Приложение N 2. Положение о порядке обработки и обеспечения защиты информации, содержащей персональные данные, в региональном сегменте единой информационной системы в сфере здравоохранения Нижегородской области

Приложение N 2
к приказу министерства здравоохранения
Нижегородской области
от 14.04.2020 N 315-277/20П/од

Положение
о порядке обработки и обеспечения защиты информации, содержащей персональные данные, в региональном сегменте единой информационной системы в сфере здравоохранения Нижегородской области

Определения

В настоящем Положении о порядке обработки и обеспечения защиты информации, содержащей персональные данные, в Медицинской информационной системе Нижегородской области (далее - Положение) применяются следующие термины и определения:

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Граждане (субъекты персональных данных) - физические лица (лица, имеющие право на государственную социальную помощь; дети-инвалиды; дети-сироты; дети, оставшиеся без попечения родителей; лица, прошедшие диспансеризацию; больные сахарным диабетом; медицинские работники учреждений здравоохранения Нижегородской области; умершие, состоящие в гражданско-правовых отношениях с учреждением-оператором, предусмотренных уставом учреждения).

Врачебная тайна - соблюдение конфиденциальности информации о факте обращения за медицинской помощью, состоянии здоровья гражданина, диагнозе его заболевания и иных сведений, полученных при его обследовании и лечении.

Персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Документы, содержащие персональные данные гражданина, - документы, необходимые для осуществления действий в целях оказания услуг по подготовке и выдаче документов, необходимых для аттестации медицинских работников учреждений здравоохранения Нижегородской области.

Обработка персональных данных гражданина - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных гражданина.

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Конфиденциальность персональных данных - операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законодательством.

Несанкционированный доступ (несанкционированные действия) - доступ к информации или действия с информацией, нарушающие правила разграничения доступа, в том числе с использованием штатных средств, предоставляемых информационными системами персональных данных.

Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральным законодательством не распространяется требование соблюдения конфиденциальности.

ИС - информационная система.

МИС - медицинская информационная система.

ПДн - персональные данные.

СЗПДн - система защиты персональных данных.

УЗ НО - учреждение здравоохранения Нижегородской области.

ГБУЗ НО "МИАЦ" - Государственное бюджетное учреждение здравоохранения Нижегородской области "Медицинский информационно-аналитический центр".

1. Общие положения

Настоящее Положение является официальным документом министерства здравоохранения Нижегородской области (далее - министерство).

Настоящее Положение по обеспечению безопасности персональных данных при их обработке в Региональном сегменте единой информационной системы в сфере здравоохранения Нижегородской области (далее - МИС) разработано с целью определения порядка обработки персональных данных в МИС, обеспечения защиты прав и свобод человека и гражданина при обработке их ПДн в МИС, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, порядка обеспечения безопасности обрабатываемых ПДн, а также установления ответственности должностных лиц, имеющих доступ к ПДн, за невыполнение требований норм, регулирующих обработку и защиту ПДн.

Обеспечение безопасности ПДн является одной из приоритетных задач функционирования МИС и достигается путем выполнения мероприятий по организации и техническому обеспечению безопасности ПДн при их обработке в МИС и обеспечения функционирования системы защиты персональных данных (далее - СЗПДн) МИС.

Настоящее положение разработано в соответствии с требованиями нормативных документов, приведенных в разделе 6 настоящего положения.

Настоящее Положение определяет состав мероприятий по организации и техническому обеспечению безопасности персональных данных при их обработке в МИС, организационную структуру СЗПДн, состав ПДн, порядок обработки ПДн в МИС, перечень ответственных лиц, перечень и содержание организационно-распорядительной документации, а также требования к соблюдению конфиденциальности и ответственность лиц при обработке ПДн в МИС.

Настоящее Положение обязательно к исполнению всеми сотрудниками министерства и всех подведомственных ему организаций (штатными, временными, работающими по контракту и т.п.), допущенными к обработке ПДн в МИС, а также всеми лицами, имеющими право доступа к ресурсам МИС, в том числе сотрудниками сторонних организаций, оказывающими услуги по обслуживанию программных и технических средств МИС (подрядчики, аудиторы и т.п.).

Настоящее Положение не является публичным документом и не подлежит свободному распространению.

1.1. Порядок ввода в действие, внесения изменений и ознакомления с Положением.

Настоящее Положение вступает в силу с даты его утверждения.

Положение утверждается и вводится в действие приказом министерства.

