1

ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ

ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ

«БАШКИРСКИЙ ГОСУДАРСТВЕННЫЙ МЕДИЦИНСКИЙ УНИВЕРСИТЕТ»

МИНИСТЕРСТВА ЗДРАВООХРАНЕНИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ

Р. Я. Нагаев, С. Г. Ахмерова, С. Ф. Шамгулова

ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ

В МЕДИЦИНСКИХ ОРГАНИЗАЦИЯХ:

ПРАКТИЧЕСКИЕ ВОПРОСЫ

Учебное пособие

Уфа

2014

2

УДК 340.6

ББК 67.404

Н 16

Р е ц е н з е н т ы :

Заведующий кафедрой организации здравоохранения и общественного

здоровья ИПО ГБОУ ВПО «Ивановская государственная медицинская

академия» Минздрава России, д.м.н., проф. Е. К. Баклушина

Заведующий кафедрой общественного здоровья и здравоохранения № 2 ГБОУ

ВПО «Оренбургская государственная медицинская академия» Минздрава

России, д-р мед. наук, проф. Н. Ю. Перепелкина

Р. Я. Нагаев

Н 16 Защита персональных данных в медицинских организациях:

практические вопросы: уч. пособие. / Р. Я. Нагаев, С. Г. Ахмерова,

С. Ф. Шамгулова. – Уфа: Изд-во ГБОУ ВПО БГМУ Минздрава

России, 2014. – 109 с.

Учебное пособие составлено на основании основной профессиональной

образовательной программы послевузовского профессионального образования

по специальности «Организация здравоохранения и общественное здоровье»

(ординатура).

Учебное пособие знакомит ординаторов с практическими аспектами

применения законодательства в сфере защиты персональных данных, порядком

организации защиты персональных данных в медицинских организациях.

Решение ситуационных задач способствует освоению навыков применения

законодательства по защите персональных данных, подготовки локальных

нормативных документов в медицинских организациях. Контрольные вопросы

и тестовые задания позволят ординаторам закрепить полученные знания.

Учебное пособие предназначено для ординаторов, обучающихся по

специальности «Организация здравоохранения и общественное здоровье».

Рекомендовано к печати Координационным научно-методическим

советом и утверждено решением Редакционно-издательского совета ГОУ ВПО

БГМУ Минздрава России.

© Р. Я. Нагаев, С. Г. Ахмерова, С. Ф.

Шамгулова, 2014

© ГБОУ ВПО БГМУ Минздрава России, 2014

3

СОДЕРЖАНИЕ

СПИСОК СОКРАЩЕНИЙ …………………………………………………………5

ВВЕДЕНИЕ ……………………………………………………………………….....8

Глава 1. ПРАВОВОЕ РЕГУЛИРОВАНИЕ В СФЕРЕ

ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ…………………………………….12

1.1. Принципы и условия обработки персональных данных…………………....12

1.2. Источники и категории персональных данных……………………………...16

1.3. Определение класса типовой информационной

системы персональных данных (ИСПД)………………………………………….19

1.4. Трансграничная передача персональных данных……………………….......21

Глава 2. ОРГАНИЗАЦИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ

ДАННЫХ В МЕДИЦИНСКИХ ОРГАНИЗАЦИЯХ……………………………..24

2.1. Медицинская организация как оператор персональных данных…………...24

2.2. Защита данных о пациенте. Врачебная тайна………………………………..28

2.3. Защита персональных данных медицинского работника…………………...32

2.4. Организация защиты конфиденциальной информации

в медицинских организациях……………………………………………………...36

Глава 3. КОНТРОЛЬ И НАДЗОР ЗА ОБРАБОТКОЙ

ПЕРСОНАЛЬНЫХ ДАННЫХ. ОТВЕТСТВЕННОСТЬ

ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ ФЕДЕРАЛЬНОГО

ЗАКОНА О ПЕРСОНАЛЬНЫХ ДАННЫХ………………………………………42

3.1. Уполномоченный орган по защите прав субъектов

персональных данных……………………………………………………………...42

3.2. Ответственность, предусмотренная за правонарушения

в сфере защиты информации………………………………………………………47

3.2.1. Уголовная ответственность…………………………………………………47

3.2.2. Административная ответственность……………………………………….48

3.2.3. Дисциплинарная ответственность……………………………………….....51

ГЛОССАРИЙ. ОСНОВНЫЕ ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ

В ОБЛАСТИ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ……...53

ТЕСТОВЫЕ ЗАДАНИЯ……………………………………………………………65

4

СИТУАЦИОННЫЕ ЗАДАЧИ……………………………………………………..82

ЭТАЛОНЫ ОТВЕТОВ К ТЕСТОВЫМ ЗАДАНИЯМ………………..………….89

ЭТАЛОНЫ ОТВЕТОВ К СИТУАЦИОННЫМ ЗАДАЧАМ…………………….90

РЕКОМЕНДУЕМАЯ ЛИТЕРАТУРА……………………………………………103

НОРМАТИВНЫЕ ПРАВОВЫЕ ДОКУМЕНТЫ………………………………..105

5

СПИСОК СОКРАЩЕНИЙ

ЕГРЮЛ Единый государственный реестр

юридических лиц

БД база (ы) данных

ГК РФ Гражданский кодекс Российской

Федерации

ИС информационная система

ИС ПД информационная система персональных

данных

КТ компьютерные технологии

КоАП Кодекс Российской Федерации об

административных правонарушениях от 30

декабря 2001 г. № 195-ФЗ

Минздрав России Министерство здравоохранения

Российской Федерации

Минздравсоцразвития

России

Министерство здравоохранения и

социального развития Российской

Федерации

Минкомсвязь России Министерство связи и массовых

коммуникаций Российской Федерации

ООО общество с ограниченной

ответственностью

ПД персональные данные

Роскомнадзор Федеральная служба по надзору в сфере

связи, информационных технологий и

массовых коммуникаций

РФ Российская Федерация

ТК РФ Трудовой кодекс Российской Федерации от

30.12.2001 № 197-ФЗ

ФЗ Федеральный закон

ФСБ Федеральная служба безопасности

Российской Федерации

ФСТЭК Федеральная служба по техническому и

экспортному контролю

УК РФ Уголовный кодекс Российской Федерации

от 13 июня 1996 г. № 63-ФЗ

п. пункт

ст. статья

ч. часть

Федеральный закон № Федеральный закон от 27 июля 2006 г. №

6

149-ФЗ 149-ФЗ «Об информации,

информационных технологиях и о защите

информации»

Закон, Закон «О

персональных данных»

Федеральный закон от 27 июля 2006 г. №

152-ФЗ «О персональных данных»

Указ Президента РФ №

188

Указ Президента Российской Федерации от

6 марта 1997 г. № 188 «Об утверждении

перечня сведений конфиденциального

характера»

Постановление № 687 Постановление Правительства Российской

Федерации от 15 сентября 2008 г. № 687

«Об утверждении положения об

особенностях обработки персональных

данных, осуществляемой без

использования средств автоматизации»

Приказ № 55/86/20 Приказ Федеральной службы по

техническому и экспортному контролю

(ФСТЭК России) Федеральной службы

безопасности Российской Федерации (ФСБ

России) Министерства информационных

технологий и связи Российской Федерации

(Мининформсвязи России) от 13 февраля

2008 г. № 55/86/20 «Об утверждении

Порядка проведения классификации

информационных систем персональных

данных»

Приказ № 346 Приказ Министерства связи и массовых

коммуникаций Российской Федерации от

21 декабря 2011 г. № 346 «Об утверждении

Административного регламента

Федеральной службы по надзору в сфере

связи, информационных технологий и

массовых коммуникаций по

предоставлению государственной услуги

«Ведение реестра операторов,

осуществляющих обработку персональных

данных»

Приказ № 312 Приказ Министерства связи и массовых

коммуникаций Российской Федерации от

14 ноября 2011 г. № 312 «Об утверждении

Административного регламента

исполнения Федеральной службой по

надзору в сфере связи, информационных

7

технологий и массовых коммуникаций

государственной функции по

осуществлению государственного

контроля (надзора) за соответствием

обработки персональных данных

требованиям законодательства Российской

Федерации в области персональных

данных»

Приказ № 706 Приказ Федеральной службы по надзору в

сфере связи, информационных технологий

и массовых коммуникаций от 19 августа

2011 г. № 706 «Об утверждении

Рекомендаций по заполнению образца

формы уведомления об обработке (о

намерении осуществлять обработку)

персональных данных»

8

ВВЕДЕНИЕ

Что бы при лечении — а также и без лечения —

я ни увидел или ни услышал касательно жизни людской из того,

что не следует когда-либо разглашать,

я умолчу о том, считая подобные вещи тайной

Клятва Гиппократа

Организация обработки и защиты персональных данных работников и

пациентов, сохранение врачебной тайны - одна из важнейших задач, которую

приходится решать в медицинских организациях. Для выполнения всех

законодательно установленных требований к защите конфиденциальной

информации при ее автоматизированной обработке в медицинских

организациях должна быть создана комплексная система обеспечения

информационной безопасности.

Основная профессиональная образовательная программа послевузовского

профессионального образования по специальности «Организация

здравоохранения и общественное здоровье» (ординатура) предусматривают

изучение основ защиты информации в рамках соблюдения прав пациентов на

защиту персональных данных, защиту от посягательств информации о

сотрудниках медицинской организации, а также защиту от

несанкционированного использования информации, составляющей

коммерческую тайну медицинской организации.

В настоящее время нормативная правовая база, регулирующая отношения

в области информации, информационных технологий и информационной

безопасности, а также организационная структура государственной системы

управления процессами информатизации и обеспечения информационной

безопасности, претерпевают существенные изменения. В связи с этим учебно-

методическая литература в области организационно-правовых вопросов

9

информатизации, обработки и защиты персональных данных требует

регулярного обновления. Кроме того, в доступной литературе отсутствуют

учебные и учебно-методические пособия по практическим аспектам

организации обработки и защиты персональных данных в медицинских

организациях, что обуславливает актуальность составления настоящего

учебного пособия.

Данное учебное пособие разработано с целью углубления знаний

ординаторов в области информационных технологий, информационной

безопасности и защиты персональных данных, использования в

здравоохранении основных положений действующего законодательства в

области обработки и защиты персональных данных, освоения технологий

организации обработки и защиты персональных данных в медицинских

организациях.

Пособие состоит из четырех разделов: «Правовое регулирование в сфере

обработки персональных данных», «Организация защиты персональных

данных в медицинских организациях», «Контроль и надзор за обработкой

персональных данных. Ответственность за нарушение требований

Федерального закона о персональных данных», «Глоссарий. Основные понятия,

связанные с обработкой и защитой персональных данных». В первом разделе

пособия раскрываются особенности правового регулирования в сфере

персональных данных, основные понятия, используемые в области обработки и

защиты персональных, в том числе медицинских, данных. Во втором разделе

дается характеристика медицинской организации как оператора персональных

данных, алгоритм организации защиты конфиденциальной информации и

персональных данных в медицинских организациях. В третьем разделе пособия

приводятся особенности административной, уголовной и дисциплинарной

ответственности за правонарушения в сфере защиты информации в

здравоохранении. В Глоссарии представлена терминология в области

10

обработки и защиты персональных данных, разъясняющий и дополняющий

основной материал.

Закрепить полученные знания ординаторы смогут, ответив на

контрольные вопросы, расположенные в конце каждого раздела. Оценить

уровень освоения материала ординаторы сумеют, сопоставив свои ответы на

тестовые задания с эталонами ответов.

Решение ситуационных задач и разбор предлагаемых ситуаций

направлены на формирование у ординаторов компетенций в области

применения действующего законодательства в сфере информационной

безопасности и защиты конфиденциальной информации при решении частных

проблем обработки и защиты персональных данных в здравоохранении, в

медицинской организации. Анализ предлагаемых ситуаций позволит

ординаторам научиться применять технологии и алгоритмы организации

обработки и защиты персональных данных при решении конкретных задач

управленческого характера на рабочем месте.

Цель изучения материалов пособия – получить знания о нормативных

правовых документах, регулирующих сферу обработки и защиты персональных

данных, изучить практические аспекты защиты конфиденциальной

информации в медицинских организациях.

По окончании изучения темы ординатор должен знать:

- нормативное правовое регулирование защиты персональных данных в

Российской Федерации;

- основные понятия, используемые в законодательных правовых

документах, регламентирующих защиту персональных данных и

конфиденциальной информации в медицинских организациях;

- характеристику медицинской организации как оператора персональных

данных;

- цели, задачи, алгоритмы организации защиты конфиденциальной

информации в медицинской организации;

11

- основные требования к защите данных о пациенте, обеспечению

врачебной тайны;

- основные требования к защите персональных данных медицинского

работника;

- механизмы контроля и организации надзора за обработкой

персональных данных;

- ответственность, предусмотренную за правонарушения в сфере защиты

информации.

уметь:

- осуществлять комплекс организационно-правовых мероприятий по

организации защиты персональных данных и защиты конфиденциальной

информации в медицинских организациях;

- организовывать деятельность медицинской организации как оператора

персональных данных;

- принимать управленческие решения, направленные на обеспечение

защиты персональных данных о пациентах и персональных данных

медицинских работников в медицинских организациях;

- выявлять и предотвращать нарушения законодательства в сфере защиты

конфиденциальной информации;

- использовать существующее законодательство в сфере защиты

персональных данных при решении конкретных задач по управлению в сфере

здравоохранения.

Данное учебное пособие по практическим аспектам защиты

персональных данных в медицинских организациях является основой для

последующего изучения нормативных правовых документов и дополняющих

их разъяснений уполномоченных органов в сфере защиты информации.

12

Глава 1.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ В СФЕРЕ

ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1. Принципы и условия обработки персональных данных

Законодательство Российской Федерации в области персональных

данных основывается на международных договорах Российской Федерации,

Конституции Российской Федерации, федеральных законах, иных нормативных

правовых актах Российской Федерации, законах и иных нормативных актах

субъектов Российской Федерации.

Основным документом, устанавливающим фундаментальные положения

защиты информации в здравоохранении и определяющим политику защиты

информации, является Федеральный закон от 27 июля 2006г. № 152-ФЗ «О

персональных данных» (далее – Закон «О персональных данных»).

Целью настоящего Федерального закона является обеспечение защиты

прав и свобод человека и гражданина при обработке его персональных данных,

в том числе защиты прав на неприкосновенность частной жизни, личную и

семейную тайну.

Настоящим Федеральным законом регулируются отношения, связанные с

обработкой персональных данных, осуществляемой федеральными органами

государственной власти, органами государственной власти субъектов

Российской Федерации, иными государственными органами, органами

местного самоуправления, иными муниципальными, юридическими лицами и

физическими лицами с использованием средств автоматизации, в том числе в

информационно-телекоммуникационных сетях, или без использования таких

средств, если обработка персональных данных без использования таких средств

соответствует характеру действий (операций), совершаемых с персональными

данными с использованием средств автоматизации, то есть позволяет

13

осуществлять в соответствии с заданным алгоритмом поиск персональных

данных, зафиксированных на материальном носителе и содержащихся в

картотеках или иных систематизированных собраниях персональных данных, и

(или) доступ к таким персональным данным.

Согласно указанному Закону персональные данные - любая информация,

относящаяся к определенному или определяемому на основании такой

информации физическому лицу (субъекту ПД), в том числе его фамилия, имя,

отчество, год, месяц, дата и место рождения, адрес, семейное, социальное,

имущественное положение, образование, профессия, доходы, другая

информация. Именно эти данные накапливаются в информационных системах

медицинских организаций.

Под обработкой ПД подразумевают: сбор, систематизацию, накопление,

хранение, уточнение (обновление, изменение), использование, распространение

(в том числе передачу), обезличивание, блокирование, уничтожение ПД.

Принципы обработки персональных данных:

1. Обработка ПД должна осуществляться на законной и справедливой

основе.

2. Обработка ПД должна ограничиваться достижением конкретных,

заранее определенных и законных целей.

3. Не допускается объединение баз данных, содержащих ПД, обработка

которых осуществляется в целях, несовместимых между собой.

4. Обработке подлежат только ПД, которые отвечают целям их

обработки.

5. Содержание и объем обрабатываемых ПД должны соответствовать

заявленным целям обработки.

6. При обработке ПД должны быть обеспечены точность ПД, их

достаточность, а также актуальность по отношению к целям обработки ПД.

7. Хранение ПД должно осуществляться в форме, позволяющей

определить субъекта ПД, не дольше, чем этого требуют цели обработки ПД,

14

если срок хранения ПД не установлен Законом, договором, стороной которого,

выгодоприобретателем или поручителем по которому является субъект ПД.

Условия обработки персональных данных. Обработка ПД допускается в

следующих случаях:

1) обработка персональных данных осуществляется с согласия субъекта

персональных данных на обработку его персональных данных;

2) обработка персональных данных необходима для достижения целей,

предусмотренных международным договором Российской Федерации или

законом, для осуществления и выполнения возложенных законодательством

Российской Федерации на оператора функций, полномочий и обязанностей;

3) обработка персональных данных необходима для осуществления

правосудия, исполнения судебного акта, акта другого органа или должностного

лица, подлежащих исполнению в соответствии с законодательством

Российской Федерации об исполнительном производстве (далее - исполнение

судебного акта);

4) обработка персональных данных необходима для исполнения

полномочий федеральных органов исполнительной власти, органов

государственных внебюджетных фондов, исполнительных органов

государственной власти субъектов Российской Федерации, органов местного

самоуправления и функций организаций, участвующих в предоставлении

соответственно государственных и муниципальных услуг, предусмотренных

Федеральным законом от 27 июля 2010 года № 210-ФЗ «Об организации

предоставления государственных и муниципальных услуг», включая

регистрацию субъекта персональных данных на едином портале

государственных и муниципальных услуг и (или) региональных порталах

государственных и муниципальных услуг;

5) обработка персональных данных необходима для исполнения договора,

стороной которого либо выгодоприобретателем или поручителем по которому

является субъект персональных данных, а также для заключения договора по

15

инициативе субъекта персональных данных или договора, по которому субъект

персональных данных будет являться выгодоприобретателем или поручителем;

6) обработка персональных данных необходима для защиты жизни,

здоровья или иных жизненно важных интересов субъекта персональных

данных, если получение согласия субъекта персональных данных невозможно;

7) обработка персональных данных необходима для осуществления прав и

законных интересов оператора или третьих лиц либо для достижения

общественно значимых целей при условии, что при этом не нарушаются права

и свободы субъекта персональных данных;

8) обработка персональных данных необходима для осуществления

профессиональной деятельности журналиста и (или) законной деятельности

средства массовой информации либо научной, литературной или иной

творческой деятельности при условии, что при этом не нарушаются права и

законные интересы субъекта персональных данных;

9) обработка персональных данных осуществляется в статистических или

иных исследовательских целях, за исключением целей, указанных в статье 15

Закона, при условии обязательного обезличивания персональных данных;

10) осуществляется обработка персональных данных, доступ

неограниченного круга лиц к которым предоставлен субъектом персональных

данных либо по его просьбе (далее - персональные данные, сделанные

общедоступными субъектом персональных данных);

11) осуществляется обработка персональных данных, подлежащих

опубликованию или обязательному раскрытию в соответствии с федеральным

законом.

Оператор вправе поручить обработку ПД другому лицу с согласия

субъекта ПД, если иное не предусмотрено Законом, на основании заключаемого

с этим лицом договора, в том числе государственного или муниципального

контракта (п.3. ст.6 Закона).

Лицо, осуществляющее обработку ПД по поручению оператора, обязано

16

соблюдать принципы и правила обработки ПД, предусмотренные Законом. В

поручении оператора должны быть определены перечень действий (операций) с

ПД, которые будут совершаться лицом, осуществляющим обработку ПД, и

цели обработки, должна быть установлена обязанность такого лица соблюдать

конфиденциальность ПД и обеспечивать безопасность ПД при их обработке.

