Информационная безопасность
Скачать: Приказ об утверждении политики информационной безопасности ГАУЗ ООКНД
О защите персональных данных в
ГАУЗ «Оренбургский областной клинический наркологический диспансер»
Государственное автономное учреждение здравоохранения «Оренбургский областной клинический наркологический диспансер» (далее - ГАУЗ «ООКНД») ведет обработку персональных данных в соответствии с действующим законодательством РФ.
Цель и содержание обработки персональных данных определяет ГАУЗ «ООКНД», обработку персональных данных осуществляют структурные подразделения ГАУЗ «ООКНД» и уполномоченные на обработку персональных данных работники. Работники, обрабатывающие персональные данные, подписали обязательство о неразглашении информации ограниченного доступа, в том числе персональных данных и сведений, составляющих врачебную тайну и в соответствии со ст. 7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» предупреждены об ответственности за незаконную обработку персональных данных, а также за их разглашение.
Обработка персональных данных пациентов осуществляется в следующих целях:
- оформление гражданско-правовых отношений;
- ведение реестра лиц, обратившихся за медицинской помощью;
- выполнение видов деятельности изложенных в Уставе ГАУЗ «ООКНД»;
- выполнение видов деятельности изложенных в лицензии на осуществление медицинской деятельности;
- выполнение других задач, возлагаемых на ГАУЗ «ООКНД» законодательством РФ.
В целях организации обработки персональных данных, выполнения обязанностей, установленных Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных», обеспечения безопасности персональных данных в ГАУЗ «ООКНД» назначен ответственный за организацию обработки персональных данных.
Ответственный за организацию обработки персональных данных: Заместитель главного врача по организационно – методической работе, Карпова Елена Сергеевна.
Контакты: 460004, г. Оренбург, пер. Дорожный, д. 8, каб. ОМР, телефон: 56-91-36, e-mail: oob10-omo@mail.orb.ru
Администратор безопасности: Специалист по защите информации, Дякин Владимир Владимирович
Контакты: 460004, г. Оренбург, ул. Невельская, д. 4б, информационно-аналитический кабинет, телефон: 57-25-00, e-mail: oren.narko.ib@bk.ru
«Уведомление об обработке (о намерении осуществлять обработку) персональных данных ГАУЗ «Оренбургский областной клинический наркологический диспансер» от 21 декабря 2009 года рег. № 10-0082058 размещено на сайте: http://pd.rkn.gov.ru/operators-registry/operators-list/?id=10-0082058
1. «Конвенция о защите физических лиц при автоматизированной обработке персональных данных» от 28.01.1981 г.
2. Федеральный закон от 19.12.2005 г. № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»
3. Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»
4. Федеральный закон от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
5. Федеральный закон от 06.04.2011 г. № 63-ФЗ «Об электронной подписи»
6. Федеральный закон от 21.11.2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»
7. Федеральный закон от 07.05.2013 г.№ 99-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных» и Федерального закона «О персональных данных»
8. Федеральный закон от 21.07.2014 г. № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» (начало действия с 01.09.2015 г.)
9. Постановление Правительства от 06.07.2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»
10. Постановление Правительства от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»
11. Постановление Правительства от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
12. «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утверждены ФСТЭК России14.02.2008 г.
13. «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утверждены ФСТЭК России15.02.2008 г.
14. Приказ ФСТЭК России от 11.02.2013 г.№ 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»
15. Приказ ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
16. «Методический документ. Меры защиты информации в государственных информационных системах», утверждены ФСТЭК России 11.02.2014 г.
