УТВЕРЖДАЮ
Глпвный врач_Аллахвердиян Л.С. /
«20» августа 2026 г.
Утверждено приказом руководителя
АКЦИОНЕРНОЕ ОБЩЕСТВО «СТОМАТОЛОГИЧЕСКАЯ КЛИНИКА
«ВЕРИТА»
от «[20]» _августа 2026 г. № [___]
ПОЛОЖЕНИЕ
о защите персональных данных при их обработке
в медицинской информационной системе
[наименование медицинской организации]
1.1. Настоящее Положение о защите персональных данных при их обработке в медицинской информационной системе (далее — Положение) разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (в части соблюдения врачебной тайны, статья 13), иными нормативными правовыми актами Российской Федерации в области персональных данных, а также локальными нормативными актами [наименование медицинской организации] (далее — Клиника, Оператор).
1.2. Настоящее Положение устанавливает общие требования к обеспечению безопасности персональных данных при их обработке в медицинской информационной системе Клиники (далее — МИС), включая организационные и технические меры защиты, порядок предотвращения неправомерного доступа к персональным данным, а также действия работников и должностных лиц Клиники, направленные на защиту прав субъектов персональных данных.
1.3. Настоящее Положение не регулирует вопросы распределения ролей и уровней доступа пользователей МИС — указанные вопросы урегулированы отдельным локальным нормативным актом Клиники «Положение о разграничении прав доступа к МИС». Настоящее Положение также не регулирует порядок и условия получения согласия пациента на передачу сведений в государственную информационную систему в сфере здравоохранения (ЕГИСЗ/ГИСЗ) — указанные вопросы урегулированы отдельным документом «Согласие пациента на передачу сведений в ГИСЗ». Настоящее Положение определяет общие требования к защите персональных данных при их обработке непосредственно в МИС.
1.4. Действие настоящего Положения распространяется на всех работников Клиники, а также на лиц, привлекаемых Клиникой по гражданско-правовым договорам, которым в силу исполняемых трудовых (должностных) обязанностей предоставлен доступ к МИС и обрабатываемым в ней персональным данным пациентов, работников и иных субъектов персональных данных (далее — работники).
1.5. Для целей настоящего Положения используются следующие основные понятия:
— информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
— медицинская информационная система (МИС) — информационная система, используемая Клиникой для ведения электронных медицинских карт, учёта записи пациентов, хранения и обработки медицинской документации, расчётов с пациентами и иных целей, связанных с оказанием медицинской помощи, и являющаяся по своей сути информационной системой персональных данных;
— персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
— специальные категории персональных данных — сведения о состоянии здоровья, диагнозах, результатах медицинских обследований и иная информация, составляющая врачебную тайну в соответствии со статьёй 13 Федерального закона от 21.11.2011 № 323-ФЗ;
— обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение персональных данных;
— инцидент безопасности персональных данных — событие, приводящее к нарушению конфиденциальности, целостности или доступности персональных данных, обрабатываемых в МИС.
1.6. В МИС Клиники обрабатываются следующие категории персональных данных: общие персональные данные субъектов (фамилия, имя, отчество, дата рождения, паспортные данные, адрес, контактные данные, данные полиса обязательного медицинского страхования, СНИЛС и др.), а также специальные категории персональных данных, включающие сведения о состоянии здоровья, диагнозах, назначениях, результатах обследований и иную информацию, составляющую врачебную тайну.
1.7. Обработка персональных данных в МИС осуществляется Клиникой в качестве оператора персональных данных на основании и в целях, предусмотренных законодательством Российской Федерации в сфере охраны здоровья граждан, а также с учётом условий, предусмотренных статьёй 6 Федерального закона № 152-ФЗ.
2.1. Обработка персональных данных в МИС осуществляется в целях: оказания медицинской помощи пациентам, ведения медицинской документации в электронном виде, организации записи на приём и учёта посещений, расчётов за оказанные медицинские услуги, ведения кадрового и бухгалтерского учёта в отношении работников, исполнения требований законодательства Российской Федерации, а также иных целей, прямо связанных с деятельностью Клиники как медицинской организации.