Лицо, осуществляющее обработку ПД по поручению оператора, не

обязано получать согласие субъекта ПД на обработку его ПД.

В случае, если оператор поручает обработку ПД другому лицу,

ответственность перед субъектом персональных данных за действия указанного

лица несет оператор. Лицо, осуществляющее обработку ПД по поручению

оператора, несет ответственность перед оператором.

Операторы и иные лица, получившие доступ к ПД, обязаны не

раскрывать третьим лицам и не распространять ПД без согласия субъекта

персональных данных, если иное не предусмотрено федеральным законом.

1.2. Источники и категории персональных данных

Общедоступные персональные данные - персональные данные, доступ

неограниченного круга лиц к которым предоставлен с согласия субъекта

персональных данных или на которые в соответствии с федеральными

законами не распространяется требование соблюдения конфиденциальности.

Общедоступные ПД относятся к 4-й категории персональных данных,

конфиденциальность для которых обеспечивать не требуется.

В целях информационного обеспечения могут создаваться

общедоступные источники персональных данных (в том числе справочники,

адресные книги). В общедоступные источники ПД с письменного согласия

субъекта ПД могут включаться его фамилия, имя, отчество, год и место

рождения, адрес, абонентский номер, сведения о профессии и иные

персональные данные, сообщаемые субъектом ПД.

Сведения о субъекте ПД должны быть в любое время исключены из

17

общедоступных источников персональных данных по требованию субъекта ПД

либо по решению суда или иных уполномоченных государственных органов.

Обработка специальных категорий персональных данных, касающихся

расовой, национальной принадлежности, политических взглядов, религиозных

или философских убеждений, состояния здоровья, интимной жизни, не

допускается. Обработка указанных специальных категорий ПД допускается в

случаях, если субъект ПД дал согласие в письменной форме на обработку своих

ПД или, если ПД сделаны общедоступными субъектом ПД.

Законом определяется, что обработка специальных категорий ПД, без

согласия субъекта ПД допускается в случае, если:

- обработка ПД необходима в связи с реализацией международных

договоров Российской Федерации о реадмиссии;

- обработка ПД осуществляется в соответствии с Федеральным законом

от 25 января 2002 года № 8-ФЗ «О Всероссийской переписи населения»;

- обработка ПД осуществляется в соответствии с законодательством о

государственной социальной помощи, трудовым законодательством,

законодательством Российской Федерации о пенсиях по государственному

пенсионному обеспечению, о трудовых пенсиях;

- обработка ПД необходима для защиты жизни, здоровья или иных

жизненно важных интересов субъекта ПД либо жизни, здоровья или иных

жизненно важных интересов других лиц и получение согласия субъекта ПД

невозможно;

- обработка ПД осуществляется в медико-профилактических целях, в

целях установления медицинского диагноза, оказания медицинских и медико-

социальных услуг при условии, что обработка ПД осуществляется лицом,

профессионально занимающимся медицинской деятельностью и обязанным в

соответствии с законодательством Российской Федерации сохранять врачебную

тайну;

- обработка ПД членов (участников) общественного объединения или

18

религиозной организации осуществляется соответствующими общественным

объединением или религиозной организацией, действующими в соответствии с

законодательством Российской Федерации, для достижения законных целей,

предусмотренных их учредительными документами, при условии, что ПД не

будут распространяться без согласия в письменной форме субъектов ПД;

- обработка ПД необходима для установления или осуществления прав

субъекта ПД или третьих лиц, а равно и в связи с осуществлением правосудия;

- обработка ПД осуществляется в соответствии с законодательством

Российской Федерации об обороне, о безопасности, о противодействии

терроризму, о транспортной безопасности, о противодействии коррупции, об

оперативно-разыскной деятельности, об исполнительном производстве,

уголовно-исполнительным законодательством Российской Федерации;

- обработка ПД осуществляется в соответствии с законодательством об

обязательных видах страхования, со страховым законодательством;

- обработка ПД осуществляется в случаях, предусмотренных

законодательством Российской Федерации, государственными органами,

муниципальными органами или организациями в целях устройства детей,

оставшихся без попечения родителей, на воспитание в семьи граждан.

Обработка ПД о судимости может осуществляться государственными

органами или муниципальными органами в пределах полномочий,

предоставленных им в соответствии с законодательством Российской

Федерации, а также иными лицами в случаях и в порядке, которые

определяются в соответствии с федеральными законами.

Биометрические персональные данные содержат сведения, которые

характеризуют физиологические и биологические особенности человека, на

основании которых можно установить его личность. При использовании

оператором биометрических ПД их обработка в целях установления личности

субъекта ПД допускается только при наличии согласия в письменной форме

субъекта ПД.

19

Обработка биометрических ПД может осуществляться без согласия

субъекта ПД в связи с реализацией международных договоров РФ о

реадмиссии, в связи с осуществлением правосудия и исполнением судебных

актов, а также в случаях, предусмотренных законодательством РФ об обороне,

о безопасности, о противодействии терроризму, о транспортной безопасности,

о противодействии коррупции, об оперативно-разыскной деятельности, о

государственной службе, уголовно-исполнительным законодательством

Российской Федерации, законодательством Российской Федерации о порядке

выезда из Российской Федерации и въезда в Российскую Федерацию.

1.3. Определение класса типовой информационной

системы персональных данных (ИСПДн)

Классификация ИСПДн осуществляется согласно Приказу ФСТЭК

России, ФСБ России, Мининформсвязи России № 55/86/20 от 18.02.2009 г. «Об

утверждении порядка проведения классификации информационных систем

персональных данных». Для определения класса типовой ИСПДн необходимо:

1. Определить категорию обрабатываемых персональных данных:

- категория 1: ПД, касающиеся расовой, национальной принадлежности,

политических взглядов, религиозных и философских убеждений, состояния

здоровья, интимной жизни;

- категория 2: ПД, позволяющие идентифицировать субъекта ПД и

получить о нем дополнительную информацию, за исключением ПД,

относящихся к категории 1;

- категория 3: ПД, позволяющие идентифицировать субъекта ПД;

- категория 4: обезличенные и (или) общедоступные ПД.

2. Определить объем обрабатываемых ПД (количество субъектов ПД,

персональные данные которых обрабатываются в информационной системе):

20

- объем 1: в информационной системе одновременно обрабатываются ПД

более чем 100 000 субъектов ПД или персональные данные субъектов ПД в

пределах субъекта Российской Федерации или Российской Федерации в целом;

- объем 2: в информационной системе одновременно обрабатываются ПД

от 1000 до 100 000 субъектов ПД или персональные данные субъектов ПД,

работающих в отрасли экономики РФ, в органе государственной власти,

проживающих в пределах муниципального образования;

- объем 3: в информационной системе одновременно обрабатываются

данные менее чем 1000 субъектов ПД или персональные данные субъектов ПД

в пределах конкретной организации.

По результатам анализа исходных данных типовой ИСПД, в соответствии

с таблицей 1, присваивается один из следующих классов:

- класс 4 (К4) - информационные системы, для которых нарушение

заданной характеристики безопасности ПД, обрабатываемых в них, не

приводит к негативным последствиям для субъектов ПД;

- класс 3 (К3) - информационные системы, для которых нарушение

заданной характеристики безопасности ПД, обрабатываемых в них, может

привести к незначительным негативным последствиям для субъектов ПД;

- класс 2 (К2) - информационные системы, для которых нарушение

заданной характеристики безопасности ПД, обрабатываемых в них, может

привести к негативным последствиям для субъектов ПД;

- класс 1 (К1) - информационные системы, для которых нарушение

заданной характеристики безопасности ПД, обрабатываемых в них, может

привести к значительным негативным последствиям для субъектов ПД.

21

Таблица 1

Определение класса информационных систем персональных данных

Категория/

Объем

Объем 3

(<1 000,

организация)

Объем 2

(1 000 - 100 000,

отрасль, город)

Объем 1

(>100 000,

субъект Федерации)

Категория 4 Класс 4 Класс 4 Класс 4

Категория 3 Класс 3 Класс 3 Класс 2

Категория 2 Класс 3 Класс 2 Класс 1

Категория 1 Класс 1 Класс 1 Класс 1

От класса ИСПДн зависит, какие требования по обеспечению

безопасности ПД должны выполняться в данной информационной системе. Чем

ниже класс ИСПДн, тем выше требования по обеспечению ее защиты.

Таким образом, ИС медицинских организаций, в которых

обрабатываются ПД о состоянии здоровья пациентов, относятся к системам 1-

го класса (К1) и им присваивается максимальный гриф обрабатываемой

информации «конфиденциально» (класс 1Г).

1.4. Трансграничная передача персональных данных

Трансграничная передача ПД на территории иностранных государств,

являющихся сторонами Конвенции Совета Европы о защите физических лиц

при автоматизированной обработке ПД, а также иных иностранных государств,

обеспечивающих адекватную защиту прав субъектов ПД, осуществляется в

соответствии с Законом и может быть запрещена или ограничена в целях

защиты основ конституционного строя Российской Федерации, нравственности,

здоровья, прав и законных интересов граждан, обеспечения обороны страны и

безопасности государства.

Уполномоченный орган по защите прав субъектов ПД утверждает

перечень иностранных государств, не являющихся сторонами Конвенции

Совета Европы о защите физических лиц при автоматизированной обработке

ПД и обеспечивающих адекватную защиту прав субъектов ПД. Государство, не

являющееся стороной данной Конвенции Совета Европы, может быть

22

включено в перечень иностранных государств, обеспечивающих адекватную

защиту прав субъектов ПД, при условии соответствия положениям указанной

Конвенции действующих в соответствующем государстве норм права и

применяемых мер безопасности ПД.

Оператор обязан убедиться в том, что иностранным государством, на

территорию которого осуществляется передача ПД, обеспечивается адекватная

защита прав субъектов ПД, до начала осуществления трансграничной передачи.

Трансграничная передача ПД на территории иностранных государств, не

обеспечивающих адекватной защиты прав субъектов ПД, может

осуществляться в случаях:

- наличия согласия в письменной форме субъекта ПД на трансграничную

передачу его ПД;

- предусмотренных международными договорами Российской

Федерации;

- предусмотренных федеральными законами, если это необходимо в

целях защиты основ конституционного строя Российской Федерации,

обеспечения обороны страны и безопасности государства, а также обеспечения

безопасности устойчивого и безопасного функционирования транспортного

комплекса, защиты интересов личности, общества и государства в сфере

транспортного комплекса от актов незаконного вмешательства;

- исполнения договора, стороной которого является субъект ПД;

- защиты жизни, здоровья, иных жизненно важных интересов субъекта

ПД или других лиц при невозможности получения согласия в письменной

форме субъекта ПД.

Контрольные вопросы:

1. В каких нормативных правовых документах содержатся основные

положения защиты информации в сфере здравоохранения.

23

2. Дайте определение персональных данных. Какие именно сведения

относятся к ПД гражданина. Какие медицинские данные пациента относятся к

персональным данным.

3. Что входит в понятие «обработка персональных данных». Каким

образом происходит неавтоматизированная обработка персональных данных.

4. Укажите принципы и условия обработки персональных данных.

5. Что относится к ообщедоступным ПД. Приведите примеры.

6. Перечислите сведения, относящиеся к специальным категориям ПД.

7. Дайте характеристику биометрическим персональным данным.

8. К каким классам следует относить информационные системы

медицинских организаций, в которых обрабатываются ПД.

9. Перечислите действия, которые необходимо совершить для

обезличивания персональных данных.

10. Приведите алгоритм трансграничной передачи персональных данных.

24

Глава 2.

ОРГАНИЗАЦИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

В МЕДИЦИНСКИХ ОРГАНИЗАЦИЯХ

2.1. Медицинская организация как

оператор персональных данных

Абсолютное большинство информационных ресурсов медицинских

организаций содержат те или иные сведения конфиденциального характера

(служебная, коммерческая, врачебная тайна).

В соответствии со ст. 727 ГК РФ под конфиденциальностью информации

понимается обязательное для выполнения лицом, получившим доступ к

определенной информации, требование не передавать такую информацию

третьим лицам без согласия ее обладателя.

Указ Президента Российской Федерации от 6 марта 1997 г. № 188 «Об

утверждении перечня сведений конфиденциального характера» определяет, что

к таковым, в частности относятся:

- сведения о фактах, событиях и обстоятельствах частной жизни

гражданина, позволяющие идентифицировать его личность (персональные

данные);

- сведения, составляющие тайну следствия и судопроизводства, а также

сведения о государственной защите потерпевших, свидетелей и иных

участников уголовного судопроизводства;

- служебные сведения, доступ к которым ограничен органами

государственной власти (служебная тайна);

- сведения, связанные с профессиональной деятельностью (врачебная,

нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров,

почтовых отправлений, телеграфных или иных сообщений и т.д.). В частности,

врачебная тайна - сведения о факте обращения гражданина за оказанием

25

медицинской помощи, состоянии его здоровья и диагнозе, иные сведения,

полученные при его медицинском обследовании и лечении;

- сведения, связанные с коммерческой деятельностью (коммерческая

тайна);

- сведения о сущности изобретения, полезной модели или

промышленного образца до официальной публикации информации о них.

Виды конфиденциальной информации, обрабатываемые в медицинских

информационных системах, представлены на схеме 1.

В соответствии с частью 4 ст. 9 Закона «Об информации,

информационных технологиях и о защите информации» доступ к

конфиденциальной информации должен быть ограничен. Соответственно,

любая медицинская организация, фонд обязательного медицинского

страхования, страховая медицинская организация, являются операторами ПД.

Оператором ПД является государственный орган, муниципальный орган,

юридическое или физическое лицо, самостоятельно или совместно с другими

лицами организующие и (или) осуществляющие обработку персональных

данных, а также определяющие цели обработки персональных данных, состав

персональных данных, подлежащих обработке, действия (операции),

совершаемые с персональными данными.

В общем случае оператор ПД должен:

- зарегистрироваться в качестве оператора ПД. Для этого оператор ПД

должен подготовить и направить уведомление в территориальный орган

Роскомнадзора, который Приказом № 346 определён в качестве

уполномоченного органа по ведению реестра операторов, осуществляющих

обработку персональных данных. Вышеуказанным приказом определены

процедуры по внесению сведений об Операторе в Реестр; изменению сведений

об Операторе, исключению сведений об Операторе из Реестра, а также по

предоставлению выписки из Реестра;

- получить письменные согласия пациентов (субъектов ПД) на обработку,

в том числе передачу их персональных данных, а также на передачу кому-либо

сведений, содержащих врачебную тайну;

26

Схема 1. Виды конфиденциальной информации,

обрабатываемых в медицинских информационных системах

Вр

ач

еб

ная

тай

на

О факте обращения

Личная тайна пациента

Профессиональная тайна врача

Анамнез

Личная тайна пациента и его близких

Профессиональная тайна врача

Диагноз

Личная тайна пациента

Профессиональная тайна врача

Состояние, о ходе лечения

Личная тайна пациента

Профессиональная тайна врача

Назначения, рекомендации

Критически важна сохранность

от утраты и модификации

Персональные данные

Личная тайна пациента

Специальные требования для

медицинской организации

Принадлежность к группе

Критически важна сохранность

от утраты и модификации

Стоимость и способы оплаты

Личная тайна пациента

Коммерческая тайна медицинской

организации

Себестоимость медицинских услуг

Коммерческая тайна медицинской

организации

Об

езли

чен

ны

е

агр

еги

ро

ван

ны

е д

анн

ые

Пер

со

нал

ьн

ые д

ан

ны

е

Ко

мм

ер

ческ

ая

тай

на

27

- обеспечить информирование пациентов по их запросам о целях,

способах и сроках обработки, хранения их ПД, а также о лицах, имеющих к ним

доступ. Для этого в информационной системе учреждения должны быть

реализованы функции разграничения полномочий, аутентификации,

регистрации (учёта) и контроля доступа пользователей к ПД, автоматического

ведения журналов доступа;

- для определения необходимых мер и выбора средств защиты ПД

провести классификацию своей ИС в зависимости от характера (состава) и

объема обрабатываемых ПД и угроз безопасности жизненно важным интересам

личности в случае нарушения их конфиденциальности (утечки) и оформить

соответствующий документ (все ИС ПД, в которых обрабатываются сведения о

состоянии здоровья, в соответствии с требованиями приказа ФСТЭК, ФСБ и

Миниформсвязи России № 55 / 86 / 20 от 13.02.2008 являются системами 1-го

класса - К1);

- организовать и поддерживать систему защиты конфиденциальной

информации от несанкционированного доступа в соответствии с

установленным классом ИС с использованием средств защиты,

сертифицированных в установленном порядке; для подтверждения

соответствия ИС требованиям защиты конфиденциальной информации и ПД

необходимо провести аттестацию системы.

В ряде случаев медицинская организация может обрабатывать

персональные данные, не посылая уведомление в адрес уполномоченного

органа по ведению реестра операторов, осуществляющих обработку ПД. В

соответствии с Законом, уведомление не требуется в следующих случаях:

- если ПД обрабатываются в соответствии с трудовым законодательством

(отделы кадров);

- при получении и использовании ПД в связи с заключением договора,

стороной которого является субъект персональных данных;

28

- обработка ПД общественным объединением или религиозной

организацией как информации о членах организации;

- обработка ПД, содержащих только Ф.И.О.;

- обработка ПД в целях однократного пропуска субъекта на охраняемую

территорию;

- в специальных случаях, предусмотренных законодательством

Российской Федерации в целях защиты безопасности государства и

общественного порядка (например, при противодействии правонарушениям и

терроризму);

- в случаях обработки ПД для обеспечения транспортной безопасности, в

целях обеспечения устойчивого и безопасного функционирования

транспортного комплекса, защиты интересов личности, общества и государства

в сфере транспортного комплекса от актов незаконного вмешательства.

2.2. Защита данных о пациенте. Врачебная тайна

Конституция Российской Федерации, как основной закон страны, в статье

23 определяет, что каждый имеет право на неприкосновенность частной жизни,

личную и семейную тайну, защиту своей чести и доброго имени.

Врачебная тайна – это сведения о факте обращения гражданина за

оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные

сведения, полученные при его медицинском обследовании и лечении.

Федеральным законом № 323-ФЗ в статье 19, посвященной правам

пациента, закреплено право пациента на защиту сведений, составляющих

врачебную тайну.

Данным законом впервые определено, что соблюдение врачебной тайны

входит в девять основных принципов охраны здоровья человека. Статья 13

закона устанавливает, что предоставление третьим лицам сведений,

составляющих врачебную тайну, теперь допускается только с письменного

согласия гражданина или его законного представителя. Кроме того,

29

устанавливается прямой запрет на разглашение сведений, составляющих

врачебную тайну, даже после смерти человека.

В статье 13 Федеральным законом № 323-ФЗ предусмотрен

исчерпывающий перечень случаев, при которых допускается предоставление

третьим лицам сведений, составляющих врачебную тайну, без согласия

гражданина или его законного представителя.

Одним из таких случаев является предоставление информации в целях

обследования и лечения гражданина, не способного из-за своего состояния

выразить свою волю. При этом, допуская возможность передачи информации,

законодательство не определяет, когда именно и кому можно ее передавать.

Поэтому представляется допустимым решать этот вопрос в каждом конкретном

случае.

Закон делает ссылку на п. 1 ч. 9 ст. 20 указанного закона, которая гласит,

что медицинское вмешательство без согласия гражданина, одного из родителей

или иного законного представителя допускается, если оно необходимо по

экстренным показаниям для устранения угрозы жизни человека и если его

состояние не позволяет выразить свою волю или отсутствуют законные

представители в отношении следующих категорий:

- в отношении несовершеннолетнего, не достигшего возраста 15 лет (а в

отношении несовершеннолетнего, больного наркоманией - в возрасте до

шестнадцати лет);

- несовершеннолетнего больного наркоманией при оказании ему

наркологической помощи или при медицинском освидетельствовании

несовершеннолетнего в целях установления состояния наркотического либо

иного токсического опьянения.

