Положение об обработке и защите персональных данных

1.1. Положение об обработке и защите персональных данных ОДО «Лаборатория здоровья» (далее – Положение) является локальным правовым актом, регулирующим отношения, связанные с защитой персональных данных при их обработке в ОДО «Лаборатория здоровья» (далее – Оператор). Положение направлено на обеспечение прав и свобод физических лиц при обработке их персональных данных.

1.2. Настоящее Положение разработано во исполнение требований абз.3 п. 3 ст.17 Закона Республики Беларусь от 07.05.2021 N 99-З «О защите персональных данных» и в соответствии с Конституцией Республики Беларусь, Законом Республики Беларусь от 07.05.2021 N 99-З «О защите персональных данных» (далее — Закон о персональных данных), Законом Республики Беларусь от 21.07.2008 N 418-З «О регистре населения», Законом Республики Беларусь от 10.11.2008 N 455-З «Об информации, информатизации и защите информации», Законом Республики Беларусь от 18.06.1993 N 2435-XII «О здравоохранении» (далее – Закон о здравоохранении), Постановления Министерства здравоохранения Республики Беларусь от 07.06.2021 N 74 «О формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных пациента» (вместе с Инструкцией о формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных, информации, составляющей врачебную тайну, отказа от их внесения и обработки и порядке информирования о праве на отказ от внесения информации, составляющей врачебную тайну, в централизованную информационную систему здравоохранения), Постановления Министерства здравоохранения Республики Беларусь от 28.05.2021 N 64 «Об утверждении Инструкции о порядке обезличивания персональных данных лиц, которым оказывается медицинская помощь», приказом Министерства здравоохранения Республики Беларусь от 25.05.2018 № 536 «О некоторых вопросах формирования интегрированных электронных медицинских карт в Республике Беларусь» и иными нормативными правовыми актами Республики Беларусь в целях обеспечения защиты прав и свобод человека и гражданина при обработке Оператором его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайны.

1.3. Положение определяет основные принципы, цели, условия и способы обработки персональных данных, категории субъектов персональных данных, перечни обрабатываемых персональных данных, права и обязанности Оператора при обработке персональных данных, права субъектов персональных данных, комплекс мер по защите персональных данных, реализуемый Оператором.

1.4. Термины, используемые в настоящем Положении:

Информация — сведения (сообщения, данные) независимо от формы их представления.
Клиент — любое физическое лицо, обратившееся к Оператору с целью получения услуг, в том числе медицинских, оказываемых Оператором, в соответствии с действующим прейскурантом цен и перечнем оказываемых услуг, в том числе на безвозмездной основе, в том числе онлайн с использованием глобальной сети Интернет, через сайт https://labzdrav.by/ (далее – Сайт) форму обратной связи, и в связи с этим предоставляющее Оператору свои персональные данные в письменном, устном или электронном виде.
Обработка персональных данных — любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных.
Общедоступные персональные данные — персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательных актов.
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных Персональные данные — любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано.
Пользователь — лицо, имеющее доступ к Сайту и(или) Приложению, в отношении которого осуществляется обработка персональных данных.
Специальные персональные данные – персональные данные, касающиеся расовой, либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или половой жизни, привлечения к административной ответственности, биометрические и генетические персональные данные.
Сайт — расположенная в глобальной сети Интернет страница под доменным именем https://lab-zdrav.by/.
Субъект персональных данных — физическое лицо, в отношении которого осуществляется обработка персональных данных.
Физическое лицо, которое может быть идентифицировано — физическое лицо, которое может быть прямо или косвенно определено, в частности через фамилию, собственное имя, отчество, дату рождения, идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности.
Cookies – электронные данных, отправленные веб-сервером и хранимые на компьютере Пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.
IP-адрес – уникальный сетевой адрес, идентифицирующий устройство в интернете или локальной сети.

