Положение об обработке персональных данных пациентов - это внутренний документ, который клиника обязана иметь по 152-ФЗ как оператор: он доказывает при проверке, что компания продумала, как именно обрабатывает данные, а не собирает их произвольно. В нем нужны конкретные для медицинской организации цели обработки - запись на прием, ведение медицинской документации, направления к другим специалистам, расчеты по ДМС, - состав обрабатываемых данных с указанием, что часть из них относится к специальной категории, правовые основания обработки, сроки хранения и порядок уничтожения по истечении цели, а также данные ответственного за обработку персональных данных в клинике.
Типовой шаблон «для сотрудников» сюда не подходит именно потому, что у клиники два разных субъекта данных с разными основаниями обработки: сотрудник обрабатывается на основании трудового договора, а пациент - на основании согласия и договора об оказании медицинских услуг, и для пациента добавляется специальная категория данных о здоровье с более строгими требованиями.
Этот документ не заменяет положение о врачебной тайне. Положение о врачебной тайне регулирует обязанность неразглашения сведений о пациенте, вытекающую из законодательства об охране здоровья граждан, а положение об обработке персональных данных - требования именно 152-ФЗ: законность сбора, цели, сроки, права субъекта. Клинике обычно нужны оба документа, и лучше, если они не противоречат друг другу в описании одних и тех же процедур доступа к данным.
Утверждается положение приказом руководителя, публикуется или предоставляется по запросу, если того требует политика конфиденциальности сайта клиники, и пересматривается при появлении новых форм сбора данных - например, онлайн-записи или личного кабинета пациента.