ПОЛОЖЕНИЕ

ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПАЦИЕНТОВ в ООО «ОЗАРИ»

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1 Настоящее Положение об обработке и защите персональных данных пациентов (далее — Положение) определяет порядок получения, учета, обработки, накопления, хранения и защиты персональных данных пациентов ООО «ОЗАРИ» (далее — Клиника, Оператор).
1.2 Целью настоящего Положения является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также соблюдение режима врачебной тайны.
1.3 В настоящем Положении используются следующие основные понятия:
Персональные данные (ПДн) пациента — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (пациенту, его законному представителю или доверенному лицу).
Специальные категории ПДн — сведения, касающиеся состояния здоровья пациента, его интимной жизни и иные данные, отнесенные к таковым законодательством.
Врачебная тайна — сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении (ст. 13 ФЗ-323).
Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с ПДн пациента (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
Медицинская информационная система (МИС) — программно-аппаратный комплекс, предназначенный для автоматизации процессов оказания медицинской помощи, в котором осуществляется обработка ПДн пациентов.
1.4 Правовым основанием обработки персональных данных пациентов являются:
- Федеральный закон от 21.11.2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
- Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
- Закон РФ от 07.02.1992 г. № 2300–1 «О защите прав потребителей»;
- Постановление Правительства Российской Федерации от 30 мая 2026 г. № 659 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг»;
- Федеральный закон от 14.07.2022 г. № 266-ФЗ «О внесении изменений в Федеральный закон "О персональных данных"»;
- Постановление Правительства РФ от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
- Договоры на оказание платных медицинских услуг и информированные добровольные согласия на медицинское вмешательство.
2. КАТЕГОРИИ СУБЪЕКТОВ И ОБЪЕМ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1 В Клинике обрабатываются персональные данные следующих категорий субъектов:
- пациенты, обратившиеся за оказанием медицинских услуг;
- лица, указанные пациентом в качестве доверенных лиц для передачи им сведений, составляющих врачебную тайну, или для экстренной связи.
2.2 Общие персональные данные пациентов и их представителей: Фамилия, имя, отчество (при наличии); пол; дата и место рождения; данные документа, удостоверяющего личность (серия, номер, кем и когда выдан, код подразделения); адрес места жительства (регистрации) и места пребывания; контактные данные (номер телефона, адрес электронной почты); страховой номер индивидуального лицевого счета (СНИЛС) и идентификационный номер налогоплательщика (ИНН) — предоставляются пациентом по собственной инициативе для оформления справок на получение налогового вычета.
2.3 Специальные категории персональных данных (сведения о здоровье): данные анамнеза (в том числе аллергологического); наличие сопутствующих заболеваний; установленные диагнозы; сведения о проведенных диагностических, профилактических и лечебных мероприятиях; результаты лабораторных и инструментальных исследований (включая рентгенологические, КЛКТ); план лечения; сведения о выданных рецептах и листках нетрудоспособности; иные сведения, содержащиеся в медицинской карте и составляющие врачебную тайну.
2.4 Специальная оговорка об отсутствии биометрических ПДн:
- Клиника не осуществляет обработку биометрических персональных данных пациентов в целях установления их личности.
-Фотопротокол: фотографические изображения лица, полости рта и зубов пациента, получаемые в ходе приема, используются врачами Клиники исключительно в диагностических и лечебных целях (для планирования стоматологического, ортодонтического или ортопедического лечения и контроля его динамики), а не для идентификации субъекта.
- Видеонаблюдение: видеоизображения пациентов, получаемые с камер открытого видеонаблюдения, установленных в местах общего пользования Клиники в целях безопасности, не используются совместно с системами лицевой аналитики для установления личности. Соответственно, указанные визуальные данные не подпадают под действие ст. 11 ФЗ-152 «О персональных данных» и не требуют получения письменного согласия на обработку биометрии.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПАЦИЕНТОВ
3.1 Обработка персональных данных пациентов должна ограничиваться достижением конкретных, заранее определенных и законных целей. Обработка ПДн пациентов Клиники осуществляется в следующих целях:
3.2 Медицинские (лечебно-диагностические) цели:
- осуществление медико-профилактических целей, установление медицинского диагноза, оказание медицинских и медико-социальных услуг;
- ведение медицинской документации (в том числе электронной медицинской карты) в соответствии с приказами Минздрава России;
- проведение врачебных комиссий и контроля качества оказываемой медицинской помощи.
3.3 Договорные и организационные цели:
- заключение, исполнение и прекращение договоров на оказание платных медицинских услуг, стороной которых является субъект ПДн;
- осуществление записи на прием к врачу (через регистратуру, по телефону или форму на сайте);
- финансовые расчеты за оказанные услуги, выдача кассовых чеков, актов и справок об оплате медицинских услуг для представления в налоговые органы;
3.4 Информационные цели (сервисное обслуживание):