Кроме того, предоставление сведений, составляющих врачебную тайну,

без согласия гражданина или его законного представителя допускается:

- при угрозе распространения инфекционных заболеваний, массовых

отравлений и поражений;

30

- по запросу органов дознания и следствия, суда в связи с проведением

расследования или судебным разбирательством, по запросу органа уголовно-

исполнительной системы в связи с исполнением уголовного наказания и

осуществлением контроля за поведением условно осужденного, осужденного, в

отношении которого отбывание наказания отсрочено, и лица, освобожденного

условно-досрочно;

- в случае оказания медицинской помощи несовершеннолетнему,

больному наркоманией при оказании ему наркологической помощи или при

медицинском освидетельствовании несовершеннолетнего в целях установления

состояния наркотического либо иного токсического опьянения (за

исключением установленных законодательством Российской Федерации

случаев приобретения несовершеннолетними полной дееспособности до

достижения ими восемнадцатилетнего возраста);

- в случае оказания медицинской помощи несовершеннолетнему в

возрасте до шестнадцати лет и иным несовершеннолетним в возрасте до

пятнадцати лет для информирования одного из его родителей или иного

законного представителя;

- в целях информирования органов внутренних дел о поступлении

пациента, в отношении которого имеются достаточные основания полагать, что

вред его здоровью причинен в результате противоправных действий в

соответствии с приказом Минздравсоцразвития России от 17 мая 2012 г. №

565н «Об утверждении Порядка информирования медицинскими

организациями органов внутренних дел о поступлении пациентов, в отношении

которых имеются достаточные основания полагать, что вред их здоровью

причинен в результате противоправных действий»;

- в целях проведения военно-врачебной экспертизы по запросам военных

комиссариатов, кадровых служб и военно-врачебных (врачебно-летных)

комиссий федеральных органов исполнительной власти, в которых

федеральным законом предусмотрена военная и приравненная к ней служба;

31

- в целях расследования несчастного случая на производстве и

профессионального заболевания;

- при обмене информацией медицинскими организациями, в том числе

размещенной в медицинских информационных системах, в целях оказания

медицинской помощи с учетом требований законодательства Российской

Федерации о персональных данных;

- в целях осуществления учета и контроля в системе обязательного

социального страхования;

- в целях осуществления контроля качества и безопасности медицинской

деятельности в соответствии с настоящим Федеральным законом.

Обладателем информации, содержащей сведения о ПД, является пациент

(субъект ПД) или его законный представитель. В данном случае, в соответствии

с законодательством, должно быть получено согласие пациента на передачу

сведений, содержащих врачебную тайну, кому-либо, в том числе должностным

лицам в интересах его обследования и лечения.

Согласие пациента на обработку своих ПД должно быть оформлено

письменно и включать в себя:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер

основного документа, удостоверяющего его личность, сведения о дате выдачи

указанного документа и выдавшем его органе;

2) наименование (фамилию, имя, отчество) и адрес оператора,

получающего согласие субъекта персональных данных;

3) цель обработки персональных данных;

4) перечень персональных данных, на обработку которых дается согласие

субъекта персональных данных;

5) перечень действий с персональными данными, на совершение которых

дается согласие, общее описание используемых оператором способов

обработки персональных данных;

32

6) срок, в течение которого действует согласие, а также порядок его

отзыва.

Поскольку Перечень определенных видов медицинских вмешательств, на

которые граждане дают информированное добровольное согласие при выборе

врача и медицинской организации для получения первичной медико-

санитарной помощи (Приказ Минздравсоцразвития от 23 апреля 2012г. № 390н)

достаточно широк, то в амбулаторно-поликлинических условиях письменное

согласие можно оформлять при первом обращении пациента и оформлении

медицинской карты амбулаторного больного, в стационаре – при каждом

случае госпитализации в виде вкладыша в медицинскую карту стационарного

больного.

При организации работы рекомендуется максимально ограничить круг

сотрудников, которым предоставлен доступ к ПД пациентов.

Согласно ст. 20 Закона, медицинская организация обязана предоставить

безвозмездно пациенту возможность ознакомления с его персональными

данными. В срок, не превышающий 7 рабочих дней со дня предоставления

пациентом сведений, подтверждающих, что персональные данные были

получены незаконно или не являются необходимыми для заявленной цели

обработки, оператор обязан уничтожить такие персональные данные.

2.3. Защита персональных данных медицинского работника

Работа отдела кадров медицинской организации связана с подбором

персонала, приёмом на работу работников, а также с накоплением, обработкой,

хранением и использованием сведений о работниках. Защита ПД работника,

порядок доступа к ним, процедура предоставления информации третьим лицам

регулируется трудовым законодательством Российской Федерации (глава 14,

статьи 85-90 ТК РФ).

Кодекс устанавливает, что «Персональные данные работника -

информация, необходимая работодателю в связи с трудовыми отношениями и

33

касающаяся конкретного работника». Обработка персональных данных

работника - получение, хранение, комбинирование, передача или любое другое

использование персональных данных работника.

Обязанность защиты персональных данных работника от неправомерного

их использования или утраты возложена на работодателя, который

обеспечивает это за счет собственных средств в порядке, установленном ТК РФ

и иными федеральными законами (п. 7 ст. 86 ТК РФ).

Принятая в 1981 году в Страсбурге Конвенция о защите физических лиц

при автоматизированной обработке ПД устанавливает, что «данные личного

характера» - любая информация, относящаяся к физическому лицу, либо

идентифицированному, либо которое может быть идентифицировано.

Персональные данные работника содержатся в основном документе

персонального учета работников - личном деле работника, которое включает

следующие документы: кадровая справка; заявление работника о приеме на

работу; анкета; автобиография; характеристика-рекомендация; результат

медицинского обследования на предмет годности к осуществлению трудовых

обязанностей; копия приказа о приеме на работу; расписка работника об

ознакомлении с документами организации, устанавливающими порядок

обработки персональных данных работников, а также о его правах и

обязанностях в этой области; расписка работника об ознакомлении его с

лекальными нормативными актами организации; дополнение к личному делу;

карточка поощрений и взысканий; внутренняя опись.

Все документы личного дела подшиваются в обложку образца,

установленного в организации; на обложке должны быть фамилия, имя,

отчество работника.

Личные дела, в которых хранятся ПД работников, являются документами

«Для внутреннего пользования» и находятся в отделе кадров в специально

отведенном шкафу, обеспечивающем защиту от несанкционированного

доступа.

34

ПД работников могут также храниться в электронном виде в локальной

компьютерной сети. Доступ к ПД работника, как правило, имеют руководитель

медицинской организации, заместитель руководителя медицинской

организации, главный врач, главный бухгалтер, а к тем данным, которые

необходимы для выполнения конкретных функций, - также непосредственный

руководитель работника, специалисты отдела кадров и бухгалтерии.

Доступ специалистов других отделов к ПД должен осуществляться на

основании письменного разрешения руководителя медицинской организации

или его заместителя.

Делать копии и выписки ПД работника допускается исключительно в

служебных целях с письменного разрешения руководителя медицинской

организации. ПД работника используются только для целей, связанных с

выполнением работником трудовых функций.

Работодатель не вправе предоставлять ПД работника третьей стороне без

письменного согласия работника. Если лицо, обратившееся с запросом, не

уполномочено федеральным законом на получение ПД работника либо

отсутствует письменное согласие работника на предоставление его

персональных сведений, работодатель обязан отказать в предоставлении ПД.

В соответствии с совместными разъяснениями Минкомсвязи России и

Роскомнадзора «Вопросы, касающиеся обработки персональных данных

работников, соискателей на замещение вакантных должностей, а также лиц,

находящихся в кадровом резерве» работодатель вправе без соответствующего

согласия осуществлять обработку ПД работника в случаях, предусмотренных

коллективным договором, в том числе правилами внутреннего трудового

распорядка, являющимися, как правило, приложением к коллективному

договору, соглашением, а также локальными актами работодателя, принятыми

в порядке, установленном ст. 372 ТК РФ.

Кроме того, получение работодателем согласия на обработку ПД не

требуется в следующих случаях:

35

1. Обязанность по обработке, в том числе опубликованию и размещению

ПД работников в сети Интернет, предусмотрена законодательством Российской

Федерации.

2. Обработка ПД близких родственников работника в объеме,

предусмотренном унифицированной формой № Т-2, утвержденной

постановлением Госкомстата Российской Федерации от 05.01.2004 № 1 «Об

утверждении унифицированных форм первичной учетной документации по

учету труда и его оплаты», либо в случаях, установленных законодательством

Российской Федерации (получение алиментов, оформление допуска к

государственной тайне, оформление социальных выплат).

3. Обработка специальных категорий ПД работника, в том числе,

сведений о состоянии здоровья, относящихся к вопросу о возможности

выполнения работником трудовой функции на основании положений п. 2.3 ч. 2

ст. 10 Закона в рамках трудового законодательства.

4. При передаче ПД работника третьим лицам в случаях, когда это

необходимо в целях предупреждения угрозы жизни и здоровью работника, а

также в других случаях, предусмотренных ТК РФ или иными федеральными

законами.

Передача ПД работников в Фонд социального страхования Российской

Федерации, Пенсионный фонд Российской Федерации осуществляется без их

согласия.

Согласие работника, государственного служащего не требуется при

передаче его ПД в случаях, связанных с выполнением им должностных

обязанностей, в том числе, при его командировании.

Под исключения, связанные с отсутствием необходимости получения

согласия, подпадают случаи передачи работодателем ПД работников,

государственных служащих в налоговые органы, военные комиссариаты,

профсоюзные органы, предусмотренные действующим законодательством

Российской Федерации.

36

Согласие работника не требуется при получении, в рамках установленных

полномочий, мотивированных запросов от органов прокуратуры,

правоохранительных органов, органов безопасности, от государственных

инспекторов труда при осуществлении ими государственного надзора и

контроля за соблюдением трудового законодательства и иных органов,

уполномоченных запрашивать информацию о работниках в соответствии с

компетенцией, предусмотренной законодательством Российской Федерации.

5. Обработка ПД работника при осуществлении пропускного режима на

территорию служебных зданий и помещений работодателя, при условии, что

организация пропускного режима осуществляется работодателем

самостоятельно либо если указанная обработка соответствует порядку,

предусмотренному коллективным договором, локальными актами

работодателя, принятыми в соответствии со ст. 372 ТК РФ.

Согласие работника может быть оформлено как в виде отдельного

документа, так и закреплено в тексте трудового договора и отвечать

требованиям, предъявляемым к содержанию согласия, согласно ч. 4 ст. 9

Закона.

2.4. Организация защиты конфиденциальной

информации в медицинских организациях

Конкретные требования к обеспечению безопасности ПД при их

обработке в информационных системах указаны в «Положении об обеспечении

безопасности персональных данных при их обработке в информационных

системах персональных данных», утвержденном Постановлением

Правительства Российской Федерации № 781 от 17 ноября 2007 г.

Безопасность персональных данных достигается путем исключения

несанкционированного, в том числе случайного, доступа к ПД, результатом

которого может стать уничтожение, изменение, блокирование, копирование,

распространение ПД, а также иных несанкционированных действий.

37

Пример медицинской информационной системы приведен на схеме 2.

Безопасность персональных данных при их обработке в информационных

системах обеспечивается с помощью системы защиты ПД, включающей:

организационные меры;

средства защиты информации (в том числе шифровальные

(криптографические) средства;

средства предотвращения несанкционированного доступа;

средства предотвращения утечки информации по техническим

каналам;

средства предотвращения программно-технических воздействий на

технические средства обработки персональных данных);

используемые в информационной системе информационные

технологии.

Перечисленные выше меры и средства защиты ПД должны

использоваться в комплексе и в рамках оператора, работающего с ПД, должны

формировать систему защиты ПД. Выпадение из этой системы любого

образующего ее звена недопустимо, т.к. ведет к ее уязвимости и разрушению.

Информационные системы, работающие с ПД, должны размещаться в

специально оборудованных и охраняемых помещениях, исключающих

возможность неконтролируемого проникновения или пребывания в этих

помещениях посторонних лиц и обеспечивающих сохранность носителей ПД и

средств защиты информации. Лица, доступ которых к ПД необходим для

выполнения служебных обязанностей, допускаются к соответствующим ПД на

основании утвержденного списка. Используемые технические и программные

средства должны удовлетворять устанавливаемым в соответствии с

законодательством РФ требованиям, обеспечивающим защиту информации.

В должностные инструкции всех сотрудников должны быть включены

требования по обеспечению конфиденциальности информации, в том числе со

ссылками на документы по защите ПД в медицинской организации.

38

Схема 2. Пример простейшей медицинской информационной системы

Пациент

Медицинский

работник

Пользователь

ИС

Медицинская

карта

амбулаторного

больного

ОМС

Медицинская

карта

стационарного

больного

Дежурный врач

Лечащий врач

Врач-специалист

Руководитель

Медицинский

статистик

Средний

медицинский

персонал

ДМС

Наличный расчет

39

Работы по информационной безопасности и защите ПД в медицинских

организациях должны являться неотъемлемой частью работ по созданию или

модернизации ИС и должны быть выделены в отдельный этап или контракт.

В общем случае указанные работы включают три фазы:

1) предпроектную фазу – обследование и определение класса ИС,

предварительное определение способов и состава средств защиты информации;

2) проектную фазу – разработка технического задания на создание

комплексной системы защиты информации, в том числе разработка модели

угроз, техническое и рабочее проектирование системы;

3) ввод в эксплуатацию – закупка сертифицированных средств защиты

информации, их инсталляция, обучение персонала, издание организационно-

распорядительных документов о допуске персонала и регламентах обработки

конфиденциальной информации, назначение ответственных, организация

контроля, аудита и др., а также аттестация системы на соответствие

требованиям безопасности обработки конфиденциальной информации.

Цикл работ по обеспечению информационной безопасности в общем виде

состоит из четырех этапов и представлен на схеме 3:

Схема 3. Цикл работ по обеспечению информационной безопасности

СОПРОВОЖДЕНИЕ АУДИТ И ОЦЕНКА

ЗАЩИЩЁННОСТИ

ВНЕДРЕНИЕ:

ПРОЦЕССЫ ЗАЩИТЫ

ИНФОРМАЦИИ

УСТАНОВКА И

НАСТРОЙКА СРЕДСТВ

ЗАЩИТЫ ИНФОРМАЦИИ

ВЫБОР РЕШЕНИЯ

40

Этап 1. Аудит и оценка защищённости. Проводится оценка текущего

состояния защиты информации, а так же её соответствия обязательным

требованиям (зависят от особенностей деятельности организации).

Этап 2. Составление плана работ по приведению в приемлемое состояние

или улучшению системы защиты информации (выбор решения).

Этап 3. Внедрение новых технологий работы с информацией и её защиты

и/или средств защиты информации. Разработка необходимой организационно-

распорядительной документации.

Этап 4. Сопровождение и поддержание в рабочем состоянии готовой

системы защиты информации (это касается, в первую очередь, технических

средств). Сопровождение (устранение сбоев в работе, обслуживание,

оптимизация работы со средствами защиты информации (СЗИ), плановые и

внеплановые проверки состояния СЗИ).

После проведения проверки состояния системы происходит возврат на

этап 1. По результатам контроля, возникает необходимость в доработке

системы и снова осуществить весь цикл работ.

Контрольные вопросы:

1. Дайте определение конфиденциальной информации. Классификация

категорий сведений конфиденциального характера. Какими нормативными

документами регулируется режим конфиденциальности информации.

2. Дайте определение служебной тайны. Каким нормативным документом

охраняется служебная тайна.

3. Дайте характеристику врачебной тайны. Каким нормативным

документом охраняется врачебная тайна.

4. Дайте характеристику операторам ПД в сфере здравоохранения. Каков

порядок регистрации в качестве оператора ПД медицинских организаций.

5. Какой государственный орган является уполномоченным по ведению

реестра операторов оператор ПД. Назовите случаи, когда не требуется

уведомление регистрирующего органа.

41

6. Приведите примеры оформления согласия пациента на обработку ПД.

7. Что включено в понятие «персональные данные работника». Какие

документы включает личное дело работника. Какими документами

регламентируется защита персональных данных работника.

8. Приведите примеры оформления согласия работника на обработку ПД.

9. Охарактеризуйте понятие «безопасность персональных данных».

Каким образом достигается безопасность персональных данных.

10. Какой комплекс организационных и технических мероприятий

необходимо провести в медицинских организациях для выполнения требований

законодательства по ПД и устранения возможных угроз безопасности.

42

Глава 3.

КОНТРОЛЬ И НАДЗОР ЗА ОБРАБОТКОЙ ПЕРСОНАЛЬНЫХ

ДАННЫХ. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ

ТРЕБОВАНИЙ ФЕДЕРАЛЬНОГО ЗАКОНА

О ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Уполномоченный орган по защите

прав субъектов персональных данных

Уполномоченным органом по защите прав субъектов ПД, на который

возлагается обеспечение контроля и надзора за соответствием обработки ПД

требованиям законодательства, является федеральный орган исполнительной

власти, осуществляющий функции по контролю и надзору в сфере

информационных технологий и связи. В соответствии с Приказом № 312 эти

функции осуществляет Роскомнадзор.

Уполномоченный орган по защите прав субъектов ПД рассматривает

обращения субъекта ПД о соответствии содержания ПД и способов их

обработки целям их обработки и принимает соответствующее решение.

Уполномоченный орган по защите прав субъектов ПД имеет право:

1) запрашивать у физических или юридических лиц информацию,

необходимую для реализации своих полномочий, и безвозмездно получать

такую информацию;

2) осуществлять проверку сведений, содержащихся в уведомлении об

обработке персональных данных, или привлекать для осуществления такой

проверки иные государственные органы в пределах их полномочий;

3) требовать от оператора уточнения, блокирования или уничтожения

недостоверных или полученных незаконным путем персональных данных;

43

4) принимать в установленном законодательством Российской Федерации

порядке меры по приостановлению или прекращению обработки ПД,

осуществляемой с нарушением требований Закона;

5) обращаться в суд с исковыми заявлениями в защиту прав субъектов ПД

и представлять интересы субъектов персональных данных в суде;

6) направлять заявление в орган, осуществляющий лицензирование

деятельности оператора, для рассмотрения вопроса о принятии мер по

приостановлению действия или аннулированию соответствующей лицензии в

установленном законодательством Российской Федерации порядке, если

условием лицензии на осуществление такой деятельности является запрет на

передачу ПД третьим лицам без согласия в письменной форме субъекта ПД;

7) направлять в органы прокуратуры, другие правоохранительные органы

материалы для решения вопроса о возбуждении уголовных дел по признакам

преступлений, связанных с нарушением прав субъектов ПД, в соответствии с

подведомственностью;

8) вносить в Правительство Российской Федерации предложения о

совершенствовании нормативного правового регулирования защиты прав

субъектов ПД;

9) привлекать к административной ответственности лиц, виновных в

нарушении Федерального закона.

В отношении ПД, ставших известными уполномоченному органу по

защите прав субъектов ПД в ходе осуществления им своей деятельности,

должна обеспечиваться конфиденциальность персональных данных.