1.5. Положение является локальным правовым актом Оператора, регламентирующим отношения Оператора и субъектов персональных данных в области защиты персональных данных при их обработке, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных, в том числе переданных клиентом Обществу в письменном, устном или электронном виде, а также определяет порядок организации работы по созданию в Обществе системы защиты персональных данных. Во исполнение требований п. 4 ст. 17 Закона «О защите персональных данных» Положение публикуется в свободном доступе в глобальной компьютерной сети Интернет на Сайте.

1.6. Обработка персональных данных производится Оператором на основании действующего законодательства и локальных документов в соответствии с принципами законности, прозрачности, баланса интересов всех заинтересованных субъектов, добросовестности, достоверности данных, соответствия содержания и объёма обрабатываемых данных и целей их обработки, ограниченности времени хранения персональных данных, конфиденциальности и надежности.

1.7. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

Конституция Республики Беларусь;
Гражданский кодекс Республики Беларусь;
Трудовой кодекс Республики Беларусь;
Налоговый кодекс Республики Беларусь;
Закон Республики Беларусь «О защите персональных данных»;
Закон Республики Беларусь «О здравоохранении»;
иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

1.8. Локальным правовым основанием обработки персональных данных
являются:

устав Общества с дополнительной ответственностью «Лаборатория Здоровья» со всеми изменения и дополнениями;
договоры, заключаемые между Оператором, клиентами и иными субъектами персональных данных;
согласие клиентов и иных субъектов на обработку их персональных данных.

2. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Оператор обрабатывает персональные данные следующих категорий субъектов персональных данных:

клиентов ОДО «Лаборатория здоровья» и лиц, указанных в части второй статьи 18 Закона о здравоохранении (законных представителей, опекунов и т.д.);
кандидатов на вакантные места;
работников Оператора;
бывших работников Оператора;
родственников работников Оператора;
физических лиц, являющихся контрагентами Оператора;
физических лиц, являющихся представителями (работниками) юридических лиц – контрагентов Оператора;
физических лиц (не относящихся к вышеуказанным категориям субъектов), обратившихся с заявлением (обращением, жалобой и пр.) к Оператору;
иных лиц.

2.2. Оператор обрабатывает следующие данные:

В отношении работников Оператора, бывших работников Оператора, родственников работников Оператора дополнительно могут предоставляться следующие личные данные:

имя, фамилия и отчество (если применимо);
дата рождения;
гражданство;
пол;
данные паспорта или иного документа, удостоверяющего личность;
адрес проживания;
сведения о семейном положении и составе семьи с указанием фамилий, имен и отчеств членов семьи, даты рождения, места работы и/или учебы;
сведения о регистрации по месту жительства (включая адрес, дату регистрации);
сведения о месте фактического проживания;
номер и серия страхового свидетельства государственного социального страхования;
сведения медицинского характера (в случаях, предусмотренных законодательством);
биометрические персональные данные (включая фотографии, изображения и звук с камер видеонаблюдения);
сведения о социальных льготах и выплатах;
сведения о наличии исполнительных производств в органах принудительного исполнения.

Кандидаты на вакантные места у Оператора могут предоставлять:

имя, фамилия и отчество (если применимо);
дата рождения;
гражданство;
пол;
данные паспорта или иного документа, удостоверяющего личность;
адрес проживания;
данные об образовании, повышении квалификации и профессиональной переподготовке, ученой степени, ученом звании;
сведения о трудовой деятельности (включая стаж и опыт работы, данные о занятости с указанием должности, подразделения, сведений о работодателе и др.);
специальность, профессию, квалификацию;
сведения о воинском учете;
сведения медицинского характера (в случаях, предусмотренных законодательством);
биометрические персональные данные (включая фотографии, изображения с камер видеонаблюдения);
сведения о награждениях и поощрениях;
сведения, предоставленные дополнительно самим кандидатом в ходе заполнения личностных опросников и прохождения мероприятий по психометрическому тестированию, а также результаты такого тестирования (психометрический профиль, способности и характеристики);
иные данные, которые могут быть указаны в резюме или анкете кандидата.

Персональные данные работников и иных представителей контрагентовюридических лиц включают:

фамилию, имя, отчество;
паспортные данные или данные иного документа, удостоверяющею личность (серия, номер, дата выдачи, наименование органа, выдавшего документ, и др.);
сведения о регистрации по месту жительства (включая адрес, дату регистрации);
контактные данные;
должность;
иные данные, необходимые для исполнения взаимных прав и обязанностей между Оператором и контрагентом.

