Приложение 1. Правила обработки персональных данных в Департаменте здравоохранения Орловской области

Приложение 1
к приказу
Департамента
здравоохранения
Орловской области
от 14 февраля 2020 г. N 89

Правила
обработки персональных данных в Департаменте здравоохранения Орловской области

I. Общие правила обработки персональных данных

1. Правила обработки персональных данных в Департаменте здравоохранения Орловской области определяют цели обработки персональных данных, содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также устанавливают процедуры, направленные на выявление и предотвращение нарушений правовых актов Российской Федерации и Орловской области в сфере персональных данных.

2. Правовыми основаниями обработки персональных данных являются:

Федеральный закон от 27 июля 2006 года N 152-ФЗ "О персональных данных", Трудовой кодекс Российской Федерации, Федеральный закон от 27 июля 2004 года N 79-ФЗ "О государственной гражданской службе Российской Федерации", Федеральный закон от 2 мая 2006 года N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации", постановление Правительства Российской Федерации от 15 сентября 2008 года N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", постановление Правительства Российской Федерации от 21 марта 2012 года N 211 "Об утверждении Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", постановление Правительства Российской Федерации от 1 ноября 2012 года N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", иные правовые акты Российской Федерации, правовые акты Орловской области в сфере обработки персональных данных.

3. Субъектами персональных данных, обрабатываемых Департаментом здравоохранения Орловской области, являются:

государственные гражданские служащие Орловской области, замещающие должности государственной гражданской службы Орловской области в Департаменте здравоохранения Орловской области, их супруги и несовершеннолетние дети;

работники, замещающие должности, не являющиеся должностями государственной гражданской службы Орловской области, в Департаменте здравоохранения Орловской области, их супруги и несовершеннолетние дети;

граждане, персональные данные которых обрабатываются в связи с исполнением Департаментом здравоохранения Орловской области своих задач, функций и полномочий.

4. Права субъектов персональных данных в области обработки их персональных данных установлены Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных", а также иными нормативными правовыми актами в сфере обработки персональных данных.

5. Обработка персональных данных осуществляется с целью реализации Департаментом здравоохранения Орловской области полномочий, предусмотренных Положением о Департаменте здравоохранения Орловской области, утвержденным постановлением Правительства Орловской области от 22 декабря 2014 года N 399 "Об утверждении Положения о Департаменте здравоохранения Орловской области".

6. Для реализации цели, указанной в пункте 5 настоящих Правил, Департамент здравоохранения Орловской области осуществляет обработку следующих категорий персональных данных:

1) фамилия, имя, отчество (в случае наличия) (в том числе предыдущие фамилии, имена и (или) отчества, в случае их изменения), пол;

2) число, месяц, год и место рождения;

3) информация о гражданстве (в том числе предыдущие гражданства, иные гражданства);

4) данные паспорта гражданина Российской Федерации (серия, номер, наименование органа, выдавшего его, дата выдачи);

5) адрес места жительства (адрес регистрации, фактического проживания);

6) номер контактного телефона или сведения о других способах связи;

7) семейное положение, состав семьи и сведения о близких родственниках (в том числе бывших), сведения о рождении детей, сведения о заключении (расторжении) брака;

8) сведения о трудовой (служебной) деятельности;

9) сведения об образовании (наименование и год окончания образовательной организации, наименование и реквизиты документа об образовании, квалификация, специальность);

10) фотография;

11) иные сведения, предусмотренные локальными правовыми актами.

7. Обработку персональных данных осуществляют государственные гражданские служащие Орловской области, замещающие должности государственной гражданской службы Орловской области в Департаменте здравоохранения Орловской области (далее - государственные гражданские служащие).

8. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных непосредственно от субъектов персональных данных.

9. В случае отказа субъекта персональных данных предоставить свои персональные данные, предоставление которых является обязательным в соответствии с законодательством Российской Федерации, Департамент здравоохранения Орловской области в письменной форме разъясняет данному субъекту юридические последствия отказа предоставить свои персональные данные.

