ОБЩИЕ ПОЛОЖЕНИЯ

1. Политика обработки персональных данных клиентов
   ООО «Медилюкс сервис»:

• устанавливает порядок обработки персональных данных клиентовООО «Медилюкс сервис»;
• определяет порядок доступа к обрабатываемым в ООО «Медилюкс сервис» персональным данным;
• разработана на основании и в соответствии с требованиями Закона Республики Беларусь «О защите персональных данных», является общедоступным документом ООО «Медилюкс сервис»;
• предусматривает возможность ознакомления с ней любых лиц.

2. Для целей настоящей Политики используются термины, употребляемые в Законе Республики Беларусь «О защите персональных данных», а также следующие понятия:

• потенциальный клиент – гражданин, обратившийся в ООО «Медилюкс сервис» лично или через технические средства связи для получения консультации об оказываемых ООО «Медилюкс сервис» услугах;
• клиент – гражданин, заключивший с ООО «Медилюкс сервис» договор об оказании платных медицинских услуг;
• законный представитель клиента – родитель, усыновитель, опекун или попечитель клиента, от имени которого заключен договор об оказании платных медицинских услуг;
• пользователь интернет-сайта «Медилюкс сервис» – гражданин, оставивший онлайн-заявку на интернет-сайте «Медилюкс сервис» или отзыв;
• работник – гражданин, состоящий с ООО «Медилюкс сервис» в трудовых отношениях;
• средства технической связи – устройства и технологии, предназначенные для передачи информации между устройствами или людьми (номер мобильного телефона, адрес электронной почты, почтовый адрес и пр.).

3. Целями обработки персональных данных клиентов в
   ООО «Медилюкс сервис» являются:

• заключение договора на оказание платных медицинских услуг (на основании абзаца пятнадцатого статьи 6 Закона Республики Беларусь «О защите персональных данных»);
• ведение медицинской карты (на основании абзаца шестого пункта 2 статьи 8 Закона Республики Беларусь «О защите персональных данных»);
• оказание медицинских услуг (на основании абзаца шестого пункта 2 статьи 8 Закона Республики Беларусь «О защите персональных данных»);
• установление обратной связи с клиентами посредством обработки онлайн-заявок клиентов, которые подаются через интернет-сайт «Медилюкс сервис»;
• обработка отзывов клиентов, которые оставляются в разделе «Отзывы» на интернет-сайте «Медилюкс сервис»;
• отправка результатов лабораторных исследований (на основании согласия, пункт 3 статьи 4 Закона Республики Беларусь «О защите персональных данных»);
• отправка коммерческих предложений и информации клиентам посредством технических средств связи (на основании согласия, пункт 3 статьи 4 Закона Республики Беларусь «О защите персональных данных»);
• отправка плана питания (рекомендаций для коррекции фигуры) посредством технических средств связи (на основании согласия, пункт 3 статьи 4 Закона Республики Беларусь «О защите персональных данных»);
• осуществление видеонаблюдения (в соответствии с абзацем двадцатым статьи 6 и пунктом 1 статьи 17 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных»);
• направление уведомлений, информации и запросов, ответов на обращения граждан и юридических лиц, заявления субъектов персональных данных (на основании абзаца шестнадцатого статьи 6 Закона Республики Беларусь «О защите персональных данных»).

ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, СПОСОБЫ ОБРАБОТКИ

4. Персональные данные обрабатываются в ООО «Медилюкс сервис» в соответствии с законодательством Республики Беларусь и локальными правовыми актами ООО «Медилюкс сервис».
5. В зависимости от целей обработки персональных данных, указанных в пункте 2 настоящей Политики, ООО «Медилюкс сервис» обрабатывает следующие персональные данные:

• фамилия, собственное имя, отчество (если таковое имеется);
• дата рождения;
• адрес места жительства (регистрации);
• сведения о гражданстве;
• сведения о половой принадлежности;
• сведения из документа, удостоверяющего личность (серия, номер, когда и кем выдан, личный номер (при его наличии);
• изображение;
• идентификационный номер;
• собственноручная подпись;
• контактный номер телефона;
• e-mail;
• номер страхового полюса.

