1.1. Настоящее Положение по обработке и защите персональных данных (далее – Положение) в министерстве здравоохранения Приморского края (далее – Министерство) разработано в соответствии со статьей 24 Конституции Российской Федерации, главой 14 Трудового кодекса Российской Федерации, Федеральным законом Российской Федерации от 27.07.2006 N 152-ФЗ "О персональных данных" (далее – Федеральный закон о персональных данных), Федеральным законом от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации", Постановлением Правительства РФ от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", Постановлением Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", а также Постановлением Правительства Российской Федерации от 1 ноября 2012 года N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", постановлением Администрации Приморского края от 12 ноября 2019 года N 747-па "Об утверждении положения о министерстве здравоохранения Приморского края" и является основополагающим правовым актом Министерства, определяющим ключевые направления его деятельности в области обработки и защиты персональных данных, оператором которых является Министерство.

1.2. Настоящее Положение определяет политику Министерства как оператора, осуществляющего обработку персональных данных, в отношении обработки и защиты персональных данных.

1.3. Положение разработано в целях реализации требований законодательства в области обработки и защиты персональных данных, исполнения полномочий Министерства, направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных в Министерстве, в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайн.

1.4. Положение устанавливает процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, определяет цели сбора и обработки персональных данных в Министерстве, содержание обрабатываемых персональных данных, категории субъектов, персональных данных которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований, правила рассмотрения запросов субъектов персональных данных или их представителей, правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Законом о персональных данных, принятыми в соответствии с ним нормативными правовыми актами и локальными актами Министерства.

1.5. Действие Положения распространяется на все персональные данные субъектов, обрабатываемых в Министерстве с использованием средств автоматизации, а также без использования средств автоматизации.

1.6. Персональные данные, обрабатываемые в Министерстве, относятся к сведениям конфиденциального характера.

1.7. Министерство обеспечивает открытый доступ к Положению путем его размещения на странице министерства здравоохранения Приморского края в информационно-телекоммуникационной сети "Интернет" на официальном сайте Правительства Приморского края.

1.8. Настоящее Положение вступает в силу с момента его утверждения заместителем Председателя Правительства Приморского края – министром здравоохранения Приморского края и действует бессрочно, до замены его новым Положением.

1.9. Все изменения в Положение вносятся приказом.

1.10. Все государственные гражданские служащие Министерства должны быть ознакомлены с настоящим Положением под роспись.

2.1. В Положении используются термины и определения, применяемые в значениях, определенных Законом о персональных данных:

3.1. Конституция Российской Федерации.

3.2. Гражданский кодекс Российской Федерации.

3.3. Трудовой кодекс Российской Федерации.

3.4. Федеральный закон от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации".

3.5. Федеральным законом от 2 мая 2006 года N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации".

3.6. Федеральный закон от 25.12.2008 N 273-ФЗ "О противодействии коррупции".

3.7. Федеральный закон от 21 ноября 2011 г. N 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации".

3.8. Федеральный закон от 27 июля 2010 года N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг".

3.9. Постановление Администрации Приморского края от 12 ноября 2019 года N 747-па "Об утверждении положения о министерстве здравоохранения Приморского края.

4.1. Осуществление обработки персональных данных на законной основе.

4.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

4.3. Не допускается объединение баз данных, содержащих персональных данных, обработка которых осуществляется в целях, несовместимых между собой.

4.4. Обработке подлежат только те персональные данные, которые отвечают целям их обработки.

4.5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

4.6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

4.7. Операторы персональных данных и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональных данных без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом.

4.8. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом.

5.1. Исполнение трудового законодательств Российской Федерации.

5.2. Исполнение законодательства Российской Федерации в сфере здравоохранения.

5.3. Исполнение законодательства Российской Федерации о противодействии коррупции.

5.4. Реализация на территории Приморского края федеральной программы "Земский доктор/земский фельдшер".

5.5. Исполнение законодательства Российской Федерации о безопасности критической информационной инфраструктуры.

5.6. Исполнение законодательства Российской Федерации о государственной тайне.

5.7. Исполнение законодательства Российской Федерации о мобилизационной подготовке и мобилизации.

5.8. Исполнение законодательства Российской Федерации о порядке рассмотрения обращений граждан Российской Федерации.

6.1. В Министерстве осуществляется смешанная обработка персональных данных (неавтоматизированная и автоматизированная), без осуществления трансграничной передачи персональных данных.