2.2. Обработка персональных данных в МИС осуществляется на основе следующих принципов:
— законность и справедливость — обработка персональных данных осуществляется на законной и справедливой основе, с соблюдением требований законодательства Российской Федерации;
— ограничение целей обработки — персональные данные обрабатываются только в целях, определённых настоящим Положением и иными локальными нормативными актами Клиники, и не подлежат обработке в целях, несовместимых с целями их сбора;
— минимизация данных — объём и характер обрабатываемых персональных данных должны соответствовать заявленным целям их обработки; не допускается обработка персональных данных, избыточных по отношению к целям обработки;
— точность и актуальность данных — персональные данные, содержащиеся в МИС, должны быть точными, достаточными и, при необходимости, актуализироваться; неточные или неполные персональные данные подлежат уточнению или удалению;
— ограничение хранения — персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законодательством Российской Федерации (в том числе законодательством об архивном деле и о медицинской документации);
— конфиденциальность — при обработке персональных данных в МИС обеспечивается конфиденциальность персональных данных, а в отношении сведений, составляющих врачебную тайну, — соблюдение требований статьи 13 Федерального закона № 323-ФЗ;
— целостность и доступность — персональные данные защищаются от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
2.3. Не допускается обработка персональных данных в МИС в целях, не связанных с деятельностью Клиники, а также передача персональных данных третьим лицам без законных оснований.
3.1. МИС Клиники является информационной системой персональных данных и подлежит классификации в соответствии с требованиями постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
3.2. Уровень защищённости персональных данных при их обработке в МИС определяется исходя из следующих критериев: категории обрабатываемых персональных данных (специальная категория, включающая сведения о состоянии здоровья), типа субъектов персональных данных (работники Клиники и (или) иные лица), количества субъектов персональных данных, обрабатываемых в МИС, а также вида актуальных угроз безопасности персональных данных, определённых для МИС.
3.3. В силу того, что в МИС обрабатываются специальные категории персональных данных (сведения о состоянии здоровья), к МИС применяются повышенные требования к защищённости персональных данных, установленные пунктами 8–13 постановления Правительства Российской Федерации от 01.11.2012 № 1119.
3.4. Конкретный уровень защищённости персональных данных, подлежащий обеспечению при обработке персональных данных в МИС, определяется отдельным актом классификации информационной системы персональных данных, утверждаемым руководителем Клиники либо ответственным за организацию обработки персональных данных по поручению руководителя. Акт классификации подлежит пересмотру при изменении состава обрабатываемых персональных данных, состава субъектов персональных данных, конфигурации МИС или актуальных угроз безопасности.
3.5. На основании определённого уровня защищённости в отношении МИС применяется соответствующий состав организационных и технических мер, предусмотренных приказом ФСТЭК России от 18.02.2013 № 21, с учётом особенностей МИС и модели угроз безопасности персональных данных.
4.1. В целях организации защиты персональных данных при их обработке в МИС руководитель Клиники назначает работника, ответственного за организацию обработки персональных данных (далее — ответственный за защиту ПДн), путём издания соответствующего приказа. Реквизиты приказа о назначении ответственного за защиту ПДн: приказ от «[___]» _______________ 20[__] г. № [___].
4.2. Ответственный за защиту ПДн осуществляет внутренний контроль соблюдения законодательства Российской Федерации о персональных данных, настоящего Положения и иных локальных нормативных актов Клиники в области обработки и защиты персональных данных, организует приём и обработку обращений субъектов персональных данных, взаимодействует с уполномоченным органом по защите прав субъектов персональных данных, а также организует мероприятия, направленные на предотвращение и выявление нарушений законодательства о персональных данных.
4.3. В Клинике формируется и поддерживается в актуальном состоянии перечень лиц, допущенных к обработке персональных данных в МИС (далее — Перечень). Включение работника в Перечень осуществляется на основании его должностных обязанностей и производственной необходимости после прохождения им ознакомления с настоящим Положением и иными локальными нормативными актами Клиники в области защиты персональных данных.
4.4. Допуск работника к обработке персональных данных в МИС осуществляется только после: включения работника в Перечень лиц, допущенных к обработке персональных данных; ознакомления работника с настоящим Положением, локальными нормативными актами о врачебной и коммерческой тайне под подпись; принятия от работника письменного обязательства о неразглашении персональных данных и сведений, составляющих врачебную тайну.
4.5. В отношении сведений, составляющих врачебную тайну и персональные данные пациентов, в Клинике устанавливается режим конфиденциальности в соответствии со статьёй 13 Федерального закона № 323-ФЗ и внутренними актами Клиники о коммерческой тайне (в части сведений, отнесённых к таковой). Работники обязаны соблюдать установленный режим конфиденциальности как в период работы в Клинике, так и после прекращения трудовых отношений, в течение сроков, установленных законодательством и локальными нормативными актами Клиники.