При контрольных мероприятиях Росомнадзора подотчётному лицу

необходимо предъявить следующие документы:

учредительные документы;

выписка из ЕГРЮЛ на момент проведения проверки;

копия уведомления об обработке персональных данных;

44

копия документа, подтверждающего полномочия оператора на

взаимодействие с сотрудниками Роскомнадзора в период проведения проверки

(приказ, доверенность);

типовые формы документов, предполагающие или допускающие

содержание ПД;

журналы, реестры, книги, содержащие ПД, необходимые для

однократного пропуска субъекта ПД на территорию, на которой находится

Оператор;

приказы об утверждении мест хранения материальных носителей ПД;

письменное согласие субъектов ПД на обработку их персональных

данных;

положение о порядке обработки персональных данных;

приказ о назначении ответственных лиц по работе с ПД;

договоры с субъектами ПД, лицензии на виды деятельности, в рамках

которых осуществляется обработка персональных данных;

распечатки электронных шаблонов полей, содержащих ПД;

справки о постановке на балансовый учет ПЭВМ, на которых

осуществляется обработка ПД;

заключения экспертизы ФСБ России, ФСТЭК России об оценке

соответствия средств защиты информации, предназначенных для обеспечения

безопасности ПД при их обработке (при наличии);

должностные регламенты лиц, имеющих доступ и (или)

осуществляющих обработку персональных данных;

журналы (книги) учета обращений граждан (субъектов ПД);

акты об уничтожении персональных данных субъекта (-ов)

персональных данных (в случае достижения цели обработки);

положение о подразделении, осуществляющем функции по

организации защиты персональных данных;

план мероприятий по защите персональных данных;

план внутренних проверок состояния защиты ПД;

45

документы о присвоении информационной системе соответствующего

класса (Акт о присвоении класса);

журнал учета проверок юридического лица, индивидуального

предпринимателя, проводимых органами государственного контроля (надзора),

органами муниципального контроля;

документы организации охраны, режима обеспечения безопасности

(приказы, распоряжения);

документ, определяющий политику в отношении обработки ПД.

Порядок работы Роскомнадзора с обращениями граждан в сфере работы с

персональными данными приведен на схеме 4.

Контроль над порядком обработки ПД работников медицинской

организации могут осуществлять органы Федеральной службы по труду и

занятости (Роструда) в ходе плановых проверок соблюдения трудового

законодательства, а также по обращению субъекта ПД - работника

медицинской организации, в том числе о нарушении его прав в рамках

трудовых отношений.

Кроме того, контроль систем защиты ПД также осуществляют ФСТЭК

или ФСБ в ходе контроля систем защиты конфиденциальных данных или

использования криптосредств.

ФСТЭК осуществляет:

- надзор за деятельностью лицензиата ФСТЭК;

- проверки по обращению Роскомнадзора;

- внеплановые проверки по контролю нарушений обязательных

требований.

ФСБ осуществляет:

- контроль за соблюдением правил использования средств

криптографической защиты информации;

- надзор за деятельностью лицензиата ФСБ;

- внеплановые проверки по контролю нарушений обязательных

требований;

- проверки по обращению Роскомнадзора.

46

47

3.2. Ответственность, предусмотренная

за правонарушения в сфере защиты информации

В соответствии со статьей 24 Закона лица, виновные в нарушении

требований безопасности ПД, несут гражданскую, уголовную,

административную, дисциплинарную и иную предусмотренную

законодательством Российской Федерации ответственность.

Моральный вред, причиненный субъекту ПД вследствие нарушения его

прав, нарушения правил обработки персональных данных, а также требований

к защите ПД, подлежит возмещению в соответствии с законодательством

Российской Федерации. Возмещение морального вреда осуществляется

независимо от возмещения имущественного вреда и понесенных субъектом

персональных данных убытков. Согласно ст.151 ГК РФ при определении

размеров компенсации морального вреда суд принимает во внимание степень

вины нарушителя и иные заслуживающие внимания обстоятельства. Суд

должен также учитывать степень физических и нравственных страданий,

связанных с индивидуальными особенностями лица, которому причинен вред.

3.2.1. Уголовная ответственность

К уголовной ответственности могут быть привлечены исключительно

физические лица, совершившие преступление, посягающее на интересы

личности, общества и государства. В соответствии с УК РФ уголовная

ответственность предусмотрена за:

- незаконное собирание или распространение сведений о частной жизни

лица, составляющих его личную или семейную тайну, без его согласия либо

распространение этих сведений в публичном выступлении, публично

демонстрирующемся произведении или средствах массовой информации, в том

числе, совершенные лицом с использованием своего служебного положения

(ст. 137 Нарушение неприкосновенности частной жизни);

- неправомерный доступ к охраняемой законом компьютерной

48

информации, если это деяние повлекло уничтожение, блокирование,

модификацию либо копирование компьютерной информации, либо то же

деяние, причинившее крупный ущерб или совершенное из корыстной

заинтересованности, либо те же деяния, совершенные группой лиц по

предварительному сговору или организованной группой, либо лицом с

использованием своего служебного положения, либо повлекшие тяжкие

последствия или создали угрозу их наступления (ст. 272 Неправомерный

доступ к компьютерной информации);

- нарушение правил эксплуатации средств хранения, обработки или

передачи охраняемой компьютерной информации либо информационно-

телекоммуникационных сетей и оконечного оборудования, правил доступа к

информационно-телекоммуникационным сетям, повлекшее уничтожение,

блокирование, модификацию либо копирование компьютерной информации,

причинившее крупный ущерб, либо то же деяние, если оно повлекло тяжкие

последствия или создало угрозу их наступления (ст. 274 Нарушение правил

эксплуатации средств хранения, обработки или передачи компьютерной

информации и информационно-телекоммуникационных сетей).

3.2.2. Административная ответственность

Перечень нарушений, предусматривающих ответственность за нарушение

требований законодательства в сфере персональных данных КоАП РФ, более

широк. И в соответствии с нормами административного законодательства

субъектом правонарушения может быть юридическое лицо, лицо,

осуществляющее предпринимательскую деятельность без образования

юридического лица, а также должностное лицо, а также граждане.

В соответствии с КоАП РФ административная ответственность

предусмотрена за:

- неправомерный отказ в предоставлении гражданину собранных в

установленном порядке документов, материалов, непосредственно

49

затрагивающих права и свободы гражданина, либо несвоевременное

предоставление таких документов и материалов, непредоставление иной

информации в случаях, предусмотренных законом, либо предоставление

гражданину неполной или заведомо недостоверной информации (ст. 5.39);

- нарушение установленного законом порядка сбора, хранения,

использования или распространения информации о гражданах (персональных

данных) (ст. 13.11);

- нарушение условий, предусмотренных лицензией на осуществление

деятельности в области защиты информации (за исключением информации,

составляющей государственную тайну) (ч.1 ст. 13.12);

- использование несертифицированных информационных систем, баз и

банков данных, а также несертифицированных средств защиты информации,

если они подлежат обязательной сертификации (за исключением средств

защиты информации, составляющей государственную тайну) (ч. 2 ст. 13.12);

- использование несертифицированных средств, предназначенных для

защиты информации, составляющей государственную тайну (ч. 4 ст. 13.12);

- занятие видами деятельности в области защиты информации (за

исключением информации, составляющей государственную тайну) без

получения в установленном порядке специального разрешения (лицензии), если

такое разрешение (такая лицензия) в соответствии с федеральным законом

обязательно (обязательна) (ч. 1 ст. 13.13);

- занятие видами деятельности, связанными с использованием и защитой

информации, составляющей государственную тайну, созданием средств,

предназначенных для защиты информации, составляющей государственную

тайну, осуществлением мероприятий и (или) оказанием услуг по защите

информации, составляющей государственную тайну без лицензии (ч. 2 ст.

13.13);

- разглашение информации, доступ к которой ограничен федеральным

законом (за исключением случаев, если разглашение такой информации влечет

50

уголовную ответственность), лицом, получившим доступ к такой информации в

связи с исполнением служебных или профессиональных обязанностей (ч. 2 ст.

13.14);

- неповиновение законному распоряжению или требованию

должностного лица органа, осуществляющего государственный надзор

(контроль), а равно воспрепятствование осуществлению этим должностным

лицом служебных обязанностей (ч. 1 ст. 19.4);

- невыполнение в установленный срок законного предписания

(постановления, представления, решения) органа (должностного лица),

осуществляющего государственный надзор (контроль), об устранении

нарушений законодательства (ч. 1 ст. 19.5);

- невыполнение в установленный срок законного предписания, решения

органа, уполномоченного в области экспортного контроля, его

территориального органа (ч. 2 ст. 19.5);

- непринятие по постановлению (представлению) органа (должностного

лица), рассмотревшего дело об административном правонарушении, мер по

устранению причин и условий, способствовавших совершению

административного правонарушения (ст. 19.6);

- непредставление или несвоевременное представление в

государственный орган (должностному лицу) сведений (информации),

представление которых предусмотрено законом и необходимо для

осуществления этим органом (должностным лицом) его законной деятельности,

а равно представление в государственный орган (должностному лицу) таких

сведений (информации) в неполном объеме или в искаженном виде, за

исключением случаев, предусмотренных статьями 19.7.1, 19.8, 19.19 КоАП (ст.

19.7);

- осуществление деятельности, не связанной с извлечением прибыли, без

специального разрешения (лицензии), если такое разрешение (лицензия)

обязательно (обязательна) (ч. 1 ст. 19.20).

51

3.2.3. Дисциплинарная ответственность

В соответствии с ТК РФ разглашение ПД, а также нарушение норм,

регулирующих получение, обработку и защиту ПД работников, может привести

к увольнению сотрудника. В частности, трудовой договор может быть

расторгнут в случае разглашения охраняемой законом тайны (государственной,

коммерческой, служебной и иной), ставшей известной работнику в связи с

исполнением им трудовых обязанностей (п. «в» ч. 6 ст. 81, глава 14 ТК РФ).

Уволить за разглашение ПД можно только тех работников, которым такие

сведения стали известны в связи с исполнением ими трудовых обязанностей. К

таким сотрудникам относятся работники кадровых служб, бухгалтерии, военно-

учетного подразделения, службы охраны труда, а также руководитель

медицинской организации или лицо, его заменяющее. Однако, если работник

узнал ПД случайно (например, из-за халатности сотрудника, ответственного за

сохранность информации) и в его должностные обязанности не входит работа с

личными сведениями, увольнение будет являться незаконным.

Увольнение за разглашение ПД является увольнением по инициативе

работодателя, поэтому незаконным будет прекращение трудового договора по

данному основанию в период временной нетрудоспособности работника и в

период его пребывания в отпуске (ч. 6 ст. 81 ТК РФ). Также в силу прямого

указания статьи 192 ТК РФ рассматриваемое увольнение является

дисциплинарным взысканием, а, следовательно, оно должно осуществляться по

правилам статьи 193 ТК РФ

Необходимо отметить, что увольнение работника за разглашение ПД

затруднительно для работодателя по причине того, что сложно установить и

доказать сам факт разглашения конкретным работником. Важно учесть и то,

что для увольнения работника за разглашение ПД не важно, был ли проступок

совершен умышленно или по неосторожности, руководствовался ли

нарушитель какими-либо корыстными мотивами или нет.

Согласно статье 90 ТК РФ лица, виновные в нарушении норм,

регулирующих получение, обработку и защиту ПД работника, привлекаются к

52

дисциплинарной, материальной, гражданско-правовой, административной и

уголовной ответственности в порядке, установленном федеральными законами.

Контрольные вопросы:

1. Какой государственный орган в Российской Федерации является

уполномоченным по защите прав субъектов ПД. Перечислите основные права и

обязанности уполномоченного органа по защите прав субъектов ПД.

2. Какие документы предоставляются при проведении контрольных

мероприятий уполномоченным органом по защите прав субъектов ПД.

3. Какие государственные органы, помимо уполномоченного органа,

осуществляют контроль над системами защиты ПД.

4. Какую ответственность несут лица, виновные в нарушении требований

законодательства о персональных данных.

5. Какая ответственность может наступить за неправомерный отказ в

предоставлении гражданину собранных в установленном порядке документов,

материалов, непосредственно затрагивающих права и свободы гражданина.

6. Какая ответственность может наступить за неправомерный доступ к

охраняемой законом компьютерной информации, если это деяние повлекло

уничтожение, блокирование, модификацию либо копирование компьютерной

информации.

7. Какая ответственность может наступить за разглашение

конфиденциальной информации, лицом, получившим доступ к такой

информации в связи с исполнением служебных или профессиональных

обязанностей.

8. Какая ответственность может наступить за осуществление

деятельности, не связанной с извлечением прибыли, без специального

разрешения (лицензии), если такое разрешение (лицензия) обязательно.

9. Какие меры дисциплинарного взыскания и в каком порядке можно

применить к работнику за разглашение персональных данных.

10. К каким видам ответственности могут быть привлечены виновные в

нарушении норм, регулирующих получение, обработку и защиту ПД

работника.

53

ГЛОССАРИЙ.

ОСНОВНЫЕ ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ

В ОБЛАСТИ ОБРАБОТКИ И ЗАЩИТЫ

ПЕРСОНАЛЬНЫХ ДАННЫХ

Автоматизированная система - система, состоящая из персонала и

комплекса средств автоматизации его деятельности, реализующая

информационную технологию выполнения установленных функций.

Анонимизация данных – использование для обозначения (пометки)

медицинских данных (документов), относящихся к некоторому пациенту, его

условного имени – криптонима (от греч. «kryptos» – тайный, скрытый и

«onyma» – имя), раскрытие которого возможно только самим пациентом.

Предполагается, что при использовании криптонима для идентификации

пациента его персональные данные в учетной системе не хранятся.

Ответственность за раскрытие своего криптонима несет только сам пациент.

Анонимные данные не являются конфиденциальными, поэтому согласия

пациента на их обработку не требуется. Анонимизация данных используется, в

частности, в тех случаях, когда пациент сам организует сбор, накопление и

передачу на хранение своих медицинских данных, например, на серверах в сети

Интернет (проекты Google Helath и Microsoft HealthVault), а также при

анонимном лечении.

Аутентификация отправителя данных - подтверждение того, что

отправитель полученных данных соответствует заявленному.

Безопасность персональных данных - состояние защищенности

персональных данных, характеризуемое способностью пользователей,

технических средств и информационных технологий обеспечить

конфиденциальность, целостность и доступность персональных данных при их

обработке в информационных системах персональных данных.

54

Биометрические персональные данные - сведения, которые

характеризуют физиологические особенности человека и на основе которых

можно установить его личность, включая фотографии, отпечатки пальцев,

образ сетчатки глаза, особенности строения тела и другую подобную

информацию.

Блокирование персональных данных - временное прекращение сбора,

систематизации, накопления, использования, распространения, персональных

данных, в том числе их передачи.

Вирус (компьютерный, программный) - исполняемый программный код

или интерпретируемый набор инструкций, обладающий свойствами

несанкционированного распространения и самовоспроизведения. Созданные

дубликаты компьютерного вируса не всегда совпадают с оригиналом, но

сохраняют способность к дальнейшему распространению и

самовоспроизведению.

Вредоносная программа - программа, предназначенная для

осуществления несанкционированного доступа и (или) воздействия на

персональные данные или ресурсы информационной системы персональных

данных.

Вспомогательные технические средства и системы - технические

средства и системы, не предназначенные для передачи, обработки и хранения

персональных данных, устанавливаемые совместно с техническими средствами

и системами, предназначенными для обработки персональных данных или в

помещениях, в которых установлены информационные системы персональных

данных.

Деперсонифицированные данные – анонимные данные, а также данные,

полученные в результате псевдонимизации или обезличивания.

Доступ в операционную среду компьютера (информационной системы

персональных данных) - получение возможности запуска на выполнение

55

штатных команд, функций, процедур операционной системы (уничтожения,

копирования, перемещения и т.п.), исполняемых файлов прикладных программ.

Доступ к информации - возможность получения информации и ее

использования.

Закладочное устройство - элемент средства съема информации, скрытно

внедряемый (закладываемый или вносимый) в места возможного съема

информации (в том числе в ограждение, конструкцию, оборудование, предметы

интерьера, транспортные средства, а также в технические средства и системы

обработки информации).

Защищаемая информация - информация, являющаяся предметом

собственности и подлежащая защите в соответствии с требованиями правовых

документов или требованиями, устанавливаемыми собственником информации.

Идентификация - присвоение субъектам и объектам доступа

идентификатора и (или) сравнение предъявляемого идентификатора с перечнем

присвоенных идентификаторов.

Идентификатор пациента – уникальный символьный или цифровой код,

применяемый для обозначения пациента и относящихся к нему данных в

определенной учетной системе (системе учета).

Информативный сигнал - электрические сигналы, акустические,

электромагнитные и другие физические поля, по параметрам которых может

быть раскрыта конфиденциальная информация (персональные данные)

обрабатываемая в информационной системе персональных данных.

Информационная система персональных данных (ИСПД) -

информационная система, представляющая собой совокупность персональных

данных, содержащихся в базе данных, а также информационных технологий и

технических средств, позволяющих осуществлять обработку таких

персональных данных с использованием средств автоматизации или без

использования таких средств.

56

Информационные технологии - процессы, методы поиска, сбора,

хранения, обработки, предоставления, распространения информации и способы

осуществления таких процессов и методов.

Информация – в соответствии со ст. 2 Федерального закона от 20.02.1995

№ 24-ФЗ «Об информации, информатизации и защите информации» под

информацией понимаются сведения о лицах, предметах, фактах, событиях,

явлениях и процессах независимо от формы их представления.

Использование персональных данных - действия (операции) с

персональными данными, совершаемые оператором в целях принятия решений

или совершения иных действий, порождающих юридические последствия в

отношении субъекта персональных данных или других лиц либо иным образом

затрагивающих права и свободы субъекта персональных данных или других

лиц.

Источник угрозы безопасности информации - субъект доступа,

материальный объект или физическое явление, являющиеся причиной

возникновения угрозы безопасности информации.

Контролируемая зона - пространство (территория, здание, часть здания,

помещение), в котором исключено неконтролируемое пребывание посторонних

лиц, а также транспортных, технических и иных материальных средств.

Конфиденциальность персональных данных - обязательное для соблю-

дения оператором или иным получившим доступ к персональным данным

лицом требование не допускать их распространение без согласия субъекта

персональных данных или наличия иного законного основания.

Медицинские данные пациента – сведения о физиологических

особенностях организма, перенесенных заболеваниях, состоянии здоровья и

(или) оказанной пациенту медицинской помощи.

Межсетевой экран - локальное (однокомпонентное) или функционально-

распределенное программное (программно-аппаратное) средство (комплекс),

реализующее контроль за информацией, поступающей в информационную

57

систему персональных данных и (или) выходящей из информационной

системы.

Нарушитель безопасности персональных данных - физическое лицо,

случайно или преднамеренно совершающее действия, следствием которых

является нарушение безопасности персональных данных при их обработке

техническими средствами в информационных системах персональных данных.

Неавтоматизированная обработка персональных данных - обработка

персональных данных, содержащихся в информационной системе

персональных данных либо извлеченных из такой системы, считается

осуществленной без использования средств автоматизации

(неавтоматизированной), если такие действия с персональными данными, как

использование, уточнение, распространение, уничтожение персональных

данных в отношении каждого из субъектов персональных данных,

осуществляются при непосредственном участии человека.

Недекларированные возможности - функциональные возможности

средств вычислительной техники, не описанные или не соответствующие

описанным в документации, при использовании которых возможно нарушение

конфиденциальности, доступности или целостности обрабатываемой

информации.

Несанкционированный доступ (несанкционированные действия) - доступ

к информации или действия с информацией, нарушающие правила

разграничения доступа с использованием штатных средств, предоставляемых

информационными системами персональных данных.

Носитель информации - физическое лицо или материальный объект, в

том числе физическое поле, в котором информация находит свое отражение в

виде символов, образов, сигналов, технических решений и процессов,

количественных характеристик физических величин.

