Политика защиты персональных данных
Последнее обновление: 23 августа 2026 г.
1. Общие положения
1. Настоящая Политика защиты персональных данных (далее – «Политика») устанавливает правила и меры защиты персональных данных, действующие в ZDROWOW spółka z ograniczoną odpowiedzialnością (далее – «Администратор» или «Медицинское учреждение») в связи с оказанием медицинских услуг и ведением лечебной деятельности. 2. Политика распространяется, в частности, на персональные данные: – пациентов, – медицинского и немедицинского персонала, – кандидатов на работу и лиц, сотрудничающих с Медицинским учреждением, – иных лиц, данные которых Медицинское учреждение обрабатывает в связи со своей деятельностью. 3. За соблюдение принципов обработки персональных данных и за возможность подтвердить их соблюдение (принцип подотчётности) отвечает Администратор, который ведёт требуемую в этой части документацию; допускается её ведение в электронной форме. 4. Администратор внедряет Политику, документирует применяемые технические и организационные меры и проводит их текущий пересмотр на предмет необходимости актуализации.
2. Правовая основа
Политика учитывает, в частности, следующие правовые акты: – регламент Европейского парламента и Совета (ЕС) 2016/679 от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене директивы 95/46/ЕС (общий регламент о защите данных) (Официальный вестник ЕС L 119 от 04.05.2016, стр. 1, с изм.) – далее «GDPR», – закон от 10 мая 2018 г. о защите персональных данных (сводный текст: Вестник законов 2019 г., поз. 1781, с изм.), – закон от 6 ноября 2008 г. о правах пациента и Уполномоченном по правам пациента (сводный текст: Вестник законов 2024 г., поз. 581, с изм.), – закон от 15 апреля 2011 г. о лечебной деятельности (сводный текст: Вестник законов 2026 г., поз. 156), – закон от 28 апреля 2011 г. о системе информации в здравоохранении (сводный текст: Вестник законов 2026 г., поз. 208), – постановление Министра здравоохранения от 6 апреля 2020 г. о видах, объёме и образцах медицинской документации, а также о порядке её обработки (сводный текст: Вестник законов 2024 г., поз. 798).
3. Принципы обработки персональных данных
1. Администратор обеспечивает, чтобы персональные данные были: – обрабатываемыми законно, добросовестно и прозрачно для субъекта данных (законность, добросовестность и прозрачность), – собираемыми для конкретных, явных и законных целей (ограничение цели), – адекватными, относящимися к делу и ограниченными тем, что необходимо для целей обработки (минимизация данных), – точными и при необходимости актуализируемыми (точность), – хранимыми не дольше, чем это необходимо для целей обработки (ограничение хранения), – обрабатываемыми способом, обеспечивающим надлежащую безопасность, включая защиту от несанкционированной или незаконной обработки, а также от случайной утраты, уничтожения или повреждения, с помощью соответствующих технических и организационных мер (целостность и конфиденциальность). 2. Данные о состоянии здоровья относятся к особой категории персональных данных. Их обработка в целях профилактики здоровья, медицинской диагностики, обеспечения медицинской помощи и лечения осуществляется прежде всего на основании ст. 9 ч. 2 п. h GDPR во взаимосвязи с положениями о правах пациента и, как правило, не требует отдельного согласия пациента.
4. Обработка данных в связи с оказанием медицинских услуг
1. Медицинское учреждение ведёт, хранит и предоставляет медицинскую документацию и защищает содержащиеся в ней данные в соответствии с положениями о правах пациента и о системе информации в здравоохранении. 2. Персональные данные, содержащиеся в медицинской документации, обрабатываются в целях охраны здоровья, оказания медицинских услуг и управления их оказанием, а также в целях поддержания и обеспечения безопасности информационно-телекоммуникационной системы, в которой ведётся эта документация. 3. К обработке данных, содержащихся в медицинской документации, допускаются лица, осуществляющие медицинские профессии, и иные лица, выполняющие вспомогательные действия при оказании медицинских услуг либо действия, связанные с поддержанием и безопасностью информационно-телекоммуникационной системы, – на основании полномочия, предоставленного Администратором. 4. Лица, указанные в п. 3, сохраняют в тайне все сведения, связанные с пациентом, полученные в связи с выполнением задач, – в том числе после смерти пациента и после прекращения трудовых отношений или сотрудничества. 5. Медицинское учреждение обрабатывает, хранит и предоставляет персональные данные пациентов в соответствии с положениями о правах пациента и о защите персональных данных; положения Политики служат выполнению этих обязанностей.
5. Полномочия и доступ к персональным данным
1. К обработке персональных данных допускаются исключительно лица, имеющие письменное полномочие, предоставленное Администратором, ознакомленные с содержанием Политики и обязанные сохранять данные в тайне. 2. Обязательство о сохранении в тайне персональных данных и способов их защиты оформляется письменно и остаётся обязательным также после прекращения трудовых отношений или сотрудничества. 3. Администратор определяет во внутреннем перечне: категории уполномоченных лиц, объём полномочий (вид данных, системы, цели обработки) и срок их действия. 4. Администратор ведёт учёт предоставленных и отозванных полномочий.
6. Реестр операций обработки
1. Администратор ведёт реестр операций обработки персональных данных, указанный в ст. 30 GDPR, в письменной или электронной форме. 2. Реестр подлежит текущей актуализации, в частности в случае начала обработки данных в новых целях или новым способом.