6.2. Обработка персональных данных субъектов персональных данных в Министерстве осуществляется гражданскими служащими в соответствии с должностным регламентом, предусматривающим обработку персональных данных.

6.3. Обработка персональных данных субъектов персональных данных включает: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), распространение, блокирование, удаление, уничтожение.

6.4. Сбор, запись, систематизация, накопление, уточнение (обновление, изменение) персональных данных субъектов персональных данных осуществляется путем:

6.5. Передача (распространение, предоставление) и использование персональных данных субъектов персональных данных осуществляется лишь в случаях и порядке, предусмотренных федеральными законами.

6.6. Обработка персональных данных субъектов персональных данный в Министерстве осуществляется при условии получения согласия субъекта персональных данных в следующих случаях:

6.7. Согласие субъекта персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом "О персональных данных".

6.8. Запрещается запрашивать у субъектов персональных данных и третьих лиц, а также обрабатывать персональные данные в случаях, не предусмотренных законодательством Российской Федерации.

6.9. При сборе персональных данных уполномоченное должностное лицо структурного подразделения Министерства, осуществляющее получение персональных данных непосредственно от субъекта персональных данных в связи с исполнением государственных функций в сфере здравоохранения, обязано разъяснить субъекту персональных данных юридические последствия отказа предоставить персональные данные.

6.10. В целях, указанных в п. 5.1 настоящего Положения, в Министерстве ведется обработка персональных данных работников подведомственных медицинских организаций, граждан РФ, и включает в себя:

6.11. В целях, указанных в п. 5.2 настоящего Положения, в Министерстве ведется обработка персональных данных медицинских работников Приморского края, граждан РФ, и включает в себя:

6.12. В целях, указанных в п. 5.3 настоящего Положения, в Министерстве ведется обработка персональных данных сотрудников Министерства, руководителей подведомственных медицинских организаций, и включает в себя:

6.12. В целях, указанных в п. 5.4 настоящего Положения, в Министерстве ведется обработка персональных данных медицинских работников, и включает в себя:

6.13. В целях, указанных в п. 5.5 настоящего Положения, в Министерстве ведется обработка персональных данных работников подведомственных медицинских организаций, и включает в себя:

6.14. В целях, указанных в п. 5.6 настоящего Положения, в Министерстве ведется обработка персональных данных сотрудников Министерства, работников подведомственных медицинских организаций, и включает в себя:

6.15. В целях, указанных в п. 5.7 настоящего Положения, в Министерстве ведется обработка персональных данных сотрудников Министерства, работников подведомственных медицинских организаций, и включает в себя:

6.16. В целях, указанных в п. 5.8 настоящего Положения, в Министерстве ведется обработка следующих персональных данных граждан РФ, и включает в себя:

7.1. При осуществлении автоматизированной обработки персональных данный, доступ государственных гражданских служащих Министерства (далее – Сотрудник), имеющих право осуществлять обработку персональных данных, находящимся в автоматизированных информационных системах, предусматривает обязательное прохождение процедуры идентификации и аутентификации. Для доступа к соответствующим прикладным программным подсистемам автоматизированной информационной системы предоставляется уникальный логин и пароль.

7.2. Информация может вноситься как в автоматическом режиме при получении персональных данных с Единого портала государственных услуг или официального сайта Министерства, так и в ручном режиме при получении информации на бумажном носителе или в ином виде, не позволяющем осуществлять ее автоматическую регистрацию.

7.3. Обработка персональных данных в Министерстве осуществляется в следующих информационных системах:

7.4. Информационная система ФГИС "Единая государственная информационная система в сфере здравоохранения" содержит персональные данные пациентов и медицинских работников подведомственных медицинских организаций и предназначена для автоматизации процессов связанных с предоставлением государственных услуг и исполнением государственных функций, и включает в себя:

7.5. Единое окно цифровой обратной связи, Федеральной государственной информационной системы "Единый портал государственных и муниципальных услуг" – "Платформа обратной связи" (ПОС) содержит персональные данные физических лиц и предназначена для автоматизации процессов связанных с рассмотрением обращений граждан, и включает в себя:

7.6. ГИС "Региональная система межведомственного электронного документооборота" содержит персональные данные физических лиц и предназначена для автоматизации процессов связанных с рассмотрением обращений граждан, и включает в себя:

7.7. Автоматизированные рабочие места сотрудников Министерства предполагают обработку персональных данных субъектов персональных данных, и включают в себя:

8.1. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее – материальные носители), в специальных разделах или на полях форм (бланков).

