УТВЕРЖДЕНО Приказом № 26/16-МСК
  Генерального директора Тороповой Н.Н.
                                                                      от 28.12.2016 г.

ПОЛИТИКА
в отношении обработки персональных данных ООО «МСК»МЕДСТРАХ»

1. Общие положения

 1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) определяет основные принципы обработки персональных данных в ООО «МСК»МЕДСТРАХ» (далее - Общество).
 1.2. Положения Политики применяются в Обществе с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
 1.3 К настоящей Политике должен иметь доступ любой субъект персональных данных.
1.4 Контроль за соблюдением требований настоящей Политики осуществляет ответственный за организацию обработки персональных данных

2. Состав обрабатываемых персональных данных

2.1. Учёт заявлений физ. лиц застрахованных по обязательному медицинскому страхованию (ОМС), 
2.2. Учёт медицинской помощи , оказанной лицам , застрахованным по ОМС
2.3. Учёт физических лиц по добровольному медицинскому страхованию.
2.4. Кадровый учёт работников Общества
2.5. Бухгалтерский учёт работников Общества
 
 3. Нормативные ссылки

3.1. Федеральный закон от 27 июля 2006 г. №152-ФЗ О персональных данных (далее Закон 152-ФЗ)
3.2. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
3.3. Постановление Правительства РФ от 1 ноября 2012 г. N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
3.4. Постановление Правительства РФ от 15 сентября 2008 г. N 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»

 4. Цели обработки персональных данных

4.1 Общество занимается страховой деятельностью в области обязательного медицинского страхования

 5. Правовое основание обработки персональных данных

Руководствуясь Гражданским кодексом (Глава 48 Страхование), Законом «Об организации страхового дела в Российской Федерации». Законом РФ «О медицинском страховании граждан в Российской Федерации, Постановлением правительства Москвы от 26.02.2002 г. №141-ПП «Об утверждении Правил обязательного медицинского страхования населения г.Москвы»

 6. Права субъекта персональных данных

6.1Субъект персональных данных вправе получить разъяснения о юридических последствиях отказа предоставить его персональные данные, если предоставление персональных данных является обязательным в соответствии с федеральным законом.
6.2. Порядок предоставления согласия на обработку персональных данных:
6.2.1. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.
6.2.2. Субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе.
6.2.3. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.
6.2.4. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
6.2.5. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных Обществом проверяются полномочия данного представителя на дачу согласия от имени субъекта персональных данных.
6.2.6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
6.2.7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
6.3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, позволяющих в соответствии с законодательством осуществлять обработку персональных данных Обществом без согласия субъекта персональных данных, возлагается на Общество.
6.3.1. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
6.3.2. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:
а) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
б) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного
документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
в) наименование и адрес Общества, получающего согласие субъекта персональных данных;
г) цель обработки персональных данных;
д) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
е) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
ж) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
з) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
и) подпись субъекта персональных данных.
6.3.3. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, позволяющих в соответствии с законодательством осуществлять обработку
персональных данных Обществом без согласия субъекта персональных данных.
6.4. Субъект персональных данных имеет право на получение от Общества информации, касающейся обработки его персональных данных, за исключением обработки персональных данных в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма.
6.5. Порядок предоставления информации, касающейся обработки персональных данных:
6.5.1. Информация (отказ в предоставлении информации) предоставляется безвозмездно в течение
30 дней с момента получения запроса.
6.5.2. Информация предоставляется субъекту персональных данных или его представителю оператором при обращении либо при получении запроса субъекта персональных данных или его представителя.
6.5.3. Информация предоставляется в доступной форме и не содержит персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
6.5.4. Запрос субъекта персональных данных или его представителя должен содержать:
а) номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя;
б) сведения о дате выдачи указанного документа и выдавшем его органе;
в) сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
г) подпись субъекта персональных данных или его представителя.
6.5.5. Повторное обращение в Общество или направление повторного запроса возможно не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных. До истечения указанного срока повторное обращение возможно в случае, если такая информация и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в п. 6.5.4 настоящей Политики, должен содержать обоснование направления повторного запроса. Общество вправе мотивированно отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего указанным условиям.
6.5.6. В случае отказа в предоставлении информации Обществом дается в письменной форме мотивированный ответ с указанием основанием для такого отказа.
6.6. Субъект персональных данных вправе требовать от Общества уточнения его персональных данных в случае предоставления сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными.
6.7. Субъект персональных данных вправе требовать от Общества уничтожения его персональных данных в случае предоставления сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки.
6.8. Если субъект персональных данных считает, что Общество осуществляет обработку его персональных данных с нарушением требований Закона 152-ФЗ или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Общества в Уполномоченным органе по защите прав субъектов персональных данных или в судебном порядке.
6.9. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

7. Права и обязанности Общества
определяются законодательством Российской Федерации в области персональных данных.
Оператор персональных данных обязан:
- принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами.