Изменения в Положение вносятся приказом министерства.

Работники министерства и всех ГБУЗ НО, а также все иные лица, которым предоставляется право доступа необходим и имеющие доступ к обработке ПДн в МИС, должны быть ознакомлены с Положением под роспись.

Операторы и иные лица, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.

2. Описание МИС Нижегородской области

МИС создан в рамках программы модернизации здравоохранения Нижегородской области в 2011 - 2012 годах на основании системного проекта "Создание регионального сегмента единой информационной системы в сфере здравоохранения Нижегородской области, с поддержкой процесса управления оказания медицинской помощи населению и повышения информированности населения", утвержденного министром здравоохранения Нижегородской области.

Основные задачи создания МИС - поддержка процесса управления оказанием медицинской помощи населению, повышения информированности населения и повышения качества медицинского обслуживания за счет эффективного использования имеющихся ресурсов здравоохранения посредством внедрения современных информационных технологий.

В соответствии с п. 1 ст. 13 Федерального закона от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации" МИС является государственной (региональной) информационной системой, обрабатывающей персональные данные.

В МИС обрабатываются персональные данные граждан, следовательно, МИС является информационной системой персональных данных (далее - ИСПДн) МИС Нижегородской области (далее - ИСПДн МИС).

2.1. Структура МИС.

МИС состоит из:

- центрального сегмента - Центра обработки данных (далее - сегмент ЦОД);

- территориально удаленных сегментов, располагающихся в ГБУЗ НО (далее - сегмент ГБУЗ НО).

Перечень ИСПДн МИС утверждается Министром здравоохранения Нижегородской области и представлен в Приложении N 1 к настоящему Положению.

Основные вычислительные мощности МИС по обработке и хранению информации представлены в ИСПДн "МИС Сегмент ЦОД".

ИСПДн "МИС Сегмент ГБУЗ НО" фактически представляет собой набор рабочих мест пользователей прикладного комплекса МИС, объединенных выделенным сегментом локальной вычислительной сети в пределах одного ГБУЗ НО и подключенных к выделенным каналам связи для связи с ЦОД.

Состав средств вычислительной техники и программного обеспечения каждой ИСПДн приведен в технических паспортах.

2.2. Состав ПДн.

В МИС обрабатываются ПДн, содержащие информацию о состоянии здоровья граждан, относящуюся к специальным категориям персональных данных.

Состав ПДн, обрабатываемых в МИС, утверждается Министром здравоохранения Нижегородской области и приведен в приложении N 2 к настоящему Положению.

2.3. Виды обработки ПДн.

В соответствии с положениями Федерального закона "О персональных данных" в МИС производятся следующие виды обработки ПДн:

ИСПДн "МИС Сегмент ЦОД"	ИСПДн "МИС Сегмент ГБУЗ"
В ИСПДн производятся следующие виды обработки ПДн с использованием средств автоматизации: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение	В ИСПДн производятся следующие виды обработки ПДн с использованием средств автоматизации: сбор, ввод (запись), уточнение (обновление, изменение), извлечение (вывод на печатные носители), использование, удаление персональных данных

2.4. Принципы обработки ПДн.

При обработке ПДн в МИС должны соблюдаться следующие принципы, определенные Статьей 5 Федерального закона Российской Федерации от 27 июля 2006 г. N 152-ФЗ "О персональных данных":

1. Обработка персональных данных должна осуществляться на законной и справедливой основе. Все персональные данные гражданина следует получать у него самого или у его полномочного представителя. Если персональные данные гражданина возможно получить только у третьей стороны, то гражданин должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие, за исключением случаев, предусмотренных законодательством.

2. Обработка ПДн должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

3. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.

4. Обработке подлежат только ПДн, которые отвечают целям их обработки.

5. Содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.

6. При обработке ПДн должны быть обеспечены точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

7. Хранение ПДн должно осуществляться в форме, позволяющей определить субъекта ПДн, не дольше чем этого требуют цели обработки ПДн, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

8. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

Операторы сегментов при обработке персональных данных обязаны соблюдать следующие общие требования:

ГАРАНТ:

Нумерация пунктов приводится в соответствии с источником

3) При определении объема и содержания обрабатываемых персональных данных гражданина учреждение-оператор должно руководствоваться Конституцией Российской Федерации, Федеральным законом от 21 ноября 2011 г. N 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации", законодательством РФ в сфере защиты персональных данных и обработки информации, уставом учреждения-оператора и иными локальными нормативными актами в области защиты персональных данных;

4) Учреждение-оператор не имеет права получать и обрабатывать персональные данные гражданина, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, предусмотренных Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных";

5) Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении гражданина или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных Федеральным законом N 152-ФЗ.