8.2. Не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.

8.3. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее – типовая форма), должны соблюдаться следующие условия:

8.4. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, принимаются меры по обеспечению раздельной обработки персональных данных, в частности:

8.5. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

9.1. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено Федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

9.2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона о персональных данных.

9.3. Письменное согласие субъекта персональных данных должно включать:

10.1. Обезличивание персональных данных всех обрабатываемых категорий Министерством здравоохранения Приморского края не осуществляется.

11.1. Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных:

11.2. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

11.3. Субъект персональных данных вправе требовать от оператора персональных данных уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

12.1. Для реализации своих прав субъект персональных данных или его законный представитель оформляет обращение в письменной форме и направляет его в Министерство на почтовый адрес: 690007, Приморский край, г. Владивосток, ул. 1-я Морская, д. 2, или на электронный адрес: dza@primorsky.ru, или осуществляет передачу обращения при личном приеме.

12.2. Обращение должно содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Министерством (регистрационный номер и дата регистрации в государственной информационной системе Приморского края "Региональная система межведомственного электронного документооборота"), либо сведения, иным образом подтверждающие факт обработки персональных данных Министерством, подпись субъекта персональных данных или его представителя.

Обращение может быть направлено в форме электронного документа и подписано электронной подписью в соответствии с законодательством Российской Федерации.

12.3. Ответ на обращение отправляется субъекту персональных данных в письменном виде по почте на адрес, указанный в обращении.

12.4. Сведения, указанные в п. 11.1 настоящего Положения, должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

12.5. В случае, если сведения, указанные в п. 11.1 настоящего Положения, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к оператору персональных данных или направить ему повторный запрос в целях получения сведений, указанных в п. 11.1. настоящего Положения, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен Федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

12.6. Субъект персональных данных вправе обратиться в Министерство или направить повторный запрос в целях получения сведений, указанных в п. 11.1 настоящего Положения, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, должен содержать обоснование направления повторного запроса.

12.7. Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным п. 12.5 и п. 12.6 настоящего Положения. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на операторе персональных данных.

13.1. Обработка персональных данных в Министерстве прекращается в следующих случаях:

14.1. При выявлении неточности в персональных данных осуществляется блокирование персональных данных, относящихся к этому субъекту персональных данных, до их уточнения, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. Снятие блокирования персональных данных осуществляется в течение семи рабочих дней со дня предоставления уточненных сведений по персональным данным.

14.2. Временное прекращение операций по обработке персональных данных (блокирование персональных данных) осуществляется в случаях выявления факта незаконного получения персональных данных и (или) выявления неправомерных действий с персональными данными до устранения допущенных нарушений в срок, не превышающий трех рабочих дней с даты этого выявления. В случае невозможности устранения допущенных нарушений уничтожение персональных данных осуществляется в течение десяти рабочих дней.

14.3. При представлении субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, то такие персональные данные подлежат уничтожению в срок, не превышающий семь рабочих дней.

14.4. В случаях достижения цели обработки персональных данных и (или) отзыва субъектом согласия на обработку своих персональных данных уничтожение персональных данных осуществляется в срок, не превышающий тридцати дней.

14.5. Уничтожение персональных данных, хранящихся на съемных машинных носителях информации, производится путем механического нарушения целостности носителя или путем удаления данных с использованием средств гарантированного уничтожения информации, не позволяющего произвести считывание или восстановление персональных данных. Уничтожение персональных данных, хранящихся в базах данных, осуществляется путем удаления соответствующих полей.

14.6. Персональные данные, хранящиеся на бумажных носителях, уничтожаются путем измельчения на мелкие части или сжигания, исключающего возможность последующего восстановления информации.

14.7. Обязанность по уничтожению документов, содержащих персональные данные, в том числе по истечении срока хранения установленного федеральными законами и иными нормативными правовыми актами Российской Федерации, возлагается на начальника структурного подразделения Министерства. По результатам уничтожения составляется Акт, копия которого передается ответственному за организацию обработки персональных данных в Министерстве.

15.1. Внутренний контроль условий обработки персональных данных проводится в Министерстве с целью своевременного выявления и предотвращения нарушений законодательства Российской Федерации в сфере персональных данных.