6. Обработка специальных персональных данных, касающихся расовой либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, привлечения к административной или уголовной ответственности в
   ООО «Медилюкс сервис» не осуществляется. При этом обработка персональных данных, касающихся здоровья или интимной жизни, а также биометрических и генетических персональных данных осуществляется в порядке, установленном законодательством и локальными правовыми актами ООО «Медилюкс сервис».
7. Персональные данные в ООО «Медилюкс сервис» обрабатываются путем:

• сбора – получение персональных данных от субъектов персональных данных;
• систематизации – объединение персональных данных по определенному признаку в отдельные группы (базы данных, картотеки, журналы и т.д.);
• использования – применение персональные данных для достижения целей, установленных настоящей Политики;
• изменения – внесение изменений и дополнений в персональные данные с целью обеспечения их актуальности и точности;
• предоставления – предоставление персональных данных правоохранительным органам, контрольным и надзорным органам;
• видеонаблюдения;
• аудиозаписи;
• обезличивания – применение мер, в результате которых становится невозможным без использования дополнительной информации определить, какому конкретному лицу принадлежат персональные данные;
• хранения как в электронном виде, так на бумажных носителях;
• уничтожения (удаления).

8. Обработка персональных данных в ООО «Медилюкс сервис» осуществляется с использованием:

• программного обеспечения «1С: Предприятия»;
• медицинской информационной системы «Альварис»;
• автоматизированного рабочего места – ультразвуковых исследований (АРМ – УЗИ);
• интернет-сайта «Медилюкс сервис»;
• систем видеонаблюдения;
• корпоративной электронной почты: admin@medilux.by;
• на бумажных носителях (договора об оказании платных медицинских услугах, медицинские карты, журналы учета пациентов).

9. Работники, непосредственно осуществляющие обработку персональных данных, а также получившие доступ к персональным данным, обрабатываемым в ООО «Медилюкс сервис», обеспечивают соблюдение требований законодательства о персональных данных, настоящей Политики, иных локальных правовых актов в сфере обеспечения защиты персональных данных.
10.  ООО «Медилюкс сервис» вправе передавать персональные данные уполномоченным лицам в целях, указанных в соответствии с настоящей Политикой, по гражданско-правовым договорам, заключенным
    с ООО «Медилюкс сервис».
11. Уполномоченные лица не вправе распространять и(или) предоставлять персональные данные, которые стали ему (им) известны в связи с исполнением договора о поручении обработки, в том числе после прекращения обработки без наличия правового основания, предусмотренного законодательными актами.

ОСНОВАНИЯ И ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

12. Обработка персональных данных клиентов осуществляется на основании:

• заключенного договора об оказании платных медицинских услугах;
• согласия (отказ), отзыв согласия пациента (лиц, указанных в части второй статьи 18 Закона Республики Беларусь «О здравоохранении») на (от) внесение(я) и обработку(и) персональных данных пациента и информации, составляющей врачебную тайну;
• согласия клиента на обработку персональных данных для целей рассылки коммерческих предложений;
• согласия клиента на обработку персональных данных для предоставления результатов лабораторных исследований путем использования средств технической связи;
• согласия клиента на обработку персональных данных для предоставления плана питания (рекомендаций для коррекции фигуры) путем использования средств технической связи;

13. Обработка персональных данных при заключении с клиентом договора об оказании платных медицинских услуг осуществляется администратором и включает сбор следующих персональных данных: фамилию, собственное имя, отчество (если таковое имеется), адрес места жительства (регистрации), идентификационный номер (при наличии), паспортные данные, собственноручную подпись.

При посещении клиентом косметологического кабинета договор об оказании платных медицинских услугах заключается врачом-косметологом лично и включает сбор следующих персональных данных: фамилию, собственное имя, отчество (если таковое имеется), адрес места жительства (регистрации), идентификационный номер (при наличии), паспортные данные, собственноручную подпись.

14. Обработка персональных данных при оказании клиенту медицинской услуги у конкретного врача-специалиста осуществляется врачом-специалистом при заполнении бумажной медицинской карты и журнала учета пациентов.

При посещении врача ультразвуковой диагностики персональные данные клиентов вносятся в электронную базу данных клиентов.