Обезличивание данных (деперсонификация) – действия по удалению

персональных данных пациента, в результате которого ни при каких условиях

58

невозможно определить принадлежность медицинских данных конкретному

физическому лицу и идентифицировать его личность. Обезличенные данные не

являются конфиденциальными. Обезличивание данных используется в тех

случаях, когда не требуется сопоставление медицинских данных с конкретным

пациентом, например, для их статистической обработки, научных и учебных

целей и т.д.

Обезличивание персональных данных - действия, в результате которых

невозможно определить принадлежность персональных данных конкретному

субъекту персональных данных.

Обработка персональных данных - действия (операции) с персональными

данными, включая сбор, систематизацию, накопление, хранение, уточнение

(обновление, изменение), использование, распространение (в том числе

передачу), обезличивание, блокирование, уничтожение персональных данных.

Общедоступные персональные данные - персональные данные, доступ

неограниченного круга лиц к которым предоставлен с согласия субъекта

персональных данных или на которые в соответствии с федеральными

законами не распространяется требование соблюдения конфиденциальности.

Оператор персональных данных - государственный орган,

муниципальный орган, юридическое или физическое лицо, организующее и

(или) осуществляющее обработку персональных данных, а также

определяющие цели и содержание обработки персональных данных.

Технические средства информационной системы персональных данных -

средства вычислительной техники, информационно-вычислительные

комплексы и сети, средства и системы передачи, приема и обработки ПД

(средства и системы звукозаписи, звукоусиления, звуковоспроизведения,

переговорные и телевизионные устройства, средства изготовления,

тиражирования документов и другие технические средства обработки речевой,

графической, видео- и буквенно-цифровой информации), программные

59

средства (операционные системы, системы управления базами данных и т.п.),

средства защиты информации, применяемые в информационных системах.

Перехват (информации) - неправомерное получение информации с

использованием технического средства, осуществляющего обнаружение, прием

и обработку информативных сигналов.

Персональные данные - любая информация, относящаяся к

определенному или определяемому на основании такой информации

физическому лицу (субъекту персональных данных), в том числе его фамилия,

имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное,

имущественное положение, образование, профессия, доходы, другая

информация.

Персонифицированные данные – совокупность сведений, включающая

персональные данные пациента, которые позволяют идентифицировать его

личность.

Побочные электромагнитные излучения и наводки - электромагнитные

излучения технических средств обработки защищаемой информации,

возникающие как побочное явление и вызванные электрическими сигналами,

действующими в их электрических и магнитных цепях, а также

электромагнитные наводки этих сигналов на токопроводящие линии,

конструкции и цепи питания.

Политика «чистого стола» - комплекс организационных мероприятий,

контролирующих отсутствие записывания на бумажные носители ключей и

атрибутов доступа (паролей) и хранения их вблизи объектов доступа.

Полицевые данные – совокупность данных, относящихся к некоторому

физическому лицу (пациенту). В зависимости от наличия в их составе

персональных данных и используемых идентификаторов пациентов, полицевые

данные могут быть:

а) персонифицированными,

б) псевдонимизированными,

60

в) анонимными,

г) обезличенными.

Принято разделять «полицевые» медицинские данные, их потоки и

хранилища (базы данных) на две категории:

1. Первичные медицинские данные, которые формируются и

используются медицинскими работниками непосредственно в процессе

оказания медицинской помощи пациенту и ведения электронной медицинской

карты в медицинском учреждении. Доступ к персонифицированным

«первичным» данным строго ограничен и жестко регламентирован

законодательством.

2. Вторичные данные – интегрированные, агрегированные полицевые

медицинские данные, формируемые на основе «первичных» данных,

поступающих из множества лечебных учреждений. Обычно, такие данные

накапливаются в течение продолжительного времени в виде различных

«сводных» БД, используемых органами управления для анализа, планирования,

выполнения надзорно-контрольных функций, ведения «листов ожидания», а

также экспертизы, оплаты (клиринга), эпидемиологических и иных научных

исследований и т.д. Пользователи таких БД, как правило, непосредственно не

оказывают медицинскую помощь пациентам.

Формирование и ведение «сводных» БД в общем случае осуществляется

вне медицинских организаций в специальных центрах сбора и обработки

данных. В последнее время наблюдается тенденция ведения «вторичных» баз

данных в псевдонимизированном или обезличенном виде. Примерами таких

сводных псевдонимизированных БД являются канцер-регистры в

Великобритании, Германии и Австралии (см. выше).

Разделение медицинских данных на указанные категории прежде всего

обусловлено требованиями законодательства по защите персональных данных.

Кроме того, это позволяет существенно снизить риски нарушения

61

конфиденциальности данных пациентов и значительно сократить совокупные

расходы на администрирование и эксплуатацию всей системы в целом.

Пользователь информационной системы персональных данных - лицо,

участвующее в функционировании информационной системы персональных

данных или использующее результаты ее функционирования.

Правила разграничения доступа - совокупность правил,

регламентирующих права доступа субъектов доступа к объектам доступа.

Программная закладка - код программы, преднамеренно внесенный в

программу с целью осуществить утечку, изменить, блокировать, уничтожить

информацию или уничтожить и модифицировать программное обеспечение

информационной системы персональных данных и (или) блокировать

аппаратные средства.

Программное (программно-математическое) воздействие -

несанкционированное воздействие на ресурсы автоматизированной

информационной системы, осуществляемое с использованием вредоносных

программ.

Псевдонимизация данных – совокупность организационно-технических

мероприятий, процедур и действий по присвоению пациенту специального

псевдонима (от греч. «pseudo» – ложный и «onyma» – имя) для передачи, сбора,

хранения и обработки его медицинских данных, исключающая возможность его

несанкционированного сопоставления с конкретным физическим лицом и

идентификацию его личности. Формирование псевдонима и его обратное

сопоставление с персональными данными пациента осуществляется с помощью

криптографических средств, использование которых жестко регламентировано.

Псевдоним никогда не указывается на медицинских и иных документах,

содержащих персональные данные пациента; не известен пациенту и поэтому

не может быть им раскрыт или передан кому; может быть сопоставлен с

персональными данными пациента (дешифрован) только с согласия пациента

либо в иных случаях, предусмотренных законодательством; персональный

62

перечень должностных лиц, которым в этих случаях стала известна

информация о соответствии псевдонима конкретному пациенту (его

персональным данным) строго определен и также известен.

Псевдонимизированные данные не содержат персональных данных пациентов

и в этом смысле уже не являются конфиденциальными, что позволяет

осуществлять их обработку без согласия пациентов (это положение

законодательно определено, например, в Великобритании).

Псевдонимизация персонифицированных сведений целесообразна при

организации «сводных» медицинских баз данных (БД), когда:

а) круг пользователей БД достаточно широк (например, органы

управления здравоохранением, надзорно-контрольные органы, страховые

организации и фонды ОМС, научно-исследовательские учреждения и т.д.);

б) случаи, когда в процессе обработки и анализа данных пациента может

возникнуть необходимость идентификации его личности или

непосредственного контакта с ним, например, должностных лиц надзорно-

контрольных органов.

Примерами подобных псевдонимизированных БД могут являться

специализированные медицинские регистры: доноров, онкологический,

диабетический и т.д., которые ведутся в Великобритании, Германии и

Австралии.

Отличие псевдонимизации от простого шифрования персональных

данных пациента заключаются в жесткой регламентации и централизации

процедур использования средств шифрования / дешифрования при присвоении

псевдонима и его сопоставлении с персональными данными пациента, что в

целом и обеспечивает возможность:

– сбора и интеграции медицинских данных пациента, помеченных его

«единым» псевдонимом из многих независимых источников (учреждений);

63

– получения «открытого» доступа широкого круга пользователей к

сводным медицинским базам данных пациентов без какого-либо риска

нарушения их конфиденциальности.

Принципиально важным является то, что пользователям

псевдонимизированных медицинских БД какие-либо критографические

средства для обработки псевдонимов не нужны. При этом значительно

снижаются требования к средствам защиты таких баз данных и существенно

сокращаются совокупные расходы на их создание и эксплуатацию.

Раскрытие персональных данных - умышленное или случайное

нарушение конфиденциальности персональных данных.

Распространение персональных данных - действия, направленные на

передачу персональных данных определенному кругу лиц (передача

персональных данных) или на ознакомление с персональными данными

неограниченного круга лиц, в том числе обнародование персональных данных в

средствах массовой информации, размещение в информационно-

телекоммуникационных сетях или предоставление доступа к персональным

данным каким-либо иным способом.

Ресурс информационной системы - именованный элемент системного,

прикладного или аппаратного обеспечения функционирования

информационной системы.

Специальные категории персональных данных - персональные данные,

касающиеся расовой, национальной принадлежности, политических взглядов,

религиозных или философских убеждений, состояния здоровья и интимной

жизни субъекта персональных данных.

Средства вычислительной техники - совокупность программных и

технических элементов систем обработки данных, способных функционировать

самостоятельно или в составе других систем.

Субъект доступа (субъект) - лицо или процесс, действия которого

регламентируются правилами разграничения доступа.

64

Технический канал утечки информации - совокупность носителя

информации (средства обработки), физической среды распространения

информативного сигнала и средств, которыми добывается защищаемая

информация.

Трансграничная передача персональных данных - передача персональных

данных оператором через Государственную границу Российской Федерации

органу власти иностранного государства, физическому или юридическому лицу

иностранного государства.

Угрозы безопасности персональных данных - совокупность условий и

факторов, создающих опасность несанкционированного, в том числе

случайного, доступа к персональным данным, результатом которого может

стать уничтожение, изменение, блокирование, копирование, распространение

персональных данных, а также иных несанкционированных действий при их

обработке в информационной системе персональных данных..

Уничтожение персональных данных - действия, в результате которых

невозможно восстановить содержание персональных данных в

информационной системе персональных данных или в результате которых

уничтожаются материальные носители персональных данных.

Утечка (защищаемой) информации по техническим каналам -

неконтролируемое распространение информации от носителя защищаемой

информации через физическую среду до технического средства,

осуществляющего перехват информации.

Учреждение – медицинские организации, организации социальной

сферы, труда и занятости.

Уязвимость - слабость в средствах защиты, которую можно использовать

для нарушения системы или содержащейся в ней информации.

Целостность информации - способность средства вычислительной

техники или автоматизированной системы обеспечивать неизменность

информации в условиях случайного и/или преднамеренного искажения

(разрушения).

65

ТЕСТОВЫЕ ЗАДАНИЯ

Выберите один или несколько правильных ответов.

1. ЦЕЛЬ ФЕДЕРАЛЬНОГО ЗАКОНА ОТ 27.07.2006 № 152-ФЗ «О

ПЕРСОНАЛЬНЫХ ДАННЫХ» -

1) упорядочение сбора, систематизации, накопления, использования,

хранения и иных действий (операций) с персональными данными

2) обеспечение защиты прав и свобод человека и гражданина при

обработке его персональных данных, в том числе защиты прав на

неприкосновенность частной жизни, личную и семейную тайну

3) обеспечение защиты прав и свобод человека и гражданина при его

обращении в федеральные органы государственной власти, органы

государственной власти субъектов Российской Федерации, иные

государственные органы, органы местного самоуправления

4) упорядочение автоматизированной обработки персональных данных

2. ДЕЙСТВИЕ ФЕДЕРАЛЬНОГО ЗАКОНА ОТ 27.07.2006 № 152-ФЗ «О

ПЕРСОНАЛЬНЫХ ДАННЫХ» НЕ РАСПРОСТРАНЯЕТСЯ НА

ОТНОШЕНИЯ,

1) возникающие при обработке персональных данных физическими

лицами исключительно для личных и семейных нужд, если при этом не

нарушаются права субъектов персональных данных

2) возникающие при обработке персональных данных, отнесенных в

установленном порядке к сведениям, составляющим государственную

тайну

3) связанные с обработкой персональных данных, осуществляемой

органами местного самоуправления, с использованием средств

автоматизации

66

4) возникающие при организации хранения, комплектования, учета и

использования содержащих персональные данные документов Архивного

фонда Российской Федерации в соответствии с законодательством об

архивном деле в Российской Федерации

3. В СООТВЕТСТВИИ С ФЕДЕРАЛЬНЫМ ЗАКОНОМ ОТ 27.07.2006 № 152-

ФЗ «О ПЕРСОНАЛЬНЫХ ДАННЫХ» ПЕРСОНАЛЬНЫЕ ДАННЫЕ - ЭТО

1) любая информация, относящаяся к прямо или косвенно определенному

или определяемому физическому лицу (субъекту персональных данных)

2) информация о субъекте, которая может быть подвергнута

автоматизированной обработке

3) любая информация, относящаяся к субъекту персональных данных, но

не составляющая семейной тайны

4) любая информация о физическом лице, зафиксированная на

электронных носителях

4. К ПРИНЦИПАМ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТНОСЯТСЯ

1) обработка персональных данных должна осуществляться на законной и

справедливой основе

2) принцип гласности и открытости средств и методов защиты

информационных систем, обрабатывающих персональные данные

3) принцип соответствия обработки персональных данных достижению

конкретных, заранее определенных и законных целей

4) принцип централизации управления информационными системами,

обрабатывающими персональные данные, в том числе объединение

созданных для различных баз данных информационных систем баз

персональных данных

67

5. В СООТВЕТСТВИИ С ФЕДЕРАЛЬНЫМ ЗАКОНОМ ОТ 27.07.2006 № 152-

ФЗ «О ПЕРСОНАЛЬНЫХ ДАННЫХ» РАСПРОСТРАНЕНИЕ

ПЕРСОНАЛЬНЫХ ДАННЫХ - ЭТО

1) действия, направленные на раскрытие персональных данных на

основании договоров о предоставлении услуг

2) действия, направленные на раскрытие персональных данных

исключительно определённому кругу лиц

3) действия, направленные на раскрытие персональных данных

неопределенному кругу лиц;

4) действия, направленные на раскрытие персональных данных на

основании соглашений между операторами персональных данных

6. В СООТВЕТСТВИИ С ФЕДЕРАЛЬНЫМ ЗАКОНОМ ОТ 27.07.2006 № 152-

ФЗ «О ПЕРСОНАЛЬНЫХ ДАННЫХ» ОПЕРАТОР ВПРАВЕ ПОРУЧИТЬ

ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ ДРУГОМУ ЛИЦУ, ЕСЛИ ИНОЕ

НЕ ПРЕЛУСМОТРЕНО ФЕДЕРАЛЬНЫМ ЗАКОНОМ

1) с согласия субъекта персональных данных на основании заключаемого

с этим лицом договора, в том числе государственного или

муниципального контракта

2) с согласия субъекта персональных данных на основании соглашения

между операторами персональных данных в отношении третьего лица

3) с согласия субъекта персональных данных путем принятия

государственным или муниципальным органом соответствующего акта

4) на основании согласия субъекта персональных данных

7. В СООТВЕТСТВИИ С ФЕДЕРАЛЬНЫМ ЗАКОНОМ ОТ 27.07.2006 № 152-

ФЗ «О ПЕРСОНАЛЬНЫХ ДАННЫХ» ЛИЦО, ОСУЩЕСТВЛЯЮЩЕЕ

ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ ПО ПОРУЧЕНИЮ ОПЕРАТОРА

1) не обязано получать согласие субъекта персональных данных на

68

обработку его персональных данных

2) не обязано получать согласие субъекта персональных данных на

обработку его персональных данных, если имеется договор о совместной

деятельности операторов персональных данных

3) обязано получать согласие субъекта персональных данных на

обработку его персональных данных

4) не обязано получать согласие субъекта персональных данных на

обработку его персональных данных, если имеется акт государственного

или муниципального органа

8. В СЛУЧАЕ НЕДЕЕСПОСОБНОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ

ДАННЫХ СОГЛАСИЕ НА ОБРАБОТКУ ЕГО ПЕРСОНАЛЬНЫХ ДАННЫХ

ДАЕТ

1) орган государственной власти, независимо от того, является ли он

законным представителем субъекта персональных данных или нет

2) опекун субъекта персональных данных

3) медицинская организация, в которой находится субъект персональных

данных

4) любое лицо на основании доверенности субъекта персональных

данных

9. В СЛУЧАЕ СМЕРТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

СОГЛАСИЕ НА ОБРАБОТКУ ЕГО ПЕРСОНАЛЬНЫХ ДАННЫХ ДАЮТ

1) опекун субъекта персональных данных

2) наследники субъекта персональных данных, если такое согласие не

было дано субъектом персональных данных при его жизни

3) медицинская организация, в которой находится субъект персональных

данных

4) любое лицо на основании доверенности субъекта персональных

данных

69

10. ОБЕЗЛИЧИВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ - ЭТО

1) временное прекращение сбора, систематизации, накопления,

использования, распространения персональных данных, в том числе их

передачу

2) действия, в результате которых становится невозможным хранение и

иные действия (операции) с персональными данными

3) действия, в результате которых становится невозможным без

использования дополнительной информации определить принадлежность

персональных данных конкретному субъекту персональных данных

4) действия, в результате которых становится невозможным восстановить

содержание персональных данных в информационной системе или в

результате которых уничтожаются материальные носители персональных

данных

11. К ОБЩЕДОСТУПНОМУ ИСТОЧНИКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

ОТНОСИТСЯ

1) телефонный справочник

2) адресная книга

3) библиографический энциклопедический справочник

4) список пациентов, представленный в приемном покое медицинской

организации

12. ИЗ ОБЩЕДОСТУПНЫХ ИСТОЧНИКОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

СВЕДЕНИЯ О СУБЪЕКТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ДОЛЖНЫ БЫТЬ В

ЛЮБОЕ ВРЕМЯ ИСКЛЮЧЕНЫ

1) исключительно по решению суда

2) по требованию субъекта персональных данных

3) по требованию субъекта персональных данных либо по решению суда

или иных уполномоченных государственных органов

70

4) не могут быть исключены из общедоступных источников

персональных данных

13. ДОПУСКАЕТСЯ ОБРАБОТКА СЛЕДУЮЩИХ СПЕЦИАЛЬНЫХ

КАТЕГОРИЙ ПЕРСОНАЛЬНЫХ ДАННЫХ, ЕСЛИ ОБРАБОТКА

ОСУЩЕТСВЛЯЕТСЯ В ЦЕЛЯХ ФЕДЕРАЛЬНОГО ЗАКОНА ОТ 25 ЯНВАРЯ

2002 ГОДА № 8-ФЗ «О ВСЕРОССИЙСКОЙ ПЕРЕПИСИ НАСЕЛЕНИЯ»