Персональные данные контрагентов — физических лиц включают:

фамилию, имя, отчество;
гражданство;
паспортные данные или данные иного документа, удостоверяющею личность (серия, номер, дата выдачи, наименование органа, выдавшего документ, и др.);
сведения о регистрации по месту жительства (включая адрес, дату регистрации);
номер и серия страхового свидетельства государственного социального страхования;
данные об образовании, повышении квалификации и профессиональной переподготовке, ученой степени, ученом звании;
реквизиты банковского счета;
идентификационный номер налогоплательщика; специальность, профессию, квалификацию;
контактные данные
данные свидетельства о регистрации права собственности;
иные данные, необходимые для исполнения взаимных прав и обязанностей между Оператором и контрагентом.

Персональные данные пользователей Сайта при входе на Сайт и (или) заполнении форм обратной связи на Сайте

имя, фамилия и отчество (если применимо);
контактные данные;
IP-адрес;
тип браузера и операционной системы устройства;
дата и время посещения Сайта;
адрес посещаемых страниц Сайта;
файлы-Cookie;

Оператор также обрабатывает следующие данные, предоставляемые субъектом персональных данных:

Контактные данные включают адрес для направления сообщений и документов, в том числе почтовый адрес, адрес электронной почты, и номера домашнего и (или) мобильного телефонов, в том числе данные используемые для общения Оператора и субъекта персональных данных в мессенджерах, иные идентификаторы мессенджеров.
Страховые данные, в том числе данные о факте заключенного договора со страховой организацией, номер, серия и иные реквизиты страхового свидетельства или застрахованного лица, другие, связанные с этим данные.
Технические данные включают IP-адрес, тип и версию браузера, временной пояс и местоположение, тип и версию плагинов браузера, операционной системы и платформы, а также данные о других технологиях, применяемых на устройствах, с которых осуществляется доступ на Сайт, а также данные Cookie-файлов.
Специальные персональные данные, в том числе данные о результатах медицинских обследований и анализов клиента, заключения врачей по результатам приема и (или) консультации, иная информация, которая касается состояния здоровья клиента и т.д., данные о привлечении субъекта персональных данных к административной или уголовной ответственности, а также биометрические и генетические персональные данные;
Текстовые данные и резервные копии файлов включают все данные переписки как в бумажном , так и в электронном виде в открытых линиях по официальным каналам связи Общества, в том числе по электронной почте, в мессенджерах и специальных программах, в том числе в чатах и личных сообщениях с использованием рабочих телефонов и учетных записей в специальных программах сотрудников Оператора, исполняющих свои должностные обязанности, переписка и общение по любым каналам связи, заметки, записки и любая другая текстовая информация, относящаяся к какой-либо форме персональных данных клиента.
Агрегированные данные, включают статистические данные для любых целей, используемые Оператором, информацию, полученную из данных клиентов и (или) иных субъектов персональных данных, не позволяющую прямо или косвенно установить личность, которая была связана с их получением. Оператор будет считать такую совокупность данных конфиденциальными в соответствии с положениями настоящего документа, относящимися к обработке персональных данных.

2.3. Оператор может получать персональные данные:

от клиентов лично при первичном обращении в клинику и формировании личной медицинской карты клиента;
от клиентов лично в последующем при дополнении, исправлении существующей личной медицинской карты;
от иных субъектов персональных данных лично или путем пересылки персональных данных и (или) документов, содержащих такие данные, посредством электронных средств связи;
от третьих лиц, передающих данные субъекта Оператору на законных основаниях для осуществления страховой, банковской, медицинской и иных видов деятельности;
c использованием технических средств Сайта и обратной формы связи при использовании их субъектом персональных данных;
из публичных источников.

2.4. Субъекты персональных данных отвечают за обновление (внесение изменений, актуализацию) любых данных, предоставленных Оператору. Оператор не обязан прикладывать усилия для актуализации и проверки данных, предоставленных ей субъектом персональных данных. Субъекты персональных данных признают, что у Оператора нет перед ними обязательств по проверке таких данных.