- информирование пациента по указанным им контактным данным (СМС, мессенджеры, телефонный звонок) о дате и времени приема врача (напоминания);
- направление пациенту результатов лабораторных или инструментальных исследований (в соответствии с регламентом Клиники);
- информирование об изменениях в графике работы врачей или отмене приема.
3.5 Государственные и регуляторные цели:
- передача сведений об оказанной медицинской помощи в Единую государственную информационную систему в сфере здравоохранения (ЕГИСЗ);
- оформление и выдача электронных листков нетрудоспособности с передачей данных в Социальный фонд России (СФР);
- исполнение запросов судов, органов дознания, следствия, прокуратуры в случаях, установленных законодательством РФ.
3.6 Рекламные и маркетинговые цели: обработка персональных данных пациента (номера телефона, e-mail) в целях продвижения медицинских услуг, направления информации об акциях, скидках и специальных предложениях осуществляется исключительно при условии получения предварительного отдельного согласия пациента на получение рекламы (ч. 1 ст. 15 ФЗ-152).
4. ПОРЯДОК ПОЛУЧЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПРАВОВЫЕ ОСНОВАНИЯ
4.1 Общие правила получения данных пациента
4.1.1 Получение персональных данных (ПДн) осуществляется преимущественно путем их предоставления самим пациентом.
4.1.2 При первичном обращении в Клинику пациент предъявляет оригиналы документов, необходимых для идентификации личности и оформления медицинской документации (паспорт).
4.1.3 Работник регистратуры проверяет достоверность сведений, вносит их в Медицинскую информационную систему (МИС) и возвращает оригиналы документов пациенту. Хранение ксерокопий паспортов пациентов в медицинских картах не допускается, так как является избыточной обработкой ПДн.
4.2 Обработка персональных данных с согласия пациента
4.2.1 До момента подписания договора на оказание платных медицинских услуг и начала оформления медицинской карты пациент (или его законный представитель) дает письменное Согласие на обработку персональных данных.
4.2.2 Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.
4.2.3 В случае отказа пациента предоставить обязательные ПДн и подписать согласие на их обработку, Клиника обязана разъяснить пациенту юридические последствия такого отказа. В частности, невозможность идентификации пациента влечет невозможность заключения договора на оказание платных медицинских услуг в соответствии с Постановлением Правительства РФ № 659.
4.3 Обработка персональных данных без согласия пациента
4.3.1 Клиника вправе осуществлять обработку ПДн без предварительного письменного согласия пациента в случаях, прямо предусмотренных ст. 6 и ст. 10 ФЗ-152:
-       для защиты жизни, здоровья или иных жизненно важных интересов пациента, если получение его согласия невозможно (экстренные состояния);
-       если обработка осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских услуг при условии, что обработка осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну;
-       для исполнения договора, стороной которого является пациент.
-       передачи сведений в Единую государственную информационную систему в сфере здравоохранения (ЕГИСЗ) в целях выполнения обязанностей, возложенных на медицинскую организацию Постановлением Правительства РФ от 09.02.2022 г. № 140.
4.4 Получение данных от третьих лиц
4.4.1 Если ПДн пациента возможно получить только у третьей стороны (например, выписки из другой медицинской организации), пациент должен быть уведомлен об этом заранее, и от него должно быть получено письменное согласие.
5. ВРАЧЕБНАЯ ТАЙНА И КОНФИДЕНЦИАЛЬНОСТЬ
5.1 Режим врачебной тайны
5.1.1 Вся информация о факте обращения гражданина за медицинской помощью, состоянии его здоровья, диагнозе и иные сведения, полученные при обследовании и лечении, составляют врачебную тайну и подлежат строгой защите в соответствии со ст. 13 ФЗ-323.
5.1.2 Работники Клиники (врачи, медицинские сестры, медицинские регистраторы), получившие доступ к ПДн и сведениям, составляющим врачебную тайну, подписывают Обязательство о неразглашении и несут персональную ответственность (вплоть до уголовной) за нарушение режима конфиденциальности.
5.2 Предоставление сведений, составляющих врачебную тайну
5.2.1 Разглашение сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях допускается только с письменного согласия пациента или его законного представителя.
5.2.2 Пациент вправе определить лиц (например, супруга, совершеннолетних детей), которым в интересах пациента может передаваться информация о состоянии его здоровья. Данное распоряжение фиксируется в Информированном добровольном согласии (ИДС) или в специальном согласии на разглашение врачебной тайны.
5.2.3 В случае смерти пациента медицинское заключение о причине смерти и выписки из медицинской карты выдаются супругу, близким родственникам, а также иным лицам, указанным пациентом при жизни в письменном согласии.
5.3 Предоставление сведений без согласия пациента
5.3.1 Предоставление сведений, составляющих врачебную тайну, без согласия пациента или его законного представителя допускается в строгом соответствии с ч. 4 ст. 13 ФЗ-323:
-       по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органа прокуратуры или уголовно-исполнительной системы;
-       при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;
-       по запросу органов внутренних дел в случае поступления пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинен в результате противоправных действий;
-       в целях осуществления контроля качества и безопасности медицинской деятельности (Росздравнадзор);
