СОП №85: Персональные данные (ФЗ-152)

Стандарт описывает, как директор исполняет роль оператора персональных данных клиники. Это не бланк на ресепшене, а контур: какие данные собираем, где храним, кому отдаём, как отвечаем на запрос пациента и как гасим утечку.

Применяется в клинике и сети независимо от числа кресел. Генеральный директор не делегирует финальную подпись, если решение меняет деньги, лицензию или репутацию.

• Назначить ответственного за обработку данных и перечень информационных систем.
• Разделить согласие на лечение, на маркетинг и на фото, а не склеивать в одну галочку.
• Иметь порядок на инцидент: кто звонит, кто фиксирует, кто сообщает регулятору, если это нужно.

• Оператор - клиника как организация, которая определяет цели обработки данных пациентов и сотрудников.
• Информационная система - CRM, касса, облако снимков, почта, телефония, рекламный кабинет.
• Инцидент - утрата, утечка или доступ постороннего к персональным данным.

• Генеральный директор - принимает решение, фиксирует его письменно и проверяет исполнение.
• Управляющий клиникой - собирает факты, считает варианты, исполняет поручение.
• Главный врач - даёт клиническую оценку риска и не подменяет бизнес-решение.

• Политика обработки, приказ о ответственном, модель угроз по форме клиники.
• Реестр систем и доступов: кто видит карты, снимки, телефоны.
• Формы согласий и журнал обращений субъектов данных.