2.5. Правовые основания обработки ПДн.

Обработка персональных данных в МИС осуществляется на основании:

- Федерального закона Российской Федерации от 21 ноября 2011 г. N 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации";

- Федерального закона от 29 ноября 2010 г. N 326-ФЗ "Об обязательном медицинском страховании в Российской Федерации";

- Федерального закона от 17 июля 1999 г. N 178-ФЗ "О государственной социальной помощи";

- Федерального закона от 16 июля 1999 г. N 165-ФЗ "Об основах обязательного социального страхования";

- Положения о министерстве здравоохранения Нижегородской области, утвержденного Постановлением Правительства Нижегородской области от 23 ноября 2007 г. N 435 (в ред. постановлений Правительства Нижегородской области от 20 июня 2008 N 245, от 07 августа 2008 г. N 330, от 19 ноября 2008 г. N 550);

- обязанностей по предоставлению государственной или муниципальной услуги в соответствии с Федеральным законом от 27 июля 2010 г. N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг" для обеспечения предоставления такой услуги;

- согласия субъекта персональных данных на обработку его персональных данных;

- необходимости обработки персональных данных для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

- в случаях, когда обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.

2.6. Цели обработки ПДн в МИС.

Обработка ПДн в МИС осуществляется с целью исполнения государственных функций по соблюдению прав и свобод человека и гражданина в области охраны здоровья, отнесенных к компетенции министерства и закрепленных в Положении о министерстве, государственных учреждений здравоохранения Нижегородской области.

2.7. Оператор ПДн и операторы ИС.

Заказчиком МИС и оператором, организующим обработку информации, содержащей персональные данные (далее - Оператор ПДн), в МИС, является министерство.

Министерство как оператор по обработке ПДн в МИС определяет цели обработки ПДн, сроки, требования по обработке и обеспечению безопасности ПДн.

В соответствии с положениями Федерального закона "О персональных данных" ответственность перед субъектами ПДн (гражданами) и контролирующими органами несет Оператор ПДн. Лица, обрабатывающие ПДн по поручению Оператора, несут ответственность перед Оператором.

2.7.1. Операторы информационных систем.

Министерство своим приказом возлагает на УЗ НО и ГБУЗ НО "МИАЦ" функции операторов информационных систем, являющихся сегментами МИС, в соответствии с положениями Федерального закона "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 г. N 149-ФЗ и Федерального закона "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 N 152-ФЗ.

2.7.2. Поручение обработки ПДн.

Министерство поручает УЗ НО (оператору) проводить обработку ПДн в соответствующих сегментах МИС.

2.7.3. Ответственные лица.

Министерство назначает лицо, ответственное за обработку ПДн в МИС.

Также создается координирующий орган (комиссия) по вопросам обработки ПДн в МИС (приказ "О назначении комиссии по вопросам обработки ПДн в МИС"). Порядок формирования комиссии и исполнения ее функций определяется утвержденным положением о комиссии.

Государственные бюджетные учреждения здравоохранения Нижегородской области из числа своих сотрудников назначают ответственных лиц:

- сотрудника(ов), исполняющего функции администратора системы ИСПДн "МИС Сегмент ГБУЗ";

- пользователей ИСПДн "МИС Сегмент ГБУЗ".

Функциональные (должностные) обязанности системных администраторов и администраторов безопасности отражаются в соответствующих инструкциях, с которыми указанные сотрудники должны быть ознакомлены под роспись.

2.8. Сроки обработки ПДн.

Сроки обработки ПДн в МИС не должны превышать сроков, необходимых для достижения целей обработки ПДн, а также сроков хранения ПДн, определенных действующим законодательством РФ.

2.9. Права и обязанности Оператора ПДн МИС.

Оператор персональных данных МИС вправе:

- организовывать и проводить обработку ПДн в составе и объеме, соответствующих определенным законным целям;

- использовать персональные данные Субъекта ПДн без его согласия в случаях, предусмотренных законодательством;

- уточнять и получать дополнительные персональные данные у Субъекта ПДн и (или) у его законных представителей, необходимые для целей обработки ПДн в МИС;

- поручить обработку ПДн третьим лицам с согласия Субъекта ПДн либо без такового в случаях, предусмотренных ФЗ РФ от 27 июля 2006 г. N 152-ФЗ "О персональных данных";

- предоставлять персональные данные субъектов ПДн третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.);

- отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством.