-       при обмене между медицинскими организациями в целях оказания медицинской помощи пациенту (направление на консультацию, передача выписки для продолжения лечения);
6. ПОРЯДОК ОБРАБОТКИ, ХРАНЕНИЯ И ПЕРЕДАЧИ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
6.1 Общие требования к обработке и хранению данных
6.1.1 Обработка персональных данных (ПДн) пациентов осуществляется смешанным способом: на бумажных носителях (медицинские карты, журналы, бланки согласий) и в информационных системах (Медицинская информационная система (МИС), бухгалтерские программы).
6.1.2 Доступ к ПДн пациентов имеют только те сотрудники Клиники, которым эти данные необходимы для выполнения их должностных обязанностей (врачи, медицинские сестры, медицинские регистраторы, сотрудники финансовой службы).
6.1.3 При обработке ПДн на бумажных носителях Клиника соблюдает требования Постановления Правительства РФ от 15.09.2008 № 687. Бумажные медицинские карты и бланки согласий хранятся в специально оборудованных помещениях (регистратура, архив), исключающих бесконтрольный доступ посторонних лиц.
6.1.4 При сборе ПДн пациентов, в том числе посредством сайта Клиники в сети «Интернет», Клиника обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных (серверов), находящихся исключительно на территории Российской Федерации (в соответствии с ч. 5 ст. 18 ФЗ-152).
6.2 Внутренняя передача персональных данных
6.2.1 Передача ПДн и сведений, составляющих врачебную тайну, между подразделениями и сотрудниками Клиники осуществляется исключительно в целях организации лечебно-диагностического процесса и расчетов за оказанные услуги.
6.2.2 Медицинские работники не вправе обсуждать диагнозы и ПДн пациентов в присутствии посторонних лиц (других пациентов) в местах общего пользования Клиники (коридоры, зона ожидания).
6.3 Передача персональных данных третьим лицам и поручение обработки
6.3.1 Клиника вправе передавать ПДн пациента третьим лицам только с письменного согласия пациента (или его законного представителя), за исключением случаев, прямо предусмотренных законом (например, запросы судов, правоохранительных органов, передача данных в ЕГИСЗ).
6.3.2 Взаимодействие с лабораториями и контрагентами: для проведения лабораторных исследований, изготовления стоматологических конструкций (зуботехнические лаборатории), а также для IT-обслуживания МИС Клиника вправе поручить обработку ПДн пациента сторонним организациям на основании заключаемого с ними договора (ч. 3 ст. 6 ФЗ-152). В таком договоре обязательно фиксируется обязанность контрагента соблюдать конфиденциальность ПДн, режим врачебной тайны и обеспечивать безопасность данных. В соответствии с ч. 3 ст. 6 ФЗ-152 контрагент обязан по запросу Клиники предоставлять документы, подтверждающие принятие мер по защите ПДн, а также незамедлительно уведомлять Клинику о фактах неправомерной или случайной передачи (утечки) персональных данных.
6.3.3 Трансграничная передача ПДн пациентов Клиникой не осуществляется.
6.3.4 Взаимодействие с медицинскими агрегаторами и сервисами онлайн-записи: при использовании Клиникой сторонних интернет-сервисов для записи пациентов на прием (например, агрегаторов медицинских услуг), передача ПДн пациентов между МИС Клиники и сервисом осуществляется по защищенным каналам связи исключительно при условии принятия пользователем (пациентом) Пользовательского соглашения и Политики конфиденциальности данного сервиса.
6.3.5 Передача данных в ЕГИСЗ: передача сведений о пациенте и оказанной ему медицинской помощи в Единую государственную информационную систему в сфере здравоохранения (ЕГИСЗ) осуществляется по защищенным каналам связи (с использованием средств криптографической защиты информации - СКЗИ) в обязательном порядке во исполнение требований Постановления Правительства РФ от 09.02.2022 № 140. Отказ пациента от предоставления согласия на передачу данных в маркетинговых целях не препятствует передаче его медицинских данных в ЕГИСЗ.
6.3.6 Журнал учета передачи данных: все факты передачи ПДн пациентов по запросам третьих лиц (органов дознания, судов, страховых компаний, иных медицинских организаций) фиксируются уполномоченным сотрудником Клиники в «Журнале учета передачи персональных данных».
6.4 Запрет использования иностранных мессенджеров для передачи ПДн
6.4.1 В целях обеспечения защиты врачебной тайны и соблюдения требований ч. 8 ст. 10 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», работникам Клиники запрещается использовать принадлежащие иностранным юридическим лицам информационные системы и мессенджеры для передачи пациентам или иным лицам:
-       медицинских документов, результатов анализов, рентгеновских снимков, выписок из медицинских карт, содержащих ПДн и (или) врачебную тайну;
-       платежных документов, счетов на оплату, финансовой информации, содержащей ПДн пациентов или сведения об их переводах.
6.4.2 Направление пациентам медицинских и платежных документов допускается исключительно защищенными способами:
-       при личном визите пациента (на бумажном носителе);
-       через защищенный Личный кабинет пациента на сайте Клиники или в официальном мобильном приложении (при наличии);
-       на адрес электронной почты пациента (при наличии письменного согласия пациента на такой способ связи и осознании им рисков пересылки данных по открытым каналам связи).
6.4.3 Использование иностранных мессенджеров допускается исключительно для информационно-сервисных уведомлений, не содержащих врачебную тайну и финансовую информацию (например, напоминание о дате и времени визита к врачу), при наличии предварительного согласия пациента.