4.6. Клиника организует обучение (инструктирование) работников, допущенных к обработке персональных данных в МИС, по вопросам законодательства о персональных данных и требований настоящего Положения. Обучение проводится при приёме на работу (перед предоставлением доступа к МИС), а также периодически — не реже одного раза в год, и внепланово — при существенном изменении требований законодательства или внутренних правил обработки персональных данных.
4.7. Ответственный за защиту ПДн и (или) руководитель Клиники организует проведение периодического внутреннего контроля соответствия обработки персональных данных в МИС требованиям законодательства Российской Федерации и настоящего Положения, включая проверку соблюдения работниками установленных правил.
5.1. В целях обеспечения безопасности персональных данных при их обработке в МИС Клиника применяет комплекс технических мер защиты информации, соответствующий определённому уровню защищённости персональных данных и актуальным угрозам безопасности.
5.2. К техническим мерам защиты персональных данных, применяемым в отношении МИС, относятся:
— антивирусная защита — установка и поддержание в актуальном состоянии средств антивирусной защиты на всех автоматизированных рабочих местах и серверах, используемых для обработки персональных данных в МИС, с регулярным обновлением антивирусных баз;
— межсетевое экранирование — применение средств межсетевого экранирования для защиты периметра сети, в которой функционирует МИС, от несанкционированного доступа из внешних сетей, включая сеть Интернет;
— регистрация событий безопасности (логирование) — ведение журналов регистрации действий пользователей в МИС, включающих факты входа и выхода из системы, обращения к персональным данным, изменения и удаления записей, а также попытки несанкционированного доступа; журналы подлежат хранению в течение срока, установленного внутренними правилами Клиники, и защите от несанкционированного изменения;
— резервное копирование — регулярное создание резервных копий баз данных МИС в целях обеспечения возможности восстановления персональных данных в случае их утраты или повреждения; резервные копии хранятся с соблюдением требований конфиденциальности, аналогичных требованиям к основной базе данных;
— парольная политика — использование уникальных учётных записей и паролей для доступа к МИС, соответствующих требованиям сложности и периодичности смены, установленным внутренними регламентами Клиники; запрет на использование одной учётной записи несколькими работниками;
— защита от несанкционированного доступа — применение технических средств идентификации и аутентификации пользователей МИС, ограничение количества неудачных попыток входа, автоматическая блокировка сессии при неактивности пользователя;
— шифрование каналов передачи данных — применение криптографических средств защиты информации (в том числе защищённых протоколов передачи данных) при удалённом доступе к МИС и при передаче персональных данных по каналам связи, выходящим за пределы контролируемой зоны Клиники;
— использование сертифицированных средств защиты информации — при необходимости, определяемой уровнем защищённости персональных данных и моделью угроз, Клиника применяет средства защиты информации, сертифицированные в соответствии с требованиями законодательства Российской Федерации в области технической защиты информации.
5.3. Конкретный состав технических средств защиты информации, применяемых в отношении МИС, определяется на основании модели угроз безопасности персональных данных и акта классификации информационной системы персональных данных и закрепляется во внутренней технической документации Клиники.
5.4. Техническое обслуживание, настройка и модификация средств защиты информации, применяемых в МИС, осуществляется работниками, обладающими соответствующей компетенцией, либо привлечённой на договорной основе организацией, оказывающей услуги в области информационной безопасности, с соблюдением требований конфиденциальности в отношении обрабатываемых персональных данных.
5.5. Внесение изменений в конфигурацию средств защиты информации МИС, а также в состав применяемых технических мер, осуществляется по решению ответственного за защиту ПДн и (или) руководителя Клиники с фиксацией соответствующих изменений в технической документации.
6.1. Обработка персональных данных в МИС осуществляется работниками исключительно в объёме, необходимом для исполнения ими трудовых (должностных) обязанностей, и только в отношении тех персональных данных, доступ к которым предоставлен работнику в установленном порядке.
6.2. Работникам запрещается: использовать персональные данные, обрабатываемые в МИС, в целях, не связанных с исполнением трудовых обязанностей; передавать свои учётные данные (логин, пароль, средства аутентификации) для входа в МИС другим лицам, включая иных работников Клиники; предоставлять доступ к МИС лицам, не имеющим на это установленных полномочий; копировать, распечатывать, фотографировать, передавать по незащищённым каналам связи персональные данные из МИС, за исключением случаев, предусмотренных должностными обязанностями и правилами Клиники.