15.2. Внутренний контроль заключается в проведении периодических комиссионных проверок соответствия условий обработки персональных данных в Министерстве установленным законодательством Российской Федерации требованиям к порядку обработки и защиты персональных данных, а также требованиям настоящего Положения.

15.3. Основными задачами внутреннего контроля являются:

15.4. Для обеспечения выполнения основных задач по внутреннему контролю в Министерстве разрабатывается и утверждается "План проведения периодических проверок соответствия условий обработки персональных данных установленным требованиям".

15.5. В целях осуществления внутреннего контроля правовым актом Министерства из числа сотрудников назначается постоянно действующая комиссия по проведению периодических проверок соответствия условий обработки персональных данных установленным требованиям (далее – Комиссия).

15.6. Председателем Комиссии назначается один из заместителей Министерства, который осуществляет руководство работой Комиссии при проведении периодических проверок.

15.7. В своей работе Комиссия руководствуется нормативными правовыми актами Российской Федерации в области персональных данных, а также локальными нормативными документами Министерства, регламентирующими вопросы обработки и защиты персональных данных.

15.8. В случае выявления неправомерных действий с персональными данными сотрудник Министерства, допустивший нарушения законодательства в области обработки персональных данных, обязан устранить данные нарушения в срок, не превышающий трех рабочих дней.

15.9. Сотрудник, ответственный в Министерстве за организацию обработки персональных данных, оформляет результаты периодической проверки актом.

16.1. Ответственный за организацию обработки персональных данных (далее – Ответственное лицо) в Министерстве назначается приказом по Министерству.

16.2. Ответственное лицо получает указания непосредственно от руководителя Министерства и подотчетно ему.

16.3. Ответственное лицо обязано:

16.4. Ответственный за обработку персональных данных вправе:

17.1. Сотрудники Министерства имеющие доступ к обработке персональных данных в обязательном порядке должны быть ознакомлены с правилами работы и хранения конфиденциальной информации о персональных данных под роспись.

17.2. В случае нарушения режима защиты персональных данных, повлекшее разглашение персональных данных и наступления негативных последствий для субъекта персональных данных, лицо виновное в данном нарушении несет материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами Российской Федерации.

17.3. Разглашение персональных данных (передача их третьим лицам, не имеющим доступа к персональным данным), публичное раскрытие, утрата документов и иных носителей, содержащих персональные данные, а также иные нарушения обязанностей по их защите и обработке, установленных настоящим Положением, локальными нормативными актами (приказами, распоряжениями) Министерства, влечет наложение на сотрудника, имеющего доступ к персональным данным, меры дисциплинарного взыскания, если иное не предусмотрено законодательством РФ.

17.4. Сотрудник Министерства, имеющий доступ к персональным данным и совершивший указанный дисциплинарный проступок, несет полную материальную ответственность в случае причинения его действиями ущерба Министерству (п. 7 ст. 243 Трудового кодекса РФ).

17.5. Лица допущенные к обработке персональных данных, виновные в незаконном разглашении или использовании персональных данных без согласия субъекта персональных данных из корыстной или иной личной заинтересованности и причинившие крупный ущерб, несут ответственность в соответствии с законодательством РФ.

1.1. Настоящая Инструкция определяет ответственность, права и функциональные обязанности сотрудника, ответственного в министерстве здравоохранения Приморского края (далее – Министерство) за организацию обработки персональных данных (далее – Инструкция).

1.2. Настоящая Инструкция разработана в соответствии со статьями 18.1, 22.1 и 24 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных", пунктом 1 "Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", утвержденных Постановлением Правительства РФ от 21 марта 2012 г. N 211.

1.3. Ответственный за обработку персональных данных назначается приказом заместителя Председателя Правительства Приморского края – министра здравоохранения Приморского края из числа гражданских служащих Министерства.

1.4. Ответственный за обработку персональных данных подчиняется руководителю Министерства.

1.5. Ответственный за организацию обработки персональных данных в своей деятельности руководствуется Трудовым кодексом РФ, Федеральным законом от 27 июля 2006 N 152-ФЗ "О персональных данных", Постановлением Правительства РФ от 15 сентября 2008 г. N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", Постановлением Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", Постановлением Правительства РФ от 21 марта 2012 г. N 211 "Перечень мер направленных на обеспечение выполнения обязанностей предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", настоящей инструкцией и иными нормативными правовыми актами Министерства по защите информации.