2.5. Срок предоставления персональных данных – до отзыва согласия на обработку персональных данных субъектом персональных данных, если иное не регламентируется Законом о персональных или иными действующими правовыми актами Республики Беларусь.

3. ПОЛУЧЕНИЕ И ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Источником информации обо всех персональных данных является непосредственно субъект персональных данных или его законные представители.

3.2. Обработка персональных данных осуществляется Оператором после ознакомления субъекта персональных данных с текстом настоящего Положения и утвержденной Обществом Политикой конфиденциальности, предоставленных для изучения в письменном либо электронном виде. В случаях, установленных законодательством Республики Беларусь, основным условием обработки персональных данных является получение Оператором свободного однозначного согласия субъекта персональных данных на обработку его персональных данных, если получение такого согласия требуется в соответствии с действующим законодательством. Согласие может быть получено любым допустимым законодательством Республики Беларусь способом, в том числе путём проставления подписи и(или) отметки в электронном виде, в письменной форме.

Информирование достигается размещением Оператором настоящего Положения в электронном виде в свободном доступе на Сайте в глобальной сети Интернет и в предоставлении в свободном доступе по адресу Оператора с целью ознакомления с текстом Положения для любого субъекта персональных данных.

3.3. Письменное согласие субъекта персональных данных на обработку его персональных данных в случаях предусмотренных законодательством должно включать в себя:

фамилию, собственное имя, отчество (если таковое имеется);
дату рождения;
идентификационный номер, а в случае отсутствия такого номера — номер документа, удостоверяющего его личность;
подпись субъекта персональных данных.

Если цели обработки персональных данных не требуют обработки информации, эта информация не подлежит обработке Оператором при получении согласия субъекта персональных данных.

3.4. Согласие субъекта персональных данных на обработку его персональных
данных Оператором, за исключением специальных персональных данных, не требуется в следующих случаях:

для целей ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности;
для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов;
в целях осуществления контроля (надзора) в соответствии с законодательными актами;
при реализации норм законодательства в области национальной безопасности, о борьбе с коррупцией, о предотвращении легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения;
при реализации норм законодательства о выборах, референдуме, об отзыве депутата Палаты представителей, члена Совета Республики Национального собрания Республики Беларусь, депутата местного Совета депутатов;
для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в том числе профессионального пенсионного страхования;
при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
для осуществления нотариальной деятельности;
при рассмотрении вопросов, связанных с гражданством Республики Беларусь, предоставлением статуса беженца, дополнительной защиты, убежища и временной защиты в Республике Беларусь;
в целях назначения и выплаты пенсий, пособий;
для организации и проведения государственных статистических наблюдений, формирования официальной статистической информации;
в научных или иных исследовательских целях при условии обязательного обезличивания персональных данных;
при осуществлении учета, расчета и начисления платы за жилищнокоммунальные услуги, платы за пользование жилым помещением и возмещения
расходов на электроэнергию, платы за другие услуги и возмещения налогов, а также при предоставлении льгот и взыскании задолженности по плате за жилищно-коммунальные услуги, плате за пользование жилым помещением и возмещению расходов на электроэнергию;
при получении персональных данных поликлиникой на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;
при обработке персональных данных, когда они указаны в документе, адресованном Оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
в отношении распространенных ранее персональных данных до момента заявления субъектом персональных данных требований о прекращении обработки распространенных персональных данных, а также об их удалении при отсутствии иных оснований для обработки персональных данных, предусмотренных Законом Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» и иными законодательными актами;
в случаях, когда обработка персональных данных является необходимой для исполнения обязанностей (полномочий), предусмотренных законодательными актами;
в случаях, когда Законом Республики Беларусь от 07.05.2021 № 99-З «О защитетперсональных данных» и иными законодательными актами прямо предусматривается обработка персональных данных без согласия субъекта персональных данных.