7. СРОКИ ОБРАБОТКИ, АКТУАЛИЗАЦИЯ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПАЦИЕНТОВ
7.1 Сроки обработки и хранения персональных данных
7.1.1 Хранение персональных данных (ПДн) пациентов осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором.
7.1.2 Сроки хранения медицинской документации определяются в строгом соответствии с нормативными правовыми актами Министерства здравоохранения Российской Федерации и законодательством об архивном деле. В частности, медицинская карта стоматологического пациента (форма № 043/у) подлежит хранению в течение 25 лет.
7.1.3 Сроки хранения согласий на обработку ПДн, договоров на оказание платных медицинских услуг и финансовых документов определяются в соответствии с налоговым и бухгалтерским законодательством РФ (как правило, не менее 5 лет).
7.1.4 ПДн пациентов, обрабатываемые в целях информирования об акциях и спецпредложениях (реклама), обрабатываются до момента отзыва пациентом своего согласия на получение рекламных рассылок.
7.2 Актуализация и исправление персональных данных
7.2.1 Пациент обязан предоставлять Клинике достоверные ПДн. В случае изменения ПДн (смена фамилии, паспорта, телефона) пациент обязан своевременно уведомить об этом Клинику.
7.2.2 В случае подтверждения факта неточности ПДн на основании сведений, представленных пациентом (его представителем) или Роскомнадзором, Клиника обязана уточнить ПДн в течение 7 (семи) рабочих дней со дня представления таких сведений и снять блокирование ПДн.
7.3 Прекращение обработки и уничтожение персональных данных
7.3.1 Клиника обязана прекратить обработку ПДн и уничтожить их в срок, не превышающий 30 (тридцати) дней, в следующих случаях:
-       достижение цели обработки ПДн (истечение нормативных сроков хранения медицинской документации);
-       отзыв пациентом согласия на обработку его ПДн (с учетом исключений, указанных в п. 7.4 настоящего Положения).
7.3.2 В случае выявления неправомерной обработки ПДн Клиника обязана прекратить ее в течение 3 (трех) рабочих дней. Если обеспечить правомерность обработки невозможно, Клиника обязана уничтожить такие ПДн в течение 10 (десяти) рабочих дней.
7.4 Исключения при отзыве согласия пациентом (Защита кадрового и медицинского архива)
7.4.1 В случае отзыва пациентом согласия на обработку ПДн, Клиника немедленно прекращает использование его данных для маркетинговых и сервисных рассылок.
7.4.2 Однако отзыв согласия не является основанием для уничтожения медицинской документации пациента. В соответствии с ч. 2 ст. 9 ФЗ-152 «О персональных данных», Клиника вправе продолжить обработку ПДн (включая их архивное хранение) без согласия субъекта для выполнения обязанностей, возложенных на медицинскую организацию Федеральным законом № 323-ФЗ «Об основах охраны здоровья граждан в РФ» и приказами Минздрава России.
7.4.3 Медицинская карта пациента подлежит уничтожению исключительно по истечении установленного законом 25-летнего срока хранения.
7.5 Порядок документального подтверждения уничтожения персональных данных
7.5.1 Для процедуры уничтожения ПДн приказом руководителя Клиники создается постоянно действующая комиссия.
7.5.2 Уничтожение бумажных носителей (медицинских карт с истекшим сроком хранения, испорченных бланков) осуществляется путем измельчения в шредере, исключающим возможность восстановления текста.
7.5.3 Уничтожение ПДн с электронных носителей и из информационных систем (МИС) осуществляется с применением прошедших процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации.
7.5.4 В соответствии с Требованиями Роскомнадзора (Приказ от 28.10.2022 № 179), документальным подтверждением уничтожения ПДн является:
-       при обработке ПДн без использования средств автоматизации — Акт об уничтожении персональных данных;
-       при обработке ПДн с использованием средств автоматизации (в МИС) — Акт об уничтожении персональных данных совместно с Выгрузкой из журнала регистрации событий в информационной системе персональных данных.
7.5.5 Акт об уничтожении ПДн и Выгрузка из журнала подлежат хранению в Клинике в течение 5 (пяти) лет с момента уничтожения ПДн.
7.6 Работа с обезличенными данными
7.6.1 В случаях, предусмотренных законодательством (например, для передачи данных в научно-исследовательских целях), Клиника вправе осуществлять обезличивание ПДн пациентов.
7.6.2 Обезличивание осуществляется в строгом соответствии с требованиями и методами, утвержденными Приказом Роскомнадзора от 19.06.2025 № 140. После обезличивания восстановить принадлежность данных конкретному пациенту без использования дополнительной информации невозможно. Массив ПДн, подлежащих обезличиванию, и обезличенные данные хранятся раздельно.
8. ПРАВА И ОБЯЗАННОСТИ ПАЦИЕНТА (субъекта персональных данных)
8.1 Права пациента
8.1.1 Пациент (или его законный представитель) имеет право на получение информации, касающейся обработки его персональных данных (ПДн), в том числе содержащей:
-       подтверждение факта обработки ПДн Клиникой;
-       правовые основания и цели обработки ПДн;
-       цели и применяемые Клиникой способы обработки;
-       наименование и место нахождения Клиники, сведения о лицах (за исключением работников Клиники), которые имеют доступ к ПДн или которым они могут быть раскрыты на основании договора (например, зуботехнические лаборатории) или федерального закона;
-       обрабатываемые ПДн, относящиеся к соответствующему субъекту, источник их получения;
-       сроки обработки ПДн, в том числе сроки их хранения;
-       информацию об осуществленной или предполагаемой передаче данных третьим лицам (включая ЕГИСЗ).
8.1.2 Пациент имеет право требовать от Клиники уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
8.1.3 Пациент вправе в любой момент отозвать свое согласие на обработку ПДн, направив соответствующее письменное заявление (с учетом ограничений, предусмотренных п. 7.4 настоящего Положения в части хранения медицинской карты).
8.1.4 Пациент вправе обжаловать действия или бездействие Клиники в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в судебном порядке.
8.2 Обязанности пациента