1) сведения, касающиеся расовой и национальной принадлежности

2) сведения о месте проживания

3) сведения, касающиеся религиозных или философских убеждений

4) сведения о политических взглядах

14. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ, КАСАЮЩИХСЯ

СОСТОЯНИЯ ЗДОРОВЬЯ, ДОПУСКАЕТСЯ В СЛУЧАЕ, ЕСЛИ ОБРАБОТКА

ПЕРСОНАЛЬНЫХ ДАННЫХ

1) осуществляется в медико-профилактических целях

2) осуществляется в целях установления медицинского диагноза,

оказания медицинских и медико-социальных услуг при условии, что

обработка персональных данных осуществляется лицом,

профессионально занимающимся медицинской деятельностью и

обязанным в соответствии с законодательством Российской Федерации

сохранять врачебную тайну

3) необходима для проведения медико-биологических исследований

4) необходима для защиты жизни, здоровья или иных жизненно важных

интересов субъекта персональных данных

71

15. ОБРАБОТКА БИОМЕТРИЧЕСКИХ ПЕРСОНАЛЬНЫХ ДАННЫХ МОЖЕТ

ОСУЩЕСТВЛЯТЬСЯ БЕЗ СОГЛАСИЯ СУБЪЕКТА ПЕРСОНАЛЬНЫХ

ДАННЫХ

1) в случаях, предусмотренных законодательством Российской

Федерации об обороне

2) если обработка данных осуществляется в медико-профилактических

целях

3) в случаях, предусмотренных законодательством Российской

Федерации о противодействии терроризму

4) в связи с осуществлением правосудия и исполнением судебных актов

16. СУБЪЕКТ ПЕРСОНАЛЬНЫХ ДАННЫХ ВПРАВЕ ТРЕБОВАТЬ ОТ

ОПЕРАТОРА УТОЧНЕНИЯ ЕГО ПЕРСОНАЛЬНЫХ ДАННЫХ, ИХ

БЛОКИРОВАНИЯ ИЛИ УНИЧТОЖЕНИЯ В СЛУЧАЕ, ЕСЛИ

1) персональные данные являются неполными, устаревшими, неточными

2) персональные данные являются незаконно полученными

3) персональные данные касаются состояния здоровья субъекта и его

семьи

4) персональные данные не являются необходимыми для заявленной цели

обработки

17. МЕДИЦИНСКАЯ ОРГАНИЗАЦИЯ ОБРЕТАЕТ СТАТУС ОПЕРАТОРА

ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТНОСИТЕЛЬНО

1) только своих сотрудников

2) только пациентов, которым медицинская помощь оказывается по

программе ОМС

3) всех своих сотрудников и пациентов

4) статус оператора не обретает

72

18. ЛЮБАЯ МЕДИЦИНСКАЯ ОРГАНИЗАЦИЯ ДОЛЖНА БЫТЬ

ЗАРЕГИСТРИРОВАНА В КАЧЕСТВЕ ОПЕРАТОРА ПЕРСОНАЛЬНЫХ

ДАННЫХ. ДЛЯ ЭТОГО НЕОБХОДИМО

1) подготовить и направить уведомление в орган управления

здравоохранения субъекта Российской Федерации

2) подготовить и направить уведомление в территориальный орган

Федеральной службы по надзору в сфере связи и массовых

коммуникаций

3) направить соответствующее заявление в адрес Федеральной службы

безопасности Российской Федерации

4) направить соответствующее заявление в адрес лицензионных органов

19. РЕЕСТР МЕДИЦИНСКИХ ОРГАНИЗАЦИЙ, ЯВЛЯЮЩИХСЯ

ОПЕРАТОРАМИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, СОСТАВЛЯЕТ

1) Федеральная служба безопасности Российской Федерации

2) управление информационных и аналитических технологий субъекта

Российской Федерации

3) федеральный орган исполнительной власти, осуществляющий функции

по контролю и надзору в сфере информационных технологий и связи

4) Министерство здравоохранения Российской Федерации

20. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ В ЦЕЛЯХ ПРОДВИЖЕНИЯ

МЕДИЦИНСКИХ УСЛУГ, ПРЕДОСТАВЛЯЕМЫХ МЕДИЦИНСКОЙ

ОРГАНИЗАЦИЕЙ, РАСШИРЕНИЯ КЛИЕНТСКОЙ БАЗЫ, ПРИВЛЕЧЕНИЯ

НОВЫХ ИНВЕСТОРОВ ДЛЯ ЗАКЛЮЧЕНИЯ ДОГОВОРОВ ДМС

1) допускается только при условии предварительного согласия субъекта

персональных данных

2) допускается при использовании информации на бумажных носителях

3) допускается при автоматизированной обработке данных

4) допускается без согласия субъекта персональных данных

73

21. МЕДИЦИНСКИЕ ОРГАНИЗАЦИИ, КАК ОПЕРАТОРЫ, НЕ ОБЯЗАНЫ

ПОДАВАТЬ УВЕДОМЛЕНИЕ В РОСКОМНАДЗОР ОБ ОБРАБОТКЕ

ПЕРСОНАЛЬНЫХ ДАННЫХ

1) обрабатываемых в соответствии с Трудовым кодексом Российской

Федерации

2) сделанных субъектом персональных данных общедоступными;

3) включающих только фамилии, имена и отчества субъектов

персональных данных

4) включающих фамилии, имена и отчества, адреса и заключительные

диагнозы пациентов

22. СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТ

ПАЦИЕНТА НЕ ТРЕБУЕТСЯ

1) если медицинская помощь оказывается по программе обязательного

медицинского страхования (ОМС), и персональные данные передаются

только в территориальный фонд ОМС и страховую организацию

2) если передача персональных данных (документов) пациента

осуществляется по открытым каналам связи (сети Интернет, электронной

почте), например, при проведении дистанционных (телемедицинских)

консультаций

3) при угрозе распространения инфекционных заболеваний, массовых

отравлений

4) если информация о состоянии здоровья пациента передается лицам,

указанным самим пациентом или его законным представителем

23. ОТ ПАЦИЕНТА ПИСЬМЕННОЕ СОГЛАСИЕ НА ОБРАБОТКУ

ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕБУЕТСЯ В СЛУЧАЕ

1) угрозы распространения инфекционных заболеваний, массовых

отравлений и поражений

74

2) проведения расследования или судебного разбирательства по запросу

органов дознания и следствия, суда

3) если медицинская помощь оказывается пациенту на платной основе,

вне программы государственных гарантий, и сведения передаются

третьим лицам (организациям), не являющимся медицинскими

организациями, например в страховую компанию и (или) страхователю

по дополнительному медицинскому страхованию

4) расследования несчастного случая на производстве и

профессионального заболевания

24. ИНФОРМАЦИОННЫЕ СИСТЕМЫ МЕДИЦИНСКИХ ОРГАНИЗАЦИЙ, В

КОТОРЫХ ОРАБАТЫВАЮТСЯ ПЕРСОНАЛЬНЫЕ ДАННЫЕ О С

ОСТОЯНИИ ЗДОРОВЬЯ ПАЦИЕНТОВ, ОТНОСЯТСЯ

1) к категории 1 (персональные данные, касающиеся расовой,

национальной принадлежности, политических взглядов, религиозных и

философских убеждений, состояния здоровья, интимной жизни)

2) к категории 2 (персональные данные, позволяющие идентифицировать

субъекта персональных данных и получить о нем дополнительную

информацию, за исключением персональных данных, относящихся к

категории 1)

3) к категории 3 (персональные данные, позволяющие идентифицировать

субъекта персональных данных)

4) к категории 4 (обезличенные и (или) общедоступные персональные

данные)

25. В ОБЕЗЛИЧЕННЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ НИКОГДА НЕ

УКАЗЫВАЮТСЯ

1) фамилия, имя, отчество пациента

2) возраст пациента

75

3) место проживания пациента

4) номер полиса обязательного медицинского страхования

26. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ МОЖЕТ

БЫТЬ ОГРАНИЧЕНА В ЦЕЛЯХ

1) защиты основ Конституционного строя Российской Федерации

2) обеспечения транспортной безопасности

3) защиты нравственности, здоровья, прав и законных интересов граждан

4) обеспечения обороны страны и безопасности государства

27. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ НА

ТЕРРИТОРИИ ИНОСТРАННЫХ ГОСУДАРСТВ, НЕ ОБЕСПЕЧИВАЮЩИХ

АДЕКВАТНОЙ ЗАЩИТЫ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ,

МОЖЕТ ОСУЩЕСТВЛЯТЬСЯ В СЛУЧАЯХ

1) наличия согласия в письменной форме субъекта персональных данных

на трансграничную передачу его персональных данных

2) исполнения договора, стороной которого является субъект

персональных данных

3) защиты жизни, здоровья, иных жизненно важных интересов субъекта

персональных данных или других лиц при невозможности получения

согласия в письменной форме субъекта персональных данных

4) не может осуществляться

28. УПОЛНОМОЧЕННЫМ ОРГАНОМ ПО ЗАЩИТЕ ПРАВ СУБЪЕКТОВ

ПЕРСОНАЛЬНЫХ ДАННЫХ, НА КОТОРЫЙ ВОЗЛАГАЕТСЯ

ОБЕСПЕЧЕНИЕ КОНТРОЛЯ И НАДЗОРА ЗА СООТВЕТСТВИЕМ

ОБРАБОТКИ ПЕРСОНАЛЬНЫХ, ДАННЫХ ЯВЛЯЕТСЯ

1) Федеральная служба безопасности Российской Федерации

2) управление информационных и аналитических технологий субъекта

Российской Федерации

76

3) федеральный орган исполнительной власти, осуществляющий функции

по контролю и надзору в сфере информационных технологий и связи

4) Уполномоченный по правам человека Российской Федерации

29. В СООТВЕТСТВИИ С ФЕДЕРАЛЬНЫМ ЗАКОНОМ ОТ 27.07.2006 № 152-

ФЗ «О ПЕРСОНАЛЬНЫХ ДАННЫХ» ОПЕРАТОРОМ ЯВЛЯЕТСЯ

1) государственный орган, муниципальный орган, юридическое или

физическое лицо, организующие и (или) осуществляющие обработку

персональных данных, а также определяющие цели и содержание

обработки персональных данных

2) только физическое лицо, осуществляющее сбор, систематизацию,

накопление, использование, хранение и иные действия (операции) с

персональными данными

3) специально уполномоченная организация по обработке персональных

данных

4) физическое лицо, ответственное за обработку персональных данных с

использованием средств автоматизации или без использования таких

средств

30. ЕСЛИ СУБЪЕКТУ ПЕРСОНАЛЬНЫХ ДАННЫХ ПО ЕГО ЗАПРОСУ

БЫЛИ ПРЕДОСТАВЛЕНЫ ДЛЯ ОЗНАКОМЛЕНИЯ СВЕДЕНИЯ,

КАСАЮЩИЕСЯ ОБРАБОТКИ ЕГО ПЕРСОНАЛЬНЫХ ДАННЫХ, СУБЪЕКТ

ПЕРСОНАЛЬНЫХ ДАННЫХ ВПРАВЕ ОБРАТИТЬСЯ ПОВТОРНО К

ОПЕРАТОРУ ИЛИ НАПРАВИТЬ ЕМУ ПОВТОРНЫЙ ЗАПРОС

1) не ранее чем через десять дней после первоначального обращения или

направления первоначального запроса

2) не ранее чем через пятнадцать дней после первоначального обращения

или направления первоначального запроса

77

3) не ранее чем через тридцать дней после первоначального обращения

или направления первоначального запроса

4) не ранее чем через год после первоначального обращения или

направления первоначального запроса

31. В СЛУЧАЕ ПРЕКРАЩЕНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ОПЕРАТОР ОБЯЗАН УВЕДОМИТЬ ОБ ЭТОМ УПОЛНОМОЧЕННЫЙ

ОРГАН ПО ЗАЩИТЕ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ В

ТЕЧЕНИЕ

1) 7 календарных дней с даты прекращения обработки персональных

данных

2) 10 рабочих дней с даты прекращения обработки персональных данных

3) 15 календарных дней с даты принятия решения о прекращении

обработки персональных данных

4) 20 рабочих дней с даты принятия решения о прекращении обработки

персональных данных

32. ОПЕРАТОР ОБЯЗАН СООБЩИТЬ СУБЪЕКТУ ПЕРСОНАЛЬНЫХ

ДАННЫХ ИЛИ ЕГО ПРЕДСТАВИТЕЛЮ ИНФОРМАЦИЮ О НАЛИЧИИ

ПЕРСОНАЛЬНЫХ ДАННЫХ, А ТАКЖЕ ПРЕДОСТАВИТЬ ВОЗМОЖНОСТЬ

ОЗНАКОМЛЕНИЯ С ЭТИМИ ПЕРСОНАЛЬНЫМИ ДАННЫМИ ПРИ

ОБРАЩЕНИИ

1) в течение пяти дней с даты получения запроса

2) в течение тридцати дней с даты получения запроса

3) в течение пятнадцати дней с даты получения запроса

4) в течение шестидесяти дней с даты получения запроса

78

33. В СЛУЧАЕ ОТЗЫВА СУБЪЕКТОМ ПЕРСОНАЛЬНЫХ ДАННЫХ

СОГЛАСИЯ НА ОБРАБОТКУ ЕГО ПЕРСОНАЛЬНЫХ ДАННЫХ ОПЕРАТОР

ОБЯЗАН ПРЕКРАТИТЬ ИХ ОБРАБОТКУ ИЛИ ОБЕСПЕЧИТЬ

ПРЕКРАЩЕНИЕ ТАКОЙ ОБРАБОТКИ

1) в срок, не превышающий пяти дней с даты поступления указанного

отзыва

2) в срок, не превышающий пятнадцати дней с даты поступления

указанного отзыва

3) в срок, не превышающий тридцати дней с даты поступления

указанного отзыва

4) в срок, не превышающий шестидесяти дней с даты поступления

указанного отзыва

34. В СЛУЧАЕ ДОСТИЖЕНИЯ ЦЕЛЕЙ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ

ДАННЫХ ОПЕРАТОР ОБЯЗАН ПРЕКРАТИТЬ ОБРАБОТКУ

ПЕРСОНАЛЬНЫХ ДАННЫХ ИЛИ ОБЕСПЕЧИТЬ ЕЕ ПРЕКРАЩЕНИЕ И

УНИЧТОЖИТЬ ПЕРСОНАЛЬНЫЕ ДАННЫЕ ИЛИ ОБЕСПЕИТЬ ИХ

УНИЧТОЖЕНИЕ

1) в срок, не превышающий тридцати дней с даты достижения цели

обработки персональных данных

2) в срок, не превышающий шестидесяти дней с даты достижения цели

обработки персональных данных

3) в срок, не превышающий месяца с даты достижения цели обработки

персональных данных

4) в срок, не превышающий года с даты достижения цели обработки

персональных данных

79

35. В СЛУЧАЕ ВЫЯВЛЕНИЯ НЕПРАВОМЕРНОЙ ОБРАБОТКИ

ПЕРСОНАЛЬНЫХ ДАННЫХ, ОСУЩЕСТВЛЯЕМОЙ ОПЕРАТОРОМ ИЛИ

ЛИЦОМ, ДЕЙСТВУЮЩИМ ПО ПОРУЧЕНИЮ ОПЕРАТОРА, ОПЕРАТОР

ОБЯЗАН ПРЕКРАТИТЬ НЕПРАВОМЕРНУЮ ОБРАБОТКУ

ПЕРСОНАЛЬНЫХ ДАННЫХ ИЛИ ОБЕСПЕЧИТЬ ЕЕ ПРЕКРАЩЕНИЕ

ЛИЦОМ, ДЕЙСТВУЮЩИМ ПО ПОРУЧЕНИЮ ОПЕРАТОРА

1) в срок, не превышающий трех рабочих дней с даты этого выявления

2) в срок, не превышающий пяти рабочих дней с даты этого выявления

3) в срок, не превышающий трех календарных дней с даты этого

выявления

4) в срок, не превышающий пяти календарных дней с даты этого

выявления

36. В СЛУЧАЕ ЕСЛИ ОБЕСПЕЧИТЬ ПРАВОМЕРНОСТЬ ОБРАБОТКИ

ПЕРСОНАЛЬНЫХ ДАННЫХ НЕВОЗМОЖНО ОПЕРАТОР ОБЯЗАН

УНИЧТОЖИТЬ ПЕРСОНАЛЬНЫЕ ДАННЫЕ ИЛИ ОБЕСПЕИТЬ ИХ

УНИЧТОЖЕНИЕ

1) в срок, не превышающий трех рабочих дней с даты выявления

неправомерной обработки персональных данных

2) в срок, не превышающий пяти рабочих дней с даты выявления

неправомерной обработки персональных данных

3) в срок, не превышающий десяти рабочих дней с даты выявления

неправомерной обработки персональных данных

4) в срок, не превышающий тридцати рабочих дней с даты выявления

неправомерной обработки персональных данных

80

37. В СЛУЧАЕ ПОДТВЕРЖДЕНИЯ ФАКТА НЕТОЧНОСТИ

ПЕРСОНАЛЬНЫХ ДАННЫХ ОПЕРАТОР НА ОСНОВАНИИ СВЕДЕНИЙ,

ПРЕДСТАВЛЕНННЫХ СУБЪЕКТОМ ПЕРСОНАЛЬНЫХ ДАННЫХ ИЛИ

ИНЫХ НЕОБХОДИМЫХ ДОКУМЕНТОВ ОБЯЗАН УТОЧНИТЬ

ПЕРСОНАЛЬНЫЕ ДАННЫЕ ЛИБО ОБЕСПЕЧИТЬ ИХ УТОЧНЕНИЕ

1) в течение пяти рабочих дней со дня представления таких сведений

2) в течение семи рабочих дней со дня представления таких сведений

3) в течение десяти рабочих дней со дня представления таких сведений

4) в течение пятнадцати рабочих дней со дня представления таких

сведений

38. ОПЕРАТОР ОБЯЗАН СООБЩИТЬ В УПОЛНОМОЧЕННЫЙ ОРГАН ПО

ЗАЩИТЕ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ ПО ЗАПРОСУ

ЭТОГО ОРГАНА НЕОБХОДИМУЮ ИНФОРМАЦИЮ

1) в течение трех дней с даты получения такого запроса

2) в течение пяти дней с даты получения такого запроса

3) в течение пятнадцати дней с даты получения такого запроса

4) в течение тридцати дней с даты получения такого запроса

39. В СЛУЧАЕ ПРЕДСТАВЛЕНИЯ СУБЪЕКТОМ ПЕРСОНАЛЬНЫХ

ДАННЫХ ИЛИ ЕГО ПРЕДСТАВИТЕЛЕМ СВЕДЕНИЙ,

ПОДТВЕРЖДАЮЩИХ, ЧТО ТАКИЕ ПЕРСОНАЛЬНЫЕ ДАННЫЕ

ЯВЛЯЮТСЯ НЕЗАКОННО ПОЛУЧЕННЫМИ ИЛИ НЕ ЯВЛЯЮТСЯ

НЕОБХОДИМЫМИ ДЛЯ ЗАЯВЛЕННОЙ ЦЕЛИ ОБРАБОТКИ ОПЕРАТОР

ОБЯЗАН УНИЧТОЖИТЬ ЭТИ ПЕРСОНАЛЬНЫЕ ДАННЫЕ

1) в срок, не превышающий трех рабочих дней со дня представления

2) в срок, не превышающий пяти рабочих дней со дня представления

3) в срок, не превышающий семи рабочих дней со дня представления

4) в срок, не превышающий десяти рабочих дней со дня представления

81

40. В СЛУЧАЕ ОТКАЗА В ПРЕДОСТАВЛЕНИИ ИНФОРМАЦИИ О

НАЛИЧИИ ПЕРСОНАЛЬНЫХ ДАННЫХ СУБЪЕКТУ ПЕРСОНАЛЬНЫХ

ДАННЫХ ИЛИ ЕГО ПРЕДСТАВИТЕЛЮ ПРИ ИХ ОБРАЩЕНИИ ОПЕРАТОР

ОБЯЗАН ДАТЬ В ПИСЬМЕННОЙ ФОРМЕ МОТИВИРОВАННЫЙ ОТВЕТ,

ОБОСНОВЫВАЮЩИЙ ОТКАЗ

1) в срок, не превышающий пяти дней со дня обращения субъекта

персональных данных или его представителя

2) в срок, не превышающий десяти дней со дня обращения субъекта

персональных данных или его представителя

3) в срок, не превышающий пятнадцати дней со дня обращения субъекта

персональных данных или его представителя

4) в срок, не превышающий тридцати дней со дня обращения субъекта

персональных данных или его представителя

82

СИТУАЦИОННЫЕ ЗАДАЧИ

Ситуационная задача 1. В медицинской организации во исполнение

норм ст. 22.1 Закона «О персональных данных» приказом главного врача

назначается ответственный за организацию обработки персональных данных.

Какие изменения и дополнения необходимо внести в должностную

инструкцию работника, ответственного за указанную часть работы в

медицинской организации?