1.6. Настоящая Инструкция является дополнением к действующим внутренним нормативным документам, регламентирующим вопросы обработки и защиты персональных данных в Министерстве, и не исключает обязательного выполнения их требований.

2.1. Знать и выполнять требования действующего законодательства РФ, а также внутренних инструкций и положений, регламентирующих деятельность по обработке и защите персональных данных.

2.2. Осуществлять единую политику Министерства по обработке и обеспечению безопасности персональных данных.

2.3. Отслеживать изменения действующего законодательства РФ по вопросам защиты и обработки персональных данных.

2.4. Доводить до сведения работников Министерства содержание положений законодательства РФ о персональных данных, внутренние нормативные правовые акты Министерства по вопросам обработки персональных данных, требований по защите персональных данных.

2.5. Осуществлять организацию мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным или передача их лицам, не имеющим права доступа к такой информации.

2.6. Осуществлять рассмотрение обращений субъектов персональных данных или их представителей касающихся обработки их персональных данных.

2.7. По запросу субъекта персональных данных либо его представителя, предоставлять информацию по обработке его персональных данных.

2.8. Участвовать в проведении расследований случаев несанкционированного доступа к персональным данным и других нарушений законодательства Российской Федерации о персональных данных, в том числе нарушения правил обработки и защиты персональных данных.

2.9. Получать обязательство о прекращении обработки персональных данных у лиц, непосредственно осуществляющих обработку персональных данных, в случае расторжения с ним договора (контракта).

2.10. Получать согласия на обработку персональных данных у субъектов персональных данных.

2.11. Разъяснять субъекту персональных данных юридические последствия отказа предоставления его персональных данных.

2.12. Осуществлять внутренний текущий контроль за соблюдением требований законодательства Российской Федерации и правил обработки персональных данных в Министерстве, в том числе требований к защите персональных данных.

3.1. Требовать от сотрудников Министерства соблюдения законодательства Российской Федерации о персональных данных, в том числе обеспечения безопасности персональных данных.

3.2. Запрещать сотрудникам Министерства доступ к персональным данным с целью предотвращения несанкционированного доступа к защищаемой информации.

3.3. Запрашивать лично информацию и документы, необходимые для выполнения обязанностей, возложенных настоящей Инструкцией.

3.4. Привлекать к проведению внутреннего контроля условий обработки персональных данных установленным законодательством Российской Федерации требованиям сотрудников заинтересованных структурных подразделений Министерства.

4.1. Ответственный за организацию обработки персональных данных несет ответственность за правонарушения, совершенные в процессе осуществления своей деятельности, в соответствии с действующим законодательством.

1.1. Настоящая Инструкция разработана с учетом положений законодательных и нормативно-правовых актов:

1.2. Персональные данные в электронном виде обрабатывается в информационных системах персональных данных. Также устанавливается особый порядок обработки и хранения персональных данных, содержащихся на бумажных носителях.

1.3. Персональные данные относятся к конфиденциальной информации. Должностные лица, уполномоченные на обработку персональных данных обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом.

2.1. Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации субъекту персональных данных, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация, относящаяся прямо или косвенно к субъекту персональных данных.

2.2. Оператор персональных данных (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

2.3. Информационная система персональных данных – совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.

2.4. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.5. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

2.6. Неавтоматизированная обработка персональных данных (без применения средств автоматизации) – обработка персональных данных, при которой использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных осуществляются при непосредственном участии человека. При этом обработка персональных данных не может быть признана автоматизированной только на том основании, что они содержатся в информационной системе либо были извлечены из нее.

2.7. Материальный носитель, содержащий персональные данные – бумажные носители либо электронные носители информации о персональных данных (магнитные и оптические (CD и DVD) накопители, съемные жесткие диски, флэш-накопители), применяемые для создания резервных копий информации, хранения или переноса информации), в виде текста, фотографии и (или) их сочетания.

3.1. Сотрудник министерства здравоохранения Приморского края, осуществляющий обработку персональных данных (далее – оператор ПНд) выполняет только те действия, которые необходимы для достижения цели обработки персональных данных и только в рамках должностного регламента. Любые посторонние действия запрещены.

3.2. Обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным.