6.3. Работник, обнаруживший факт разглашения своих учётных данных для входа в МИС третьим лицам либо факт компрометации своей учётной записи, обязан немедленно сообщить об этом ответственному за защиту ПДн и (или) лицу, ответственному за администрирование МИС, для принятия мер по блокированию учётной записи и предотвращению несанкционированного доступа.
6.4. Детальный порядок распределения ролей, уровней доступа и полномочий пользователей в МИС, включая предоставление, изменение и прекращение доступа отдельным категориям работников, устанавливается отдельным локальным нормативным актом Клиники — «Положение о разграничении прав доступа к МИС», которым работники также обязаны руководствоваться при работе в МИС.
6.5. Доступ работников к персональным данным в МИС подлежит пересмотру при изменении трудовой функции работника, переводе на другую должность, а также при прекращении трудовых отношений — в порядке, установленном локальными нормативными актами Клиники.
7.1. Работник, обнаруживший признаки неправомерного доступа к персональным данным, обрабатываемым в МИС, утечки персональных данных, иного инцидента безопасности либо факт нарушения требований настоящего Положения, обязан немедленно, но не позднее одного часа с момента обнаружения, сообщить об этом своему непосредственному руководителю и ответственному за защиту ПДн любым доступным способом (устно, по телефону, письменно) с последующим письменным подтверждением.
7.2. При получении сообщения о возможном инциденте безопасности персональных данных ответственный за защиту ПДн организует: фиксацию обстоятельств и времени обнаружения инцидента; предварительную оценку характера и масштаба инцидента (объём и категории затронутых персональных данных, количество субъектов персональных данных); принятие неотложных мер по локализации инцидента, включая при необходимости временное блокирование доступа к МИС или отдельным её функциям.
7.3. Ответственный за защиту ПДн незамедлительно уведомляет руководителя Клиники о выявленном инциденте безопасности персональных данных с указанием предварительных сведений об обстоятельствах, характере и предполагаемых последствиях инцидента.
7.4. В случаях, установленных законодательством Российской Федерации, Клиника уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о происшествии, повлекшем неправомерную передачу (предоставление, распространение, доступ) персональных данных, в сроки и в порядке, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ, включая направление первичного уведомления не позднее 24 часов с момента обнаружения инцидента и уведомления о результатах внутреннего расследования не позднее 72 часов с момента обнаружения инцидента.
7.5. По результатам рассмотрения инцидента безопасности персональных данных ответственный за защиту ПДн организует проведение внутреннего расследования с целью установления причин и обстоятельств инцидента, лиц, причастных к его возникновению, а также разработку и реализацию мер по устранению последствий инцидента и предотвращению подобных инцидентов в дальнейшем (включая при необходимости пересмотр организационных и технических мер защиты, предусмотренных настоящим Положением).
7.6. Результаты рассмотрения инцидента безопасности персональных данных, включая принятые меры, фиксируются в письменной форме (акте, заключении) и хранятся у ответственного за защиту ПДн.
7.7. При наличии оснований, свидетельствующих о нарушении работником требований настоящего Положения, повлёкшем инцидент безопасности персональных данных, к работнику применяются меры ответственности, предусмотренные разделом 10 настоящего Положения.
8.1. Персональные данные, обрабатываемые в МИС, хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен законодательством Российской Федерации, договором с субъектом персональных данных либо иным основанием, предусмотренным законом.
8.2. Сроки хранения медицинской документации, содержащей персональные данные и сведения, составляющие врачебную тайну (в том числе электронных медицинских карт, формируемых и хранимых в МИС), определяются в соответствии с законодательством Российской Федерации об архивном деле, номенклатурой дел Клиники и нормативными правовыми актами в сфере здравоохранения, регулирующими сроки хранения медицинской документации.
8.3. По достижении целей обработки персональных данных либо при наступлении иных оснований, предусмотренных законодательством Российской Федерации (отзыв согласия субъекта персональных данных при отсутствии иных законных оснований для обработки, истечение установленного срока хранения и др.), персональные данные, обрабатываемые в МИС, подлежат уничтожению или обезличиванию, за исключением случаев, когда законодательством Российской Федерации предусмотрена обязанность Клиники по хранению таких данных в течение определённого срока (в частности, в отношении медицинской документации).
