Политика КФ
Политика Сохранения И Уничтожения Персональных Данных
ВВЕДЕНИЕ
1.1 Цель
Политика Сохранения И Уничтожения Персональных Данных («Политика»),
Наименование ответственного за данные: Доцент доктор Ата Джан
Адрес ответственного за данные: Инёню, ул. Низамийе, №9, кв.1, 34373 Шишли/Стамбул
Телефон ответственного за данные: 0536 576 66 66
Электронная почта ответственного за данные: atababay@yahoo.com
Веб-сайт ответственного за данные: https://dratacan.com/
Политика подготовлена с целью определения принципов и порядка выполнения операций по хранению и уничтожению персональных данных, осуществляемых ответственным за данные.
Наша организация; в соответствии с миссией, видением и основными принципами, законным образом обрабатывает персональные данные в соответствии с Конституцией Турции, международными договорами, Законом №6698 о защите персональных данных («Закон») и другими применимыми нормативными актами, обеспечивая эффективное использование прав субъектов данных.
Операции по хранению и уничтожению персональных данных осуществляются в соответствии с данной Политикой.
1.2 Область применения
Персональные данные пациентов, сопровождающих лиц, сотрудников, кандидатов на должность и поставщиков услуг подпадают под действие этой Политики. Политика применяется ко всем средам хранения и деятельности по обработке персональных данных, управляемым нашей организацией.
1.3 Сокращения И Определения
В настоящей Политике используются следующие юридические и технические термины:
Группа Получателей – категория физических или юридических лиц, которым ответственным за данные передаются персональные данные.
Явное Согласие – добровольное и информированное согласие по конкретному вопросу.
Анонимизация – процесс обработки персональных данных таким образом, чтобы они не могли быть связаны с определенным или определяемым физическим лицом, даже при сопоставлении с другими данными.
Сотрудник – персонал организации.
EBYS – Электронная Система Управления Документами.
Электронная Среда – среды, в которых персональные данные могут создаваться, считываться, изменяться и записываться с использованием электронных устройств.
Неэлектронная Среда – все письменные, печатные, визуальные и иные среды, не относящиеся к электронной среде.
Поставщик Услуг – физическое или юридическое лицо, предоставляющее услуги нашей организации по договору.
Субъект Данных – физическое лицо, персональные данные которого обрабатываются.
Соответствующий Пользователь – лицо или подразделение в организации ответственного за данные, которое обрабатывает персональные данные по полномочиям и инструкциям, за исключением лиц, ответственных за техническое хранение, защиту и резервное копирование данных.
Уничтожение – удаление, уничтожение или анонимизация персональных данных.
Закон – Закон Турции №6698 о защите персональных данных от 24.03.2016.
Среда Хранения Данных – любая среда, содержащая персональные данные, обрабатываемые полностью или частично автоматически или неавтоматическими способами в рамках системы учета данных.
Персональные Данные – любая информация, относящаяся к определенному или определяемому физическому лицу.
Реестр Обработки Персональных Данных – детализированный реестр деятельности по обработке персональных данных, включающий цели обработки, правовое основание, категорию данных, группу получателей, категории субъектов данных, максимальные сроки хранения, передачу за границу и меры безопасности.
Обработка Персональных Данных – любые операции с персональными данными, включая получение, запись, хранение, сохранение, изменение, реорганизацию, раскрытие, передачу, получение, классификацию или блокирование использования данных, как полностью, так и частично автоматически или неавтоматически.
Совет – Совет по Защите Персональных Данных.
Особые Категории Персональных Данных – данные о расе, этническом происхождении, политических взглядах, философских или религиозных убеждениях, членстве в организациях, здоровье, сексуальной жизни, судимости и мерах безопасности, а также биометрические и генетические данные.
Периодическое Уничтожение – автоматическое или периодическое удаление, уничтожение или анонимизация персональных данных при прекращении оснований для их обработки, в соответствии с политикой хранения и уничтожения.