Внесения в электронную базу персональных данных клиентов возможно только после получения письменного согласия. Согласие дается по форме, установленной Инструкцией о формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных, информации, составляющей врачебную тайну, отказа от их внесения и обработки и порядке информирования о праве на отказ от внесения информации, составляющей врачебную тайну, в централизованную информационную систему здравоохранения, утвержденной Постановлением Министерства здравоохранения Республики Беларусь от 07.06.2021 № 74. При отказе от дачи указанного  согласия ведение медицинской документации осуществляется на бумажном носителе в порядке, установленном Министерством здравоохранения.

15. Клиенту при первичном и последующем посещении может быть предложено:

– оставить данные о средстве технической связи с целью рассылки коммерческих предложений ООО «Медилюкс сервис»;

– оставить данные о средстве технической связи с целью предоставления результатов лабораторных исследований;

– оставить данные о средстве технической связи с целью предоставления плана питания (рекомендаций для коррекции фигуры).

Направление информации, указанной в части первой настоящего пункта, возможно после дачи клиентом письменного согласия.

16. Доступ к персональным данным клиентов имеют:

• директор, заместитель директора, главный бухгалтер, администратор – к персональным данным, полученным в рамках заключения договора об оказании платных медицинских услуг;
• заместитель директора, администратор – к персональным данным, полученным на основании согласия для целей рассылки коммерческих предложений и предоставления результатов лабораторных исследований;
• заместитель директора – к персональным данным, полученным при оказании клиенту медицинской услуги для целей проведения оценки качества медицинской помощи;
• медицинские работники – к персональным данным, полученным при оказании клиенту конкретной медицинской услуги.

17. Персональные данные клиентов, содержащиеся в договорах об оказании платных медицинских услугах, хранятся в кабинете директора (заместителя директора) в закрываемом на ключ шкафу.

Персональные данные клиентов, содержащиеся в медицинских картах, хранятся непосредственно у врачей-специалистов в их рабочих кабинетах в закрываемых на ключ шкафах.

18. Персональные данные клиентов, содержащиеся в базах данных клиентов и в документах в электронной форме, хранятся на персональных компьютерах работников, включая врачей-специалистов.
19. Персональные данные клиентов, содержащиеся в документах в электронной форме:

не размещаются в сетевые папки общего доступа;

хранятся в папках с паролями или зашифрованных контейнерах на персональных компьютерах работников, включая врачей-специалистов.

20. На персональных компьютерах работников, включая врачей-специалистов, установлены сложные пароля, не позволяющие третьим лицам получить доступ к информации, хранящейся на персональных компьютерах.
21. Персональные данные клиентов не распространяются.
22. Персональные данные клиентов, не содержащие сведения о состоянии здоровья, анамнезе, диагнозе и т.д., не подлежат передаче третьим лицам, без их согласия за исключением:

• передачи персональных данных в целях ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности;
• передачи персональных данных, если это необходимо для защиты жизни, здоровья или иных жизненно важных интересов клиента или иных лиц, если получение согласия клиента невозможно;
• передачи персональных данных, необходимых для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов.

23. Персональные данные клиентов, содержащие сведения о состоянии здоровья, анамнезе, диагнозе и т.д., составляют врачебную тайну и не передаются без их согласия.
24. Без согласия клиента персональные данные, составляющие врачебную тайну, могут быть переданы:

• Министерству здравоохранения Республики Беларусь, главным управлениям по здравоохранению областных исполнительных комитетов и Комитета по здравоохранению Минского городского исполнительного комитета – в целях организации оказания медицинской помощи пациенту, при проведении экспертизы качества медицинской помощи, оценки качества медицинской помощи и медицинских экспертиз, при угрозе распространения инфекционных заболеваний, а также при осуществлении государственного санитарного надзора;
• организациям здравоохранения – в целях организации оказания медицинской помощи клиенту или при угрозе распространения инфекционных заболеваний;
• страховым организациям – для решения вопроса о назначении страховых выплат;
• нанимателю – в связи с проведением расследования несчастного случая на производстве и профессионального заболевания;
• органам дознания – в связи с проведением экспертиз для решения вопроса о возбуждении уголовного дела;
• органам внутренних дел – с целью подтверждения информации о прохождении (непрохождении) медицинского переосвидетельствования водителей механических транспортных средств, наличии заболевания или противопоказания, препятствующих управлению механическими транспортными средствами;
• органам уголовного преследования и суду – в связи с проведением досудебного производства или судебным разбирательством;
• органам, осуществляющим оперативно-розыскную деятельность – в связи с осуществлением такой деятельности.

