срок обработки: в течение срока действия трудового договора и последующих сроков
хранения, установленных законодательством об архивном деле: для документов по
личному составу — 50 лет (для законченных делопроизводством после 1 января 2003 года)
либо 75 лет (для законченных ранее); для документов налогового и бухгалтерского учёта
— не менее 5 лет.
6.3. Обеспечение функционирования официального сайта Оператора.
—Категории субъектов: посетители официального сайта Оператора.
—Цель обработки: обеспечение работоспособности и безопасности сайта, анализ
пользовательской активности, улучшение качества сервиса, обработка обращений,
направленных через формы обратной связи.
—Перечень персональных данных: данные, указанные субъектом в формах обратной
связи (фамилия, имя, контактный телефон, адрес электронной почты, текст обращения);
файлы cookie; сетевой адрес (IP-адрес); сведения о браузере и операционной системе;
источник перехода; технические параметры устройства; сведения о посещённых
страницах.
—Правовое основание: пункт 1 части 1 статьи 6 Закона № 152-ФЗ (согласие субъекта, в том
числе выраженное совершением конклюдентных действий в интерфейсе сайта) — для
необязательных аналитических cookie; пункт 5 части 1 статьи 6 Закона № 152-ФЗ
(обработка в связи с исполнением обращения субъекта) — для форм обратной связи;
технически необходимые файлы cookie обрабатываются в целях обеспечения
работоспособности сайта.
—Срок обработки: до момента отзыва согласия субъектом либо до достижения целей
обработки, но не более 3 лет; технически необходимые cookie — в течение сессии либо
срока, установленного их назначением.
6.4. Исполнение договорных отношений с контрагентами — физическими лицами.
—Категории субъектов: поставщики товаров и услуг — физические лица, индивидуальные
предприниматели, представители контрагентов.
—Цель обработки: заключение и исполнение договоров, ведение бухгалтерского и
налогового учёта, осуществление расчётов.
—Перечень персональных данных: фамилия, имя, отчество; реквизиты документа,
удостоверяющего личность; ИНН; контактный телефон; адрес электронной почты; адрес;
реквизиты банковского счёта; должность (для представителей).
—Правовое основание: пункт 5 части 1 статьи 6 Закона № 152-ФЗ (исполнение договора);
Гражданский кодекс Российской Федерации; Налоговый кодекс Российской Федерации;
договор.
—Срок обработки: в течение срока действия договора и 5 лет после его прекращения — для
целей налогового и бухгалтерского учёта.
6.5. Распространение сведений о специалистах на официальном сайте Оператора.
—Категории субъектов: работники Медицинской организации (медицинский и иной
персонал), сведения о которых размещаются в разделе «Специалисты» официального
сайта.
—Цель обработки: информирование пациентов и потребителей медицинских услуг о
квалификации, опыте и составе персонала путём распространения персональных данных
на официальном сайте Оператора.
—Перечень персональных данных: фамилия, имя, отчество; должность; сведения об
образовании и квалификации; фотографическое изображение.
—Правовое основание: статья 10.1 Закона № 152-ФЗ; отдельное согласие субъекта на
обработку персональных данных, разрешённых субъектом персональных данных для
распространения, оформленное в соответствии с требованиями Приказа Роскомнадзора от
24 февраля 2021 года № 18 Распространение осуществляется только в отношении тех
работников и в том объёме, на которые получено соответствующее согласие; при
отсутствии согласия персональные данные на сайте не размещаются.
—Срок обработки: до момента отзыва согласия субъектом на распространение либо до
прекращения трудовых отношений.
7 КАТЕГОРИИ ПОЛУЧАТЕЛЕЙ ПЕРСОНАЛЬНЫХ ДАННЫХ
Персональные данные могут передаваться (предоставляться) следующим категориям
получателей исключительно на законных основаниях:
—уполномоченным государственным органам, органам местного самоуправления и
государственным внебюджетным фондам (в том числе Федеральная налоговая служба,
Фонд пенсионного и социального страхования Российской Федерации, Федеральный и
территориальные фонды обязательного медицинского страхования, Федеральная служба
по надзору в сфере здравоохранения, органы внутренних дел, военные комиссариаты) — в
случаях и объёме, предусмотренных законодательством;
—страховым медицинским организациям — в объёме, необходимом для осуществления
обязательного и (или) добровольного медицинского страхования;
—лицам, осуществляющим обработку персональных данных по поручению Оператора на
основании договора (организации, оказывающие услуги по техническому обслуживанию
информационных систем, бухгалтерскому и кадровому сопровождению, архивному
хранению, доставке корреспонденции);
—иным лицам — в случаях, прямо предусмотренных федеральными законами, либо на
основании согласия субъекта.
8 ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Локализация баз данных. При сборе персональных данных граждан Российской
Федерации, в том числе посредством сети «Интернет», Оператор обеспечивает запись,
систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение
персональных данных с использованием баз данных, находящихся на территории Российской
Федерации, в соответствии с частью 5 статьи 18 Закона № 152-ФЗ.