Политика – Политика Сохранения И Уничтожения Персональных Данных.
Обрабатывающее Лицо – физическое или юридическое лицо, обрабатывающее персональные данные от имени ответственного за данные на основании предоставленных полномочий.
Система Учетa Данных – система учета, в которой персональные данные структурируются и обрабатываются по определенным критериям.
VERBIS – Система Регистрации Ответственных За Данные.
Ответственный За Данные – физическое или юридическое лицо, определяющее цели и средства обработки персональных данных, ответственное за создание и управление системой учета данных.
Регламент – Регламент о Удалении, Уничтожении и Анонимизации Персональных Данных, опубликованный в Официальном Вестнике от 28 октября 2017 года.
2.1 Объяснения относительно хранения
В статье 3 Закона дается определение понятию «обработка персональных данных», в статье 4 указывается, что обрабатываемые персональные данные должны быть связаны с целями обработки, ограничены по объему и храниться только в течение срока, предусмотренного соответствующим законодательством или необходимого для достижения целей обработки. В статьях 5 и 6 перечислены условия обработки персональных данных.
В соответствии с этим, персональные данные хранятся только в течение срока, предусмотренного законодательством или необходимого для целей обработки.
2.1.1 Юридические основания для хранения персональных данных
Обрабатываемые персональные данные хранятся при наличии хотя бы одного из следующих юридических оснований:
Явное указание в законе
Необходимость обработки данных сторон для исполнения договора
Необходимость выполнения юридических обязательств ответственного за данные
Необходимость обработки данных для установления, осуществления или защиты прав
Обработка данных для законных интересов ответственного за данные, при условии, что права и свободы субъекта данных не нарушаются
Проведение профилактических медицинских мероприятий, диагностики, лечения и ухода
Явное согласие субъекта данных
2.1.2 Цели обработки и хранения
Персональные данные обрабатываются и хранятся для следующих целей:
Проведение процессов приема кандидатов на работу
Исполнение трудовых договоров и обязательств, установленных законодательством, для сотрудников
Организация дополнительных льгот и привилегий для сотрудников
Проведение образовательных мероприятий
Управление доступом к системам и помещениям
Обеспечение соответствия деятельности требованиям законодательства
Ведение финансовых и бухгалтерских операций
Обеспечение физической безопасности объектов
Проведение процессов назначения и распределения обязанностей
Ведение и сопровождение юридических дел
Организация коммуникационной деятельности
Планирование процессов управления персоналом
Проведение мероприятий по охране труда и техники безопасности
Сбор и оценка предложений по улучшению рабочих процессов
Проведение процессов оценки эффективности работы сотрудников
Организация хранения и архивирования документов
Ведение договорных процессов
Обработка обращений и жалоб
Обеспечение безопасности движимого имущества и ресурсов
Обеспечение безопасности операций ответственного за данные
Предоставление информации уполномоченным лицам, организациям и учреждениям
Проведение маркетинговых и промо-мероприятий
2.2 Причины, требующие уничтожения
Персональные данные:
Изменение или отмена положений соответствующего законодательства, на основании которых осуществляется обработка,
Устранение цели, требующей обработки или хранения,
В случаях, когда обработка персональных данных осуществляется только на основании явного согласия, отзыв явного согласия соответствующим лицом,
Принятие нашей организацией запроса на удаление или уничтожение персональных данных соответствующего лица в рамках его прав в соответствии со статьей 11 Закона,
В случаях, когда наша организация отклоняет запрос соответствующего лица на удаление, уничтожение или анонимизацию персональных данных, считает ответ недостаточным или не отвечает в срок, установленный Законом; лицо имеет право подать жалобу в Совет, и если запрос признается Советом обоснованным,
Истечение максимального срока хранения персональных данных и отсутствие каких-либо условий, оправдывающих более длительное хранение персональных данных,
в этих случаях наши организации по запросу соответствующего лица удаляют, уничтожают или самостоятельно удаляют, уничтожают или анонимизируют данные.