8. Принципы и условия обработки персональных данных

8.1. Обработка персональных данных Общества осуществляется на основе принципов:
- осуществляется на законной и справедливой основе;
- ограничена достижением конкретных, заранее определённых и законных целей;
- не предусматривает обработку, несовместимую с целями сбора персональных данных;
- не предусматривает объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- осуществляется при условии соответствия содержания и объёма обрабатываемых персональных данных заявленным целям обработки;
- не предусматривает обработку избыточных персональных данных по отношению к заявленным целям их обработки;
- обеспечивает точность, достаточность, в необходимых случаях актуальность персональных данных по отношению к целям обработки персональных данных;
- предусматривает уничтожение либо обезличивание персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
8.2. Обработка персональных данных осуществляется на основании условий, определенных законодательством Российской Федерации.

9. Обеспечение безопасности персональных данных

Меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом 152-ФЗ, принимаются Обществом с учетом оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона 152-ФЗ.
9.2.	Безопасность персональных данных, обрабатываемых Обществом, обеспечивается реализацией правовых, организационных, технических и программных мер для обеспечения требований федерального законодательства в области защиты персональных данных, в том числе:
9.2.1. Назначаются подразделение и должностные лица, ответственные за организацию обработки персональных данных.
9.2.2. Разрабатываются и внедряются локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
9.2.3. Осуществляется внутренний контроль соответствия обработки персональных данных Закону 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, локальным актам Общества.
9.2.4. Осуществляется ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику Общества в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, организуется и проводится обучение указанных работников.
9.2.5. Проводится обучение работников, использующих средства защиты информации, в соответствии с эксплуатационной и технической документацией.
9.2.6. Обеспечивается учет и хранение машинных носителей персональных данных.
9.2.7. Определяются и актуализируются угрозы безопасности персональных данных при их обработке в информационных системах персональных данных.9.2.8. Применяются технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах и передаче, в том числе:
- используются средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия;
- применяются в необходимых случаях средства криптографической защиты информации;
9.2.9. Осуществляется оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных.
9.2.10. Внедрена разрешительная система доступа пользователей к информационным ресурсам, программно-аппаратным средствам обработки и защиты информации.
9.2.11. Ведется в зависимости от степени риска регистрация и учёт действий пользователей информационных систем персональных данных.
9.2.12. Используется парольная защита доступа пользователей к информационным системам персональных данных.
9.2.13. Применяются в зависимости от степени риска средства контроля доступа к коммуникационным портам, устройствам ввода-вывода информации, съёмным машинным носителям и внешним накопителям информации.
9.2.14. Осуществляется антивирусный контроль, предотвращение внедрения в корпоративную сеть вредоносных программ (программ-вирусов) и программных закладок.
9.2.15. Применяется межсетевое экранирование.
9.2.16. Применяются средства обнаружения вторжений в корпоративную сеть Общества, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных.
9.2.17. Осуществляется централизованное управление системой защиты персональных данных.
9.2.18. Осуществляется резервное копирование информации.
9.2.19. Обеспечивается восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
9.2.20. Осуществляется размещение технических средств обработки персональных данных в пределах охраняемой территории.
9.2.21. Организован пропускной режим на территорию Общества.
9.2.22. Поддерживаются технические средства охраны, сигнализации помещений.

10. Заключительные положения
10.1. Общество зарегистрировано в качестве оператора персональных данных в уполномоченном органе по защите прав субъектов персональных данных.
10.2. Иные права и обязанности Общества, как оператора персональных данных, определяются законодательством Российской Федерации в области персональных данных.
10.3. Должностные лица Общества, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут ответственность в порядке, установленном федеральными законами.

11. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
Биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Информационная система персональных данных (далее – ИСПДн) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Конфиденциальность персональных данных - обязанность оператора и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Обработка персональных данных - любое действие (операция) или совокупность действий(операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Специальные категорий персональных данных – сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Уполномоченный орган по защите прав субъектов персональных данных – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

 12. КОНТАКТНАЯ ИНФОРМАЦИЯ

107140, г. Москва, ул. Верхняя Красносельская, д.20, стр.1

Многоканальный телефон: +7 (495) 777 23-23

Email: info@medstrakh.ru