17. Приказ ФАПСИ при Президенте Российской Федерации от 13.06.2001 г. № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну»
18. Приказ ФСБ России от 09.02.2005 г. № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)»
19. «Типовые требования по организации функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для использования для обеспечения
безопасности персональных данных при их обработке в информационных системах персональных данных», утверждены руководством 8 Центра ФСБ России от 21.02.2008 г.№ 149/6/6-622(носят рекомендательный характер)
20. «Методические рекомендации по обеспечению безопасности персональных данных с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утверждены руководством 8 Центра ФСБ России от 21.02.2008 г.№ 149/54-144(носят рекомендательный характер)
21. «Типовой регламент проведения в пределах полномочий мероприятий по контролю (надзору) за выполнением требований, установленных Правительством Российской Федерации, к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», утвержден руководством 8 Центра ФСБ России от 08.08.2009 г.№ 149/7/2/6-1173
22. Приказ ФСБ России от 10.07.2014 г.№ 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»
23. «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности», утверждены руководством 8 Центра ФСБ России от 31.03.2015 г. №149/7/2/6-432
24. Приказ Роскомнадзора от 16.07.2010 г. № 482 «Об утверждении образца формы уведомления об обработке персональных данных»
25. Приказ Минкомсвязи России от 14.11.2011 г.№ 312 «Об утверждении Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных»
26. Приказ Минкомсвязи России от 21.12.2011 г.№ 346 «Об утверждении Административного регламента Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных»
27. Приказ Роскомнадзора от 03.12.2012 г. № 1255 «Об утверждении Положения об обработке и защите персональных данных в центральном аппарате Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций»
28. «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве», разъяснения Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14.12.2012 г.
29. Приказ Роскомнадзора от 15.03.2013 г. № 274 «Об утверждении перечня иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных»
30. «О вопросах отнесения фото- и видео-изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки», разъяснения Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 30.08.2013 г.
31. Приказ Роскомнадзора от 05.09.2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных»
32. «Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных», утверждены Роскомнадзором 13.12.2013 г.
33. Временные рекомендации по заполнению формы уведомления об обработке (о намерении осуществлять обработку) персональных данных», утверждены Роскомнадзором30.12.2014 г.
34. Федеральный закон «О персональных данных»: научно-практический комментарий», под редакцией заместителя руководителя Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций А.А. Приезжаевой 2015 г.
УТВЕРЖДЕНО приказом главного врача
ГАУЗ «Оренбургский областной
клинический наркологический диспансер»
от 01 июля 2016 г. № УЗ-53/428
ПОЛИТИКА
в отношении обработки персональных данных
в ГАУЗ «Оренбургский областной клинический наркологический диспансер»
Государственное автономное учреждение здравоохранения «Оренбургский областной клинический наркологический диспансер» (далее - ГАУЗ «ООКНД») ведет обработку персональных данных в соответствии с действующим законодательством Российской Федерации.
В целях организации обработки персональных данных, выполнения обязанностей установленных Федеральным законом от 27 июля 2006 года №152-ФЗ «О персональных данных», обеспечения безопасности персональных данных в ГАУЗ «ООКНД» назначен ответственный за организацию обработки персональных данных.
Обработка и защита персональных данных в ГАУЗ «ООКНД» осуществляется в соответствии:
Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»; приказом ФСТЭК России от 18.02.2013 № 21
«Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
Лица, обрабатывающие персональные данные, подписали обязательство о неразглашении конфиденциальной информации (в т.ч. персональных данных) в соответствии со ст.7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и предупреждены об ответственности за незаконную обработку персональных данных и за их разглашение.
Правила, порядок, процедуры и практические приёмы обработки и защиты персональных данных определяются системой законодательных актов Российской Федерации, нормативных правовых актов ГАУЗ «ООКНД».
1. Цели обработки персональных данных
Обработка персональных данных осуществляется ГАУЗ «ООКНД» в следующих целях:
- принятия решения о возможности заключения трудового договора;
- осуществления трудовых взаимоотношений;
- ведения кадрового и бухгалтерского учета;
- выплаты заработной платы;
- обучении (повышении квалификации) и должностном росте;
- учета результатов исполнения должностных обязанностей;
- оформление гражданско-правовых отношений;
- ведение реестра лиц, обратившихся за медицинской помощью;
-выполнение видов деятельности изложенных в Уставе ГАУЗ «ООКНД»;
- выполнение видов деятельности изложенных в лицензии на осуществление медицинской деятельности;
- выполнение других задач, возлагаемых на ГАУЗ «ООКНД» законодательством Российской Федерации.
2. Перечень действий с персональными данными
ГАУЗ «ООКНД» осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, удаление и уничтожение персональных данных.
Обработка персональных данных осуществляется как с использованием, так и без использования средств автоматизации.
Хранение персональных данных осуществляется в течение срока, определённого законодательством Российской Федерации.
