Если политика на стенде объясняет пациенту общие принципы работы с его данными, то положение — внутренний рабочий документ для персонала: кто из сотрудников имеет доступ к каким сведениям, как оформляется передача данных третьим лицам и что делать, если данные утеряны или похищены. Положение не публикуется, но им руководствуется каждый работник, получивший доступ к персональным данным пациентов или коллег.
- Раздел комплекта: Персональные данные
- Кому нужен: Всем стоматологическим организациям, к которым применимы требования
- Как оформляется: Один документ на организацию; утверждается приказом как локальный нормативный акт
- Формат: Word (DOCX), заполняется по анкете клиники
- Исходный материал: Подготовлено автором 22.09.2026
Кому адресован документ и на чем он основан
Положение обязательно для всех работников клиники, получивших доступ к персональным данным, — не только для ответственного за это направление. Правовая основа — Федеральный закон от 27.07.2006 № 152-ФЗ, глава 14 Трудового кодекса Российской Федерации, статья 13 Федерального закона от 21.11.2011 № 323-ФЗ, а также требования к защите данных в информационных системах, утвержденные постановлением Правительства РФ от 01.11.2012 № 1119, и положение об обработке данных без средств автоматизации, утвержденное постановлением Правительства РФ от 15.09.2008 № 687.
Работники, получившие доступ к данным, подписывают обязательство о неразглашении персональных данных и врачебной тайны — это отдельный документ, дополняющий ознакомление с положением.
Кто и в каком объеме имеет доступ к данным
Доступ предоставляется работникам строго в объеме, необходимом для выполнения трудовых обязанностей, в соответствии с отдельным перечнем персональных данных и должностей, имеющих к ним доступ. К медицинской документации допускаются медицинские работники, участвующие в оказании помощи пациенту, и работники, обеспечивающие ведение и хранение документации, — а не весь персонал клиники.
Учетные записи в информационных системах персонализированы, передача паролей другим лицам запрещена. При увольнении или переводе работника доступ прекращается в день увольнения или перевода — не по факту, когда кто-то вспомнит об этом.
Получение согласия и работа без средств автоматизации
Данные получают непосредственно от субъекта или его законного представителя. Согласие на обработку оформляется в случаях, предусмотренных законом, по утвержденным формам; согласие на обработку данных, разрешенных для распространения, оформляется отдельно от прочих согласий.
Для обработки без средств автоматизации положение воспроизводит требования постановления № 687: данные, цели обработки которых заведомо несовместимы, фиксируются на отдельных материальных носителях, документы хранятся в запираемых шкафах или помещениях, места хранения определены заранее. При автоматизированной обработке применяются меры, соответствующие уровню защищенности, установленному отдельным актом.
Передача данных третьим лицам
Передача допускается при наличии согласия субъекта либо иного правового основания. Сведения, составляющие врачебную тайну, предоставляются без согласия пациента только в случаях, прямо предусмотренных частью 4 статьи 13 Федерального закона № 323-ФЗ; запросы государственных органов регистрируются, а ответы на них подписывает руководитель. Данные работников не сообщаются третьим лицам без письменного согласия работника, кроме случаев, установленных федеральным законом.
Запросы субъектов и отзыв согласия
Запросы субъектов персональных данных регистрируются в журнале учета обращений субъектов персональных данных, ответ дается в течение 10 рабочих дней с возможностью продления на 5 рабочих дней. Уточнение неполных или неточных данных проводится в течение 7 рабочих дней со дня представления подтверждающих сведений.
При отзыве согласия обработка прекращается, а данные уничтожаются в течение 30 дней, если иное не предусмотрено федеральным законом — в частности, медицинская документация продолжает храниться в течение установленных для нее сроков независимо от отзыва согласия на другие цели обработки.
Действия при инциденте
Работник, обнаруживший утрату документов, несанкционированный доступ или утечку персональных данных, незамедлительно сообщает об этом ответственному за организацию обработки персональных данных. Ответственный организует внутреннее расследование и уведомление Роскомнадзора: в течение 24 часов — о факте инцидента, в течение 72 часов — о результатах расследования.
Порядок рассчитан на быструю реакцию: чем позже работник сообщит о находке, тем меньше времени остается у клиники на выполнение установленных сроков уведомления.
Внутренний контроль и ответственность
Ответственный за организацию обработки персональных данных не реже одного раза в год проводит внутренний контроль соответствия обработки требованиям законодательства и оформляет результаты справкой или актом. Работники, допустившие нарушение требований к обработке и защите персональных данных, несут дисциплинарную и иную ответственность, предусмотренную законодательством Российской Федерации.
Утверждение и ознакомление
Реквизиты клиники, номер и дата приказа об утверждении, должность и фамилия ответственного за организацию обработки персональных данных подставляются из анкеты и совпадают с приказом. Положение утверждает руководитель, после чего всех работников, получивших доступ к персональным данным, знакомят под подпись; лист ознакомления ведется приложением к документу и пополняется при приеме новых сотрудников.
Фрагмент документа
Доступ к персональным данным предоставляется работникам в объеме, необходимом для выполнения трудовых обязанностей. При увольнении или переводе работника доступ прекращается в день увольнения (перевода). Ответственный за организацию обработки персональных данных — администратор Орлова Н. К., ООО «Улыбка».
Частые вопросы
Кто обязан соблюдать положение об обработке персональных данных?
Все работники клиники, получившие доступ к персональным данным пациентов или коллег, а не только ответственный за это направление. Каждый из них подписывает обязательство о неразглашении персональных данных и врачебной тайны.
Когда прекращается доступ работника к персональным данным при увольнении?
В день увольнения или перевода на другую должность — положение устанавливает этот срок прямо, чтобы бывший работник или работник на новой должности не сохранял доступ к данным, которые ему больше не нужны для работы.
Сколько времени есть у клиники на уведомление Роскомнадзора об инциденте?
24 часа с момента выявления утечки или несанкционированного доступа — на уведомление о самом факте, и 72 часа — на сообщение о результатах внутреннего расследования.
В какой срок уничтожаются данные при отзыве согласия?
В течение 30 дней с момента отзыва, если иное не предусмотрено федеральным законом. Медицинская документация продолжает храниться установленный для нее срок независимо от отзыва согласия на обработку в иных целях.
Связанные документы
Нормативная база
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Трудовой кодекс Российской Федерации, глава 14, статья 88
- Федеральный закон от 21.11.2011 № 323-ФЗ, статья 13
- постановление Правительства РФ от 01.11.2012 № 1119
- постановление Правительства РФ от 15.09.2008 № 687
Дата подготовки исходного материала: 22.09.2026. Статья носит информационный характер; перед утверждением документа сверьте его с условиями работы клиники.
Подготовьте документ для своей клиники
Выберите шаблон, заполните анкету и получите файл Word с данными вашей организации. Проверьте и дополните его с учётом работы клиники.
Разовая покупка. Без обязательной подписки.