Применяем рекомендуемые меры для защиты персональных данных

Кроме обязательных, установленных НПА, мер по защите персональных данных в организациях здравоохранения можно реализовать также рекомендуемые и возможные меры. Необходимость их внедрения руководитель должен определить совместно со специалистом по защите персональных данных, исходя из специфики деятельности организации. К рекомендуемым мерам относятся следующие:

• выделение особых политик обработки персональных данных;
• создание локального реестра обработки персональных данных;
• разработка положения о порядке проведения внутреннего контроля;
• разработка типовых форм согласий субъектов персональных данных;
• разработка типовых форм договоров с уполномоченными лицами;
• разработка типовой формы акта удаления (уничтожения) персональных данных;
• внесение изменений в должностные инструкции работников.

Остановимся на каждой из мер подробнее.

Выделение особых политик обработки персональных данных

Среди особых политик обработки персональных данных для организации здравоохранения наиболее актуальна политика видеонаблюдения. При формировании политики видеонаблюдения необходимо четко сформулировать цели обработки данных видеонаблюдения. Как правило, указывается, что видеонаблюдение направлено на обеспечение безопасности работников, пациентов и посетителей организации здраво­охранения и не может быть использовано для сбора информации о конкретном человеке.

Видеонаблюдение не используется для учета фактически отработанного работниками организации здравоохранения рабочего времени, уникальной идентификации лиц, изображенных на видеозаписи, и записи звука.

Это важно
Видеонаблюдение не допускается в туалетных комнатах, комнатах для переодевания работников и в иных местах, связанных с осуществлением личных нужд работников, посетителей, пациентов.

Кроме того, в политике видеонаблюдения отражаются:

• места установки камер видеонаблюдения;
• срок хранения видеозаписей (рекомендуется, чтобы этот срок не превышал 30 дней);
• автоматическое или неавтоматическое удаление видеозаписей;
• условия продления срока хранения видеозаписей (например, в случае наличия у руководителя информации о возможной фиксации камерами видеонаблюдения ситуации, имеющей признаки совершения дисциплинарного проступка, административного правонарушения и т. п., по его поручению срок хранения таких видеозаписей может быть продлен на период проведения соответствующих мероприятий);
• запрет на использование видеозаписей работниками в личных и иных целях, не связанных с профессиональной деятельностью;
• доступ к месту хранения записей.

В политике видеонаблюдения целесообразно указать, что аудиозапись, фото- и видеосъемка на территории организации здравоохранения сотрудниками, пациентами и иными третьими лицами без получения на то разрешения руководителя запрещены.

Кроме политики видеонаблюдения рекомендуется разработать политику в отношении обработки файлов cookie. Файлы cookie служат для идентификации браузера при повторном посещении сайта и используются для различных целей, например для запоминания пользовательских настроек. Кроме того, они могут использоваться для сбора статистических данных о взаимодействии пользователей с сайтом и улучшения его функциональности.

Файлы cookie не представляют собой угрозы для устройства пользователя, поскольку являются текстом, а не запускаемыми программами. Рекомендуется предоставить пользователям возможность принять или отклонить все обрабатываемые на сайте cookie. Исключением являются необходимые cookie.

Как и в любой политике, указывается цель обработки cookie — хранение информации о пользователе, которая может быть использована для улучшения его взаимодействия с сайтом.

Это важно
Сайты организаций здравоохранения не должны использовать файлы cookie для идентификации пользователей.

Создание локального реестра обработки персональных данных

В положении о локальном реестре обработки персональных данных необходимо отразить:

• место размещения реестра (рекомендуется вести исключительно в электронном виде);
• порядок внесения в него изменений и дополнений (рекомендуется, чтобы ответственными за актуальность информации были руководители соответствующих структурных подразделений).

На специалиста по внутреннему контролю за обработкой персональных данных следует возложить обязанности:

• по внесению сведений в реестр, изменению и исключению их из реестра по предложению ответственных лиц;
• внесению предложений структурным подразделениям по направлениям их деятельности о дополнении реестра, изменении сведений в нем и исключении их из него;
• внесению предложений о совершенствовании структуры реестра и порядка его ведения;
• осуществлению резервного копирования реестра.

В локальном реестре обработки персональных данных следует отразить:

• цель обработки;
• подразделение (лицо), ответственное за обработку;
• категории лиц, чьи персональные данные обрабатываются;
• категории обрабатываемых персональных данных;
• правовую основу обработки;
• категории получателей персональных данных;
• срок хранения персональных данных.

Разработка положения о порядке проведения внутреннего контроля

В организации здравоохранения рекомендуется разработать и утвердить положение о порядке проведения внутреннего контроля за обработкой персональных данных с целью проверки выполнения работниками требований законодательства и ЛПА о персональных данных, оценки уровня их осведомленности и знаний в области обработки и защиты персональных данных и т. д.

В положении о порядке проведения внутреннего контроля за обработкой персональных данных указываются:

• формы контроля (например, мониторинг и внеплановые проверки);
• алгоритм проведения проверки;
• виды и сроки проверочных мероприятий;
• права специалиста по защите персональных данных;
• формы итоговой отчетности.

Разработка типовых форм согласий субъектов персональных данных

Формы согласий субъектов персональных данных должны учитывать специфику деятельности организации здравоохранения. В такую форму не следует включать персональные данные, которые не будут обрабатываться оператором. Обязательно указывается цель обработки персональных данных. Не допускается получать общее согласие на достижение всех указанных в согласии целей.

Это важно
Если организация здравоохранения заинтересована в получении согласия на несколько не связанных между собой целей обработки, необходимо предусмотреть возможность отметки о получении согласия на каждую цель (например, в форме таблицы).

При этом субъекту должна быть предоставлена возможность согласиться с одной целью и отказаться от другой.

В форме согласия необходимо отразить:

• объем (перечень) персональных данных, на обработку которых дается согласие;
• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых способов обработки персональных данных. В этом разделе отражается следующая информация:
  • каким образом будет осуществляться обработка (с использованием средств автоматизации или посредством создания картотек, списков, баз данных, журналов или без их использования);
  • об использовании обезличивания персональных данных;
  • конкретные действия, совершаемые с персональными данными (сбор, систематизация, хранение, изменение, использование, обезличивание, блокирование, удаление);
  • условия, при которых возможно распространение персональных данных;
  • при наличии трансграничной передачи персональных данных — государства, в которые будет осуществляться передача;
• информацию об уполномоченных лицах (указываются конкретные уполномоченные лица и место их нахождения);
• срок, на который предоставляется согласие. Если срок согласия различается для каждой цели, то его необходимо обозначить для каждого случая. Срок согласия должен быть конкретным, доступным для восприятия и понятным. Он может быть выражен конкретными датой, периодом времени либо критериями, используемыми для определения таких сроков. Не рекомендуется определять срок действия согласия свыше 3 лет, т. к. гражданину будет затруднительно контролировать обработку своих персональных данных;
• разъяснение прав, связанных с обработкой персональных данных, механизма их реализации и последствий дачи согласия или отказа в даче согласия. Эта информация может быть предоставлена в виде отдельного документа, с которым следует ознакомить субъекта персональных данных.

От редакции

Мы продолжим освещать вопросы применения рекомендуемых мер для защиты персональных данных в ближайшем номере журнала.