Оператор ПДн обязан:

- осуществлять обработку ПДн с соблюдением принципов и правил, предусмотренных Федеральным законом Российской Федерации от 27 июля 2006 г. N 152-ФЗ "О персональных данных";

- соблюдать требования действующего законодательства по вопросам обработки и защиты ПДн, а также контролировать исполнение требований по защите информации от операторов информационных систем - сегментов МИС;

- обеспечивать точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн. Принимать меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;

- хранить ПДн в форме, позволяющей определить субъекта персональных данных, не дольше чем этого требуют цели обработки персональных данных;

- уведомить уполномоченный орган по защите прав субъектов ПДн об обработке ПДн в МИС в соответствии с положениями Федерального закона "О персональных данных".

2.10. Соблюдение прав и обязанностей субъекта ПДн.

Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных в МИС, требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда, в судебном порядке.

2.10.1. Порядок реализации прав субъектов ПДн.

Реализация указанных прав субъектов персональных данных осуществляется в соответствии с положениями Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных".

Для реализации своих прав субъект персональных данных обращается с письменным запросом в адрес Оператора по обработке ПДн в МИС Нижегородской области - министерство.

Обращение субъекта ПДн должно быть зарегистрировано сотрудником подразделения министерства, осуществляющего ведение документооборота, в журнале учета обращений субъектов ПДн и ответов на них. Лицом, ответственным за обработку ПДн в МИС, назначается ответственный за обработку полученного обращения субъекта ПДн и ответа на него. В отдельных случаях для рассмотрения обращения может быть инициировано внеплановое заседание комиссии по вопросам обработки ПДн в МИС для обработки обращения.

Ответ субъекту ПДн на его запрос должен быть представлен в сроки, определенные положениями Федерального закона "О персональных данных". Факт отправки ответа должен быть зафиксирован в журнале учета обращений субъектов ПДн и ответов на них.

3. Порядок организации обработки ПДн в МИС Нижегородской области

Обработка ПДн в МИС производится пользователями прикладных и системных сервисов МИС, которыми являются:

- сотрудники министерства;

- сотрудники ГБУЗ "МИАЦ" НО, являющегося оператором сегмента ЦОД МИС;

- сотрудники УЗ НО, являющегося оператором сегмента ГБУЗ НО МИС.

Обработка и защита ПДн в МИС организуется назначенными ответственными сотрудниками организаций - операторов информационных систем, являющихся сегментами МИС.

3.1. Условия возможности обработки ПДн в сегментах ГБУЗ.

Обработка пользователями ПДн в сегментах УЗ НО может производиться при условии выполнения следующих условий:

- УЗ НО приказом министерства назначено оператором сегмента ГБУЗ НО МИС, и поручена обработка персональных данных в сегменте МИС;

- в ГБУЗ НО назначены ответственные лица по вопросам обработки и защиты ПДн, утверждены сотрудники, исполняющие функции администратора системы и администратора безопасности. Указанные сотрудники ознакомлены под роспись с положениями организационно-распорядительной документации по защите ПДн;

- в сегменте МИС выполнены мероприятия по созданию системы защиты персональных данных в соответствии с проектным решением СЗПДн МИС НО;

- приказом руководителя ГБУЗ НО назначены сотрудники ГБУЗ НО, допущенные к работе с прикладными сервисами МИС (далее - пользователи МИС). Указанные сотрудники ознакомлены под роспись с положениями организационно-распорядительной документации по защите ПДн;

- сотрудники, исполняющие функции администратора системы и администратора безопасности. Указанные сотрудники ознакомлены под роспись с положениями организационно-распорядительной документации по защите ПДн;

- проведены аттестационные испытания типового сегмента информационной системы МИС, и на него выдан аттестат соответствия требованиям по защите информации. Подтверждено соответствие сегмента МИС аттестованному типовому сегменту МИС в части технологии обработки информации, а также принимаемым мерам по защите информации. Информация о сегменте МИС включена в Аттестат соответствия.

3.1.1. Условия допуска пользователей к прикладным сервисам МИС.

