1. ВВЕДЕНИЕ

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в государственном бюджетном учреждении Московской области «Московский областной медицинский информационно-аналитический центр» (далее – Оператор) с целью защиты прав и свобод человека, и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика обработки персональных данных (далее – Политика) разработана в соответствии с Федеральным законом от 27.07.2006 г. № 15-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 г. 2 149-ФЗ «Об информации, информационных технологиях и о защите информации», постановлением Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», постановлением Правительства РФ от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

1.3.  Действие настоящей Политики распространяется на все персональные данные субъектов, обрабатываемые Оператором с применением средств автоматизации и без применения таких средств.

1.4. К настоящей Политике имеет доступ любой субъект персональных данных, Политика публикуется на официальном сайте Оператора.

1.5. Настоящая Политика утверждается директором ГБУ МО МОМИАЦ, вступает в силу с момента его утверждения и действует бессрочно, до замены ее новой Политикой. Все изменения в Политику вносятся отдельным приказом директора ГБУ МО МОМИАЦ.

1.6. Действие настоящей Политики не распространяется на персональные данные, отнесенные в установленном порядке к сведениям, составляющим государственную тайну, порядок обработки которых регламентируется нормативными и методическими документами в области защиты государственной тайны.

2. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

—  Конституция Российской Федерации;

—  Трудовой кодекс Российской Федерации;

—   Налоговый кодекс Российской Федерации;

—  Федеральный закон №27 от 1 апреля 1996 г. «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;

—     Федеральный закон №402-ФЗ «О бухгалтерском учете»;

—     Федеральный закон №36 от 20 апреля 1996 г. «О занятости населения в Российской Федерации»;

—     Федеральный закон №229-ФЗ от 02 октября 2007 г. «Об исполнительном производстве»;

—  «Положение о воинском учете», утвержденное постановлением Правительства РФ №719 от 27 ноября 2006 г.;

—     Федеральный Закон №323-ФЗ от 21 ноября 2011 г. «Об основах охраны здоровья граждан в Российской Федерации»;

—     Федеральный закон №326-ФЗ от 29 ноября 2010 г. «Об обязательном медицинском страховании в Российской Федерации»;

—     Федеральный закон №59-ФЗ от 02 мая 2006 г. «О порядке рассмотрения обращений граждан Российской Федерации»;

— приказ Министерства здравоохранения и социального развития РФ от 28 февраля 2011 №158н «Об утверждении Правил обязательного медицинского страхования»;

—     Устав ГБУ МО МОМИАЦ;

—     другие действующие нормативно-правовые акты Российской Федерации, Министерства здравоохранения РФ, а также в соответствии с приказами и распоряжениями       Министерства здравоохранения Московской области, относящиеся к вопросу обработки и защиты персональных данных.

3. ЦЕЛИ СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ

Обработка персональных данных осуществляется Оператором в следующих целях:

— выполнение требований трудового законодательства Российской Федерации в части ведения бухгалтерского учета и кадрового учета, ведение воинского учета,         начисление заработной платы;

— проведение собеседований на замещение вакантных должностей;

— оформление сделок гражданско-правового характера и исполнения их условий, в том числе расчетов за оказанные услуги;

—        регистрация и учет лиц, с которыми заключены договоры, их представителей, выполнение условий заключенных договоров;

—        рассмотрение обращений граждан;

—    форматирование информационно-аналитической отчетности.

4. ОСНОВНЫЕ ПОНЯТИЯ

В настоящей Политике используются следующие термины и определения:

Персональные данные (далее ПДн) — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация, необходимая Учреждению в связи с трудовыми отношениями и ведением деятельности.

Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

5. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор обрабатывает персональные данные следующих категорий лиц:

—  работники (физические лица, состоящие в трудовых отношениях с ГБУ МО МОМИАЦ, в том числе лица, нанятые по договору подряда), бывшие работники, кандидаты на  замещение вакантных должностей, а также родственники работников;

— граждане, обратившиеся с жалобами, заявлениями, их законные представители.

6. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1.  Оператор получает все обрабатываемые им ПДн непосредственно у субъектов ПДн. В случаях, когда получение ПДн непосредственно у субъектов ПДн невозможно, Оператор предпринимает предусмотренные действующим законодательством меры по соблюдению прав субъектов ПДн при получении их ПДн от третьих лиц.