3.3. Оператору ПНд запрещено использовать личные технические средства (ноутбуки, смартфоны, планшеты, фотокамеры, флеш-носители, съемные жесткие диски и пр.) для несанкционированного копирования, фотографирования, распространения и передачи защищаемой информации.

3.4. Оператор ПНд визуально контролирует целостность технических средств на своем рабочем месте (отсутствие попыток физического вскрытия системного блока и пр.). При подозрении на нарушение целостности технических средств своего автоматизированного рабочего места (далее – АРМ). Оператор сообщает об этом ответственному за организацию обработки персональных данных. Оператору ПНд запрещен самостоятельный ремонт технических средств, а также привлечение посторонних лиц для такого ремонта.

3.5. Оператору ПНд запрещено изменение источника загрузки своего автоматизированного рабочего места и загрузка АРМ с внешних носителей.

3.6. Оператору ПНд запрещается самостоятельная установка любого программного обеспечения, даже необходимого для выполнения своих служебных обязанностей.

3.7. Оператору ПНд, имеющим право осуществлять обработку персональных данных в информационных системах предоставляется уникальный логин и пароль для доступа к соответствующей информационной системе. Доступ предоставляется в соответствии с функциями, предусмотренным должностным регламентом.

3.8. В целях блокирования возможности несанкционированного ознакомления с защищаемой информацией на экране монитора, оператор ПНд должен блокировать сеанс работы при покидании рабочего места более чем на 5 минут. Блокировка сеанса работы производится нажатием клавиш Win + L.

3.9. Нахождение в помещениях, в которых ведется обработка персональных данных лиц, не являющихся гражданскими служащими Министерства, возможно только в присутствии гражданского служащего, уполномоченного на обработку персональных данных, на время, ограниченное необходимостью решения вопросов связанных с функциями предусмотренными должностным регламентом.

3.10. Оператору ПНд запрещено записывать и хранить пароли в местах, доступных для просмотра посторонним лицам (на отдельных листах бумаги, в не запираемой тумбе, под клавиатурой, на мониторе и т.п.).

3.11. При вводе пароля оператор ПНд должен удостовериться, что при вводе пароля никто не наблюдает за процессом его ввода.

3.12. Оператору ПНд запрещено разглашать другим пользователям свой пароль, в том числе ответственному за организацию обработки персональных данных.

3.13. Оператору ПНд запрещено оставлять без присмотра персональный идентификатор (электронный цифровой ключ).

3.14. При подозрении на компрометацию пароля или иной идентификационной информации, оператор ПНд должен незамедлительно сообщить об этом ответственному за организацию обработки персональных данных.

3.15. При работе в информационных системах персональных данных, в целях противодействию несанкционированному просмотру защищаемой информации с экрана монитора, оператор ПНд обязан:

3.16. По окончании обработки персональных данных в информационной системе персональных данных, оператор ПНд должен выйти из информационной системы, а по окончании рабочего дня выключить компьютер.

4.1. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее – материальные носители), в специальных разделах или на полях форм (бланков).

4.2. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.

4.3. Лица, осуществляющие обработку персональных данных без использования средств автоматизации, должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется без использования средств автоматизации.

4.4. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее – типовая форма), должны соблюдаться следующие условия:

4.5. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, принимаются меры по обеспечению раздельной обработки персональных данных, в частности:

4.6. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

4.7. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

4.8. Материальные носители с персональными данными должны храниться в запирающихся на ключ помещениях, металлических шкафах, сейфах, иных шкафах, имеющих запираемые блок-секции.

4.9. Руководитель подразделения, в котором обрабатываются персональные данные без использования средств автоматизации:

4.10. Оператор ПНд при работе с материальными носителями, содержащими персональные данные обязан:

4.11. По факту утраты (утере, хищении) материальных носителей, содержащих персональные данные, руководитель подразделения докладывает руководителю Министерства и сообщает ответственному за организацию обработки персональных данных в Министерстве. По каждому такому факту назначается служебное расследование.

4.12. Оператору ПНд при работе с материальными носителями, содержащими персональные данные запрещается:

5.1. Ответственность за выполнение требований настоящей Инструкции возлагается на операторов ПНд, обрабатывающих персональные данные и их руководителей.

5.2. Контроль за выполнением положений настоящей Инструкции возлагается на ответственного за организацию обработки персональных данных в Министерстве.

5.3. За нарушение правил обработки персональных данных, их неправомерное разглашение или распространение, виновные лица несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с действующим законодательством.