Политика в отношении обработки персональных данных от 24.12.2025г. №21-АХВ

Общие положения

1.1 Настоящая Политика в отношении обработки персональных данных (далее – Политика) определяет основные принципы, цели, условия и способы обработки персональных данных (далее – ПДн), перечни субъектов и обрабатываемых данных, функции Государственного учреждения здравоохранения «Городская больница № 11 г. Тулы» (далее – Оператор, Учреждение) при обработке ПДн, права субъектов ПДн, а также реализуемые в Учреждении требования к защите ПДн.

1.2 Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», иных законодательных и нормативных правовых актов Российской Федерации в области персональных данных и защиты информации.

1.3 Положения настоящей Политики служат основой для разработки локальных нормативных актов, регламентирующих в Учреждении вопросы обработки персональных данных работников, пациентов и иных субъектов ПДн.

1.4 Сведения об Операторе:

●​Наименование: Государственное учреждение здравоохранения «Городская больница № 11 г. Тулы».

●​ИНН: 7105008680.

●​Адрес места нахождения (юридический и фактический): 300027, Тульская область, г. Тула, ул. Чаплыгина, д. 13.

●​Регистрационный номер в реестре операторов Роскомнадзора: 08-0005733.

1.5 Настоящая Политика является общедоступным документом. Оператор обеспечивает неограниченный доступ к ней путем публикации на официальном сайте Учреждения в информационно-телекоммуникационной 

сети «Интернет» (https://med-b-gorodskaya11-tula-r71.gosweb.gosuslugi.ru/) и размещения на информационных стендах в местах приема граждан.

Правовые основания обработки персональных данных

Обработка ПДн в Учреждении осуществляется на законной и справедливой основе. Правовыми основаниями обработки персональных данных являются:

2.1 Федеральное законодательство:

●​Конституция Российской Федерации;

●​Трудовой кодекс Российской Федерации;

●​Гражданский кодекс Российской Федерации;

●​Налоговый кодекс Российской Федерации;

●​Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;

●​Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;

●​Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;

●​Федеральный закон от 25.12.2008 № 273-ФЗ «О противодействии коррупции»;

●​Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;

●​Федеральный закон от 26.02.1997 № 31-ФЗ «О мобилизационной подготовке и мобилизации в Российской Федерации»;

●​Федеральный закон от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;

●​Федеральный закон от 29.12.2022 № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации».

2.2 Подзаконные акты:

●​Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

●​Постановление Правительства РФ от 09.02.2022 № 140 «О единой государственной информационной системе в сфере здравоохранения» (ЕГИСЗ);

●​Постановление Правительства Тульской области от 30.12.2016 № 666 «Об утверждении Положения о региональной информационной системе здравоохранения Тульской области»;

●​Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

2.3 Локальные и иные акты:

●​Устав ГУЗ «ГБ № 11 г. Тулы»;

●​Лицензия на осуществление медицинской деятельности;

●​Договоры, заключаемые между Оператором и субъектом персональных данных;

●​Согласия субъектов на обработку персональных данных.

Особенности обработки специальных категорий персональных данных

Обработка персональных данных о состоянии здоровья пациентов (специальные категории ПДн) осуществляется на основании пункта 4 части 2 статьи 10 Федерального закона от 27.07.2006 № 152-ФЗ – в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских услуг при условии, что обработка осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну.

Врачебная тайна и её защита:

В соответствии со статьёй 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» врачебной тайной являются сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении. Разглашение сведений, составляющих врачебную тайну, не допускается, в том числе после смерти пациента.

Случаи предоставления сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя (часть 4 статьи 13 ФЗ-323):

●​В целях проведения медицинского обследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю;

●​При угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;

●​По запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством;​

●​В случае оказания медицинской помощи несовершеннолетнему для информирования одного из его родителей или иного законного представителя;

●​В целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинён в результате противоправных действий;

●​В целях проведения военно-врачебной экспертизы по запросам военных комиссариатов;

●​В целях расследования несчастного случая на производстве и профессионального заболевания;

●​При обмене информацией медицинскими организациями, в том числе размещённой в медицинских информационных системах, в целях оказания медицинской помощи с учётом требований законодательства Российской Федерации о персональных данных;

●​В целях осуществления контроля качества и безопасности медицинской деятельности в соответствии с Федеральным законом № 323-ФЗ; ​

●​В иных случаях, установленных законодательством Российской Федерации.

Цели обработки персональных данных, категории субъектов и состав обрабатываемых данных

4.1 Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

4.2 Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям их обработки.

4.3 В Учреждении определены следующие цели обработки ПДн и соответствующие им категории субъектов и данных:

Порядок и условия обработки персональных данных

5.1 Учреждение осуществляет обработку персональных данных смешанным способом:

●​С использованием средств автоматизации (в составе Медицинской информационной системы (МИС), бухгалтерских и кадровых программ);

●​Без использования средств автоматизации (обработка бумажных медицинских карт, журналов, личных дел).

5.2 Локализация: При сборе персональных данных Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. Трансграничная передача персональных данных Учреждением в текущей деятельности не осуществляется.

5.3 Сроки обработки и хранения:

●​Обработка ПДн прекращается при достижении целей обработки, истечении срока действия согласия или его отзыве (если отсутствуют иные законные основания для обработки), а также в случае ликвидации Учреждения.

●​Сроки хранения медицинской документации определяются номенклатурой дел и письмом Минздрава РФ от 07.12.2015 № 13-2/1538 (Медицинская карта стационарного больного – 25 лет, амбулаторная карта – 25 лет, протоколы решений врачебной комиссии – 10 лет).