  В случаях, когда действующим законодательством требуется получение согласия субъекта ПДн на обработку его ПДн, Оператор обрабатывает его ПДн только при наличии такого согласия и с соблюдением ограничений на объем, сроки и способы обработки ПДн, предусмотренных таким согласием.

        Оператор не получает и не обрабатывает ПДн субъекта ПДн о его политических, религиозных и иных убеждениях, частной жизни, членстве в общественных объединениях или его профсоюзной деятельности.

     Оператор предоставляет своим работникам доступ к минимальному объему ПДн, необходимому им для выполнения своих служебных обязанностей.

     Работники Оператора допускаются к обработке ПДн только после ознакомления с требованиями действующего законодательства и внутренних нормативных и распорядительных документов Оператора, регулирующих обработку и защиту ПДн, и подписания обязательства о неразглашении конфиденциальной информации.

6.2.  Персональные данные субъектов ПДн Оператора должны храниться на бумажных и электронных носителях с ограниченным доступом, в специально предназначенных для этого помещениях в металлических хранилищах. Места хранения материальных носителей персональных данных определяются соответствующими приказами по Учреждению.

В процессе хранения персональных данных Оператор должны обеспечивать:

— требования нормативных документов, устанавливающих правила хранения конфиденциальных сведений;

— сохранность имеющихся данных, ограничение доступа к ним, в соответствии с законодательством Российской Федерации и настоящей Политике;

— контроль за достоверностью и полнотой персональных данных, их регулярное обновление и внесение по мере необходимости соответствующих изменений.

6.3.  Ответственное лицо за обеспечение безопасности персональных данных осуществляет контроль за хранением персональных данных в соответствии с требованиями к учету и хранению конфиденциальных сведений в информационной системе.

6.4.   Подразделения, хранящие персональные данные на бумажных носителях, обеспечивают их защиту от несанкционированного доступа и копирования согласно «Положению об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденному постановлением правительства РФ 15 сентября 2008 г. №687.

6.5.    Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в их достижении, если иное не установлено действующим законодательством. В результате уничтожения персональных данных становится невозможным восстановить содержание персональных данных в информационной системе персональных данных. Материальные носители персональных данных уничтожаются. Решение об уничтожении принимается директором Учреждения, на основании ходатайства ответственного за организацию обработки ПДн.

Уничтожение бумажных носителей должно осуществляться сотрудниками, допущенными к обработке персональных данных, путем, не допускающим дальнейшую возможность ознакомления с данными документами. Уничтожение информации на автоматизированных рабочих местах должно осуществляется комиссией, способами, не позволяющие осуществить восстановление данных.

При уничтожении данных составляется, в обязательном порядке, акт с указанием, какие именно документы и файлы были уничтожены.

7. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1.   При передаче персональных данных третьим лицам должны соблюдаться следующие требования:

—  не сообщать персональные данные субъекта третьей стороне без письменного согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральными законами;

—     предупреждать лиц, получающих персональные данные субъекта, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъекта, обязаны соблюдать режим конфиденциальности. Данная Политика не распространяется на обмен персональными данными субъектов в порядке, установленном федеральными законами;

—   передавать персональные данные субъекта представителям соответствующих государственных органов в порядке, установленном Трудовым кодексом Российской Федерации и Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных», и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функций.

7.2. Оператор имеет право во исполнение своих обязательств по работе в системе ОМС (по договору ДМС) на обмен (прием и передачу) персональными данными со страховыми медицинскими организациями и территориальным фондом ОМС, на основании приказа Федерального фонда обязательного медицинского страхования от 07.04.2011 № 79 «Об утверждении Общих принципов построения и функционирования информационных систем и порядка информационного взаимодействия в сфере обязательного медицинского страхования», с использованием машинных носителей или по каналам связи, с соблюдением мер, обеспечивающих их защиту от несанкционированного доступа.

8. ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ

Перечень лиц, имеющих право доступа к персональным данным, определяется документом «Перечень сотрудников, осуществляющих обработку персональных данных», утверждённым директором Учреждения. Все лица, допущенные к работе с персональными данными, подписывают обязательство о неразглашении персональных данных субъектов ПДн.

Субъекты ПДн, чьи персональные данные обрабатываются в Учреждении, имеют право:

—   получать доступ к своим персональным данным и ознакомление с ними, включая право на безвозмездное получение копий любой записи, содержащей персональные данные этого субъекта, за исключением случаев, предусмотренных Федеральными законами;

—  требовать уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющих необходимыми для оператора персональных данных;

—  получать от Учреждения сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

— получать от Учреждения сведения о сроках обработки персональных данных, в том числе о сроках их хранения;

— получать от Учреждения сведения о том, какие юридические последствия для субъекта ПДн может повлечь за собой обработка его персональных данных;

— обжаловать в суде любые неправомерные действия или бездействия руководства Учреждения при обработке и защите его персональных данных.