3. Принципы обработки персональных данных
Обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации и ограничивается достижением конкретных целей, определённых законодательством Российской Федерации в сфере обработки персональных данных.
Обработке подлежат персональные данные, которые отвечают целям их обработки.
Не допускается избыточность обработки персональных данных.
При обработке персональных данных обеспечивается точность персональных данных, их достаточность и актуальность по отношению к целям обработки.
4. Источники персональных данных
ГАУЗ «ООКНД» персональные данные предоставляются в соответствии с законодательством Российской Федерации:
- субъектами персональных данных или их представителями;
- медицинскими организациями Оренбургской области;
- взаимодействующими с ГАУЗ «ООКНД» федеральными органами власти.
5. Передача персональных данных
Предоставление обрабатываемых персональных данных производится в соответствии с законодательством Российской Федерации федеральным органам власти, банковским организациям, медицинским организациям Оренбургской области.
Трансграничная передача персональных данных субъектов персональных данных ГАУЗ «ООКНД» не осуществляется.
Распространение персональных данных работников, пациентов, кандидатов на вакантную должность ГАУЗ «ООКНД» производится с их согласия, персональных данных остальных категорий субъектов персональных данных – в соответствии с требованиями законодательства Российской Федерации.
6. Состав ГАУЗ «ООКНД», осуществляющих обработку персональных данных
Цель и содержание обработки персональных данных определяет ГАУЗ «ООКНД», обработку персональных данных осуществляют структурные подразделения ГАУЗ «ООКНД» и уполномоченные на обработку персональных данных работники.
7. Реализуемые требования к защите персональных данных
Реализация требований к защите персональных данных от неправомерного или случайного доступа к персональным данным, их уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с персональными данными ГАУЗ «ООКНД» осуществляется правовыми, организационными и техническими (программно и аппаратно реализуемыми) мерами.
7.1. Правовые меры:
- заключение соглашений об информационном обмене с взаимодействующими организациями и включение в них требований об обеспечении конфиденциальности и безопасности предоставляемых персональных данных;
- издание локальных актов и документов ГАУЗ «ООКНД», рекомендаций и инструкций по вопросам обработки персональных данных, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
7.2. Организационные меры:
- документальное оформление требований к безопасности обрабатываемых персональных данных;
- назначение лица, ответственного за организацию обработки персональных данных;
- издание системы нормативных (руководящих) документов по организации защиты данных;
- распределение ответственности по вопросам защиты данных между работниками ГАУЗ «ООКНД»;
- установление персональной ответственности работников ГАУЗ «ООКНД» за обеспечение безопасности обрабатываемых данных;
- контроль выполнения структурными подразделениями, работниками ГАУЗ «ООКНД» требований нормативных документов по защите персональных данных;
- своевременное выявление угроз безопасности персональных данных и принятие соответствующих мер защиты;
- организация системы обучения требованиям защиты информации работников ГАУЗ «ООКНД»;
- доведение до работников ГАУЗ «ООКНД» требований по защите персональных данных.
7.3. Технические (программно и аппаратно реализуемые) меры:
- резервное копирование информационных ресурсов;
- применение прикладных программных продуктов, отвечающих требованиям защиты данных;
- организация контроля доступа в помещения и здание ГАУЗ «ООКНД», их охрана в нерабочее время;
- систематический анализ безопасности данных и совершенствование системы их защиты;
- применение технических средств защиты, сертифицированных компетентными государственными органами (организациями) на соответствие требованиям безопасности;
- своевременное применение критических обновлений общесистемного и прикладного программного обеспечения;
- оптимальная настройка операционной системы и прикладного программного обеспечения вычислительных средств, применяемых для обработки данных;
- использование корпоративной информационно-телекоммуникационной сети для обеспечения информационного взаимодействия с медицинскими организациями Оренбургской области;
- шифрование данных при передаче и хранении (криптографическая защита);
- использование электронной подписи;
- применение межсетевых защитных (фильтрующих) экранов;
- антивирусный мониторинг;
- оборудование зданий и помещений системами безопасности (пожарной и охранной сигнализации, пожаротушения, телевизионного наблюдения);
- хранение парольной и ключевой информации на индивидуальных электронных ключах;
- противопожарная защита зданий и помещений.