3.5. Обработка специальных персональных данных без согласия субъекта персональных данных запрещается, за исключением следующих случаев:

если специальные персональные данные сделаны общедоступными персональными данными самим субъектом персональных данных;
при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
при обработке профессиональными союзами персональных данных их членов для достижения уставных целей при условии, что эти данные не подлежат распространению без согласия субъекта персональных данных;
в целях организации оказания медицинской помощи при условии, что такие персональные данные обрабатываются медицинским, фармацевтическим или иным работником здравоохранения, на которого возложены обязанности по обеспечению защиты персональных данных и в соответствии с законодательством распространяется обязанность сохранять врачебную тайну;
для организации и проведения государственных статистических наблюдений, формирования официальной статистической информации;
для осуществления административных процедур;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
в случаях, когда обработка специальных персональных данных является необходимой для исполнения обязанностей (полномочий), предусмотренных законодательными актами;
в случаях, когда Законом Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» и иными законодательными актами прямо предусматривается обработка специальных персональных данных без согласия субъекта персональных данных.

Обработка специальных персональных данных допускается лишь при условии принятия комплекса мер, направленных на предупреждение рисков, которые могут возникнуть при обработке таких персональных данных для прав и свобод субъектов персональных данных.

3.6. Персональные данные обрабатываются путем смешанной (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, в том числе с использованием внутренней сети и сети интернет.

4. ЦЕЛИ СБОРА И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Основания для сбора и обработки Оператором персональных данных:

выполнения своих договорных обязательств;
соответствие деятельности Оператора требованиям, предусмотренным трудовым, налоговым и иными видами законодательства, в том числе регулирующего деятельность медицинских организаций;
оценка и повышение качества оказываемых Оператором услуг;
рассмотрение обстоятельств по поступившим Оператору обращениям клиентов и иных субъектов персональных данных и защиты своих законных интересов;
подтверждение личности клиента-физического лица;
идентифицирование партнеров, юридических лиц, контрагентов Оператора.

4.3. Оператор осуществляет работу с персональными данными указанными способами в следующих целях:

сбор, систематизация, использование, обработка и хранение персональных и иных данных клиента в медицинской системе Оператора, используемой для учёта медицинской документации, результатов медицинских анализов и обследований, медицинских заключений специалистов в отношении клиентов;
сбор, систематизация и хранение медицинской документации в соответствии с действующим законодательством и локальными нормативными актами. Указанные действия осуществляются в целях оказания Оператором клиентам соответствующей медицинской помощи по услугам, предоставляемым Оператором в соответствии с действующим законодательством. С целью осуществления и подтверждения предварительной записи клиента на прием и (или) проведение исследований;
сбор, систематизация, использование, изменение, обработка и хранение персональных данных работников и членов их семей, а также бывших работников организации при оформлении трудовых отношений и в процессе осуществления ими трудовой деятельности в целях соблюдения норм законодательства о труде и организации труда в электронной и бумажной форме, в том числе с использованием специальных программ по ведению учета кадров;
сбор, систематизация, использование, обработка и хранение в электронной и бумажной форме персональных данных кандидатов для приёма на работу с целью оценки целесообразности трудоустройства, принятия решения о возможности заключения с кандидатом трудового договора;
сбор, систематизация, использование, обработка и хранение в электронной и бумажной форме персональных данных контрагентов Оператора с целью ведения хозяйственно-экономической деятельности;
получение и предоставление по запросам страховых организаций и (или) клиентов сведений и документов, необходимых для решения вопроса о назначении страховых выплат, получения подтверждения страховых организаций по оплате приема, в соответствии с законодательством о страховой деятельности, в том числе использование сведений о страховом полисе, предоставляемом клиентом с целью оплаты услуг Общества за счёт средств страховой организации на основании заключенных с клиентом договоров;
использование и обработка персональных данных клиентов уполномоченными сотрудниками с использованием доступных каналов связи в мессенджерах, по электронной почте, SMS-оповещение, личный звонок с использованием мобильной связи для осуществления предварительной записи на приём, изменения или отмены такой записи, проведения исследований, ответа на вопросы субъекта персональных данных, связанных с оказанием Оператором медицинских и иных сопутствующих услуг, разъяснения порядка и условий оказания Оператором сопутствующих и иных услуг, в целях ознакомления с изменениями либо информировании о появлении новых и улучшении порядка предоставления действующих услуг, проводимых в клинике акциях, информировании о приближающейся дате визита;
использование и обработка персональных данных клиентов сотрудниками уполномоченными сотрудниками Оператора в целях рассмотрения обращений клиентов в порядке, предусмотренном законодательством, формирования и направления ответов клиентам.

5. ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ, ХРАНЕНИЕ И ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор обеспечивает контроль доступа к персональным данным, осуществляет их хранение, принимает меры по их защите.

5.2. Обеспечение конфиденциальности при обработке персональных данных обязательно для соблюдения должностными лицами Оператора, допущенными к обработке персональных данных, выполняется недопущением их распространения без согласия субъекта персональных данных или наличия иного законного основания.

5.3. Доступ к персональным данным предоставляется только тем работникам Оператора, служебные обязанности которых предполагают работу с персональными данным. Перечень таких должностей определяется приказом директора Оператора. Иным работникам доступ к персональным данным запрещается. Приказом директора Оператора назначается лицо ответственное за контроль обработки персональных данных.

5.4. В целях обеспечения требований соблюдения конфиденциальности и безопасности при обработке персональных данных Оператор предоставляет должностным лицам, работающим с персональными данными, необходимые условия для выполнения указанных требований:

при приеме работников на работу информирует о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, знакомит работника с требованиями Политики оператора в отношении обработки персональных данных ОДО «Лаборатория здоровья», с настоящим Положением об обработке и защите персональных данных ОДО «Лаборатория здоровья» о порядке обеспечения конфиденциальности при обработке информации, содержащей персональные данные, с должностной инструкцией и иными локальными правовыми актами Оператора в сфере обеспечения конфиденциальности и безопасности персональных данных;
предоставляет хранилища для документов, средства для доступа к информационным ресурсам (ключи, пароли и т.п.);
обучает правилам эксплуатации средств защиты информации;
проводит иные необходимые мероприятия.

5.5. Должностным лицам Организации, работающим с персональными данными, запрещается сообщать их устно или письменно кому бы то ни было, если это не вызвано служебной необходимостью. Без согласования с руководителем Организации формирование и хранение баз данных (картотек, файловых архивов и др.), содержащих конфиденциальные данные, запрещается.

5.6. Должностные лица Организации, работающие с персональными данными, обязаны использовать информацию о персональных данных исключительно для целей, связанных с выполнением своих трудовых обязанностей.

5.7. Обеспечение конфиденциальности персональных данных не требуется в случае:

обезличивания персональных данных (действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных);
для общедоступных персональных данных (персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательных актов).

5.8. Уточнение, изменение персональных данных при их обработке производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель

5.9 Оператор обеспечивает условия для сохранности персональных данных.

5.10. Документы, включающие в себя персональные данные, содержащиеся на бумажных носителях, находятся в специально отведенных для этого местах с ограниченным доступом в условиях, которые обеспечивают их защиту от несанкционированного доступа. Оператор организует раздельное, т.е. не допускающее смешения, хранение материальных носителей персональных данных (документов, дисков, дискет, USB-флеш-накопителей, пр.), обработка которых осуществляется в различных целях.

5.11. Персональные данные, хранящиеся в электронном виде, защищаются от несанкционированного доступа с помощью специальных технических и программных средств защиты. Хранение персональных данных в электронном виде вне применяемых Оператором информационных систем и специально обозначенных баз данных (внесистемное хранение персональных данных) не допускается. Оператор обеспечивает постоянное использование антивирусного обеспечения для обнаружения зараженных файлов и незамедлительное восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним. Оператор принимает меры по недопущению несанкционированных выноса из помещений, установки, подключения оборудования, а также удаления, инсталляции или настройки программного обеспечения. Работа с персональными данными организована таким образом, чтобы обеспечивалась сохранность носителей персональных данных и средств защиты информации, а также исключалась возможность неконтролируемого пребывания в этих помещениях посторонних лиц

5.12. Персональные данные хранятся в форме, позволяющей идентифицировать субъекта персональных данных до отзыва согласия на их обработку субъектом персональных данных, но не дольше, чем этого требуют цели их обработки, если иной срок не установлен законодательством Республики Беларусь.