10. Обработка персональных данных в Департаменте здравоохранения Орловской области осуществляется с использованием средств автоматизации, а также без использования таких средств (на бумажном носителе информации) в соответствии с положениями разделов II, III настоящих Правил.

11. Обработка персональных данных в Департаменте здравоохранения Орловской области не требует обезличивания персональных данных.

12. Обработке подлежат только персональные данные, которые соответствуют цели их обработки.

13. При обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к цели обработки персональных данных. Департамент здравоохранения Орловской области принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных.

14. Передача (предоставление, доступ) и использование персональных данных субъектов персональных данных осуществляется в случаях и в порядке, предусмотренных законодательством Российской Федерации.

15. Сроки хранения персональных данных определены законодательством Российской Федерации.

16. Уничтожение документов, содержащих персональные данные, с истекшими сроками хранения осуществляется в порядке, предусмотренном распоряжением Правительства Орловской области от 3 сентября 2015 года N 315-р.

II. Правила обработки персональных данных субъектов персональных данных, осуществляемой без использования средств автоматизации

17. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

18. Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

19. Документы должны храниться в надежно запираемых шкафах и сейфах.

20. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее - материальные носители), в специальных разделах или на полях форм (бланков).

21. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.

22. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных, в частности:

1) при необходимости использования или предоставления определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих предоставлению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих предоставлению и использованию, и используется (предоставляется) копия персональных данных;

2) при необходимости уничтожения части персональных данных уничтожается материальный носитель с предварительным копированием сведений, не подлежащих уничтожению, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению.

23. Уничтожение части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных, с сохранением возможности обработки иных данных, зафиксированных на материальном носителе.

24. Требования, предусмотренные пунктами 22 и 23 настоящих Правил, применяются также в случае, если необходимо обеспечить раздельную обработку зафиксированных на одном материальном носителе персональных данных и информации, не являющейся персональными данными.

25. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

III. Правила обработки персональных данных субъектов персональных данных с использованием средств автоматизации

26. Обработка персональных данных в Департаменте здравоохранения Орловской области с использованием средств автоматизации предполагает обработку персональных данных субъектов персональных данных, указанных в пункте 3 настоящих Правил, с использованием компьютерной техники, а также информационной системы - локальная вычислительная сеть Департамента здравоохранения Орловской области.

27. Государственные гражданские служащие несут персональную ответственность за свои действия.

28. Государственные гражданские служащие при работе с персональными данными должны соблюдать следующие правила:

1) соблюдать положения нормативных правовых актов Российской Федерации и Орловской области при обработке персональных данных субъектов персональных данных;

2) выполнять на автоматизированном рабочем месте только те работы, которые необходимы для исполнения их должностных обязанностей;

3) соблюдать конфиденциальность при обработке персональных данных;

4) передавать съемные носители с персональными данными только после оформления в установленном порядке фактов передачи;

5) копировать сведения о персональных данных только на учтенные съемные носители;

6) прекращать обработку персональных данных в присутствии посторонних лиц;

7) исключать возможность ознакомления посторонних лиц с паролем;

8) соблюдать требования антивирусной защиты;

9) располагать во время работы экран монитора таким образом, чтобы была исключена возможность несанкционированного ознакомления с отображаемыми на нем персональными данными посторонними лицами;

10) не устанавливать и не модифицировать программное и аппаратное обеспечение автоматизированных рабочих мест;

11) подключать к автоматизированным рабочим местам только учтенные съемные носители;

12) для производства ремонтных, настроечных работ на автоматизированных рабочих местах допускать специалистов, уполномоченных на проведение таких работ, после согласования лицом, ответственным за организацию обработки персональных данных в Департаменте здравоохранения Орловской области;

13) присутствовать при работах по внесению изменений в аппаратно-программную конфигурацию закрепленного за ним автоматизированного рабочего места;

14) при перерывах в работе активизировать временную блокировку экрана и клавиатуры.