Политика обработки и обеспечения безопасности персональных данных
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) разработана в соответствии с Законом Республики Таджикистан «О защите персональных данных» № 1537 от 3 августа 2018 года (далее – Закон) и определяет позицию медицинских учреждений города Душанбе (далее – Учреждения) в области обработки и защиты персональных данных (далее – персональные данные) в целях соблюдения прав и свобод человека. Политика устанавливает особенности сбора, хранения, использования и передачи персональных данных, практические требования к их защите, а также содержит сведения о правах лиц, которым принадлежат соответствующие персональные данные.
1.2. Под персональными данными понимается любая информация, прямо или косвенно относящаяся к определённому или определяемому физическому лицу (Пользователю).
1.3. Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации и (или) без использования таких средств. К таким действиям, в частности, относятся запись, систематизация, хранение, изменение, дополнение, получение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.
1.4. Под безопасностью персональных данных понимается защита персональных данных от неправомерного и (или) несанкционированного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления и распространения, а также от иных неправомерных действий в отношении персональных данных.
1.5. Настоящая Политика распространяется на все действия, связанные с обработкой персональных данных на цифровой платформе «eTib» в информационных системах Учреждений.
1.6. Использование Пользователями цифровой платформы «eTib» означает их безусловное согласие с положениями настоящей Политики и изложенными в ней условиями обработки персональных данных. Если Пользователь не согласен с условиями настоящей Политики, он должен воздержаться от использования цифровой платформы «eTib».
1.7. Настоящая Политика применяется к персональным данным, полученным как до вступления её в силу, так и после.
2. Правовые основания и цели обработки персональных данных Учреждениями
2.1. Учреждения осуществляют обработку персональных данных и обеспечивают их безопасность в целях исполнения задач, полномочий и обязанностей, возложенных на Учреждения законодательством Республики Таджикистан, в том числе, но не ограничиваясь этим, в соответствии с Конституцией Республики Таджикистан, законами, в частности Законом Республики Таджикистан «О защите персональных данных» № 1537 от 3 августа 2018 года, иными нормативными правовыми актами Республики Таджикистан, а также уставами и локальными актами Учреждений.
2.2. Учреждения вправе осуществлять обработку персональных данных в следующих случаях и на следующих правовых основаниях:
– при наличии согласия субъекта персональных данных, выраженного в любой форме, позволяющей подтвердить факт его получения, в том числе способами, указанными в пункте 1.6 настоящей Политики;
– для осуществления прав и законных интересов третьих лиц либо достижения общественно значимых целей при условии, что права и свободы субъекта персональных данных не нарушаются;
– в статистических или иных исследовательских целях при условии обязательного обезличивания персональных данных;
– в иных целях, предусмотренных настоящей Политикой.
2.3. Персональные данные, обрабатываемые в рамках настоящей Политики и обязательные для регистрации на цифровой платформе «eTib», включают:
– фамилию и имя Пользователя;
– номер телефона для связи с Пользователем;
– адрес электронной почты (необязательно).
2.4. Сведения, предоставляемые по запросу Учреждений и непосредственно вносимые Учреждениями (система цифровой платформы «eTib» обрабатывает и хранит персональные данные исключительно в целях надлежащего и полноценного функционирования информационной системы):
– фотография пациента;
– пол пациента;
– дата рождения;
– гражданство пациента;
– адрес и контактные номера телефонов.
2.5. Учреждения хранят персональные данные Пользователей, внесённые в информационную систему цифровой платформы «eTib» при предоставлении ими персональных данных и регистрации на цифровой платформе «eTib», а также сведения Учреждений о процессе лечения. При посещении страниц цифровой платформы «eTib» также фиксируются:
– IP-адрес;
– данные файлов cookie;
– время входа;
– адрес страницы, на которой размещена информация;
– реферер (адрес предыдущей страницы).
Отключение Пользователем файлов cookie может привести к невозможности доступа к отдельным разделам цифровой платформы «eTib».
3. Категории персональных данных, обрабатываемых Учреждениями
3.1. Учреждения обрабатывают следующие категории персональных данных Пользователей:
– сведения, полученные при регистрации, авторизации и размещении информации (фамилия, имя, отчество, дата рождения, пол, номер телефона, адрес электронной почты, адрес регистрации, рабочий адрес, адрес доставки, данные файлов cookie);
– сведения, полученные в процессе совершения операций (пол, возраст, паспортные данные, сведения о платёжных средствах, город проживания и (или) адрес).
3.2. Учреждения обрабатывают следующие категории персональных данных субъектов персональных данных, обращающихся в Учреждения с заявлениями о предполагаемом нарушении их прав: фамилия, имя, отчество, паспортные данные (либо сведения иного документа, удостоверяющего личность), контактные данные (номер телефона и (или) факса, адрес электронной почты) правообладателя или иного лица, чьи права предположительно нарушены, и (или) заявителя, если он выступает в качестве уполномоченного представителя правообладателя или иного лица, чьи права предположительно нарушены, а также сведения о поступивших заявлениях, ходе и результатах их рассмотрения.