К работе с прикладными сервисами МИС допускаются сотрудники структурных подразделений министерства при выполнении следующих условий:

- сотрудник является медицинским работником, имеющим достаточную квалификацию и допущенным к работе с информацией, составляющей медицинскую тайну;

- сотрудник прошел инструктаж по вопросам обработки ПДн в МИС и соблюдения режима информационной безопасности;

- сотрудник ознакомлен под роспись с положениями организационно-распорядительной документации по защите ПДн;

- соответствующий сотрудник включен в перечень сотрудников (пользователей), допущенных к обработке ПДн в МИС, утвержденный приказом министерства (руководителя УЗ НО).

Перечень сотрудников (пользователей), допущенных к обработке ПДн, оформляется и утверждается приказом министерства, руководителем соответствующего УЗ НО. При изменении состава сотрудников организации перечень допущенных к обработке ПДн в МИС должен быть переоформлен. Переоформление перечня пользователей производится администратором системы сегмента МИС при проведении плановых мероприятий, при необходимости - внепланово.

3.1.2. Порядок допуска пользователей к прикладным сервисам МИС.

С целью организации доступа пользователей к прикладным сервисам в МИС реализовано несколько рубежей аутентификации. Механизмы аутентификации реализуются программными и программно-аппаратными средствами сегмента ЦОД и сегментов ГБУЗ НО.

Организация доступа пользователей к прикладным сервисам МИС НО осуществляется по следующей схеме:

- ответственные сотрудники, исполняющие функции администраторов системы, администраторов безопасности сегмента ЦОД, администраторов сегментов ГБУЗ НО, либо сотрудники технической поддержки создают необходимые учетные записи для пользователей сегментов ГБУЗ (согласно своим полномочиям), производят настройки учетных данных по допускам к различным модулям системы;

- ответственные сотрудники сегментов ГБУЗ, исполняющие функции администраторов системы, организуют функционирование и администрирование средств вычислительной техники и средств защиты информации сегмента МИС в соответствии с их должностными и функциональными обязанностями, проводят инструктаж пользователей по работе с сервисами МИС, а также организуют выдачу регистрационной информации (имя, логин, аппаратный ключ) пользователям под роспись с внесением соответствующих записей в журналы. Учетные данные пользователей для доступа к прикладному комплексу МИС автоматически высылаются пользователю на терминальную локальную электронную почту, указанную при регистрации.

3.2. Порядок обработки ПДн в сегментах МИС.

Обработка ПДн сотрудниками медицинских учреждений (пользователями) в МИС должна производиться в соответствии с их должностными и функциональными обязанностями, положениями организационно-распорядительных документов по обработке и защите информации в МИС НО.

Обработка ПДн пользователями производится с применением:

- прикладных интерфейсов программного комплекса МИС, функционирующего в ЦОД и на терминальных станциях пользователей;

- интерфейсов системного программного обеспечения виртуального рабочего стола пользователя, функционирующего в ЦОД и на терминальных станциях пользователей;

- учтенных (разрешенных) съемных носителей информации;

- средств печати, подключенных к терминальной станции;

- средств считывания информации с электронных медицинских полисов и универсальных электронных карт, подключенных к терминальной станции.

Порядок работы с ресурсами прикладного комплекса МИС осуществляется в соответствии с программной документацией прикладного ПО и средств защиты информации, порядок соблюдения безопасности при работе с системой осуществляется в соответствии с Инструкцией пользователя МИС по обеспечению безопасности.

Состав средств вычислительной техники и программного обеспечения рабочих мест пользователей отражается в Технических паспортах ИСПДн. Пользователям запрещается использовать сторонние технические и программные средства, не входящие в состав системы.

3.2.1. Порядок сбора и обработки персональных данных.

Сбор (ввод) ПДн граждан для обработки в МИС осуществляется сотрудниками УЗ НО, являющихся пользователями МИС, либо посредством защищенного взаимодействия с информационными системами сторонних организаций.

Субъект обязан предоставлять пользователю МИС достоверные сведения о себе и сообщать ему об изменении своих персональных данных. Пользователь МИС имеет право проверять достоверность сведений, предоставленных субъектом, сверяя данные, предоставленные субъектом, с имеющимися в МИС сведениями.

3.2.2. Порядок использования и хранения персональных данных.

Обработка персональных данных граждан в МИС осуществляется пользователями МИС автоматизированным способом с применением средств вычислительной техники.

Неавтоматизированная обработка информации, содержащей ПДн граждан, при ее наличии, должна производиться в соответствии с организационно-распорядительной документацией УЗ НО.