Ситуационная задача 2. Субъекты персональных данных (работники

медицинской организации и пациенты), передавая сведения о себе, вправе

рассчитывать на соблюдение конфиденциальности при использовании данной

информации в медицинской организации. Это подразумевает не только

применение технических средств защиты (специальные сертифицированные

программные и технические средства защиты информации), но и проведение

комплекса организационных мероприятий, направленных на предотвращение

потери, искажения и несанкционированного доступа к персональным данным.

Какая документация, связанная с соблюдением конфиденциальности при

использовании персональных данных сотрудников и пациентов, должна быть

разработана в медицинской организации?

Ситуационная задача 3. Согласно ст. 23 Закона «О персональных

данных» Роскомнадзор является уполномоченным органом по защите прав

субъектов персональных данных, который ведет реестр операторов. В

соответствии со ст. 22 данного закона оператор до начала обработки

персональных данных обязан уведомить Роскомнадзор о своем намерении

осуществлять обработку.

Об обработке каких персональных данных медицинские организации не

обязаны подавать уведомление в Роскомнадзор?

Ситуационная задача 4. Согласно законодательству, обработка

специальных категорий персональных данных должна осуществляться с

83

письменного согласия субъекта персональных данных (ст. 6, 9, 10 Закона «О

персональных данных», ч. 3 ст. 13 Закона № 323-ФЗ).

Укажите состав сведений, которые указываются в согласии пациента на

обработку его персональных данных.

Ситуационная задача 5. Родственники пациента М. обратились к

главному врачу больницы с жалобой на нарушение прав пациента при

обработке его персональных данных. В жалобе указывалось, что пациент М.

при поступлении в больницу не давал письменного согласия на обработку

персональных данных. При разборе жалобы выяснилось, что больной М.

поступил в больницу по скорой помощи в состоянии сопора с открытой

черепно-мозговой травмой и множественными переломами костей нижних

конечностей. Больной госпитализирован в реанимационное отделение, перенёс

несколько операций, находился в состоянии искусственной комы. Больной

переведен в нейрохирургическое отделение.

Обоснована ли жалоба родственников пациента?

Ситуационная задача 6. Больной М. проживает в сельской местности и

наблюдается в центральной районной больнице. После перенесенного ожога у

больного М. сохранились язвы и гранулирующие раны на груди, правом плече,

верхней трети спины. Показано оперативное лечение. Подобные операции

проводятся в нескольких центральных клиниках. Для решения вопроса об

оперативном лечении заведующий отделением принимает решение о

проведении дистанционной (телемедицинской) консультации.

Необходимо ли в этом случае письменное согласие пациента на передачу

информации?

Ситуационная задача 7. Пациент Д. предъявил претензии медицинской

организации, указав, что после проведенного лечения по поводу устранения

деформаций челюстно-лицевой области в информационной системе

медицинской организации остались его фотографии. Письменного согласия на

хранение фотографии пациент не давал.

84

Обоснована ли жалоба пациента? Каким образом можно исправить

ситуацию?

Ситуационная задача 8. Согласно п. 7 ст. 21 и п. 7 ст. 79 Закона № 323-

ФЗ при выборе врача и медицинской организации гражданин имеет право на

получение информации в доступной для него форме, в т. ч. размещенной в

информационно-телекоммуникационной сети Интернет. Медицинские

организации предоставляют информацию о медицинской организации, об

осуществляемой ею медицинской деятельности, о врачах, об уровне их

образования и квалификации.

Какую информацию о врачах в информационно-телекоммуникационной

сети Интернет можно размещать только с письменного согласия работника?

Ситуационная задача 9. Медицинская организация является оператором

обработки персональных данных своих пациентов.

Какую информацию оператор обязан предоставить пациенту по его

просьбе?

Ситуационная задача 10. Гражданин Б. обратился в регистратуру

муниципальной поликлиники с просьбой направить его на прием к терапевту.

При обращении гражданин Б. отказался предоставить свои персональные

данные (не показывает паспорт, полис и другие документы).

Каковы дальнейшие действия медицинского регистратора?

Ситуационная задача 11. Информационные системы обработки

персональных данных в медицинских организациях относятся к наиболее

высоким из всех возможных классов, и требует принятия наиболее полных и,

соответственно, сложных способов и методов защиты информации.

Каким образом можно изменить класс системы обработки персональных

данных в муниципальной поликлинике?

Ситуационная задача 12. Соседка вызвала по телефону бригаду скорой

помощи к пациенту с высокой температурой. Впоследствии пациент предъявил

85

жалобу, что у соседки по телефону не брали согласие на обработку его

персональных данных.

Каким образом оператор скорой помощи может доказать наличие

согласия на обработку персональных данных пациента?

Ситуационная задача 13. В международном медицинском центре

осуществляется передача данных о пациентах в европейский центр.

Каким образом провести обезличивание персональных данных?

Ситуационная задача 14. В медицинской организации вся документация

ведется только на безмашинной основе, отсутствуют электронные истории

болезней, запись к врачу проводится на бумажном носителе. Обработка все

данных проводится вручную.

К какому виду обработки персональных данных относится данный вид

делопроизводства? Необходимо ли к ней применять нормативные документы

по защите ПД?

Ситуационная задача 15. В детской городской поликлинике

использовались журналы самозаписи пациентов на прием к врачу. В

регистратуре стоит стол, на котором в хаотичном порядке лежат папки

самозаписи к врачам, в зависимости от участка, куда родители должны вписать

ФИО ребенка, год рождения, полный возраст, место проживания для того,

чтобы попасть на прием к своему специалисту в определенное время. Данные

папки лежат в общедоступном месте, и, при желании, злоумышленник,

посмотрев, когда родители приведут на лечение ребенка, в это время может

обокрасть квартиру, где проживает данный ребенок, тем самым причинив

значительный ущерб субъекту персональных данных. По этому факту была

проведена проверка Роскомнадзора и выдано предписание на устранение

нарушений.

Каким образом можно исправить данное нарушение?

Ситуационная задача 16. В соответствии со ст. 1. Закона «О

персональных данных» сведения, которые характеризуют физиологические и

86

биологические особенности человека, на основании которых можно установить

его личность (биометрические персональные данные) и которые используются

оператором для установления личности субъекта персональных данных, могут

обрабатываться только при наличии согласия в письменной форме субъекта

персональных данных.

Относятся ли почерк и подпись человека к биометрическим данным?

Если да, необходимо ли брать согласие субъекта биометрических данных на их

обработку, если обработка (хранение) этих данных осуществляется оператором

в связи с исполнением субъектом персональных данных своей трудовой

функции (например, подписывает договоры, приказы по кадрам)?

Ситуационная задача 17. Согласие субъекта на обработку персональных

данных должно содержать подпись субъекта персональных данных.

Как быть в тех случаях, когда персональные данные предоставляются

оператором через телекоммуникационные сети Интернет и личной встречи

между оператором и субъектом не происходит?

Достаточно ли в этом случае выражения согласия субъекта персональных

данных на обработку его данных путем проставления отметки в согласии в

электронном виде (например, при предоставлении по электронной почте анкет

соискателей на вакансии работодателей, предоставление данных организатору

конкурса, проводимого в Интернет, или при проведении телемедицинской

консультации)?

Ситуационная задача 18. ООО «Медоснова» является филиалом

международного медицинского холдинга. Как юридическое лицо медицинский

холдинг зарегистрирован в Израиле.

Распространяются ли требования Закона «О персональных данных» на

юридическое лицо иностранного государства?

Ситуационная задача 19. В медицинской организации ко дню рождения

сотрудников практикуется размещение в общедоступном месте списка

87

работников с указанием их персональных данных. Согласия работников на

размещение на стенде их персональных данных не имеется.

Являются ли правомерными действия работодателя?

Ситуационная задача 20. Вправе ли должностное лицо, в производстве

которого находится дело об административном правонарушении, запрашивать

у руководства медицинской организации персональные данные их работников?

Ситуационная задача 21. В медицинской организации сотрудница

отдела бухгалтерского учета и отчетности передала другой фирме документы,

касающиеся оплаты труда и премирования, не скрыв Ф.И.О. нескольких

работников. При этом имело место разглашение персональных данных.

Руководитель медицинской организации хочет уволить провинившуюся

сотрудницу. Однако работники, чьи персональные данные были разглашены, ее

простили и подписали обращение к руководству, что претензий к ней не имеют.

Можно ли в данной ситуации уволить работника?

Ситуационная задача 22. В медицинскую организацию поступил

телефонный звонок от сотрудника банка с целью проверки, работает ли в

организации гражданин И. Сотрудником отдела кадров была предоставлена

исчерпывающая информация о работнике И. с указанием паспортных данных,

ИНН и пр.

Является ли это нарушением законодательства о защите ПД работника?

Может ли медицинская организация отказать звонящему в предоставлении

сведений о работнике?

Ситуационная задача 23. В помещении отдела кадров медицинской

организации перегорела лампа дневного освещения. Был вызван штатный

электрик. Он быстро справился с поставленной задачей. Но, уходя, прочитал

приказы о премировании работников административно-хозяйственного отдела,

забытые на столе кадровиком. При этом он заметил, что из всех сотрудников

АХО ему была выплачена самая маленькая премия. Электрик был очень

обижен и поспешил поделиться об этом со всеми, кто был готов его выслушать.

88

История быстро дошла до руководителя медицинской организации, который

хотел даже его уволить за разглашение персональных данных. Однако при

выяснении обстоятельств выяснил, что приказы были оставлены на столе

специалистом отдела кадров.

Как следует поступить руководителю в данной ситуации?

Ситуационная задача 24. В приемном покое медицинской организации

на стенде представлен список пациентов, находящихся на стационарном

лечении с указанием отделения, Ф.И.О., номера палаты. Кроме того,

представлен список пациентов реанимационного отделения с дополнительным

указанием тяжести состояния.

Нарушены ли права пациентов, находящихся на стационарном лечении в

медицинской организации?

Ситуационная задача 25. Гражданин Г. работает охранником в ГБУЗ

Кожно-венерологический диспансер. Находясь на дежурстве в приемном покое,

он случайно встретил своего соседа по дому гражданина П. В беседе П.

пояснил, что проходит медицинский осмотр. Охранник, придя домой со смены,

сообщил супруге о встрече. Спустя месяц гр. П. подал в суд на гр. Г. о защите

своих конституционных прав на неприкосновенность частной жизни, защиту

чести и доброго имени.

Правомерен ли судебный иск?

89

ЭТАЛОНЫ ОТВЕТОВ К ТЕСТОВЫМ ЗАДАНИЯМ

Вопрос Ответ Вопрос Ответ Вопрос Ответ Вопрос Ответ

1 2 11 1, 2, 3 21 1, 2, 3 31 3

2 3 12 3 22 1, 3, 4 32 2

3 1 13 1, 3, 4 23 3 33 3

4 1, 3 14 1, 2, 4 24 1 34 1

5 3 15 2 25 1 35 1

6 1,3 16 1, 2, 4 26 1, 3, 4 36 3

7 1 17 3 27 4 37 2

8 2 18 2 28 3 38 3

9 2 19 3 29 1 39 3

10 3 20 1 30 3 40 4

90

ЭТАЛОНЫ ОТВЕТОВ К СИТУАЦИОННЫМ ЗАДАЧАМ

Ситуационная задача 1. В обязанности ответственного в медицинской

организации за организацию обработки персональных данных согласно закону

входит:

- осуществление контроля над соблюдением оператором и сотрудниками

медицинской организации законодательства о персональных данных и

требований к их защите;

- доведение до сведения работников медицинской организации

положений законодательства и иных актов (например, локальных актов

учреждения), регламентирующих процессы обработки персональных данных, и

требований к их защите;

- организация приема и обработки обращений и запросов субъектов

персональных данных (работников медицинской организации и пациентов) и

осуществление контроля над их приемом и обработкой.

Ответственный сотрудник получает указания непосредственно от

руководителя медицинской организации и подотчетен только ему (ч. 2 ст. 22.1

Закона «О персональных данных»).

Соответствующие изменения и дополнения вносятся в должностную

инструкцию работника, ответственного за указанную часть работы в

медицинской организации.

Ситуационная задача 2. В медицинской организации должна быть

следующая необходимая документация:

- должностные инструкции,

- положения об обработке персональных данных,

- приказы,

- обязательства медицинского работника о неразглашении данных,

91

- регламенты взаимодействия между подразделениями медицинской

организации,

- регламенты использования программного обеспечения, ресурсов сети

Интернет,

- требования к профессиональной подготовке персонала,

а также ряд журналов:

- журнал регистрации выявленных нарушений,

- журнал регистрации используемого программного обеспечения,

- журнал по учету носителей информации, содержащих персональные

данные,

- журнал учета обращений граждан (субъектов персональных данных).

Ситуационная задача 3. Медицинские организации не обязаны подавать

в Роскомнадзор уведомление об обработке следующих данных:

- обрабатываемых в соответствии с ТК РФ;

- полученных в связи с заключением договора, стороной которого

является субъект персональных данных, если данные не распространяются без

согласия лица и используются оператором исключительно для исполнения

договора;

- сделанных субъектом персональных данных общедоступными;

- включающих только фамилии, имена и отчества;

- необходимых в целях однократного пропуска лица на территорию, на

которой находится оператор, или в иных аналогичных целях;

- включенных в информационные системы персональных данных,

имеющие статус государственных автоматизированных информационных

систем;

- обрабатываемых без использования средств автоматизации в

соответствии с законодательством, устанавливающим требования к

обеспечению безопасности данных при их обработке.

92

Ситуационная задача 4. Состав сведений, указываемых в согласии

пациента на обработку его персональных данных, перечислен в ст. 9 Закона «О

персональных данных»:

- фамилия, имя, отчество, адрес пациента; реквизиты документа,

удостоверяющего его личность;

- наименование и адрес оператора, получающего согласие;

- цель обработки персональных данных;

- перечень персональных данных, на обработку которых дается согласие

пациента;

- наименование и адрес лица, осуществляющего обработку персональных

данных по поручению оператора;

- перечень действий с персональными данными, описание способов

обработки;

- срок, в течение которого действует согласие, способ его отзыва;

- подпись пациента.

Ситуационная задача 5. Нет, не обоснована.

Согласие пациента на обработку ПД не требуется в следующих случаях:

- медицинская помощь оказывается по программе обязательного

медицинского страхования (ОМС), и персональные данные передаются только

в территориальный фонд ОМС и страховую организацию (ст. 38, 39, 43, 44 и 48

Федерального закона № 326-ФЗ);

- персональные данные пациента о состоянии его здоровья передаются

третьим лицам (ч. 4 ст. 13 Закона № 323-ФЗ):

- если пациент в результате своего состояния не способен выразить свою

волю, но ему необходимо лечение;

- при угрозе распространения инфекционных заболеваний, массовых

отравлений;

93

- по запросу органов дознания и следствия, суда, органа уголовно-

исполнительной системы;

- в случае оказания медицинской помощи несовершеннолетнему;

- в целях информирования органов внутренних дел о поступлении

пациента, в отношении которого имеются основания полагать, что вред его

здоровью причинен в результате противоправных действий;

- в целях проведения военно-врачебной экспертизы по запросам военных

комиссариатов;

- в целях расследования несчастного случая на производстве и

профессионального заболевания;

- при обмене информацией медицинскими организациями, в т. ч.

размещенной в информационных системах, в целях оказания медицинской

помощи;

- в целях осуществления учета и контроля в системе обязательного

социального страхования;

- в целях осуществления контроля качества и безопасности медицинской

помощи.

Ситуационная задача 6. Да, необходимо.

Письменное согласие пациента на передачу (предоставление) его

персональных данных, составляющих врачебную тайну, требуется в случаях,

когда:

- медицинская помощь оказывается пациенту на платной основе, вне

программы государственных гарантий, и сведения передаются третьим лицам

(организациям), не являющимся медицинскими организациями, например в

страховую компанию и (или) страхователю по дополнительному медицинскому

страхованию (в случае, если им не является сам пациент или его законный

представитель);

94

- информация о состоянии здоровья пациента передается лицам,

указанным самим пациентом или его законным представителем (ч. 5 ст. 19

Закона № 323-ФЗ); в согласии должны быть указаны фамилия, имя, отчество и

контактные данные этих лиц (при этом можно считать, что пациент является

представителем этих лиц, в связи с чем их специальное письменное согласие на

обработку (хранение) указанных персональных данных в медицинском

учреждении не требуется (ч. 1 и 8 ст. 9 Закона «О персональных данных»);

- передача персональных данных (документов) пациента осуществляется

по открытым каналам связи (сети Интернет, электронной почте), например, при

проведении дистанционных (телемедицинских) консультаций;

- осуществляется трансграничная передача персональных данных

пациента, например, при осуществлении телемедицинских консультаций с

участием врачей, находящихся в странах, не являющихся сторонами Конвенции

Совета Европы по защите физических лиц при автоматизированной обработке

персональных данных от 28 января 1981 г. ETS № 108 или не включенных в

перечень иностранных государств, обеспечивающих адекватную защиту прав

субъектов персональных данных, утверждаемый Роскомнадзором (ст. 12 Закона

«О персональных данных»).

В настоящее время данную Конвенцию подписали и ратифицировали

Австрия, Бельгия, Болгария, Дания, Великобритания, Венгрия, Германия,

Греция, Ирландия, Испания, Италия, Латвия, Литва, Люксембург, Мальта,

Нидерланды, Польша, Португалия, Румыния, Словакия, Словения, Финляндия,

Франция, Чехия, Швеция, Эстония.

К странам, обеспечивающим адекватную защиту персональных данных,

имеющим общенациональные нормативные правовые акты в области защиты

персональных данных и уполномоченный надзорный орган по защите прав

субъектов персональных данных, относятся Андорра, Аргентина, Израиль,

Исландия, Канада, Лихтенштейн, Норвегия, Сербия, Хорватия, Черногория,

Швейцария, Южная Корея, Япония.

95

Ситуационная задача 7. Да, жалоба обоснована.

В случаях, когда в информационной системе медицинской организации

хранятся и обрабатываются биометрические данные пациента (данные

геометрии контура кисти руки, изображения отпечатка пальца, сосудистого

русла, изображение радужной оболочки глаза, изображение (фотография) лица,

данные ДНК и др.), на это необходимо его специальное письменное согласие

(ст. 11 Закона «О персональных данных»).

Фотографии необходимо сделать обезличенными таким образом, чтобы

по ним нельзя было идентифицировать субъекта персональных данных.

Ситуационная задача 8. Фотографию, так как фотография содержит

биометрические данные субъекта персональных данных.

Ситуационная задача 9. При сборе персональных данных операторы

обработки персональных данных обязаны предоставить пациенту по его

просьбе следующую информацию:

- подтверждение факта обработки персональных данных оператором, а

также цель данной обработки;

- способы обработки персональных данных, применяемые оператором;

- сведения о лицах, которые имеют доступ к персональным данным или

которым может быть предоставлен такой доступ;

- перечень обрабатываемых персональных данных и источник их

получения;

- сроки обработки персональных данных, в т. ч. сроки их хранения;

- сведения о том, какие юридические последствия для субъекта может

повлечь за собой обработка его персональных данных;

- разъяснения последствий его отказа в предоставлении своих

персональных данных в случае, если это установлено в качестве обязанности

субъекта федеральным законом.

96

Если персональные данные были получены не от субъекта персональных

данных, оператор до начала их обработки обязан предоставить субъекту

следующую информацию:

- наименование (фамилия, имя, отчество) и адрес оператора или его

представителя, от которого были получены данные;

- цель обработки персональных данных и ее правовое основание;

- предполагаемые пользователи персональных данных;

- установленные права субъекта персональных данных.

Ситуационная задача 10. Пациента направляют на прием к терапевту.

Отказать пациенту в оказании медицинских услуг, если он не предоставляет

свои персональные данные (то есть не показывает паспорт, полис и другие

документы), нельзя в силу публичного характера договора оказания услуг (ст.

426 ГК РФ). Медицинская организация должна осуществлять оказание

медицинских услуг в отношении каждого, кто к ней обратится.

