Аптека - оператор персональных данных?

Что такое персональные данные?

В Федеральном законе от 27.07.2006 N 152-ФЗ (ред. от 08.08.2024) "О персональных данных" персональные данные определяются так:
"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)"

В законе нет четкого списка, что именно относится к персональным данным, но судебная практика, как правило, может отнести к ним:

• имя, фамилия, отчество;
• год, месяц, дата и место рождения;
• email;
  
• телефон;
• cookie на сайте (данные о местоположении человека; IP-адрес; информация о действиях на сайте; добавленные в корзину товары и так далее)
• адрес;
• фотография;
• паспортные данные;
• семейное положение;
• социальное положение;
• имущественное положение;
• образование;
• профессия;
• доходы

Что такое - оператор персональных данных?

"Оператор персональных данных (ПД) - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными"  

Что является обработкой персональных данных?

"Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных"

То есть сбор и хранение данных клиентов даже в течение нескольких минут будет считаться обработкой ПД.

Когда аптека - оператор персональных данных?

Как правило, руководство аптечной организации знает, что аптека, собирая и обрабатывая персональные данные сотрудников, является оператором персональных данных.

Часто из поля зрения аптек выпадает то, что обработка персональных данных клиентов тоже попадает под действие ФЗ 152!

Примерные кейсы, когда аптека также является оператором ПД в отношении своих клиентов:

1. Сайт аптеки, на котором посетители указывают свои персональные данные (ФИО, емейл, телефон и другие):

• форма для обратной связи
• регистрация на сайте
• cookie на сайте и другое

2. Регистрация клиентов в различных скидочных и бонусных программах лояльности, когда указываются персональные данные

3. Любые другие операции, когда клиенты аптеки сообщают свои персональные данные для хранения и обработки

Пример форм, куда вносятся персональные данные клиентов:

Важный нюанс - по закону оператором ПД является именно та организация, которая эти данные собирает, а не владелец программы, сайта или иного сервиса, посредством которых это делается!

Небольшой пример: если вы храните и обрабатываете персональные данные ваших сотрудников при помощи, например, 1С, то оператором ПД является не 1С, а непосредственно сама аптека. Аналогично, если вы собираете данные клиентов при помощи товаро-учетной программы или сайта, то оператор ПД - аптечная организация, а не программа или сайт.

Что должна сделать аптека, если она - оператор ПД?

О каких основных требованиях говорит ФЗ 152:

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи

2. Аптека должна разработать свой регламент (политику) по работе с ПД и довести ее до своих клиентов при передаче ПД клиентами.

Полный список всех требований к сбору, обработке и хранению персональных данных - в ФЗ 152 и других нормативных актах!

Если у аптеки есть сайт - какой необходимый минимум действий?

Если у вашей аптеки есть сайт, то на нем, как правило, могут собираться такие персональные данные клиентов, как:

• имя, фамилия, отчество;
• год, месяц, дата и место рождения;
• email;
• телефон;
• cookie* на сайте (данные о местоположении человека; IP-адрес; информация о действиях на сайте; добавленные в корзину товары и так далее)
• адрес и другие

*Сookie - это файл, в котором сохраняется информация о действиях, которые пользователь выполнял на сайте.

Чтобы аптека, имеющая сайт, соблюдала требования ФЗ 152, у нее должны быть реализованы следующие моменты:

• аптека должна уведомить уполномоченный орган об обработке ПД клиентов
• ответственное лицо аптеки должно разработать и разместить на сайте Политику конфиденциальности и обработки персональных данных
• если посетители вашего сайта вносят свои ПД при оформлении заказа или в форме для обратной связи, то под каждой такой формой должен быть размещен предупреждающий текст о сборе персональных данных
• посетители сайта должны получать согласие на сбор cookie

Помните, что оператором ПД является аптека, а не сайт или организация, его создававшая!

Если ваш сайт создан в рамках проекта Сайты для аптек от АйТи-Аптека, то на сайте уже:

• размещена стандартная Политика конфиденциальности (при желании клиенты могут разместить свой вариант)
• при заполнении форм с персональными данными размещена предупреждающая информация.
• по запросу клиентов добавляется информация о сборе cookie

Если аптека собирает ПД для ведения бонусной или дисконтной программы лояльности?

Как правило, для заведения бонусной или дисконтной карты аптека запрашивает у клиентов их ФИО, телефон и другую информацию, которая относится к персональным данным. Соответственно, аптека должна соблюдать все требования к обработке ПД, указанные выше:

• аптека должна уведомить уполномоченный орган об обработке ПД клиентов
• ответственное лицо аптеки должно разработать Политику конфиденциальности и обработки персональных данных
• клиенты аптеки должны подписать согласие на обработку персональных данных, которое хранится в аптеке 3 года

Помните, что оператором ПД является аптека, а не программа, в которую вносится информация по клиентам!

Ответственность и штрафы

Ответственность и штрафы за нарушения при обработке ПД клиентов может достигать 18 млн. рублей в зависимости от типа нарушения и от того, кто данное нарушение допустил. Полный список здесь

В данной статье озвучены только некоторые моменты, которая должна учитывать аптека при обработке ПД клиентов. Обработка ПД - сложный вопрос. Необходимые действия зависят от типа обрабатываемых персональных данных, используемого оборудования, типа организации и многих других нюансов!

При любых изменениях на рынке программа М-АПТЕКА плюс от АйТи-Аптека - ваш надежный партнер! Позвоните или напишите нам, и мы ответим на все ваши вопросы о программе!

Источник: https://itapteka.ru/news/novosti/article/biznes-sovety/apteka-operator-personalnykh-dannykh/