8.4. Уничтожение персональных данных в МИС осуществляется способом, исключающим возможность дальнейшего восстановления содержания персональных данных, с составлением акта об уничтожении, подписываемого ответственным за защиту ПДн и утверждаемого руководителем Клиники.
8.5. Обезличивание персональных данных в МИС (при невозможности или нецелесообразности их уничтожения) осуществляется способом, не позволяющим без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
9.1. Субъект персональных данных, чьи персональные данные обрабатываются в МИС Клиники, имеет право:
— получать информацию, касающуюся обработки его персональных данных, в том числе сведения о наличии персональных данных, относящихся к соответствующему субъекту, о целях и способах их обработки, о сроках их обработки, за исключением случаев, предусмотренных законодательством Российской Федерации;
— требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
— отозвать данное им согласие на обработку персональных данных, за исключением случаев, когда обработка осуществляется на основании иных законных оснований, не требующих согласия субъекта (в частности, в целях оказания медицинской помощи);
— обжаловать действия или бездействие Клиники в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке, если субъект персональных данных считает, что Клиника осуществляет обработку его персональных данных с нарушением требований законодательства Российской Федерации;
— на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
9.2. Обращения субъектов персональных данных, связанные с обработкой их персональных данных в МИС, рассматриваются ответственным за защиту ПДн в порядке и сроки, установленные Федеральным законом № 152-ФЗ и внутренними правилами рассмотрения обращений субъектов персональных данных, принятыми в Клинике.
10.1. Работники, виновные в нарушении требований настоящего Положения, законодательства Российской Федерации о персональных данных, а также порядка обеспечения врачебной тайны при обработке персональных данных в МИС, несут дисциплинарную, гражданско-правовую, административную и уголовную ответственность в порядке, установленном законодательством Российской Федерации.
10.2. Дисциплинарная ответственность применяется к работнику в соответствии с трудовым законодательством Российской Федерации и локальными нормативными актами Клиники и может выражаться в форме замечания, выговора или увольнения по соответствующим основаниям.
10.3. Административная ответственность за нарушение законодательства Российской Федерации в области персональных данных наступает в случаях и в порядке, предусмотренных статьёй 13.11 Кодекса Российской Федерации об административных правонарушениях, устанавливающей ответственность за нарушение порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных).
10.4. При наличии признаков состава преступления работник может быть привлечён к уголовной ответственности по статье 137 Уголовного кодекса Российской Федерации, устанавливающей ответственность за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия.
10.5. Привлечение работника к ответственности не освобождает его от обязанности возместить причинённый Клинике и (или) субъектам персональных данных ущерб (вред) в порядке, установленном законодательством Российской Федерации.
11.1. Настоящее Положение вступает в силу с даты его утверждения руководителем Клиники (либо с даты, указанной в приказе об утверждении настоящего Положения) и действует до его отмены или замены новым локальным нормативным актом.
11.2. Изменения и дополнения в настоящее Положение вносятся приказом руководителя Клиники по инициативе ответственного за защиту ПДн, руководителя Клиники либо иных уполномоченных лиц, в том числе в связи с изменением законодательства Российской Федерации в области персональных данных.
11.3. Все работники, имеющие доступ к МИС и обрабатывающие персональные данные в её составе, подлежат обязательному ознакомлению с настоящим Положением под подпись до момента предоставления им доступа к МИС. Лист ознакомления работников с настоящим Положением ведётся ответственным за защиту ПДн и хранится вместе с настоящим Положением.
11.4. Настоящее Положение хранится в течение всего срока его действия и не менее 3 (трёх) лет после его отмены или замены новым локальным нормативным актом, если иной срок хранения не установлен номенклатурой дел Клиники или законодательством Российской Федерации.
11.5. Контроль за исполнением настоящего Положения возлагается на ответственного за защиту ПДн и руководителя Клиники.
Руководитель медицинской организации: _______________ / [Фамилия И.О.] /
ЛИСТ ОЗНАКОМЛЕНИЯ
с Положением о защите персональных данных при их обработке в медицинской информационной системе
№ | ФИО | Должность | Дата ознакомления | Подпись |
1 | ||||
2 | ||||
3 | ||||
4 | ||||
5 | ||||
6 | ||||
7 | ||||
8 |
Ответственный за защиту персональных данных: _______________ / [Фамилия И.О.] /