8.2.1 Предоставлять Клинике достоверные, документированные ПДн, необходимые для надлежащего оказания медицинских услуг и заключения договора.
8.2.2 Своевременно сообщать Клинике об изменении своих ПДн (смена фамилии, документа, удостоверяющего личность, контактного телефона) в целях поддержания актуальности медицинской и финансовой документации.
8.3 Порядок направления запросов и сроки ответов Клиники
8.3.1 Сведения об обработке ПДн предоставляются пациенту при личном обращении либо при получении письменного запроса.
8.3.2 Требования к запросу: В соответствии со ст. 14 ФЗ-152, письменный запрос пациента должен в обязательном порядке содержать:
-       номер основного документа, удостоверяющего личность пациента или его представителя, сведения о дате выдачи и выдавшем органе;
-       сведения, подтверждающие участие пациента в отношениях с Клиникой (номер договора на оказание медицинских услуг, дата заключения договора) либо сведения, иным образом подтверждающие факт обработки ПДн Клиникой;
-       собственноручную подпись пациента или его представителя.
8.3.3 В случае, если запрос не содержит обязательных реквизитов, указанных в п. 8.3.2, Клиника вправе отказать в предоставлении информации до момента оформления запроса надлежащим образом.
8.3.4 Сроки: клиника обязана предоставить запрошенную информацию, а также внести изменения или прекратить обработку (по требованию пациента) в течение 10 (десяти) рабочих дней с момента получения запроса.
8.3.5 Указанный 10-дневный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Клиникой в адрес пациента мотивированного уведомления с указанием причин продления срока.
9. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ И РЕАГИРОВАНИЕ НА ИНЦИДЕНТЫ
9.1 Общие требования к безопасности
9.1.1 Клиника при обработке ПДн пациентов принимает все необходимые правовые, организационные и технические меры для защиты ПДн и сведений, составляющих врачебную тайну, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
9.2 Организационные и правовые меры защиты
-       назначение лица, ответственного за организацию обработки ПДн в Клинике;
-       издание настоящего Положения и иных локальных актов по вопросам обработки и защиты ПДн;
-       проведение оценки вреда, который может быть причинен пациентам в случае нарушения закона, и соотнесение указанного вреда с принимаемыми мерами безопасности;
-       осуществление внутреннего контроля и (или) аудита соответствия обработки ПДн законодательству РФ;
-       ознакомление работников Клиники, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ, локальными актами и требованиями к защите ПДн, а также подписание ими обязательств о неразглашении врачебной тайны;
-       организация строгого пропускного режима в помещениях, где хранятся бумажные медицинские карты (архив, зона регистратуры).
9.3 Технические меры защиты
-       определение актуальных угроз безопасности ПДн при их обработке в Медицинской информационной системе (МИС);
-       применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации (антивирусное программное обеспечение, межсетевые экраны, средства криптографической защиты информации при передаче данных в ЕГИСЗ);
-       установление правил дифференцированного доступа к ПДн (ролевая модель доступа в МИС, при которой врач видит только своих пациентов, а администратор не видит детальный медицинский дневник), а также обеспечение регистрации и учета (логирования) всех действий, совершаемых с ПДн в МИС;
-       организация регулярного резервного копирования для возможности незамедлительного восстановления ПДн, модифицированных или уничтоженных вследствие сбоев или несанкционированного доступа.
9.4 Реагирование на компьютерные инциденты (утечки данных) и взаимодействие с ГосСОПКА
9.4.1 В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов (утечка базы данных пациентов), Клиника обязана с момента выявления такого инцидента уведомить Роскомнадзор:
-       в течение 24 часов — о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде и принятых мерах по устранению последствий, а также предоставить сведения о лице, уполномоченном на взаимодействие с Роскомнадзором;
-       в течение 72 часов — о результатах внутреннего расследования выявленного инцидента и предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).
9.4.2 Клиника в установленном законом порядке обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ГосСОПКА), включая информирование уполномоченного подразделения ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу ПДн пациентов. Лицом, уполномоченным на взаимодействие с ГосСОПКА, является лицо, ответственное за обеспечение безопасности персональных данных в информационных системах Клиники, назначенное соответствующим приказом руководителя.
9.5 Ответственность
9.5.1 Работники Клиники, виновные в нарушении норм, регулирующих получение, обработку и защиту ПДн пациента и врачебной тайны, несут дисциплинарную, материальную, административную и уголовную ответственность в порядке, установленном федеральными законами РФ.
9.5.2 Моральный вред, причиненный пациенту вследствие нарушения его прав на сохранение врачебной тайны и конфиденциальности ПДн, подлежит возмещению в соответствии с законодательством Российской Федерации.
10. ПОРЯДОК АКТУАЛИЗАЦИИ НАСТОЯЩЕГО ПОЛОЖЕНИЯ
10.1 Клиника имеет право вносить изменения в настоящее Положение в случае внесения изменений в нормативные правовые акты РФ в сфере защиты персональных данных и здравоохранения, а также при изменении внутренних процессов Клиники, связанных с обработкой персональных данных пациентов.
10.2 Новая редакция Положения вступает в силу с момента её утверждения приказом руководителя Клиники. При внесении изменений в заголовке Положения указывается дата последнего обновления редакции. Актуальная версия Положения размещается на официальном сайте Клиники в соответствии с требованиями ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ.
10.3 Ответственным за актуализацию настоящего Положения является лицо, ответственное за организацию обработки персональных данных в Клинике, назначенное приказом руководителя.