5.13. Передача и предоставление персональных данных третьим лицам (по запросу иных организаций, органов, учреждений и т.д.) допускается только в случаях, установленных законодательством Республики Беларусь, с учетом и по правилам, определенным Законом N 99-З и иным законодательством в сфере обеспечения конфиденциальности и безопасности персональных данных. Передача персональных данных осуществляется ответственным за обработку персональных данных должностным лицом Оператора на основании письменного поручения руководителя Организации.

5.14. Передача сведений и документов, содержащих персональные данные, оформляется путем составления акта по форме, устанавливаемой Оператором.

5.15. Должностное лицо, предоставившее персональные данные третьим лицам, направляет письменное уведомление субъекту персональных данных о факте передачи его данных третьим лицам.

5.15. Запрещается передача персональных данных по телефону, факсу, электронной почте за исключением случаев, установленных законодательством и действующими локальными правовыми актами. Ответы на запросы граждан и организаций даются в том объеме, который позволяет не разглашать в ответах персональные данные, за исключением данных, содержащихся в материалах заявителя или опубликованных в общедоступных источниках.

5.16. Трансграничная передача персональных данных Оператором не осуществляется.

5.17. Уничтожению либо обезличиванию обрабатываемые персональные данные подлежат по заявлению субъекта персональных данных, по достижении целей обработки персональных данных, в случае утраты необходимости в достижении этих целей или по истечении сроков их хранения.

5.18. Уничтожение или обезличивание персональных данных производится способом, исключающим дальнейшую обработку этих персональных данных.

5.19. При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.

5.20. Должностные лица Оператора, работающие с персональными данными, обязаны немедленно сообщать своему непосредственному руководителю и (или) должностному лицу ответственному за контроль обработки персональных данных Оператора обо всех ставших им известными фактах получения третьими лицами несанкционированного доступа либо попытки получения доступа к персональным данным, об утрате или недостаче носителей информации, содержащих персональные данные, ключей от сейфов (хранилищ), электронных ключей, паролей и других фактах, которые могут привести к несанкционированному доступу к персональным данным, а также о причинах и условиях возможной утечки этих сведений.

5.21. Должностные лица, осуществляющие обработку персональных данных, за невыполнение требований конфиденциальности, защиты персональных данных несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Республики Беларусь.

5.22. Отсутствие контроля со стороны Оператора за надлежащим исполнением работником своих обязанностей в области обеспечения конфиденциальности и безопасности персональных данных не освобождает работника от таких обязанностей и предусмотренной законодательством Республики Беларусь ответственности.

6. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Субъект персональных данных вправе:

6.1.1. в любое время без объяснения причин отозвать свое согласие посредством подачи оператору заявления в порядке, установленном ст.14 Закона Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных», либо в форме, посредством которой получено его согласие;

6.1.2. на получение информации, касающейся обработки своих персональных данных, содержащей:

наименование (фамилию, собственное имя, отчество (если таковое имеется)) и место нахождения (адрес места жительства (места пребывания)) оператора;
подтверждение факта обработки персональных данных оператором (уполномоченным лицом);
его персональные данные и источник их получения;
правовые основания и цели обработки персональных данных;
срок, на который дано его согласие;
наименование и место нахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка персональных данных поручена такому лицу;
иную информацию, предусмотренную законодательством.

6.1.3. требовать от оператора внесения изменений в свои персональные данные в случае, если они являются неполными, устаревшими или неточными. В этих целях субъект персональных данных подает оператору заявление в порядке, установленном ст. 14 Закона Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных», с приложением соответствующих документов и (или) их заверенных в установленном порядке копий, подтверждающих необходимость внесения изменений в персональные данные;

6.1.4. получать от оператора информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно, если иное не предусмотрено Законом Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных» и иными законодательными актами. Для получения указанной информации субъект персональных данных подает заявление оператору.