ТЕХНИЧЕСКИЕ И АДМИНИСТРАТИВНЫЕ МЕРЫ
Для безопасного хранения персональных данных, предотвращения их незаконной обработки и доступа, а также для законного уничтожения персональных данных в соответствии со статьей 12 Закона и в рамках мер, установленных Советом для персональных данных специального характера согласно статье 6 Закона, пункт 4, принимаются технические и административные меры.
3.1 Технические меры
Технические меры, принимаемые в отношении обрабатываемых персональных данных, перечислены ниже:
Обеспечивается безопасность сети и приложений.
Применяются меры безопасности в рамках поставки, разработки и обслуживания ИТ-систем.
У сотрудников, изменивших должность или покинувших организацию, удаляются соответствующие полномочия.
Используются актуальные антивирусные системы.
Применяются межсетевые экраны.
Периодически проверяется полномочия сотрудников, имеющих доступ к персональным данным специального характера.
Обновления безопасности для сред, где хранятся данные, постоянно отслеживаются, регулярно проводятся необходимые тесты безопасности или заказываются, а результаты тестов фиксируются.
Проводятся регулярные тесты безопасности программного обеспечения, через которое осуществляется доступ к персональным данным специального характера, и результаты фиксируются.
Для персональных данных, хранящихся в цифровой форме, периодически выполняются операции по удалению, уничтожению или анонимизации.
3.2 Административные меры
Административные меры, принимаемые в отношении обрабатываемых персональных данных, перечислены ниже:
Существуют дисциплинарные правила для сотрудников, включающие положения о безопасности данных.
Проводятся периодические обучения и мероприятия по повышению осведомленности сотрудников о безопасности данных.
Разработаны и внедрены корпоративные политики по доступу, информационной безопасности, использованию, хранению и уничтожению данных.
Заключаются соглашения о конфиденциальности.
Заключаемые договоры включают положения о безопасности данных.
Для персональных данных, передаваемых на бумажном носителе, принимаются дополнительные меры безопасности, а соответствующие документы отправляются в формате конфиденциального документа.
Установлены политики и процедуры безопасности персональных данных.
Проблемы с безопасностью персональных данных оперативно докладываются.
Осуществляется мониторинг безопасности персональных данных.
Применяются меры безопасности при входе и выходе в физические среды, содержащие персональные данные.
Обеспечивается защита физических сред, содержащих персональные данные, от внешних рисков (пожар, наводнение и др.).
Обеспечивается безопасность сред, содержащих персональные данные.
Персональные данные минимизируются в максимальной степени.
Проводятся внутренние периодические и/или случайные аудиты.
Определены и внедряются протоколы и процедуры для защиты персональных данных специального характера.
Если персональные данные специального характера отправляются по электронной почте, они обязательно шифруются и отправляются через KEP или корпоративную почту.
Пользователи, имеющие право доступа к персональным данным специального характера, имеют четко определенные объемы и сроки полномочий.
У сотрудников, изменивших должность или покинувших организацию, изымается выделенное им оборудование.
Составлен реестр персональных данных.
Периодически выполняются операции по удалению, уничтожению или анонимизации данных.
ХРАНЕНИЕ И СРОКИ УНИЧТОЖЕНИЯ
В отношении персональных данных, обрабатываемых нашей организацией в рамках своей деятельности; сроки хранения указаны в Политике хранения и уничтожения персональных данных.
При необходимости указанные сроки хранения могут быть обновлены.
Для персональных данных, срок хранения которых истёк, в ходе первой периодической процедуры уничтожения после окончания срока хранения выполняется их удаление, уничтожение или анонимизация.