Приложение 1

к Положению об обработке персональных

данных пациентов

СОГЛАСИЕ ПАЦИЕНТА

на обработку персональных данных

г. Барнаул «__» ___________ 20____ г.
Я, __________________________________________________________________________,
(Фамилия, Имя, Отчество пациента полностью)
Паспорт: серия ________ номер _________, выдан ___________________________________ _________________________________________________________________ «» _______г., Код подразделения: ____________, Дата рождения: «__» ____ ______ г.
Адрес регистрации: ____________________________________________________________
Контактный телефон: ________________________ E-mail: ____________________________
в соответствии со статьей 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», свободно, своей волей и в своем интересе даю конкретное, предметное, информированное, сознательное и однозначное согласие Оператору — ООО «ОЗАРИ» (ИНН 2222895652, ОГРН 1212200029579), зарегистрированному по адресу: 656065, Алтайский край, г.о. город Барнаул, г. Барнаул, ул. Энтузиастов, д. 51, помещ. Н3 (далее — Клиника), на обработку моих персональных данных на следующих условиях:
1. Цели обработки персональных данных:
 заключение и исполнение договора на оказание платных медицинских (стоматологических) услуг;
 оказание квалифицированной, безопасной и качественной медицинской помощи, установление медицинского диагноза, планирование и проведение лечения;
 ведение медицинской документации, в том числе в форме электронных медицинских карт, и запись на приём;
 изготовление индивидуальных ортопедических (коронок, протезов, капп) с привлечением сторонних зуботехнических лабораторий;
 передача сведений в Единую государственную информационную систему в сфере здравоохранения (ЕГИСЗ) в рамках исполнения лицензионных требований;
 исполнение обязанностей оператора, предусмотренных законодательством Российской Федерации (налоговый, бухгалтерский учёт, ответы на обращения и запросы уполномоченных органов).
2. Перечень персональных данных, на обработку которых даётся согласие:
 Общие данные: Ф.И.О., пол, возраст, дата и место рождения, данные документа, удостоверяющего личность, адрес регистрации и проживания, номера телефонов, адрес электронной почты, СНИЛС.
 Специальные категории данных (сведения о состоянии здоровья): информация о перенесённых и хронических заболеваниях, аллергических реакциях, поставленных диагнозах, проведённом лечении, выписанных рецептах.
 Медицинские данные в цифровом формате: рентгенологические снимки (в том числе ортопантомограммы, КЛКТ), результаты 3D-сканирования полости рта, дентальные фотопротоколы (фотографии зубов и зубных рядов), необходимые для планирования и контроля лечения.
3. Перечень действий с персональными данными и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется как с использованием средств автоматизации (в медицинской информационной системе), так и без их использования (на бумажных носителях). Хранение и обработка персональных данных осуществляются на территории Российской Федерации.
4. Передача персональных данных третьим лицам.
Для достижения указанных целей я даю согласие на поручение обработки и передачу моих персональных данных (включая снимки, сканы, слепки и медицинскую информацию) следующим лицам, с которыми у Клиники заключён договор, содержащий поручение на обработку персональных данных и условие об обеспечении их конфиденциальности и безопасности:
 зуботехническим и медицинским лабораториям (для изготовления конструкций и проведения исследований), расположенным на территории Российской Федерации;
Трансграничная передача персональных данных не осуществляется.
5. Отдельное согласие на обработку фотоизображений и биометрических данных.
В случае, если для планирования лечения требуется изготовление фотографий лица (портретных снимков), такие изображения могут относиться к биометрическим персональным данным. Согласие на их обработку предоставляется отдельно, путём проставления отметки:
☐ Даю согласие на обработку фотографий лица (портретных фотоснимков) в медицинских целях — для планирования лечения, контроля его результатов и ведения медицинской документации.
☐ Не даю согласия на обработку фотографий лица. Фотопротокол ведётся без снимков, позволяющих идентифицировать личность (фотографии зубов и зубных рядов).
6. Отдельное согласие на информационно-сервисные сообщения.
Согласие на получение информационно-сервисных сообщений предоставляется отдельно и не влияет на оказание медицинской помощи. Проставьте отметку по своему выбору:
☐ Даю согласие на получение сообщений (SMS, мессенджеры, электронная почта, телефонные звонки): напоминания о визитах, информирование о готовности ортопедических конструкций и результатов исследований, контроль самочувствия после лечения, а также сведения об услугах и акциях Клиники.
☐ Не даю согласия на информационно-сервисные и рекламные сообщения.
7. Срок действия согласия.
Настоящее согласие действует с момента его подписания до истечения сроков хранения медицинской документации, установленных законодательством Российской Федерации (в частности, 25 лет для медицинских карт), либо до дня отзыва согласия — в зависимости от того, какое событие наступит позднее в отношении соответствующих категорий данных.
8. Отзыв согласия.
Я уведомлён(а), что вправе отозвать настоящее согласие полностью или в части (в том числе в части п. 5 и 6) путём подачи письменного заявления на имя руководителя Клиники. В случае отзыва согласия Клиника вправе продолжить обработку персональных данных без моего согласия при наличии оснований, предусмотренных п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст.11 Федерального закона № 152-ФЗ, в частности в целях оказания медицинской помощи и исполнения обязанности по хранению медицинской документации.
Подтверждаю, что до подписания настоящего согласия ознакомлен(а) с Политикой обработки персональных данных Клиники, мне разъяснены мои права как субъекта персональных данных, а также что настоящее согласие оформлено отдельным документом и его подписание не является условием заключения договора в части, не требующей обработки соответствующих данных. Один экземпляр согласия получен мной на руки.