8.2. Специальные категории персональных данных. Обработка сведений о состоянии здоровья
осуществляется преимущественно на основании пункта 4 части 2 статьи 10 Закона № 152-ФЗ
(в медико-профилактических целях, в целях установления медицинского диагноза, оказания
медицинских услуг лицами, профессионально обязанными сохранять врачебную тайну). В
иных случаях обработка специальных категорий осуществляется при наличии согласия
субъекта в письменной форме либо в форме электронного документа.
8.3.
Биометрические персональные данные. Оператор не осуществляет обработку
биометрических персональных данных в целях установления личности субъекта и не
размещает их в единой биометрической системе. Фотографические изображения обрабатываются исключительно в целях, для которых получено согласие субъекта, и не
используются для биометрической идентификации.
8.4. Обработка персональных данных несовершеннолетних. Медицинская организация не
оказывает медицинские услуги несовершеннолетним лицам и не осуществляет обработку
персональных данных несовершеннолетних в качестве пациентов и заказчиков медицинских
услуг. Согласие законного представителя, предусмотренное настоящим разделом,
оформляется исключительно в отношении недееспособных совершеннолетних субъектов
персональных данных.
8.5. Поручение обработки. Оператор вправе поручить обработку персональных данных
другому лицу с согласия субъекта (если иное не предусмотрено законом) на основании
договора, содержащего обязанность соблюдать конфиденциальность и обеспечивать
безопасность персональных данных, а также перечень действий и целей обработки, в
соответствии с частью 3 статьи 6 Закона № 152-ФЗ.
8.6. Трансграничная передача. Трансграничная передача персональных данных Оператором не
осуществляется. Хранение и обработка персональных данных производятся исключительно на
территории Российской Федерации. В случае возникновения намерения осуществлять
трансграничную передачу Оператор до начала такой передачи направляет в Роскомнадзор
отдельное уведомление, предусмотренное частью 3 статьи 12 Закона № 152-ФЗ, и приступает
к передаче только при соблюдении условий, установленных статьёй 12 Закона № 152-ФЗ.
8.7. Видеонаблюдение. В помещениях Медицинской организации и на прилегающей
территории могут применяться системы видеонаблюдения без функции биометрического
распознавания лиц в целях обеспечения безопасности и сохранности имущества. Оператор
размещает на видных местах информационные таблички, уведомляющие о ведении
видеонаблюдения.
8.8. Файлы cookie и веб-аналитика. Обработка необязательных аналитических файлов cookie
начинается после получения согласия субъекта, выраженного посредством взаимодействия с
информационным баннером на сайте и выбора соответствующих настроек. Субъект вправе
отказаться от обработки необязательных cookie и в любой момент отозвать согласие, изменив
настройки браузера.
8.9.
Распространение персональных данных. Раскрытие персональных данных
неопределённому кругу лиц (распространение), в том числе размещение сведений о
работниках на официальном сайте, осуществляется исключительно на основании отдельного
согласия субъекта на обработку персональных данных, разрешённых для распространения,
оформленного в соответствии со статьёй 10.1 Закона № 152-ФЗ и Приказом Роскомнадзора от
24 февраля 2021 года № 18 Молчание или бездействие субъекта согласием не является.
Оператор обеспечивает соблюдение установленных субъектом запретов и условий обработки
таких данных и прекращает их распространение по требованию субъекта.
8.10. Обезличивание. При проведении обезличивания персональных данных Оператор
применяет методы, соответствующие требованиям, установленным уполномоченным органом
по защите прав субъектов персональных данных.
9 ПРАВА СУБЪЕКТА И ОБЯЗАННОСТИ ОПЕРАТОРА
9.1. Субъект персональных данных имеет право:
—получать информацию, касающуюся обработки его персональных данных, в том числе
подтверждение факта обработки, правовые основания, цели, способы и сроки обработки,
сведения о лицах, имеющих доступ к данным;
—требовать уточнения, блокирования или уничтожения персональных данных, если они
являются неполными, устаревшими, неточными, незаконно полученными или не
являются необходимыми для заявленной цели обработки;
—отозвать ранее данное согласие на обработку персональных данных, а также согласие на
распространение;
—обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав
субъектов персональных данных или в судебном порядке;
—на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или)
компенсацию морального вреда в судебном порядке.
9.2. Оператор обязан:
—предоставлять субъекту по его запросу информацию, касающуюся обработки его
персональных данных, в порядке, установленном статьёй 14 Закона № 152-ФЗ;
—разъяснять субъекту юридические последствия отказа предоставить персональные
данные, если их предоставление обязательно в силу закона;
—прекращать обработку и уничтожать персональные данные в случае достижения целей
обработки, отзыва согласия либо выявления неправомерной обработки, если иное не
предусмотрено законодательством;
—принимать необходимые правовые, организационные и технические меры для защиты
персональных данных от неправомерного или случайного доступа, уничтожения,
изменения, блокирования, копирования, распространения, а также от иных
неправомерных действий.