Передача информации третьим лицам возможна только при письменном согласии субъектов.

9. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1.    Организация работ по обеспечению безопасности персональных данных осуществляется руководством Учреждения.

Для разработки и осуществления мероприятий по обеспечению безопасности персональных данных при их обработке в информационных системах Учреждения, приказом директора Учреждения назначается лицо, ответственное за организацию обработки персональных данных.

Лицо, ответственное за организацию обработки персональных данных, в своей деятельности руководствуется нормативными документами в области обработки персональных данных.

Разработка и осуществление мероприятий по обеспечению безопасности персональных данных может осуществляться также сторонними организациями на договорной основе, имеющими лицензии на право проведения соответствующих работ.

Лица, доступ которых к персональным данным, обрабатываемым в информационных системах, необходим для выполнения служебных (трудовых) обязанностей, допускаются к соответствующим персональным данным на основании утвержденного списка.

Мероприятия по защите персональных данных осуществляются в соответствии с внутренним планом.

9.2.       Мероприятия по обеспечению безопасности персональных данных при автоматизированной обработке:

9.2.1.      Система защиты персональных данных

Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические), средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии.

При обработке персональных данных в информационных системах Учреждения должно быть обеспечено:

— Проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;

— Своевременное обнаружение фактов несанкционированного доступа к персональным данным;

— Недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;

— Возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

— Постоянный контроль над обеспечением уровня защищенности персональных данных.

9.2.2. Перечень мероприятий по обеспечению безопасности персональных данных

Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:

— Определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз;

— Разработку на основе модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем;

— Проверку готовности средств защиты информации к использованию с составлением заключений о возможности их эксплуатации;

— Установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;

— Обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;

— Учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;

—  Учет лиц, допущенных к работе с персональными данными в информационной системе;

— Контроль над соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

— Разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений;

—    Описание системы защиты персональных данных.

9.2.3. Определение уровня защищенности информационных систем персональных данных

Информационные системы персональных данных Учреждения подлежат обязательному определению уровня защищенности.

Для проведения определения уровня защищенности информационных систем персональных данных Учреждения приказом Руководителя Учреждения назначается комиссия.

Результаты определения уровня защищенности оформляются соответствующим актом.

9.2.4. Помещения, в которых ведется обработка персональных данных

Размещение информационных систем, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными, организация режима обеспечения безопасности в этих помещениях должны обеспечивать сохранность носителей персональных данных и средств защиты информации, а также исключать возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц.

9.2.5. Лица, осуществляющие обработку персональных данных в автоматизированном виде обязаны соблюдать требования «Инструкции пользователя информационной системы персональных данных» Учреждения.

9.3. Мероприятия по обеспечению безопасности персональных данных при их обработке без использования средств автоматизации:

9.3.1. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных, либо имеющих к ним доступ.

9.3.2. Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

9.3.3. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

9.3.4. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее – материальные носители), в специальных разделах или на полях форм (бланков).

9.3.5. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.

9.3.6. Лица, осуществляющие обработку персональных данных без использования средств автоматизации (в том числе работники Учреждения или лица, осуществляющие такую обработку по договору с Организациям), должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.

9.3.7. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее – типовая форма), должны соблюдаться следующие условия:

а) типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес Организации, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;

б) типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, – при необходимости получения письменного согласия на обработку персональных данных;

в) типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;

г) типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.

9.3.8. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных, в частности:

а) при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных;

б) при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.

9.3.9. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

9.3.10. Правила, предусмотренные пунктами 9.8.8, 9.8.9 настоящей Политики, применяются также в случае, если необходимо обеспечить раздельную обработку зафиксированных на одном материальном носителе персональных данных и информации, не являющейся персональными данными.

9.3.11. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

10. ОТВЕТСТВЕННОСТЬ ЗА РАЗГЛАШЕНИЕ ИНФОРМАЦИИ, СВЯЗАННОЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ

Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, установленных действующим законодательством Российской Федерации и настоящей Политикой, несут дисциплинарную, административную, гражданско-правовую, уголовную и иную ответственность, предусмотренную законодательством Российской Федерации.