Субъект персональных данных:
_______________________ / _______________________________________________ /
(подпись)(фамилия, имя, отчество (при наличии) собственноручно)

Оформляется на основании Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и в связи с исполнением договора на оказание платных медицинских услуг согласно Правилам предоставления медицинскими организациями платных медицинских услуг, утверждённым постановлением Правительства Российской Федерации от 30 мая 2026 г. № 659.

Приложение 2

к Положению об обработке персональных

данных пациентов ООО «ОЗАРИ»

СОГЛАСИЕ ЗАКАЗЧИКА

на обработку персональных данных

(оформляется отдельным документом в соответствии с ч. 1 ст. 9 Федерального закона № 152-ФЗ)

г. Барнаул «___» ______________ 20___ г.

Настоящее согласие оформляется заказчиком — физическим лицом, которое заказывает и (или) оплачивает платные медицинские услуги в пользу потребителя (пациента) и само пациентом не является.
Я, ________________________________________________________________________,
(фамилия, имя, отчество (при наличии) заказчика полностью)
Паспорт: серия ___________ номер ______________, выдан
_____________________________________________________________________________
«___» _____________ ______ г., код подразделения: ___________,
дата рождения: «___» __________ ______ г.
Адрес регистрации: ___________________________________________________________
Контактный телефон: _______________________ E-mail: ___________________________
Заказываю (оплачиваю) платные медицинские услуги в пользу потребителя (пациента):
_____________________________________________________________________________
(фамилия, имя, отчество (при наличии) пациента)
в соответствии со ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», свободно, своей волей и в своём интересе даю конкретное, предметное, информированное, сознательное и однозначное согласие оператору — ООО ООО «ОЗАРИ» (ИНН 2222895652, ОГРН 1212200029579), зарегистрированному по адресу: 656065, Алтайский край, г.о. город Барнаул, г. Барнаул, ул. Энтузиастов, д. 51, помещ. Н3 (далее — Клиника), на обработку моих персональных данных как заказчика (стороны договора) на следующих условиях:
1. Цели обработки персональных данных:
 заключение и исполнение договора на оказание платных медицинских (стоматологических) услуг, заключаемого мной в пользу пациента;
 проведение расчётов, оформление платёжных и кассовых документов, оформление документов для получения социального налогового вычета;
 ведение переписки, рассмотрение обращений и претензий, связанных с исполнением договора;
 исполнение обязанностей оператора, предусмотренных законодательством Российской Федерации (бухгалтерский и налоговый учёт).
2. Перечень персональных данных, на обработку которых даётся согласие: фамилия, имя, отчество; данные документа, удостоверяющего личность; дата рождения; адрес регистрации; контактный телефон; адрес электронной почты; платёжные (банковские) реквизиты в объёме, необходимом для проведения расчётов.
Сведения о состоянии здоровья пациента и иные медицинские данные в рамках настоящего согласия не обрабатываются: они обрабатываются на основании отдельного согласия пациента (его законного представителя).
3. Перечень действий с персональными данными и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется как с использованием средств автоматизации, так и без их использования (на бумажных носителях). Хранение и обработка персональных данных осуществляются на территории Российской Федерации; трансграничная передача не осуществляется.
4. Отдельное согласие на информационно-сервисные сообщения.
Согласие на получение информационно-сервисных сообщений предоставляется отдельно и не влияет на исполнение договора. Проставьте отметку по своему выбору:
☐ Даю согласие на получение сообщений (SMS, мессенджеры, электронная почта, телефонные звонки): информирование о ходе исполнения договора, готовности документов, а также об услугах и акциях Клиники.
☐ Не даю согласия на информационно-сервисные и рекламные сообщения.
5. Срок действия согласия.
Настоящее согласие действует с момента его подписания в течение срока действия договора и последующих сроков хранения бухгалтерских и договорных документов, установленных законодательством Российской Федерации, либо до дня отзыва согласия — в зависимости от того, какое событие наступит позднее.
6. Отзыв согласия.
Я уведомлён(а), что вправе отозвать настоящее согласие путём подачи письменного заявления на имя руководителя Клиники. В случае отзыва согласия Клиника вправе продолжить обработку персональных данных без моего согласия при наличии оснований, предусмотренных пунктами 2–11 части 1 статьи 6 Федерального закона № 152-ФЗ, в частности в целях исполнения договора и обязанности по хранению отчётных документов.
Подтверждаю, что до подписания настоящего согласия ознакомлен(а) с Политикой обработки персональных данных Клиники, мне разъяснены мои права как субъекта персональных данных, а также что настоящее согласие оформлено отдельным документом. Один экземпляр согласия получен мной на руки.