10 ПОРЯДОК РАССМОТРЕНИЯ ЗАПРОСОВ СУБЪЕКТОВ
10.1. Запрос субъекта персональных данных должен содержать номер основного документа,
удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и
выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором
либо факт обработки его данных, подпись субъекта или представителя. Запрос может быть
направлен в форме электронного документа, подписанного электронной подписью в
соответствии с законодательством Российской Федерации.
10.2. Срок предоставления ответа на запрос — 10 рабочих дней с даты его получения. В
отдельных случаях срок может быть продлён не более чем на 5 рабочих дней с уведомлением
субъекта о причинах продления.
10.3. Сведения, составляющие врачебную тайну, по телефону не разглашаются и
предоставляются исключительно в порядке, установленном законодательством Российской
Федерации, после надлежащей идентификации обращающегося лица.
10.4. Субъект вправе отозвать согласие на обработку, направив письменное заявление по
адресу Оператора либо на адрес его электронной почты. Оператор прекращает обработку и
уничтожает персональные данные в срок, не превышающий 10 рабочих дней с даты поступления отзыва, за исключением случаев, когда Оператор вправе продолжить обработку
на иных законных основаниях, предусмотренных Законом № 152-ФЗ.
11 МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ
ДАННЫХ
11.1. Во исполнение статьи 18.1 и статьи 19 Закона № 152-ФЗ, Постановления Правительства
Российской Федерации от 1 ноября 2012 года № 1119 и Приказа ФСТЭК России от 18 февраля
2013 года № 21 Оператором реализован комплекс правовых, организационных и технических
мер защиты персональных данных.
11.2. Назначено лицо, ответственное за организацию обработки персональных данных; изданы
локальные акты по вопросам обработки и защиты персональных данных; работники,
осуществляющие обработку, ознакомлены с положениями законодательства и локальными
актами под роспись.
11.3. Определены угрозы безопасности персональных данных; для информационных систем
персональных данных Оператора установлен 3-й уровень защищённости.
11.4. Реализованы меры по управлению доступом, регистрации и учёту действий с
персональными данными, антивирусной защите, резервному копированию и восстановлению
данных; обеспечивается учёт машинных носителей персональных данных.
11.5. Обеспечен пропускной режим, исключающий неконтролируемое проникновение
посторонних лиц в помещения, где ведётся обработка персональных данных; обеспечивается
сохранность носителей и средств защиты информации.
11.6. Сертифицированные средства криптографической защиты информации применяются в
объёме, необходимом для защиты каналов связи (в том числе с использованием протокола TLS
при передаче данных через официальный сайт).
11.7. Оператор осуществляет внутренний контроль соответствия обработки персональных
данных требованиям законодательства, проводит оценку вреда, который может быть
причинён субъектам в случае нарушения Закона № 152-ФЗ, в соответствии с требованиями
уполномоченного органа.
12 ДЕЙСТВИЯ ПРИ ИНЦИДЕНТАХ БЕЗОПАСНОСТИ
12.1. При установлении факта неправомерной или случайной передачи (предоставления,
распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов,
Оператор в течение 24 часов с момента выявления инцидента уведомляет уполномоченный
орган по защите прав субъектов персональных данных о произошедшем инциденте,
предполагаемых причинах и предполагаемом вреде, а также о принятых мерах.
12.2. В течение 72 часов с момента выявления инцидента Оператор уведомляет
уполномоченный орган о результатах внутреннего расследования и о лицах, действия которых
стали причиной инцидента (при наличии), в соответствии с частью 3.1 статьи 21 Закона № 152-
ФЗ.
13 ПОРЯДОК УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
13.1. Уничтожение персональных данных осуществляется при достижении целей обработки,
истечении сроков хранения, отзыве согласия субъектом (при отсутствии иных законных
оснований обработки) либо при выявлении неправомерной обработки.
13.2. Уничтожение персональных данных на бумажных носителях производится способами,
исключающими возможность их восстановления (механическое уничтожение); на
электронных носителях — способами, исключающими возможность восстановления
информации.
13.3.
Подтверждение факта уничтожения персональных данных осуществляется в
соответствии с Приказом Роскомнадзора от 28 октября 2022 года № 179: при обработке без
использования средств автоматизации подтверждающим документом является акт об
уничтожении персональных данных; при обработке с использованием средств автоматизации
(либо при смешанной обработке) — акт об уничтожении персональных данных и выгрузка из
журнала регистрации событий в информационной системе персональных данных.
13.4. Акт об уничтожении персональных данных и выгрузка из журнала регистрации событий
подлежат хранению Оператором в течение 3 лет с момента уничтожения персональных
данных.
14 ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
14.1. Настоящая Политика вступает в силу с момента её утверждения генеральным
директором ООО «ЭтраМЕД» и действует бессрочно, до принятия новой редакции.
14.2. Оператор осуществляет пересмотр и актуализацию Политики по мере необходимости, но
не реже одного раза в три года, а также при изменении законодательства Российской
Федерации или процессов обработки персональных данных.
14.3. Новая редакция Политики публикуется на официальном сайте Оператора не позднее 10
рабочих дней с момента её утверждения.
14.4. Контроль за исполнением требований настоящей Политики возлагается на лицо,
ответственное за организацию обработки персональных данных.