Политика конфиденциальности

Общие положения

1.1. Настоящая Политика обработки персональных данных (далее – Политика) составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) с учетом последних изменений, вступивших в силу с 1 сентября 2025 года, и определяет порядок обработки персональных данных, перечень мер по обеспечению безопасности персональных данных, а также права и обязанности Оператора и субъектов персональных данных.

1.2. Оператор – Государственное бюджетное учреждение здравоохранения «Луганская республиканская клиническая психоневрологическая больница» Луганской народной республики (далее – Оператор, Учреждение).

1.3. Настоящая Политика применяется ко всем персональным данным, которые Оператор получает:

• от посетителей и пользователей официального сайта https://lrkpnb.gosuslugi.ru (далее – Сайт);
• от пациентов (их законных представителей) при оказании медицинской помощи, в том числе с применением телемедицинских технологий;
• от работников, кандидатов на замещение вакантных должностей, подрядчиков и иных лиц при заключении и исполнении договоров.

1.4. Основные понятия используются в значениях, определенных статьей 3 Закона о персональных данных, с учетом терминов, введенных изменениями 2024–2025 годов (например, «персональные данные, разрешенные субъектом для распространения», «обезличивание персональных данных» по новым правилам).

Принципы обработки персональных данных (актуализировано)

2.1. Обработка персональных данных осуществляется на законной и справедливой основе.

2.2. Обработка ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора. Каждая цель обработки требует отдельного согласия субъекта, если иное не предусмотрено федеральным законом. Кросс-целевое использование персональных данных запрещено.

2.3. Обрабатываются только персональные данные, которые отвечают целям их обработки. Содержание и объем данных соответствуют заявленным целям. Избыточность не допускается.

2.4. При обработке обеспечивается точность, достаточность и актуальность данных. Оператор принимает меры по удалению или уточнению неполных или неточных данных.

2.5. Хранение персональных данных осуществляется в форме, позволяющей идентифицировать субъекта, не дольше, чем требуют цели обработки, если срок не установлен федеральным законом или договором. По достижении целей или утрате необходимости данные уничтожаются либо обезличиваются в соответствии с новой статьей 6.1 Закона о персональных данных (порядок обезличивания – согласно постановлению Правительства РФ от 27.08.2025 № 1142).

Цели обработки персональных данных (детализировано с разделением)

Оператор обрабатывает персональные данные исключительно для следующих целей. Для каждой цели получение согласия оформляется отдельно (при необходимости):

Важно: Согласие на обработку для цели оказания медицинской помощи не может быть заменой согласия на рассылку рекламы или передачу данных третьим лицам.

Категории обрабатываемых персональных данных

4.1. Общие персональные данные: ФИО, дата и место рождения, паспортные данные, адрес регистрации и проживания, номер телефона, адрес электронной почты, СНИЛС, полис ОМС/ДМС.

4.2. Специальные категории персональных данных (о состоянии здоровья): диагноз, анамнез, результаты обследований, выписки, листки нетрудоспособности, группа инвалидности, сведения о психическом здоровье (в рамках специализации Учреждения). Обработка специальных категорий допускается при наличии письменного согласия либо в случаях, установленных ч. 2 ст. 10 152-ФЗ (например, для защиты жизни, медосмотры по требованию закона).

4.3. Биометрические персональные данные:

• Фотографии пациентов (при госпитализации, для пропускной системы);
• Отпечатки пальцев или иные биометрические характеристики, если они используются для идентификации в информационных системах.
• Обработка биометрии возможна только с отдельного информированного согласия, за исключением случаев, когда иное прямо разрешено законом (например, для розыска без вести пропавших). Приказом Оператора определен перечень случаев, где биометрия обязательна. Согласие на биометрию действует до отзыва или достижения цели.

4.4. Персональные данные, разрешенные субъектом для распространения:
Оператор не распространяет персональные данные в открытом доступе, за исключением случаев, когда субъект предоставил отдельное согласие на распространение в порядке, установленном ст. 10.1 Закона о персональных данных (форма согласия – отдельный документ). Такое согласие позволяет размещать, например, благодарности с фамилией пациента на Сайте только после его явного волеизъявления.

4.5. Обезличенные данные, собираемые на Сайте:

• IP-адрес, тип браузера, операционная система, сведения о посещенных страницах, время визита, файлы cookie.
• Эти данные обрабатываются в обезличенном виде с использованием сервисов (Яндекс.Метрика и др.) для улучшения работы Сайта. Обезличивание производится в соответствии с требованиями постановления Правительства РФ от 27.08.2025 № 1142.

Правовые основания обработки (с учетом новых требований)

5.1. Обработка осуществляется при наличии хотя бы одного из следующих оснований:

• Согласие субъекта – выраженное добровольно, конкретно, информированно, однозначно. Согласие может быть отозвано. Для каждой цели – отдельное согласие (запрещено одно согласие на все цели). Форма согласия: письменная или в виде электронного документа, подписанного простой электронной подписью (при взаимодействии через ЕПГУ).
• Необходимость для исполнения договора (медицинской помощи, трудового, гражданско-правового).
• Защита жизни, здоровья, иных жизненно важных интересов субъекта (экстренная помощь, когда согласие невозможно).
• Исполнение обязанностей, возложенных законодательством (например, налоговый, воинский учет, статистика).
• Обработка в медико-профилактических целях лицом, обязанным сохранять врачебную тайну.
• Законный интерес Оператора (например, обеспечение безопасности, внутренний аудит), при условии, что он не ущемляет права субъекта.

5.2. Уведомление Роскомнадзора: В соответствии с изменениями, вступившими в силу с 1 сентября 2025 года, Оператор направил уведомление о начале обработки персональных данных до начала фактической обработки. Сведения внесены в реестр операторов.