Заказчик:
_______________________ / _______________________________________________ /
(подпись) (фамилия, имя, отчество (при наличии) собственноручно)

Оформляется на основании Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и в связи с заключением договора на оказание платных медицинских услуг согласно Правилам предоставления медицинскими организациями платных медицинских услуг, утверждённым постановлением Правительства Российской Федерации от 30 мая 2026 г. № 659.

Приложение 3

к Положению об обработке персональных

данных пациентов ООО «ОЗАРИ»

СОГЛАСИЕ

на обработку персональных данных, разрешенных субъектом персональных данных для распространения

г. Барнаул «__» ___________ 20___ г.
Я, ___________________________________________________________________________, (фамилия, имя, отчество)
контактная информация ____________________________________________________________________

(номер телефона, e-mail или почтовый адрес)

руководствуясь статьей 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и статьей 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ», свободно, своей волей и в своем интересе даю согласие Оператору — ООО «ОЗАРИ» (ИНН 2222895652 , ОГРН 1212200029579), зарегистрированному по адресу: 656065, Алтайский край, г.о. город Барнаул, г. Барнаул, ул. Энтузиастов, д. 51, помещ. Н3(далее — Клиника), на распространение (раскрытие неопределенному кругу лиц) моих персональных данных и сведений, составляющих врачебную тайну, на следующих условиях:
1. Цель распространения персональных данных. Публикация отзыва пациента о работе Клиники и ее врачей, информирование потенциальных пациентов о результатах стоматологического лечения, демонстрация клинических случаев (результатов лечения) в рекламно-информационных, научных и образовательных целях.
2. Информационные ресурсы Оператора, на которых будут опубликованы данные:
-      Официальный сайт Клиники: https://ozari22.ru/
3. Категории и перечень персональных данных, на которые дается согласие:
(Пациент обязан собственноручно вписать «ДА» или «НЕТ» напротив каждого пункта)
 

4. Запреты и условия на обработку персональных данных неограниченным кругом лиц: (заполняется по желанию субъекта)
Субъект вправе установить запреты на передачу (кроме предоставления доступа) данных неограниченному кругу лиц, а также запреты на обработку или условия обработки.
Установленные запреты: ________________________________________________________
(субъект собственноручно вписывает запреты, либо указывает «не устанавливаю»)
Установленные условия: ________________________________________________________
(субъект собственноручно вписывает условия, либо указывает «не устанавливаю»)
4.1 Условия передачи персональных данных оператором: (заполняется по желанию субъекта) (субъект обязан собственноручно вписать слово «Да» или «Нет» напротив каждого пункта). Условия, при которых полученные персональные данные могут передаваться Оператором:
-    только по внутренней сети Оператора, обеспечивающей доступ к информации лишь для строго определенных сотрудников: ______________
-    с использованием информационно-телекоммуникационных сетей (сети Интернет): ______________
-    без передачи полученных персональных данных: ______________
5. Срок действия и порядок отзыва согласия. Настоящее согласие вступает в силу со дня его подписания и действует в течение 5 (пяти) лет. Передача (распространение) данных должна быть прекращена в любое время по моему первому требованию. Настоящее согласие может быть отозвано мною путем подачи письменного заявления Оператору. Оператор обязан прекратить передачу (распространение) персональных данных в течение 3 (трех) рабочих дней с момента получения такого требования.
6. Обязанности Оператора. Оператор обязан в срок не позднее 3 (трех) рабочих дней с момента получения настоящего согласия опубликовать информацию об установленных мною условиях и запретах.
Подпись субъекта персональных данных:
__________________ / __________________________________________________________
(подпись) (Ф.И.О. полностью)