4.1 Таблица сроков хранения
| ОБРАБАТЫВАЕМЫЕ ДАННЫЕ | КАТЕГОРИЯ СООТВЕТСТВУЮЩЕГО ЛИЦА | СРОК ХРАНЕНИЯ |
|---|---|---|
| Идентификационные данные | Сотрудник | 15 лет после прекращения активных трудовых отношений |
| Кандидат на работу | Не хранится при отрицательном результате подачи заявления | |
| Пациент | 20 лет с момента завершения лечения | |
| Сопровождающее лицо | В течение срока предоставления услуги | |
| Внешние физические лица, предоставляющие услуги | 10 лет после окончания предоставления услуги | |
| Контактные данные | Сотрудник | 15 лет после прекращения активных трудовых отношений |
| Кандидат на работу | Не хранится при отрицательном результате подачи заявления | |
| Пациент | 20 лет с момента завершения лечения | |
| Сопровождающее лицо | В течение срока предоставления услуги | |
| Внешние физические лица, предоставляющие услуги | 10 лет после окончания предоставления услуги | |
| Персональные медицинские данные | Сотрудник | 15 лет после прекращения активных трудовых отношений |
| Кандидат на работу | Не хранится при отрицательном результате подачи заявления | |
| Пациент | 20 лет с момента завершения лечения | |
| Данные о судимостях и мерах безопасности | Сотрудник | 10 лет после прекращения активных трудовых отношений |
| Кандидат на работу | Не хранится при отрицательном результате подачи заявления | |
| Личные дела | Сотрудник | 10 лет после прекращения активных трудовых отношений |
| Кандидат на работу | Не хранится при отрицательном результате подачи заявления | |
| Юридические процедуры | Сотрудник и Пациент | 10 лет после завершения юридического процесса |
| Безопасность операций | Сотрудник и Пациент | 2 года |
| Операции с клиентами | Пациент | 20 лет |
| Внешние физические лица, предоставляющие услуги | 10 лет после окончания предоставления услуги | |
| Финансы | Пациент | 20 лет |
| Сотрудник | 10 лет | |
| Записи с камер | Все категории лиц | 2 месяца |
| Профессиональный опыт | Сотрудник | 10 лет после прекращения активных трудовых отношений |
| Кандидат на работу | Не хранится при отрицательном результате подачи заявления | |
| Визуальные и аудиозаписи | Сотрудник | 15 лет после прекращения активных трудовых отношений |
| Пациент | 20 лет с момента завершения лечения | |
| Кандидат на работу | Не хранится при отрицательном результате подачи заявления |
4.2 Сроки уничтожения
Наша организация в ходе первой периодической процедуры уничтожения после возникновения обязательства по удалению, уничтожению или анонимизации персональных данных в соответствии с Законом и Регламентом, выполняет удаление, уничтожение или анонимизацию персональных данных в соответствии с принципами и процедурами, установленными в настоящей Политике.
Если субъект данных, используя право, указанное в статье 13 Закона, подаёт нам должным образом запрос на удаление персональных данных:
Если все условия обработки персональных данных утратили силу; персональные данные, являющиеся предметом запроса, удаляются, уничтожаются или анонимизируются подходящим способом в течение 30 (тридцати) дней с момента получения запроса.
Если все условия обработки персональных данных не утратили силу, запрос может быть отклонён с указанием обоснования в соответствии с третьим пунктом статьи 13 Закона, а ответ об отказе предоставляется соответствующему лицу в письменной форме или в электронном виде не позднее чем через 30 (тридцать) дней.
ПЕРИОДИЧЕСКИЕ СРОКИ УНИЧТОЖЕНИЯ
В соответствии со статьёй 11 Регламента, периодический срок уничтожения установлен на 6 месяцев.
МЕТОДЫ УНИЧТОЖЕНИЯ
По окончании срока, установленного соответствующим законодательством или необходимого для целей обработки, персональные данные уничтожаются либо по инициативе организации, либо по запросу соответствующего лица в соответствии с положениями действующего законодательства с использованием приведённых ниже технических методов.