Условия обработки и передачи персональных данных (обновлено)

6.1. Оператор не раскрывает персональные данные третьим лицам без согласия субъекта, за исключением случаев, прямо предусмотренных законом (например, запрос правоохранительных органов, суда, прокуратуры, Росздравнадзора по фактам нарушения прав пациентов).

6.2. Передача персональных данных в рамках врачебной тайны возможна:

• другим медицинским организациям для оказания медпомощи (с согласия пациента);
• страховым медицинским организациям и ТФОМС для оплаты медпомощи (на основании договора);
• в единую государственную информационную систему в сфере здравоохранения (ЕГИСЗ) с соблюдением требований защищенного обмена.

6.3. Трансграничная передача персональных данных не осуществляется.

6.4. Обработка с использованием телемедицины осуществляется только при условии предварительной идентификации пациента через ЕСИА (Госуслуги). Передача персональных данных в рамках телемедицинской консультации происходит по защищенным каналам связи (с шифрованием).

6.5. Поручение обработки другому лицу: Оператор может поручить обработку персональных данных третьему лицу (например, IT-подрядчику) только при наличии договора, содержащего условия конфиденциальности и обязанность соблюдать требования 152-ФЗ. Такое лицо не вправе передавать данные кому-либо еще.

Обработка персональных данных пациентов (специальные условия для психоневрологической больницы)

7.1. Учитывая профиль Учреждения, особое внимание уделяется защите персональных данных лиц с психическими расстройствами, недееспособных или ограниченно дееспособных. Согласие на обработку персональных данных от таких лиц дается их законными представителями (опекунами, попечителями).

7.2. Информация о диагнозе, методах лечения, а также сам факт обращения в психоневрологическую больницу составляет врачебную тайну. Разглашение допускается только в случаях, установленных ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ (например, по запросу суда или прокуратуры, при угрозе распространения инфекции, при оказании помощи несовершеннолетнему с согласия родителя).

7.3. При госпитализации пациент (его представитель) подписывает информированное добровольное согласие на обработку персональных данных, включая специальные категории и (при необходимости) биометрию. В согласии перечисляются все цели обработки (каждая отдельным пунктом).

Меры по обеспечению безопасности персональных данных

8.1. Оператор назначает ответственного за организацию обработки персональных данных (лицо, ответственное за ПД). Введена должность (или назначен сотрудник) с функциями контроля соблюдения 152-ФЗ.

8.2. Принимаются следующие меры:

• утвержден перечень информационных систем, в которых обрабатываются персональные данные;
• применяются организационные меры: ограничение доступа, обучение персонала, внутренний контроль;
• технические средства: антивирусная защита, межсетевые экраны, резервное копирование, регистрация событий безопасности, средства криптографической защиты (при обработке биометрии и передаче по открытым сетям);
• проводится оценка вреда и моделирование угроз для каждой ИСПДн;
• ведется журнал учета лиц, получивших доступ к персональным данным.

8.3. При использовании облачных сервисов (например, Яндекс.Метрика) Оператор обязан проверить, что хостинг и обработка данных осуществляются на территории РФ (в соответствии с требованиями о локализации персональных данных граждан РФ).

8.4. Уведомление об утечке: В случае инцидента Оператор в течение 24 часов уведомляет Роскомнадзор, а в течение 72 часов предоставляет подробный отчет (ст. 21.1 152-ФЗ в ред. 2025 г.). Штрафы за утечку специальных категорий или биометрии – до 15 млн руб.

Права субъекта персональных данных (актуальная редакция)

Субъект имеет право:

9.1. На получение информации об обработке его персональных данных (ст. 14 152-ФЗ) – в течение 10 рабочих дней с момента получения запроса (ранее было 30 дней, сокращено новыми поправками). Запрос можно подать через Сайт, по почте или лично.

9.2. Требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные или получены незаконно.

9.3. Отозвать согласие на обработку персональных данных полностью или частично (в отношении отдельной цели). Оператор обязан прекратить обработку в течение 30 дней с момента получения отзыва, если нет иных законных оснований для продолжения обработки. При отзыве согласия оказание медицинской помощи, основанное на договоре, может быть прекращено (кроме экстренных случаев).

9.4. Подать жалобу в Роскомнадзор или в суд.

9.5. На запрет обработки в целях маркетинга (без объяснения причин).

9.6. На обжалование решений, принятых исключительно на основании автоматизированной обработки (например, отказ в госпитализации алгоритмом). Оператор обязан разъяснить порядок такого обжалования.

Порядок и сроки хранения, уничтожения персональных данных

10.1. Сроки хранения персональных данных определяются:

• для медицинской документации – Приказом Минздрава России № 1030н (сроки хранения первичной медицинской карты – 25 лет, истории болезни стационарного больного – 50 лет);
• для кадровых документов – законодательством об архивном деле (обычно 75 лет для личных дел);
• для иных целей – не дольше, чем необходимо.

10.2. По истечении срока хранения или при отзыве согласия Оператор уничтожает персональные данные способом, исключающим их восстановление (измельчение носителей, затирка информации). Акты об уничтожении хранятся 3 года.

10.3. Обезличивание персональных данных (при переводе в статистику) производится в порядке, установленном постановлением Правительства РФ от 27.08.2025 № 1142. Обезличенные данные не являются персональными и могут использоваться неограниченно.

Изменение Политики

11.1. Оператор имеет право вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено законом.

11.2. Субъекты персональных данных обязуются самостоятельно отслеживать изменения. Продолжение использования Сайта или согласие на обработку после изменений означает принятие новой редакции