Персональные данные граждан хранятся в МИС в электронном виде. С целью выдачи информации (выписок) гражданину или формирования отчетной документации возможен вывод информации из МИС путем печати на бумажных носителях.

Распечатанные документы, содержащие персональные данные граждан, должны быть выданы гражданину или его законному представителю лично, либо переданы в другую организацию в соответствии с законодательством или утвержденным регламентом, либо отправлены для дальнейшей обработки или на хранение во внутренние подразделения учреждения-оператора сегмента МИС. Ответственным за организацию хранения таких документов является лицо, ответственное за обработку ПДн в сегменте МИС.

Хранение документов в организации-операторе сегмента МИС, содержащих персональные данные граждан, должно осуществляться не дольше чем этого требуют цели их обработки, по достижении целей обработки или в случае утраты необходимости в их достижении они подлежат уничтожению.

Учреждение-оператор сегмента МИС обеспечивает ограничение и контроль доступа к документам, содержащим персональные данные граждан.

Доступ к обработке персональных данных граждан имеют сотрудники учреждения-оператора сегмента МИС, допущенные к работе с персональными данными граждан приказом руководителя УЗ НО. В должностные инструкции данных сотрудников включается пункт об обязанности сохранения информации, являющейся конфиденциальной.

Учреждение-оператор при обработке персональных данных граждан обязано принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Должны быть утверждены приказом руководителя учреждения-оператора сегмента МИС места размещения АРМ пользователей и информационных киосков.

3.2.3. Порядок уничтожения и восстановления персональных данных.

Уничтожение документов, содержащих ПДн, производится по достижении целей их обработки согласно номенклатуре дел и документов; по достижении окончания срока хранения ПДн, оговоренного в соответствующем соглашении заинтересованных сторон; в том числе если они не подлежат архивному хранению.

Уничтожение документов, содержащих персональные данные, производится в случае выявления неправомерной обработки персональных данных в срок, не превышающий десяти рабочих дней с момента выявления неправомерной обработки персональных данных.

Уничтожение информации с ПДн, хранящейся в электронном виде на материальных носителях, производится путем выполнения процедуры специальной подготовки материальных носителей (многократное форматирование разделов, выделенных под хранение данных).

Уничтожение материальных носителей с ПДн осуществляется механическим либо электромагнитным воздействием с помощью специализированных средств (шредер, уничтожитель оптических дисков и т.п.).

Уничтожение производится по мере необходимости, в зависимости от объемов накопленных для уничтожения документов.

Уничтожение рабочих копий бумажных документов производится сотрудниками учреждения-оператора, уничтожение физических носителей и электронных хранилищ производится администратором системы сегмента ЦОД при непосредственном присутствии администратора безопасности сегмента ЦОД. Уничтожение носителей осуществляется по акту.

3.2.4. Порядок резервного копирования и восстановления.

С целью обеспечения целостности информации, содержащей персональные данные, в МИС проводится резервное копирование информации. Копирование производится администратором системы сегмента ЦОД.

Восстановление информации из резервных копий производится администратором системы сегмента ЦОД с уведомлением администратора безопасности сегмента ЦОД.

3.2.5. Порядок передачи персональных данных.

В порядке, предусмотренном законодательством, либо при наличии письменного согласия гражданина может осуществляться передача информации, обрабатываемой в МИС, содержащей персональные данные граждан, третьим лицам.

Согласие субъекта ПДн на передачу не требуется, если:

1) по запросу органов дознания, следствия, прокуратуры и суда в связи с проведением расследования или судебным разбирательством, в соответствии с Законом об оперативно-розыскной деятельности;

2) при наличии оснований, позволяющих полагать, что права и интересы гражданина могут быть нарушены противоправными действиями других лиц;

3) в иных случаях, прямо предусмотренных федеральным законодательством.

Лица, которым в установленном Федеральным законом "О персональных данных" порядке переданы сведения, составляющие персональные данные гражданина, несут дисциплинарную, административную или уголовную ответственность за разглашение в соответствии с законодательством Российской Федерации.

Передача информации, содержащей персональные данные гражданина, третьим лицам осуществляется министерством только на основании надлежащим образом оформленного официального запроса третьего лица с разрешающей визой министра здравоохранения Нижегородской области или официального лица министерства, ответственного за обработку и обеспечение защиты персональных данных при их обработке в МИС.