4. Принципы и условия обработки персональных данных
4.1. При обработке персональных данных Учреждения соблюдают следующие принципы:
– обработка персональных данных осуществляется на законной основе;
– персональные данные не раскрываются третьим лицам и не распространяются без согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством Республики Таджикистан;
– конкретные законные цели определяются до начала обработки, в том числе сбора, персональных данных;
– не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
– обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей;
– обрабатываемые персональные данные подлежат уничтожению или обезличиванию при отзыве субъектом персональных данных согласия на их обработку, при достижении целей обработки либо при утрате необходимости в достижении этих целей, если законодательством Республики Таджикистан не предусмотрено иное;
– содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки; обрабатываемые персональные данные не являются избыточными по отношению к целям их обработки;
– при обработке персональных данных обеспечиваются их точность и достаточность, а в необходимых случаях – актуальность по отношению к заявленным целям обработки.
4.2. Учреждения не обрабатывают персональные данные, касающиеся расовой и национальной принадлежности, политических взглядов, религиозных, философских и иных убеждений, состояния здоровья, частной жизни, членства в общественных объединениях, в том числе профессиональных союзах, а также биометрические персональные данные. Учреждения не осуществляют голосовой ввод и проверку персональных данных с использованием незащищённых каналов передачи данных.
4.3. Учреждения обеспечивают запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных с использованием баз данных, расположенных на территории Республики Таджикистан, и не осуществляют трансграничную передачу персональных данных.
4.4. Учреждения вправе передавать персональные данные третьим лицам с согласия субъекта персональных данных, а также в случаях, когда возможность передачи персональных данных третьим лицам прямо предусмотрена законодательством Республики Таджикистан и не требует согласия субъекта персональных данных.
4.5. В целях исполнения требований действующего законодательства Республики Таджикистан и договорных обязательств обработка персональных данных Учреждениями осуществляется как с использованием средств автоматизации, так и без использования таких средств. Совокупность операций по обработке включает сбор, запись, систематизацию, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.
4.6. Учреждения не принимают исключительно на основании автоматизированной обработки персональных данных решения, влекущие юридические последствия в отношении субъекта персональных данных либо иным образом затрагивающие его права и законные интересы.
4.7. Учреждения не проверяют и, как правило, не имеют возможности проверить соответствие и достоверность сведений, предоставленных субъектами персональных данных посредством цифровой платформы «eTib». Учреждения исходят из того, что субъекты персональных данных, действуя разумно и добросовестно, предоставляют достоверные и достаточные персональные данные и своевременно обновляют их.
5. Права субъектов персональных данных
5.1. Субъект персональных данных, персональные данные которого обрабатываются Учреждениями, вправе:
– в любое время изменять (обновлять, дополнять) предоставленные им персональные данные путём входа в Личный кабинет в случаях, когда функциональные возможности цифровой платформы «eTib» позволяют это сделать;
– удалить предоставленные им персональные данные путём направления Учреждениям письменного уведомления с указанием персональных данных, подлежащих удалению.
5.2. Субъект персональных данных также вправе:
– получать от Учреждений подтверждение факта обработки персональных данных и сведения о наличии персональных данных, относящихся к соответствующему субъекту персональных данных;
– получать сведения о правовых основаниях и целях обработки персональных данных;
– получать сведения о применяемых Учреждениями способах обработки персональных данных;
– получать сведения о наименованиях и местах нахождения Учреждений;
– получать сведения о лицах (за исключением работников Учреждений), которые имеют доступ к персональным данным либо которым персональные данные могут быть раскрыты на основании договора с Учреждениями или законодательства Республики Таджикистан;
– получать обрабатываемые персональные данные, относящиеся к субъекту персональных данных, и сведения об источнике их получения, если законодательством Республики Таджикистан не предусмотрен иной порядок предоставления таких персональных данных;
– получать сведения о сроках обработки персональных данных, в том числе о сроках их хранения;
– получать сведения о порядке осуществления субъектом персональных данных прав, предусмотренных законодательством Республики Таджикистан;
– получать наименования и адреса лиц, обрабатывающих персональные данные от имени Учреждений;
– получать иные сведения, предусмотренные законодательством Республики Таджикистан;
– требовать от Учреждений уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленных целей обработки;
– в любое время отозвать согласие на обработку своих персональных данных на цифровой платформе «eTib» либо путём направления письменного уведомления по адресу Учреждений. После получения такого уведомления обработка персональных данных субъекта прекращается, а его персональные данные уничтожаются, за исключением случаев, когда их обработка может быть продолжена в соответствии с законодательством Республики Таджикистан;
– требовать прекращения неправомерных действий Учреждений в отношении его персональных данных.
5.3. Права, предусмотренные подпунктами настоящего раздела, могут быть ограничены в соответствии с требованиями законодательства Республики Таджикистан и (или) в случаях, когда Учреждения обрабатывают персональные данные на иных законных основаниях, помимо согласия субъекта персональных данных.
6. Обязанности Учреждений
6.1. В соответствии с требованиями законодательства Учреждения обязаны:
6.1.1. По запросу субъекта персональных данных предоставить ему сведения об обработке его персональных данных либо направить мотивированный отказ на законных основаниях в течение тридцати дней со дня получения запроса субъекта персональных данных или его представителя.