25. В ООО «Медилюкс сервис» установлены следующие сроки хранения персональных данных клиентов:

5 лет – для договоров об оказании платных медицинских услугах;

5 лет после выбытия – для медицинских карт;

5 лет после выбытия – для персональных данных, хранящихся в электронных базах данных клиентов (пациентов).

26. После истечения сроков хранения:

• документы на бумажных носителях, содержащие персональные данные, уничтожения с использованием шредера;
• документы в электронной форме, содержащие персональные данные, удаляются;
• персональные данные, содержащиеся в базах данных пациентов, удаляются.

27. Об уничтожении или удалении персональных данных составляется акт об уничтожении или удалении.
28. Обработка персональных данных в ООО «Медилюкс сервис»» прекращается:

• по достижении цели обработки персональных данных;
• при обнаружении неправомерной обработки персональных данных;
• по требованию Национального центра защиты персональных данных Республики Беларусь;
• по требованию субъекта персональных данных;
• в случае отзыва субъектом персональных данных согласия на обработку персональных данных;
• в случае прекращения деятельности ООО «Медилюкс сервис».

29. Документы на бумажных носителях, содержащие персональные данные, после прекращения обработки персональных данных уничтожаются с использованием шредера или посредством сжигания.

После уничтожения документов на бумажных носителях составляется акт об уничтожении персональных данных.

30. Персональные данные, содержащиеся в электронных базах данных клиентов (пациентов) после прекращения их обработки удаляются, что подтверждается актом об удалении персональных данных.

В случае невозможности удаления персональных данных – они блокируются, о чем составляется соответствующий акт.

ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ИХ РЕАЛИЗАЦИЯ

31. Субъект персональных данных вправе:

• в любое время без объяснения причин отозвать свое согласие на обработку персональных данных;
• требовать бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для их обработки;
• получать информацию, касающуюся обработки персональных данных^[1];
• требовать внесения изменений в свои персональные данные;
• получать информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно;
• обжаловать действия (бездействие) и принятые ООО «Медилюкс сервис» решения, нарушающие его права при обработке персональных данных, в суд.

32. Для реализации субъектом персональных данных прав, предусмотренных пунктом 31 настоящей Политики, субъектом персональных данных подается в ООО «Медилюкс сервис» заявление:

• в письменной форме при личном обращении или на почтовый адрес: г.Витебск, ул.Чкалова, д. 50, корп. 2, пом.71;
• или в форме электронного документа на адрес электронной почты: admin@medilux.by.

33. Ответ на заявление субъекта персональных данных (далее – заявление) о реализации его прав, предусмотренных пунктом настоящего раздела, направляется в пятнадцатидневный срок со дня его получения субъекту персональных данных в форме:

• соответствующей форме подачи заявления;
• иной форме по желанию субъекта персональных данных.

34. Ответ на заявление должен содержать информацию о том:

• какое решение принято по заявлению;
• какие действия предприняты ООО «Медилюкс сервис» для реализации прав субъекта персональных данных.

35. Полученное заявление регистрируется лицом, ответственным за осуществление внутреннего контроля за обработкой персональных данных, присваивается соответствующий номер, проставляется дата получения заявления.
36. Рассмотрение заявления осуществляет лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных в ООО «Медилюкс сервис».
37. Если в заявлении содержится требование субъекта персональных данных об отзыве своего согласия на обработку персональных данных либо о прекращении обработки своих персональных данных ООО «Медилюкс сервис» в пятнадцатидневный срок после получения такого заявления:

• прекращает обработку персональных данных,
• принимает меры по удалению персональных данных или их обезличиванию, или их блокированию с целью исключения дальнейшей обработки персональных данных.