5.1 Удаление персональных данных
Персональные данные удаляются следующими методами.
| Среда хранения данных | Описание |
|---|---|
| Персональные данные на серверах | Для персональных данных на серверах, срок хранения которых истёк, системный администратор удаляет доступ пользователей и выполняет процедуру удаления. |
| Персональные данные в электронном виде | Для персональных данных в электронном виде, срок хранения которых истёк, все пользователи, кроме администратора базы данных, не имеют доступа и данные становятся недоступными для повторного использования. |
| Персональные данные в физическом виде | Для персональных данных в бумажном виде, срок хранения которых истёк, доступ для всех сотрудников, кроме ответственного за архив, запрещён. Кроме того, применяется метод затемнения: вычёркивание, закрашивание или стирание информации таким образом, чтобы она стала нечитаемой. |
| Персональные данные на переносимых носителях | Для персональных данных, хранящихся на флеш-носителях, срок хранения которых истёк, системный администратор шифрует данные, доступ предоставляется только администратору, а ключи шифрования хранятся в безопасной среде. |
5.2 Физическое уничтожение персональных данных
Персональные данные уничтожаются следующими методами.
| Среда хранения данных | Описание |
|---|---|
| Персональные данные в физическом виде | Персональные данные на бумажных носителях, срок хранения которых истёк, уничтожаются с использованием измельчителей бумаги, делая восстановление невозможным. |
| Персональные данные на оптических/магнитных носителях | Персональные данные на оптических и магнитных носителях, срок хранения которых истёк, физически уничтожаются путем плавления, сжигания или измельчения в пыль. Для магнитных носителей дополнительно используется устройство, создающее высокое магнитное поле, делающее данные нечитаемыми. |
| Персональные данные в цифровой среде | Персональные данные в цифровой среде, срок хранения которых истёк, уничтожаются вместе со всеми логами, фоновыми процессами и резервными копиями таким образом, чтобы восстановление данных было невозможно. |
5.3 Анонимизация персональных данных
Анонимизация персональных данных
Анонимизация персональных данных означает приведение персональных данных в такое состояние, при котором даже в случае их сопоставления с другими данными невозможно идентифицировать конкретное или потенциально определяемое физическое лицо.
Для того чтобы персональные данные считались анонимизированными, необходимо, чтобы они стали неидентифицируемыми даже при использовании соответствующих технических методов в среде хранения данных и области деятельности — таких как восстановление данных ответственным за обработку лицом или третьими лицами и/или их сопоставление с другими данными.
Наша организация осуществляет анонимизацию персональных данных в соответствии с вышеуказанными стандартами. После завершения процесса анонимизации персональные данные ни при каких обстоятельствах не могут быть связаны с конкретным или потенциально определяемым физическим лицом.
6. МЕРЫ ПО ОБЕСПЕЧЕНИЮ ЗАКОННОСТИ ПРОЦЕДУР УНИЧТОЖЕНИЯ
Процедуры уничтожения данных, выполняемые по запросу или периодически, осуществляются в соответствии с Законом, Регламентом и настоящей Политикой. В этом контексте приняты технические и административные меры, представленные ниже.
6.1 Технические меры
Права доступа сотрудников ИТ-отдела к персональным данным находятся под строгим контролем.
Процесс уничтожения персональных данных осуществляется таким образом, чтобы данные не подлежали восстановлению и не оставляли следов аудита.
6.2 Административные меры
Персонал проходит обучение по законодательству о защите персональных данных, вопросам информационной безопасности и уничтожению данных.
Процессы уничтожения регулярно проверяются. В случае выявления уязвимостей принимаются необходимые меры по их устранению.