●​Медицинская документация в электронном виде (МИС) – 50 лет (Приказ Минздрава России от 03.08.2023 № 408);

●​Документы по личному составу хранятся 50/75 лет в соответствии со ст. 22.1 Федерального закона от 22.10.2004 № 125-ФЗ.

5.4 Особенности обработки биометрических данных:

В соответствии с Федеральным законом от 29.12.2022 № 572-ФЗ, Учреждение не осуществляет сбор и хранение биометрических персональных данных (изображений лица, голоса) для целей идентификации в собственных информационных системах.

Изображения граждан, полученные с помощью системы видеонаблюдения, используются исключительно в целях обеспечения безопасности и антитеррористической защищенности. Обработка таких данных осуществляется без использования биометрических алгоритмов идентификации личности и при взаимодействии с правоохранительными органами.

5.5 Порядок уничтожения персональных данных:

При наступлении оснований для уничтожения ПДн (достижение цели, отзыв согласия, требование субъекта), Учреждение осуществляет их уничтожение в срок, не превышающий 30 дней (если иное не установлено законом).

Процедура уничтожения регламентируется требованиями, утвержденными Приказом Роскомнадзора от 28.10.2022 № 179:

●​Бумажные носители: Уничтожаются путем измельчения (шредирования) с составлением Акта об уничтожении.

●​Электронные носители: Информация удаляется с использованием программных средств гарантированного уничтожения. Факт удаления подтверждается Актом об уничтожении и Выгрузкой из журнала регистрации событий информационной системы, фиксирующей удаление соответствующих записей.

Сведения о реализуемых требованиях к защите персональных данных

Учреждение реализует систему правовых, организационных и технических мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ст. 18.1 и 19 Федерального закона № 152-ФЗ и Постановлением Правительства РФ № 1119.

6.1 Организационные меры:

●​Назначены лица, ответственные за организацию обработки ПДн и за обеспечение безопасности исПдн;

●​Разработана и внедрена «Модель угроз безопасности информации ИсПдн»;

●​Установлен разрешительный порядок доступа в помещения с серверами и архивами;

●​Определены перечни лиц и должностей, доступ которых к ПДннеобходим для выполнения служебных обязанностей;

● Организовано подписание соглашений о неразглашении конфиденциальной информации 

●       Осуществляется подписание согласий на обработку Пдн отдельными документами.

●​Организован учет машинных носителей Пдн, а также уничтожение при возникновении необходимости.

6.2 Технические меры защиты информации:

Учреждение использует сертифицированные ФСТЭК и ФСБ России средства защиты информации (СЗИ), соответствующие требованиям к государственным информационным системам (ГИС) и ИСПДн высокого уровня защищенности:

●​Антивирусная защита: Применяется программный комплекс, обеспечивающий защиту рабочих станций и серверов от вредоносного ПО и сетевых атак в реальном времени.

●​Криптографическая защита каналов связи: Для защиты каналов связи при взаимодействии с ЕГИСЗ, ТФОМС и другими внешними системами используются программно-аппаратные комплексы (ПАК) и средства криптографической защиты информации (СКЗИ).

●​Межсетевое экранирование: Используются сертифицированные межсетевые экраны для защиты периметра сети и сегментации внутренней сети.

●​Обнаружение вторжений: Реализованы меры по обнаружению фактов несанкционированного доступа. Организовано взаимодействие с Национальным координационным центром по компьютерным инцидентам (НКЦКИ) через сегмент ГосСОПКА (Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак).

●​Резервное копирование: Настроено регулярное автоматическое резервное копирование баз данных для обеспечения возможности восстановления ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа.

6.3 Контроль защищенности:

Учреждение проводит периодическую оценку эффективности принимаемых мер (аттестация или оценка соответствия) не реже одного раза в 3 года.

Права субъектов персональных данных

7.1 Субъект персональных данных имеет право на:

●​Получение полной информации, касающейся обработки его персональных данных (основания, цели, сроки, способы, источники, переданные третьи лица).

●​Уточнение своих персональных данных, их блокирование или уничтожение в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

●​Отзыв согласия на обработку персональных данных.

●​Обжалование действий или бездействия Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

7.2 Порядок реагирования на запросы:

●​Оператор обязан сообщить субъекту ПДн или его представителю информацию о наличии ПДн, а также предоставить возможность ознакомления с ними при обращении либо в течение 10 (десяти) рабочих дней с даты получения запроса. Указанный срок может быть продлен, но не более чем на 5 рабочих дней, при условии направления мотивированного уведомления о причинах продления.

●​В случае выявления неправомерной обработки, Оператор обязан прекратить ее в срок, не превышающий 3 рабочих дней.

●​В случае отзыва согласия, Оператор обязан прекратить обработку и уничтожить данные в срок, не превышающий 30 дней, если сохранение данных не требуется для целей исполнения законодательства (архивное хранение медицинской документации).

Контактная информация

Для реализации своих прав и направления запросов субъекты могут использовать следующие каналы связи:

● Почтовый адрес: 300027, Тульская область, г. Тула, ул. Чаплыгина, д. 13.

● Электронная почта: guz.grb11@tularegion.ru.

● Телефон: 8 (4872) 45-12-82.

Направлять подписанные обращения по адресу: 

300027, г. Тула, ул. Чаплыгина, д. 13 или на электронную почту -

guz.grb11@tularegion.ru.

Заключительные положения

9.1.  Настоящая Политика вступает в силу с момента ее утверждения приказом главного врача учреждения.

9.2.   Политика подлежит пересмотру и актуализации в случае изменения законодательства РФ в области персональных данных, изменения организационной структуры или технологий обработки данных и целей Учреждения.

9.3. Контроль за исполнением требований настоящей Политики осуществляется ответственным лицом за организацию обработки персональных данных Учреждения.