ПОЛИТИКА ГУЗ «ВИТЕБСКОГО ОБЛАСТНОГО ЦЕНТРА ТРАНСФУЗИОЛОГИИ» В ОТНОШЕНИИ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
ГЛАВА 1. ОБЩИЕ ПОЛОЖЕНИЯ
- Политика в отношении обработки и защиты персональных данных (далее — «Политика») разработана в соответствии с Законом Республики Беларусь от 07.05.2021 №99-З «О защите персональных данных» в отношении информации о субъектах персональных данных, которую Оператор может обрабатывать при оформлении трудовых отношений, а также в процессе трудовой деятельности субъекта персональных данных, в целях исполнения УЗ «Витебская областная станция переливания крови» (далее по тексту — Оператор) функций оператора персональных данных.
- Политика действует в отношении всех персональных данных, обрабатываемых оператором, которые могут быть получены от субъектов персональных данных (далее Субъекты):
- предоставивших Оператору персональные данные путем заполнения письменных, электронных анкет, предоставления документов удостоверяющих личность в ходе осуществления основной деятельность учреждения.
- предоставивших Оператору персональные данные иным путём.
- Целью Политики является защита интересов Субъектов и Оператора.
- Сбор, обработка и хранение персональных данных Оператором основаны на принципах обеспечения защиты прав и свобод человека и гражданина, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
- Настоящая Политика распространяется на все процессы Оператора, связанные с обработкой персональных данных субъектов, и обязательна для применения всеми работниками Оператора, осуществляющими обработку персональных данных в силу своих должностных обязанностей.
- В тексте Политики использующиеся термины и понятия, употребляются в определениях, применяемых в действующем законодательстве Республики Беларусь.
- Политика является общедоступной и размещается в информационной сети Интернет на Сайте.
- Во всех случаях, не урегулированных настоящей Политикой, необходимо руководствоваться действующим законодательством. Если международным договором установлены иные правила чем те, которые предусмотрены Законом Республики Беларусь от 07.05.2021 №99-З «О защите персональных данных», то применяются правила международного договора.
ГЛАВА 2. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
- Оператор обрабатывает персональные данные Субъектов в соответствии:
- Уставом;
- перечнем лиц, имеющих допуск к обработке персональных данных;
- реестром обработки персональных данных;
- положением о порядке работы с персональными данными;
- положение о порядке допуска работников и иных лиц к обработке персональных данных;
- положением о порядке уничтожения персональных данных;
- трудовыми договорами (контрактам), договорами о материальной ответственности, договорами на обучение, которые Оператор заключает с работниками; уведомлениями субъекта персональных данных о разъяснении его прав, связанных с обработкой персональных данных;
- согласиями на обработку персональных данных;
- обязательствами о соблюдении порядка обработки персональных данных.
ГЛАВА 3. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫЙ ДАННЫХ
- Обработка персональных данных у Оператора осуществляется в соответствии со следующими принципами:
- обработка персональных данных осуществляется на законной основе;
- обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных,несовместимая с целями сбора персональных данных;
- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- обработке подлежат только те персональные данные, которые отвечают целям их обработки;
- содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям обработки;
- при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки;
- хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если иной срок хранения персональных данных не установлен законодательством. Персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством;
- предоставленные персональные данные остаются в первичном виде и не изменяются в процессе сбора и обработки данных;
- Оператор не осуществляет передачу персональных данных нерезидентам Республики Беларусь;
- Оператор имеет право обрабатывать общедоступные персональные данные, осуществлять обработку персональных данных, подлежащих обязательному раскрытию в соответствии с законодательством Республики Беларусь;
- Оператор не имеет права получать и обрабатывать персональные данные субъекта касательно его расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений;
- Персональные данные относятся к категории конфиденциальной информации.
ГЛАВА 4. ЦЕЛИ СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ
- Оператор обрабатывает персональные данные Субъектов, соблюдая требования законодательства и исключительно в целях:
- обеспечения реализации трудовых, гражданско-правовых, бухгалтерских, налоговых отношений, заключения и исполнения трудовых, гражданско-правовых договоров, в том числе публичных;
- обработки статистической информации;
- выполнения своих основных задач.