7. СРЕДЫ ХРАНЕНИЯ ДАННЫХ
Персональные данные хранятся в соответствии с Законом, Регламентом и другими применимыми нормативными актами. Ниже представлена таблица сред хранения персональных данных:
| Электронные среды | Неэлектронные среды |
|---|---|
| Серверы (доменные, резервное копирование, электронная почта, базы данных, веб, обмен файлами и т.д.) | Бумага |
| Программное обеспечение (Meddata, офисные программы, портал и т.д.) | Ручные системы ведения данных |
| Устройства информационной безопасности (фаервол, системы обнаружения и предотвращения атак, журналы событий, антивирус и т.д.) | Печатные, письменные и визуальные материалы |
| Компьютеры (настольные, ноутбуки) | |
| Мобильные устройства (телефоны, планшеты и т.д.) | |
| Оптические диски (CD, DVD и т.д.) | |
| Съемные носители (USB, карты памяти и т.д.) | |
| Принтеры, сканеры, копировальные машины, медицинские устройства |
8. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Хранение персональных данных в безопасном виде, предотвращение их неправомерной обработки и доступа, а также законное уничтожение персональных данных осуществляется в рамках технических и административных мер, установленных в соответствии со статьей 12 Закона и четвертым пунктом статьи 6 Закона, а для персональных данных специального характера — в рамках достаточных мер, определённых и опубликованных Советом.
Технические меры
Технические меры, принятые в отношении обрабатываемых персональных данных, перечислены ниже:
Обеспечивается безопасность сети и приложений.
При закупке, разработке и обслуживании ИТ-систем применяются меры безопасности.
Используются актуальные антивирусные системы.
Применяются межсетевые экраны (firewall).
Выполняются операции по удалению, уничтожению или анонимизации данных.
Используются программные средства предотвращения потери данных (DLP).
Административные меры
Административные меры, принятые в отношении обрабатываемых персональных данных, перечислены ниже:
Сотрудники подчиняются дисциплинарным правилам, включающим положения о безопасности данных.
Периодически проводятся обучение и мероприятия по повышению осведомлённости сотрудников о защите данных.
Разработаны и внедрены корпоративные политики по доступу, информационной безопасности, использованию, хранению и уничтожению данных.
У сотрудников, сменивших должность или покинувших организацию, лишаются прав доступа в этой области.
Определены политика и процедуры безопасности персональных данных.
Осуществляется мониторинг безопасности персональных данных.
Приняты необходимые меры безопасности для входа и выхода в физические среды, содержащие персональные данные.
Обеспечена защита физических сред с персональными данными от внешних угроз (пожар, наводнение и т.д.).
Обеспечена общая безопасность сред, содержащих персональные данные.
Объём обрабатываемых персональных данных сведен к минимуму.
Проводятся и инициируются периодические и/или случайные внутренние аудиты.
Должности, подразделения и распределение обязанностей персонала
Все подразделения и сотрудники активно поддерживают ответственные подразделения в реализации технических и административных мер в рамках Политики, повышении осведомлённости и обучении сотрудников, контроле и постоянном аудите, предотвращении неправомерной обработки и доступа к персональным данным, а также обеспечении законного хранения персональных данных.
Ниже представлено распределение должностей и обязанностей сотрудников, участвующих в процессах хранения и уничтожения персональных данных:
| Должность | Описание обязанностей |
|---|---|
| Владелец клиники (врач) | Обеспечивает выполнение процессов хранения и уничтожения персональных данных в соответствии с данной Политикой, координирует работу между подразделениями, проводит необходимые проверки, отвечает за развитие Политики, публикацию в соответствующих средах и её обновление. |
| Секретарь/Ассистент | Обеспечивает соблюдение сотрудниками положений Политики, проводит необходимые проверки и выполняет другие поручения владельца клиники. Отвечает за предоставление технических решений, необходимых для реализации Политики. |
Обновления в Политике
В связи с изменением законодательства, решениями Совета или в соответствии с развитием отрасли и информационных технологий, данная Политика хранения и уничтожения персональных данных может быть изменена. Все изменения немедленно вносятся в текст, а пояснения к изменениям фиксируются в таблице обновлений.
Таблица обновлений
…………………………. | Политика обработки и уничтожения персональных данных вступила в силу.
Заключительные положения
Данная Политика хранения и уничтожения персональных данных подготовлена ответственным за данные, и:
объявлена в соответствующих местах внутри организации
размещена на нашем веб-сайте https://dratacan.com/
для доведения до сведения соответствующих лиц.