Заявление субъекта персональных данных должно содержать:

фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);
дату рождения субъекта персональных данных;
идентификационный номер субъекта персональных данных, при отсутствии такого номера-номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия оператору или обработка персональных данных осуществляется без согласия субъекта персональных данных;
изложение сути требований субъекта персональных данных;
личную подпись либо электронную цифровую подпись субъекта персональных данных.

6.1.5. требовать от оператора бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных» и иными законодательными актами. Для реализации указанного права субъект персональных данных подает оператору заявление в порядке, установленном Законом Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных».

6.1.6. обжаловать действия (бездействие) и решения оператора, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц.

6.2. Право субъекта на доступ к его персональным данным может быть ограничено в соответствии с законодательством Республики Беларусь.

6.3. Все обращения субъектов или их представителей в связи с обработкой их персональных данных регистрируются в соответствующем журнале.

6.4. Субъект персональных данных обязан:

представлять Организации достоверные персональные данные;
своевременно сообщать Организации об изменениях и дополнениях своих персональных данных;
осуществлять свои права в соответствии с законодательством Республики Беларусь и локальными правовыми актами Организации в области обработки и защиты персональных данных;
исполнять иные обязанности, предусмотренные законодательством Республики Беларусь и локальными правовыми актами Организации в области обработки и защиты персональных данных.

7. ПРАВА И ОБЯЗАННОСТИ ОРГАНИЗАЦИИ

7.1. Организация вправе:

устанавливать правила обработки персональных данных в Организации, вносить изменения и дополнения в Положение, самостоятельно в рамках требований законодательства разрабатывать и применять формы документов, необходимых для исполнения обязанностей оператора;
осуществлять иные права, предусмотренные законодательством Республики Беларусь и локальными правовыми актами Организации в области обработки и защиты персональных данных.

7.2. Организация обязана:

разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;
получать согласие субъекта персональных данных, за исключением случаев, предусмотренных Законом Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных» и иными законодательными актами;
обеспечивать защиту персональных данных в процессе их обработки;
представлять субъекту персональных данных информацию о его персональных данных, а также о представлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных» и иными законодательными актами;
вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;
прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных Законом Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных» и иными законодательными актами;
уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее 3 рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных;
осуществлять изменение, блокирование или удаление недостоверных или полученных незаконным путем персональных данных субъекта персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами;
исполнять иные требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных;
исполнять иные обязанности, предусмотренные Законом Республики Беларусь от 07.05.2021 № 99-3 «О защите персональных данных» и иными законодательными актами.

8. ОТВЕТСТВЕННОСТЬ СТОРОН

8.1. За неисполнение или ненадлежащее исполнение условий настоящего Положения Оператор и субъект персональных данных несут ответственность, предусмотренную законодательством Республики Беларусь.

8.2. Работники и иные лица, виновные в нарушении Закона о защите персональных данных и (или) в нарушении настоящего Положения, могут быть привлечены к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом Республики Беларусь, а также могут быть привлечены к гражданско-правовой, административной и уголовной ответственности в порядке, установленном законодательством Республики Беларусь.

8.2. В случае утраты или разглашения персональной информации Оператор не несёт ответственность, если данная информация:

стала публичным достоянием до её утраты или разглашения;
была получена от третьей стороны до момента её получения Оператором;
была разглашена с согласия субъекта персональных данных.

9. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

9.1. К настоящему Положению и отношениям между субъектом персональных данных и Обществом применяется действующее законодательство Республики Беларусь.

9.2. Действующее Положение является общедоступным, вступает в силу с момента его утверждения Оператором.

9.3. Оператор оставляет за собой право по своему усмотрению в будущем добавлять, менять или удалять пункты настоящего Положения для обеспечения актуальности и полноты информации о процедурах сбора и обработки персональных данных, правах и обязанностях сторон и т.д.

9.4. Оператор обязуется информировать субъектов персональных данных о любых обновлениях настоящего Положения путем публикации актуальной редакции на Сайте и путем размещения в свободном доступе по адресу Оператора.