ГЛАВА 5. ПОНЯТИЕ, СОСТАВ И КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ
- В рамках настоящей Политики под персональными данными понимается любая информация, относящиеся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано.
- Персональные данные могут обрабатываться самостоятельно или в составе другой информации конфиденциального характера.
- Обработка персональных данных осуществляется с согласия субъекта персональных данных.
Согласие на обработку персональных данных может быть получено в письменной форме, в виде электронного документа или в иной электронной форме.
Субъект персональных данных при даче своего согласия оператору указывает свои фамилию, собственное имя, отчество (если таковое имеется), дату рождения, идентификационный номер, а в случае отсутствия такого номера – номер документа, удостоверяющего его личность, за исключением случая, предусмотренного частью второй настоящего пункта.
В случае смерти субъекта персональных данных, объявления его умершим согласие на обработку его персональных данных дают один из наследников, близких родственников, усыновителей (удочерителей), усыновленных (удочеренных) либо супруг (супруга) субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
В случае признания субъекта персональных данных недееспособным или ограниченно дееспособным, а также до достижения им возраста шестнадцати лет, за исключением вступления в брак до достижения возраста шестнадцати лет, согласие на обработку его персональных данных дает один из его законных представителей.
Лица, в случае дачи согласия на обработку персональных данных вместо субъекта персональных данных пользуются правами субъекта персональных данных, предусмотренными законодательством.
- Перечень персональных данных, подлежащих обработке:
фамилия,
собственное имя,
отчество,
возраст,
дата, рождения;
паспортные данные (данные идентификационной карты) или иного документа, удостоверяющего личность физического лица;
образование, специальность, квалификация, трудовой стаж, опыт работы;
повышение квалификации, профессиональная подготовка, переподготовка, аттестация;
занимаемая должность служащего или выполняемая работа по профессии рабочего; сведения о воинском учете;
социальные гарантии и льготы и основания для них;
состояние здоровья работника, результаты медицинского осмотра, психиатрического освидетельствования;
адрес места жительства, номер телефона;
иные персональные данные, в соответствии с законодательством. Оператор в рамках своей деятельности вправе осуществлять обработку специальных категорий персональных данных, включая сведения о судимости. - Персональные данные о семейном положении работников и членах их семей:
о наличии детей и иждивенцев;
состоянии здоровья членов семьи;
необходимости ухода за больным членом семьи;
усыновлении и удочерении;
иных фактах, на основании которых работникам по законодательству и локальным правовым актам Оператора должны быть предоставлены гарантии и компенсации.
ГЛАВА 6. ДЕЙСТВИЯ, ОСУЩЕСТВЛЯЕМЫЕ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
- Оператор осуществляет сбор (получение), обработку (запись, систематизацию, накопление, уточнение, обновление, изменение, извлечение, использование), хранение, передачу (распространение, предоставление доступа), уничтожение (обезличивание, блокирование, удаление) персональных данных в целях, указанных в Политике.
- Оператор осуществляет обработку персональных данных с использованием средств автоматизации и без использования таких средств, а также смешанным образом, в т. ч. в информационно-телекоммуникационных сетях, в целях, указанных в Политике.
- Оператор принимает необходимые меры по удалению или уточнению не полных или неточных данных.
ГЛАВА 7. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
- Обработка персональных данных Оператором допускается только с соблюдением требований законодательства Республики Беларусь.
- Оператор обязан получать согласие Субъектов на их обработку в прямо предусмотренных законодательством Республики Беларусь случаях.
- При условии получения Оператором письменного согласия Субъектов Оператор может включить их персональные данные в общедоступные источники персональных данных.
- В случае если Оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Оператор. Лицо, осуществляющее обработку персональных данных по поручению Оператора, несет ответственность перед Оператором.
- Оператор обязывает иных лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам и не распространять их без согласия субъекта персональных данных, если иное не предусмотрено законодательством Республики Беларусь.
- Оператором организована система конфиденциального делопроизводства. Система обеспечивает создание, движение и хранение документов по личному составу и иных документов, содержащих персональные данные, таким образом, чтобы исключить несанкционированное использование этих сведений.