Однако медицинская помощь в данном случае может быть оказана только

на возмездной основе на основании договора возмездного оказания

медицинских услуг, поскольку пациент не подтвердил статус застрахованного

лица по обязательному медицинскому страхованию. При оформлении договора,

акта или счета в графе «заказчик» указывается «аноним», и делается пометка о

том, что пациент отказался от предоставления персональных данных.

Ситуационная задача 11. В медицинских организациях под определение

ИСПД подпадают следующие информационные системы:

- приложения, обрабатывающих сведения о пациентах (системы

удаленной записи на прием к врачу),

- системы кадрового и бухгалтерского учета самого учреждения,

- системы электронной почты,

- справочные порталы,

97

- системы управления идентификацией и доступом, если в них

содержатся персональные данные пользователей информационной системы.

Для каждой такой ИСПД необходимо создать модель угроз

персональным данным, исходя из условий ее функционирования.

Наиболее радикальным способом реинжиниринга класса ИСПД является

обезличивание персональных данных в системе, обрабатывающей данные

пациентов.

ИСПД поликлиники можно разделить на две системы:

– базу данных с электронными медицинскими картами, в которой данные

обезличены и вместо фамилии, имени и отчества пациентов используются

некие условные коды (например, номера полисов обязательного медицинского

страхования или любые другие),

- базу данных пациентов, где нет сведений о состоянии здоровья, а есть

только связь между условным кодом истории болезней и идентифицирующими

пациента данными.

Таким образом, вместо одной большой системы образуются две. Первая,

обезличенная, является специальной системой класса К4 и не требует

обеспечения конфиденциальности данных.

Вторая, в которой медицинских данных нет, – типовая система класса К3.

Затраты на выполнение обязательных требований по защите информации для

специальной системы класса К1 и двух систем класса К3 и К4 несопоставимы и

отличаются на два, и иногда и на три порядка.

Ситуационная задача 12. Перед началом записи разговора с оператором

скорой помощи можно использовать робота, который сообщает, что в целях

обеспечения защиты здоровья граждан и повышения качества обслуживания

все переговоры записываются. Только после этого текста абонент вступает в

разговор с оператором скорой помощи.

98

Если такая запись была, то запись с роботом необходимо предъявить в

качестве доказательства. Эта запись подтверждает, что абонент, вызывавший

скорую помощь, совершил конклюдентные действия и, зная о записи

переговоров, этими действиями дал согласие их продолжить.

Ситуационная задача 13. Передачей персональных данных в

обезличенном виде в данном случае будет считаться передача только ФИО без

какой-либо дополнительной информации, которая позволяет связать ФИО с

конкретным субъектом. Также можно передавать ID с инициалами пациентов.

Ситуационная задача 14. Подобная организация обработки

персональных данных считается осуществленной без использования средств

автоматизации (неавтоматизированной). В данном случае такие действия с

персональными данными, как использование, уточнение, распространение,

уничтожение персональных данных в отношении каждого из субъектов

персональных данных, осуществляются при непосредственном участии

человека.

Персональные данные при их обработке, осуществляемой без

использования средств автоматизации, должны обособляться от иной

информации, в частности путем фиксации их на отдельных материальных

носителях персональных данных, в специальных разделах или на полях форм

(бланков). В работе необходимо руководствоваться Постановлением № 687.

Ситуационная задача 15. Ввести систему «электронная регистратура». В

журнале самозаписи на прием к врачу удалить графы с датой рождения

ребенка, местом проживания. В журнала сделать приписку, что все данные,

вносимые в папки самозаписи, становятся общедоступными.

Ситуационная задача 16. Почерк и подпись человека не относятся к

биометрическим персональным данным.

99

Подпись лица, наличие которой в различных договорных отношениях

является обязательным требованием, и почерк, в том числе анализируемый

уполномоченными органами в рамках почерковедческой экспертизы, не могут

рассматриваться как биометрические персональные данные, поскольку

действия с использованием указанных данных направлены на подтверждение

их принадлежности конкретному физическому лицу, чья личность уже

определена и чьи персональные данные уже имеются в распоряжении

оператора.

Ситуационная задача 17. При наличии требования федерального закона

об обязательном получении в конкретных случаях письменного согласия,

документ должен быть подписан либо на бумажном носителе, либо в

электронной форме (посредством электронной подписи как аналога

собственноручной).

Закон «О персональных данных» регламентирует, что согласие на

обработку персональных данных может быть дано гражданином или его

представителем в любой позволяющей подтвердить факт его получения форме,

если иное не установлено федеральным законом. В случае, если наличие

письменного согласия в силу закона не обязательно, гражданин может выразить

свое согласие на обработку персональных данных любым способом, в

частности проставлением отметки в электронном виде. При этом необходимо

помнить, что обязанность предоставить доказательство получения согласия

субъекта персональных данных возлагается на оператора.

Ситуационная задача 18. Да, распространяются. Требования Закона «О

персональных данных» распространяются на представительства юридических

лиц иностранных государств, осуществляющих деятельность по обработке

персональных данных на территории Российской Федерации.

100

Ситуационная задача 19. Ст. 3 Закона «О персональных данных»

определяет понятие ПД как любой информации, относящейся к определенному

или определяемому на основании такой информации физическому лицу

(субъекту ПД), в том числе его фамилия, имя, отчество, год, месяц, дата и место

рождения, адрес, семейное, социальное, имущественное положение,

образование, профессия, доходы, другая информация. Оператор -

государственный орган, муниципальный орган, юридическое или физическое

лицо, организующие и (или) осуществляющие обработку персональных

данных, а также определяющие цели и содержание обработки персональных

данных. Операторами и третьими лицами, получающими доступ к

персональным данным, должна обеспечиваться конфиденциальность таких

данных, за исключением случаев, предусмотренных ч. 2 ст. 7 Закона «О

персональных данных».

Ситуационная задача 20. В соответствии со статьей 28.3 КоАП РФ

протоколы об административных правонарушениях составляются

должностными лицами органов, уполномоченных рассматривать дела об

административных правонарушениях в пределах компетенции

соответствующего органа.

Требования к содержанию протокола об административном

правонарушении установлены статьей 28.2 КоАП РФ. В частности, в протоколе

об административном правонарушении указываются сведения о лице, в

отношении которого возбуждено дело об административном правонарушении.

Кроме того, статьей 26.10 КоАП РФ предусмотрено, что орган,

должностное лицо, в производстве которых находится дело об

административном правонарушении, вправе вынести определение об

истребовании сведений, необходимых для разрешения дела. Истребуемые

сведения должны быть направлены в трехдневный срок со дня получения

определения в порядке, предусмотренном ст.26.10 КоАП РФ. При

101

невозможности представления указанных сведений организация обязана в

трехдневный срок уведомить об этом в письменной форме судью, орган,

должностное лицо, вынесших определение.

Пунктом 1 части 2 статьи 6 Закона «О персональных данных»

предусмотрена обработка персональных данных на основании Федерального

закона, устанавливающего ее цель, условия получения персональных данных и

круг субъектов, персональные данные которых подлежат обработке, а также

определяющего полномочия оператора без согласия субъекта персональных

данных.

Таким образом, должностное лицо органа, уполномоченного составлять и

рассматривать протоколы об административном правонарушении вправе в

рамках производства по делу об административном правонарушении

запрашивать у организаций персональные данные их работников, в отношении

которых возбуждено дело об административном правонарушении.

Ситуационная задача 21. Да, можно. Трудовой кодекс не делает

оговорку, что увольнение является незаконным в случае примирения с

работником, чьи персональные данные были разглашены (подп. «в» п. 6 ч. 1 ст.

81 ТК РФ). Более того, прекращение трудового договора происходит в рамках

двусторонних трудовых отношений работодателя и работника. Зависимость

таких отношений от третьих лиц законодательством исключается.

Ситуационная задача 22. Да, является. Нормами ст. 88 ТК РФ

установлено, что работодатель не вправе сообщать ПД третьей стороне без

письменного согласия их субъекта. В случае отсутствия письменного согласия

работника работодатель обязан отказать в их предоставлении.

Ситуационная задача 23. В соответствии с подпунктом «в» пункта 6

части первой статьи 81 ТК РФ трудовой договор может быть расторгнут

работодателем в случае разглашения охраняемой законом тайны, ставшей

102

известной работнику в связи с исполнением им трудовых обязанностей, в том

числе разглашения персональных данных другого работника. Сохранение

личных сведений о сотрудниках не входит в трудовые обязанности электрика.

Персональные данные стали известны ему случайно вследствие халатности

сотрудника кадровой службы, в должностные обязанности которого входит

сохранность указанной информации. Следовательно, увольнение электрика

было бы незаконным. Руководителю следует привлечь к дисциплинарной

ответственности специалиста по кадрам за несоблюдение установленного

порядка работы с документами, содержащими персональные данные.

Ситуационная задача 24. Да, нарушены. В соответствии со ст. 13

Федерального закона № 323-ФЗ врачебная тайна - сведения о факте обращения

гражданина за оказанием медицинской помощи, состоянии его здоровья и

диагнозе, иные сведения, полученные при его медицинском обследовании и

лечении.

Ситуационная задача 25. Да, правомерен. В соответствии с частью 2

статьи 13 Федерального закона № 323-ФЗ не допускается разглашение

сведений, составляющих врачебную тайну, лицами, которым они стали

известны при исполнении трудовых, должностных, служебных обязанностей. В

данном случае гражданин Г., работающий охранником и находящийся на

службе, не имея злого умысла, по неосторожности, допустил разглашение

конфиденциальной информации. При этом законодательство не делает

оговорку, совершен ли проступок умышленно или по неосторожности.

103

РЕКОМЕНДУЕМАЯ ЛИТЕРАТУРА

1. Баймакова И.А., Новиков А.В., Рогачев А.И., Хыдыров А.Х. Обеспечение

защиты персональных данных. – М.: 1С-Паблишинг, 2010. – 270 с.

2. Щепин, О.П. Общественное здоровье и здравоохранение [Текст]: учебник

для руководителей органов управления и учреждений здравоохранения,

обучающихся в системе послевузовского последипломного образования

врачей / О.П. Щепин, В.А. Медик. - М.: ГЭОТАР-МЕДИА, 2011. - 592 с.

3. Куняев Н.Н., Демушкин А.С., Фабричнов А.Г. Конфиденциальное

делопроизводство и защищенный электронный документооборот. – М.:

Логос, 2011. – 200 с.

4. Кухаренко Т.А. Персональные данные. Кто, что и зачем должен о нас знать.

– М.: Эксмо, 2010. – 224 с.

5. Ловчева М.В., Галкина Е.Н., Гурова Е.В. Делопроизводство в кадровой

службе. – М.: Проспект, Государственный Университет Управления ГУУ,

2013. – 80 с.

6. Рассолов И.М. Информационное право. – М.: Юрайт, 2012. – 448 с.

7. Корнеев И.К., Степанов Е.А. Защита информации в офисе. – М.: ТК Велби,

Проспект, 2008. – 336 с.

8. Кухаренко Т.А. Комментарий к Федеральному закону от 27 июля 2006 г. №

152-ФЗ «О персональных данных». - Система ГАРАНТ, 2012 г.

9. Методические рекомендации по оснащению медицинских учреждений

компьютерным оборудованием и программным обеспечением для

регионального уровня единой государственной информационной системы в

сфере здравоохранения, а также функциональные требования к ним (утв.

Минздравсоцразвития России 3 мая 2012 г.). -

http://www.consultant.ru/document/.

10. Методические рекомендации по проведению в 2011–2012 гг. работ по

информационной безопасности для регионального уровня Единой

104

государственной информационной системы в сфере здравоохранения,

утвержденными Минздравсоцразвития России (опубликованы 31 августа

2011 г. на официальном сайте Минздравсоцразвития России). -

http://base.consultant.ru/cons/cgi/online/.

11. Базовая модель угроз безопасности персональных данных при их обработке

в информационных системах персональных данных (утверждена ФСТЭК 15

февраля 2008 г.). - http://base.consultant.ru/cons/cgi/online/.

12. Методика определения актуальных угроз безопасности персональных

данных при их обработке в информационных системах персональных

данных (утверждена ФСТЭК России 14 февраля 2008 г.). -

http://base.consultant.ru/cons/cgi/online.

105

НОРМАТИВНЫЕ ПРАВОВЫЕ ДОКУМЕНТЫ

1. Конвенция о защите физических лиц при автоматизированной обработке

персональных данных (Страсбург, 28 января 1981 г.).

2. Директива 95/46/ЕС Европейского парламента и Совета Европейского Союза

от 24 октября 1995 г. «О защите прав частных лиц применительно к

обработке персональных данных и о свободном движении таких данных».

3. Директива № 2002/58/ЕС Европейского парламента и Совета Европейского

Союза «В отношении обработки персональных данных и защиты

конфиденциальности в секторе электронных средств связи (Директива о

конфиденциальности и электронных средствах связи)» (Брюссель, 12 июля

2002 г.) (с изм. и доп. от 25.11.2009).

4. Конституция Российской Федерации. Принята на всенародном голосовании

12 декабря 1993 г.

5. Кодекс Российской Федерации об административных правонарушениях от 30

декабря 2001 г. № 195-ФЗ. (в ред. от 25 декабря 2012 г.).

6. Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ (ред. от

23.07.2013).

7. Уголовный кодекс Российской Федерации от 13 июня 1996 г. № 63-ФЗ (в ред.

от 1 декабря 2012 г.).

8. Федеральный закон от 19 декабря 2005 г. № 160-ФЗ «О ратификации

Конвенции Совета Европы о защите физических лиц при

автоматизированной обработке персональных данных».

9. Федеральный закон от 21.11.2011 № 323-ФЗ (в ред. от 27.09.2013) «Об

основах охраны здоровья граждан в Российской Федерации».

10. Федеральный закон от 27 июля 2006 г. № 149-ФЗ (в ред. от 02.07.2013) «Об

информации, информационных технологиях и о защите информации».

11. Федеральный закон от 27 июля 2006 г. № 152-ФЗ (в ред. от 23.07.2013) «О

персональных данных».

106

12. Федеральный закон от 29 ноября 2010 г. № 326-ФЗ (в ред. от 27.09.2013)

«Об обязательном медицинском страховании в Российской Федерации».

13. Федеральный закон от 4 мая 2011 г. № 99-ФЗ (в ред. от 2 июля 2013 г.) «О

лицензировании отдельных видов деятельности».

14. Федеральный закон от 29 июля 2004 года № 98-ФЗ «О коммерческой

тайне».

15. Указ Президента Российской Федерации от 6 марта 1997 г. № 188 (в ред. от

23 сентября 2005 г. № 1111) «Об утверждении перечня сведений

конфиденциального характера».

16. Указ Президента Российской Федерации от 17 марта 2008 г. № 351 (в ред.

от 14 января 2011 г.) «О мерах по обеспечению информационной

безопасности Российской Федерации при использовании информационно-

телекоммуникационных сетей международного информационного обмена».

17. Постановление Правительства Российской Федерации от 3 февраля 2012 г.

№ 79 «О лицензировании деятельности по технической защите

конфиденциальной информации».

18. Постановление Правительства Российской Федерации от 16 апреля 2012 г.

№ 313 «Об утверждении Положения о лицензировании деятельности по

разработке, производству, распространению шифровальных

(криптографических) средств, информационных систем и

телекоммуникационных систем, защищенных с использованием

шифровальных (криптографических) средств, выполнению работ, оказанию

услуг в области шифрования информации, техническому обслуживанию

шифровальных (криптографических) средств, информационных систем и

телекоммуникационных систем, защищенных с использованием

шифровальных (криптографических) средств (за исключением случая, если

техническое обслуживание шифровальных (криптографических) средств,

информационных систем и телекоммуникационных систем, защищенных с

использованием шифровальных (криптографических) средств,

107

осуществляется для обеспечения собственных нужд юридического лица или

индивидуального предпринимателя)».

19. Постановление Правительства Российской Федерации от 1 ноября 2012 г. №

1119 «Об утверждении требований к защите персональных данных при их

обработке в информационных системах персональных данных».

20. Постановление Правительства Российской Федерации от 6 июля 2008 г. №

512 (ред. от 27.12.2012) «Об утверждении требований к материальным

носителям биометрических персональных данных и технологиям хранения

таких данных вне информационных систем персональных данных».

21. Постановление Правительства Российской Федерации от 15 сентября 2008

г. № 687 «Об утверждении положения об особенностях обработки

персональных данных, осуществляемой без использования средств

автоматизации».

22. Постановление Правительства Российской Федерации от 21 марта 2012 г. №

211 (в ред. от 20 июля 2013 г.) «Об утверждении перечня мер, направленных

на обеспечение выполнения обязанностей, предусмотренных Федеральным

законом «О персональных данных» и принятыми в соответствии с ним

нормативными правовыми актами, операторами, являющимися

государственными или муниципальными органами».

23. Приказ Министерства связи и массовых коммуникаций Российской

Федерации от 14 ноября 2011 г. № 312 «Об утверждении

Административного регламента исполнения Федеральной службой по

надзору в сфере связи, информационных технологий и массовых

коммуникаций государственной функции по осуществлению

государственного контроля (надзора) за соответствием обработки

персональных данных требованиям законодательства Российской

Федерации в области персональных данных».

24. Приказ Министерства связи и массовых коммуникаций Российской

Федерации от 21 декабря 2011 г. № 346 «Об утверждении

108

Административного регламента Федеральной службы по надзору в сфере

связи, информационных технологий и массовых коммуникаций по

предоставлению государственной услуги «Ведение реестра операторов,

осуществляющих обработку персональных данных».

25. Приказ Министерства здравоохранения и социального развития Российской

Федерации от 23 апреля 2012 г. № 390н «Об утверждении Перечня

определенных видов медицинских вмешательств, на которые граждане дают

информированное добровольное согласие при выборе врача и медицинской

организации для получения первичной медико-санитарной помощи».

26. Приказ Федеральной службы по техническому и экспортному контролю,

Федеральной службы безопасности Российской Федерации, Министерства

информационных технологий и связи Российской Федерации от 13 февраля

2008 г. № 55/86/20 «Об утверждении Порядка проведения классификации

информационных систем персональных данных».

27. Приказ Федеральной службы по техническому и экспортному контролю от

18 февраля 2013 г. № 21 «Об утверждении состава и содержания

организационных и технических мер по обеспечению безопасности

персональных данных при их обработке в информационных системах

персональных данных».

28. Приказ Федеральной службы по надзору в сфере связи, информационных

технологий и массовых коммуникаций от 19 августа 2011 г. № 706 «Об

утверждении Рекомендаций по заполнению образца формы уведомления об

обработке (о намерении осуществлять обработку) персональных данных».

29. ГОСТ Р 50922-2006 Защита информации. Основные термины и

определения. - http://standartgost.ru/.

30. Перечень технической документации, национальных стандартов и

методических документов, необходимых для выполнения работ и оказания

услуг, установленных Положением о лицензировании деятельности по

технической защите конфиденциальной информации, утвержденным

постановлением Правительства Российской Федерации от 3 февраля 2012 г.

№ 79 (утв. ФСТЭК России 16 марта 2012 г.).

109

Нагаев Ринат Явдатович

Ахмерова Светлана Герценовна

Шамгулова Светлана Фатиховна

Защита персональных данных в медицинских

организациях: практические вопросы

Учебное пособие

Лицензия № 0177 от 10.06.96 г.

Подписано к печати 25.06.2014 г.

Отпечатано на ризографе с готового оригинал-макета,

представленного авторами.

Формат 60х84 1/16. Усл.-печ. л. 6,34.

Тираж 20 экз. Заказ № 89

450000, г. Уфа, ул. Ленина, 3,

Тел.: (347) 272-86-31

ГБОУ ВПО БГМУ Минздрава России