38. Если в заявлении содержится требование субъекта персональных данных о получении информации, касающейся обработки его персональных данных, ООО «Медилюкс сервис» в течение пяти рабочих дней после получения такого заявления обеспечивает:

• либо предоставление субъекту персональных данных информации об обработке его персональных данных в ООО «Медилюкс сервис»,
• либо отказывает в предоставлении информации об обработке его персональных данных в ООО «Медилюкс сервис» с уведомлением о причинах отказа в ее предоставлении согласно пункту 3 статьи 11 Закона Республики Беларусь «О защите персональных данных».

39. Если в заявлении содержится требование субъекта персональных данных о внесении изменений в свои персональные данные ООО «Медилюкс сервис» в пятнадцатидневный срок после получения такого заявления:

• либо вносит соответствующие изменения в персональные данные и уведомляет об этом субъекта персональных данных,
• либо отказывает во внесении изменений в персональные данные и уведомляет об этом субъекта персональных данных.

40. Если в заявлении содержится требование субъекта персональных данных о получении информации о предоставлении своих персональных данных третьим лицам ООО «Медилюкс сервис» в пятнадцатидневный срок после получения такого заявления:

• либо предоставляет субъекту персональных данных информацию о том, какие персональные данные этого субъекта и кому предоставлялись в течение года, предшествовавшего дате подачи заявления,
• либо отказывает в предоставлении информации о том, какие персональные данные этого субъекта и кому предоставлялись в течение года, предшествовавшего дате подачи заявления, согласно пункту 3 статьи 11 и пункту 3 статьи 12 Закона Республики Беларусь «О защите персональных данных» и уведомляет об этом субъекта персональных данных.

МЕРЫ, ПРИНИМАЕМЫЕ ООО «МЕДИЛЮКС СЕРВИС» ДЛЯ ОБЕСПЕЧЕНИЯ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ОПЕРАТОРА ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

41. Для обеспечения защиты персональных данных в ООО «Медилюкс сервис» применяются правовые, организационные и технические меры.

    42 . Правовые меры включают в себя:

• разработку и применение локальных правовых актов в сфере защиты персональных данных, в том числе настоящей Политики в соответствии с требованиями законодательства о персональных данных;
• установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);
• включение в договора, заключаемые ООО «Медилюкс сервис» с заказчиками, поставщиками, подрядчиками, исполнителями, требований обеспечения защиты персональных данных.

43. Организационные меры включают в себя:

• назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
• определение перечня должностей работников, непосредственно осуществляющих обработку персональных данных;
• определение перечня обрабатываемых в ООО «Медилюкс сервис» персональных данных для каждой категории субъектов персональных данных;
• ознакомление работников, непосредственно осуществляющих обработку персональных данных, с требованиями законодательства о персональных данных, настоящей Политики, Положения об обработке персональных данных в ООО «Медилюкс сервис», иных локальных правовых актов в отношении обработки персональных данных;
• организацию обучения работников, непосредственно осуществляющих обработку персональных данных;
• осуществление внутреннего контроля за выполнением работниками требований законодательства о персональных данных, локальных правовых актах лицом, ответственным за осуществление внутреннего контроля за обработкой персональных данных;
• организацию и реализацию системы ограничения (разграничения) доступа работников к документам, информационным системам (ресурсам), содержащим персональные данные;
• организацию учета обрабатываемых в ООО «Медилюкс сервис» персональных данных, их хранения и порядка обработки;
• организацию контроля доступа в помещения ООО «Медилюкс сервис», в которых осуществляется обработка персональных данных.

44. Технические меры принимаются ООО «Медилюкс сервис» в соответствии с требованиями законодательства в рамках осуществления технической и криптографической защиты персональных данных.
45. Сведения о конкретных применяемых технических мерах защиты персональных данных являются конфиденциальной информацией и раскрываются ООО «Медилюкс сервис» только в случаях и в порядке, предусмотренных законодательством.

 [1] Информация предоставляется бесплатно, за исключением случаев, предусмотренных законодательными актами. При этом субъект персональных данных не должен обосновывать свой интерес к запрашиваемой информации.