- Доступ к персональным данным имеют только те лица, кому это необходимо для исполнения должностных (трудовых) обязанностей. Работники, получающие доступ к персональным данным, определяются приказом главного врача. Они проходят процедуру допуска, в процессе которой обучаются методам и способам безопасной обработки персональных данных. Права, обязанности и ответственность работников, обрабатывающих персональные данные, закрепляются в их должностных (рабочих) инструкциях и (или) трудовых договорах (контрактах). Они дают отдельное письменное обязательство о соблюдении порядка обработки персональных данных, в том числе после увольнения. За нарушение правил обработки персональных данных, ставших им известным по работе, работники привлекаются к дисциплинарной ответственности вплоть до увольнения по пункту 10 части первой статьи 47 Трудового кодекса Республики Беларусь.
- В случаях, предусмотренных законодательством, в частности предусмотренных статьями 6 и 8 Закона Республики Беларусь от 07.05.2021 N 99-З «О защите персональных данных», Оператор обрабатывает персональные данные без специального согласия на то субъекта персональных данных. В остальных ситуациях Оператор предлагает субъекту персональных данных оформить согласие на обработку персональных данных. Субъект персональных данных может в любой момент отозвать свое согласие на обработку сведений.
- Оператор хранит персональные данные в порядке, исключающем их утрату или неправомерное использование. При достижении целей обработки Оператор уничтожает персональные данные. Исключение: персональные данные должны храниться длительное время в силу требований нормативных правовых актов;
- Оператор передает персональные данные в порядке, установленном законодательством. Персональные данные передаются только с письменного согласия субъекта, за исключением случаев, предусмотренных законодательством.
ГЛАВА 8. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
- Субъект персональных данных имеет право на получение информации, касающейся обработки своих персональных данных, содержащей:
- наименование (фамилию, собственное имя, отчество (если таковое имеется)) и место нахождения (адрес места жительства (места пребывания)) оператора;
- подтверждение факта обработки персональных данных оператором (уполномоченным лицом);
- его персональные данные и источник их получения; правовые основания и цели обработки персональных данных;
- срок, на который дано его согласие;
- наименование и место нахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка персональных данных поручена такому лицу;
- иную информацию, предусмотренную законодательством.
- Для получения указанной информации, субъект персональных данных подает оператору заявление в письменной форме либо в виде электронного документа. Законодательными актами может быть предусмотрена обязательность личного присутствия субъекта персональных данных и предъявления документа, удостоверяющего личность, при подаче им заявления оператору в письменной форме.
- Заявление субъекта персональных данных должно содержать: фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);
- дату рождения субъекта персональных данных;
- идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия оператору или обработка персональных данных осуществляется без согласия субъекта персональных данных;
- изложение сути требований субъекта персональных данных;
- личную подпись либо электронную цифровую подпись субъекта персональных данных.
- Ответ на заявление направляется субъекту персональных данных в форме, соответствующей форме подачи заявления, если в самом заявлении не указано иное.
- Оператор при обращении или по запросу субъекта персональных данных либо его представителя, а также по запросу Национального центра по защите персональных данных блокирует неправомерно обрабатываемые персональные данные этого субъекта с момента обращения или получения запроса на период проверки.
- Субъект персональных данных, в целях уточнения и актуализации своих персональных данных обязан своевременно представлять Оператору информацию об изменении своих персональных данных.
ГЛАВА 9. МЕРЫ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
- Оператор обязан принимать организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных.
- Обязательными мерами по обеспечению защиты персональных данных являются:
- назначение оператором структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
- издание оператором документов, определяющих политику оператора в отношении обработки персональных данных;
- ознакомление работников оператора и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику оператора (уполномоченного лица) в отношении обработки персональных данных, а также обучение указанных работников и иных лиц в порядке, установленном законодательством;
- установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);
- осуществление технической и криптографической защиты персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.
- Классификация информационных ресурсов (систем), содержащих персональные данные, в целях определения предъявляемых к ним требований технической и криптографической защиты персональных данных устанавливается уполномоченным органом по защите прав субъектов персональных данных.