6.1.2. По требованию субъекта персональных данных уточнить, заблокировать или уничтожить обрабатываемые персональные данные, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленных целей обработки, в срок не более семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих указанные обстоятельства.
6.1.3. Вести журнал обращений субъектов персональных данных, в котором должны регистрироваться запросы субъектов о получении персональных данных, а также факты предоставления персональных данных в ответ на такие запросы.
6.1.4. Уведомлять субъекта персональных данных об обработке его персональных данных, если персональные данные получены не от самого субъекта персональных данных. Исключение составляют следующие случаи:
– субъект персональных данных уведомлён об обработке его персональных данных Учреждениями;
– персональные данные получены Учреждениями в связи с исполнением договора, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных, либо на основании требований действующего законодательства Республики Таджикистан;
– Учреждения обрабатывают обезличенные персональные данные в статистических или иных исследовательских целях при условии, что права и законные интересы субъекта персональных данных не нарушаются;
– предоставление субъекту персональных данных сведений, содержащихся в уведомлении об обработке персональных данных, нарушает права и законные интересы третьих лиц;
– в случае отзыва субъектом персональных данных согласия на обработку его персональных данных прекратить их обработку и уничтожить персональные данные в срок не более тридцати дней со дня получения такого отзыва. Учреждения обязаны уведомить субъекта персональных данных об уничтожении персональных данных;
– при сборе персональных данных, в том числе посредством цифровой платформы «eTib» в сети Интернет, обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных Пользователей с использованием баз данных, расположенных на территории Республики Таджикистан.
7. Защита персональных данных
7.1. При обработке персональных данных Учреждения принимают необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного и (или) несанкционированного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления и распространения, а также от иных неправомерных действий в отношении персональных данных.
7.2. К таким мерам, в частности, относятся:
– назначение лица, ответственного за организацию обработки персональных данных, и лица, ответственного за обеспечение безопасности информации;
– разработка и утверждение локальных актов по вопросам обработки и защиты персональных данных;
– применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
– контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищённости информационных систем персональных данных;
– оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения требований законодательства Республики Таджикистан, а также соотношение такого вреда и мер, принимаемых Учреждениями для обеспечения исполнения обязанностей, предусмотренных законодательством Республики Таджикистан;
– соблюдение условий, исключающих несанкционированный доступ к материальным носителям персональных данных и обеспечивающих безопасность персональных данных;
– ознакомление работников Учреждений, непосредственно участвующих в обработке персональных данных, с положениями законодательства Республики Таджикистан, в том числе с требованиями к защите персональных данных и локальными актами по вопросам обработки и защиты персональных данных, а также обучение таких работников.
8. Срок обработки (хранения) персональных данных
8.1. Срок обработки (хранения) персональных данных определяется исходя из целей их обработки, сроков действия договоров с субъектами персональных данных и требований действующего законодательства Республики Таджикистан:
– персональные данные зарегистрированных Пользователей хранятся в течение всего срока существования учётной записи Пользователя;
– персональные данные незарегистрированных Пользователей хранятся в течение трёх лет;
– персональные данные иных лиц, обратившихся в Учреждения с заявлениями о предполагаемом нарушении их прав, хранятся в течение всего срока обработки и рассмотрения соответствующих претензий, а также в течение трёх лет со дня завершения обработки и (или) рассмотрения претензии, если законодательством Республики Таджикистан не установлен иной срок исковой давности для соответствующих споров.
8.2. Персональные данные, срок обработки (хранения) которых истёк, подлежат уничтожению, если законодательством Республики Таджикистан не предусмотрено иное. Хранение персональных данных после прекращения их обработки допускается только после их обезличивания.
9. Порядок получения разъяснений по вопросам обработки персональных данных
9.1. Субъекты персональных данных, персональные данные которых обрабатываются Учреждениями, могут получить разъяснения по вопросам обработки своих персональных данных, обратившись в Учреждения лично либо направив соответствующий письменный запрос по адресу места нахождения Учреждений.
10. Ответственность сторон
10.1. Учреждения несут ответственность в соответствии с законодательством Республики Таджикистан за документально подтверждённый ущерб, причинённый Пользователю вследствие неправомерного использования его персональных данных, за исключением случаев, предусмотренных настоящей Политикой.
10.2. В случае утраты или раскрытия персональных данных Пользователя Учреждения не несут ответственности, если такие персональные данные:
– находились в открытом доступе до их утраты или раскрытия;
– были раскрыты третьими лицами до их предоставления Учреждениям;
– были раскрыты с согласия Пользователя;
– были раскрыты в иных случаях, предусмотренных законодательством Республики Таджикистан.
11. Изменение Политики. Прочие положения
11.1. Учреждения вправе периодически вносить изменения и дополнения в настоящую Политику, в том числе в целях отражения изменений в составе предоставляемых Учреждениями услуг, функциональных возможностях цифровой платформы «eTib» либо в законодательстве Республики Таджикистан. Новая редакция Политики вступает в силу с момента её опубликования, если в ней не указана иная дата вступления в силу.