В случае, если лицо, обратившееся с запросом, не уполномочено федеральным законодательством на получение персональных данных гражданина либо отсутствует письменное согласие гражданина на передачу его персональных данных, министерство обязано отказать в предоставлении персональных данных. В данном случае лицу, обратившемуся с запросом, выдается мотивированный отказ в предоставлении персональных данных в письменной форме, копия отказа хранится в министерстве.

Запрос третьего лица, а также факт ответа на него или отказа фиксируется в Журнале запросов субъектов ПДн и ответов на них.

В порядке, определенном законодательством, и при наличии регламента может осуществляться защищенное взаимодействие МИС с информационными системами сторонних организаций для организации передачи информации, содержащей ПДн, по каналам связи. Порядок такого взаимодействия определен в п. 4.5 настоящего Положения.

В случае необходимости документы, содержащие персональные данные субъекта, могут быть отправлены через организацию федеральной почтовой связи. При этом должна быть обеспечена их конфиденциальность. Документы, содержащие персональные данные, вкладываются в конверт, к нему прилагается сопроводительное письмо. На конверте делается надпись о том, что содержимое конверта является конфиденциальной информацией и за незаконное ее разглашение законодательством предусмотрена ответственность. Далее конверт с сопроводительным письмом вкладывается в другой конверт, на который наносятся только реквизиты, предусмотренные почтовыми правилами для заказных почтовых отправлений.

4. Организация работ по обеспечению безопасности ПДн в МИС

Безопасность персональных данных, обрабатываемых в МИС, обеспечивается системой защиты персональных данных МИС - СЗПДн МИС, включающей проведение организационных и технических мероприятий по обеспечению безопасности ПДн.

СЗПДн МИС должна соответствовать требованиям действующего законодательства по защите персональных данных.

СЗПДн МИС функционирует с целью минимизации ущерба, который может возникнуть вследствие воздействия угроз информационной безопасности, приводящих к нарушению требуемых свойств безопасности персональных данных, обрабатываемых в МИС Нижегородской области.

Порядок и сроки проведения мероприятий по контролю выполнения мер защиты определяются планом мероприятий по созданию и эксплуатации системы защиты персональных данных в МИС.

4.1. Этапы работ.

Организационные и технические меры защиты информации, реализованные в рамках системы защиты персональных данных МИС, направлены на исключение неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации), неправомерных уничтожения или модифицирования информации (обеспечение целостности информации), а также неправомерного блокирования информации (обеспечение доступности информации).

Организация работ по защите ПДн включает в себя проведение следующих этапов работ:

- разработка и создание системы защиты ПДн;

- формирование требований к защите ПДн, содержащихся в МИС;

- разработка (проектирование) системы защиты ПДн МИС;

- внедрение системы защиты ПДн МИС;

- аттестация ИСПДн МИС и ввод ее в эксплуатацию;

- обеспечение защиты ПДн в ходе эксплуатации аттестованной информационной системы;

- обеспечение защиты ПДн при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации.

Разработка, создание и внедрение системы защиты ПДн проводятся в соответствии с требованиями действующего законодательства по защите персональных данных, с привлечением организации-лицензиата, обладающей действующей лицензией ФСТЭК России на деятельность и оказание услуг по технической защите конфиденциальной информации.

Аттестация ИСПДн МИС на соответствие требованиям по защите конфиденциальной информации (персональных данных) проводится после выполнения внедрения и опытной эксплуатации системы защиты ПДн в сегментах МИС, переаттестация ИСПДн МИС проводится не реже 1 раза в 3 года при эксплуатации аттестованной системы. Аттестация проводится организацией-лицензиатом, обладающей действующей лицензией ФСТЭК России на деятельность и оказание услуг по технической защите конфиденциальной информации.

В случае изменений условий и технологии обработки ПДн лица, ответственные за эксплуатацию ИСПДн, обязаны известить об этом ответственного за организацию и обеспечение защиты информации при обработке в ИСПДн МИС, который принимает решение о необходимости проведения дополнительной проверки эффективности (аттестации) системы защиты ИСПДн или ее сегмента.

Обеспечение защиты ПДн в ходе эксплуатации аттестованной информационной системы организуется ответственными лицами, исполняющими функции администраторов систем и администраторов безопасности, в соответствии с их функциональными обязанностями, проектным решением по системе защиты ПДн, организационно-распорядительной, эксплуатационной документацией и действующим законодательством по защите информации.

Мероприятия и работы по защите ПД