7. Технические и организационные меры защиты данных
1. Администратор применяет технические и организационные меры, соответствующие риску нарушения прав или свобод физических лиц, с учётом состояния технических знаний, стоимости внедрения, а также характера, объёма, контекста и целей обработки (защита данных на этапе проектирования). 2. Применяемые меры включают, в частности: – технические меры: контроль доступа к информационным системам (индивидуальные учётные записи и пароли), шифрование данных, программное обеспечение для защиты от вредоносного ПО, резервные копии, а также физическую защиту помещений (замки, система сигнализации), – организационные меры: выделение зон ограниченного доступа, надзор за доступом в помещения и за ключами, расположение экранов мониторов, исключающее обзор посторонними лицами, правила обращения с носителями данных и периодическое обучение персонала. 3. По умолчанию обрабатываются только те персональные данные, которые необходимы для достижения конкретной цели обработки, – в отношении объёма собираемых данных, объёма их обработки, срока хранения и доступности (защита данных по умолчанию). 4. Эффективность применяемых мер регулярно тестируется, измеряется и совершенствуется, с особым учётом данных о состоянии здоровья как особой категории персональных данных.
8. Поручение обработки персональных данных
1. Поручение обработки персональных данных другому субъекту (напр. поставщику медицинского программного обеспечения, ИТ-компании, бухгалтерской фирме, субъекту, архивирующему документацию) осуществляется исключительно на основании договора поручения, отвечающего требованиям ст. 28 GDPR, определяющего в том числе предмет и срок обработки, её характер и цель, вид персональных данных, категории субъектов данных, а также обязанности и права Администратора, включая контрольные полномочия. 2. Обработчик обеспечивает организационные и технические условия, защищающие переданные данные от несанкционированного доступа, раскрытия, получения, изменения, повреждения, уничтожения или утраты. 3. Обработчик сохраняет в тайне сведения о пациентах, полученные в связи с исполнением договора поручения, – в том числе после завершения сотрудничества и после смерти пациента. 4. После завершения обработки (в том числе в случае ликвидации обработчика) переданные данные возвращаются Администратору либо – по его решению – безвозвратно удаляются, если только законодательство не предписывает их дальнейшее хранение.
9. Защита медицинской документации и информационных систем
1. Медицинская документация ведётся способом, гарантирующим конфиденциальность, целостность и полноту содержащихся в ней данных, а также их доступность исключительно для уполномоченных лиц. 2. Медицинская документация хранится, как правило, в течение 20 лет, считая с конца календарного года, в котором была сделана последняя запись, с учётом исключений, предусмотренных ст. 29 закона о правах пациента и Уполномоченном по правам пациента. 3. Информационно-телекоммуникационные системы, служащие для обработки медицинской документации и иных персональных данных, поддерживаются способом, обеспечивающим безопасность данных, включая защиту от несанкционированного доступа и утраты данных. 4. В детальных процедурах определяются правила: предоставления и проверки прав доступа к системам, управления паролями, создания и хранения резервных копий, а также реагирования на инциденты безопасности, связанные с информационными системами.
10. Обучение и повышение осведомлённости персонала
1. Администратор обеспечивает периодическое обучение персонала, охватывающее: принципы защиты персональных данных, применяемые технические и организационные меры, защиту медицинской документации и профессиональной тайны, а также порядок действий в случае инцидента нарушения защиты данных. 2. Прохождение обучения документируется в форме листов присутствия, протоколов или иных подтверждений участия персонала. 3. Объём и периодичность обучения соотносятся с характером обработки и риском нарушения прав субъектов данных.
11. Нарушения защиты персональных данных
1. Каждое уполномоченное лицо незамедлительно сообщает Администратору о выявленном нарушении защиты персональных данных или о подозрении такого нарушения. 2. Администратор документирует нарушения – их обстоятельства, последствия и предпринятые меры – в ведущемся реестре нарушений (ст. 33 ч. 5 GDPR). 3. После анализа нарушения и оценки его масштаба и последствий Администратор принимает решение о: – уведомлении о нарушении Председателя Управления по защите персональных данных – без излишней задержки, по возможности не позднее 72 часов после выявления нарушения, за исключением случаев, когда маловероятно, что нарушение повлечёт риск нарушения прав или свобод физических лиц (ст. 33 GDPR), – уведомлении субъектов данных – если нарушение может повлечь высокий риск нарушения их прав или свобод (ст. 34 GDPR), – корректирующих действиях и мерах, предотвращающих подобные нарушения в будущем. 4. Детальный порядок действий – включая способ сообщения об инцидентах персоналом, порядок внутреннего анализа и правила коммуникации с надзорным органом и субъектами данных – определяет процедура реагирования на нарушения, являющаяся приложением к Политике.
12. Оценка риска и пересмотр Политики
1. Администратор проводит периодическую оценку риска, связанного с обработкой персональных данных, с учётом категорий данных (в частности данных о состоянии здоровья), характера, объёма, контекста и целей обработки, а также эффективности применяемых мер защиты. 2. Результаты оценки риска учитываются при актуализации Политики и подборе мер безопасности, чтобы эти меры оставались соразмерными риску и обеспечивали эффективную реализацию принципов защиты данных. 3. Пересмотр Политики проводится не реже одного раза в год, а также после каждого существенного изменения законодательства, организации Медицинского учреждения либо применяемых технических и организационных решений.
13. Заключительные положения
1. Политика вступает в силу 23 августа 2026 г. 2. Политика является внутренним документом Медицинского учреждения и предоставляется всем лицам, уполномоченным на обработку персональных данных. 3. За внедрение Политики, надзор за её соблюдением и актуализацию отвечает Администратор данных. 4. Приложения к Политике могут включать, в частности: – образец полномочия на обработку персональных данных, – реестр операций обработки, – форму сообщения о нарушении, – реестр нарушений, – инструкцию по управлению информационной системой.