ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ УЧРЕЖДЕНИЕ ЗДРАВООХРАНЕНИЯ ПЕРМСКОГО КРАЯ 
«КУЕДИНСКАЯ ЦЕНТРАЛЬНАЯ РАЙОННАЯ БОЛЬНИЦА»

ПРИКАЗ

14.03.2024 		№	110	
	
 Об организационных мерах защиты информации, не содержащей сведения, составляющие государственную тайну в «ГБУЗ ПК Куединская ЦРБ»	
	
В целях исполнения требований Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»
ПРИКАЗЫВАЮ:
1.Утвердить:
1.1 Политику «ГБУЗ ПК Куединская ЦРБ» в отношении обработки и обеспечения безопасности персональных данных;
1.2. Регламент «ГБУЗ ПК Куединская ЦРБ» в отношении обработки и обеспечения безопасности персональных данных.
2. Обеспечить неограниченный доступ субъекту персональных данных к бумажному экземпляру «ГБУЗ ПК Куединская ЦРБ» в отношении обработки и обеспечения безопасности персональных данных по адресу: Пермский край, Куединский р-н, п.Куеда, ул.Красноармейская, д.40.
3. Предоставлять доступ сотрудникам к защищаемой информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, в том числе к персональным данным, в информационных системах «ГБУЗ ПК Куединская ЦРБ» на основании включения их в соответствующие перечни защищаемых ресурсов конфиденциального характера и матрицы доступа субъектов информационных систем к защищаемым информационным ресурсам.
4. Контроль за исполнением настоящего приказа оставляю за собой.
	
Главный врач                                                                         Е.А. Шалыгина

УТВЕРЖДЕНО
приказом «ГБУЗ ПК Куединская ЦРБ»
от 14.03.2024 г. № 110

Политика
«ГБУЗ ПК Куединская ЦРБ»
в отношении обработки и обеспечения безопасности персональных данных

Принятые определения

В настоящей Политике «ГБУЗ ПК Куединская ЦРБ» (далее – «ЦРБ») в отношении обработки и обеспечения безопасности персональных данных (далее– Политика) используются термины и определения в значениях, установленных Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Федеральный закон № 152-ФЗ).
1. Общие положения
1.1. Настоящая Политика принята в целях реализации требований законодательства Российской Федерации в области обработки персональных данных (далее – ПДн) субъектов ПДн.
1.2. Настоящая Политика характеризуется следующими признаками:
1.2.1. Политика раскрывает принципы обработки «ЦРБ» оператор ПДн в информационных системах, права и обязанности «ЦРБ» при обработке ПДн, права субъектов ПДн, а также включает перечень мер, применяемых «ЦРБ» в целях обеспечения безопасности ПДн при их обработке.
1.2.2. Положения Политики распространяются на отношения по обработке и обеспечению безопасности ПДн, полученных «ЦРБ»как до, таки после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и обеспечению безопасности ПДн, полученных до ее утверждения.
1.2.3. Политика является общедоступным документом, декларирующим концептуальные основы деятельности «ЦРБ» при обработке и обеспечению безопасности ПДн в информационных системах.
1.3. Если в отношениях с «ЦРБ» участвуют законные представители субъектов ПДн, то «ЦРБ» становится оператором ПДн лиц, представляющих указанных субъектов. Положения Политики и другие локальные акты «ЦРБ» распространяются на случаи обработки и обеспечения безопасности ПДн законных представителей субъектов ПДн, даже если эти лица в локальных актах прямо не упоминаются, но фактически участвуют в правоотношениях с«ЦРБ».
1.4. «ЦРБ»до начала обработки ПДн осуществляет уведомление уполномоченного органа по защите прав субъектов ПДн о своем намерении осуществлять обработку ПДн. «ЦРБ»уведомляет уполномоченный орган по защите прав субъектов ПДноб изменении сведений, поданных ранее, согласно требованиям Федерального закона № 152-ФЗ.
2. Информация об операторе
2.1. Полное наименование: «ГБУЗ ПК Куединская ЦРБ».
2.2. ИНН: 5939000357.
2.3. Юридический адрес: Пермский край, Куединский р-н, п.Куеда, ул.Красноармейская, д.40.

3. Правовые основания обработки ПДн
3.1. Обработка ПДн субъектов «ЦРБ» осуществляется на основании согласия субъекта ПДн на обработку его ПДн, либо его законного представителя (подпункт 1 пункта 1 статьи 6 Федерального закона № 152-ФЗ);
3.2. Обработка ПДн необходима для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (подпункт 2 пункта 1 статьи 6 Федерального закона № 152-ФЗ);
3.3. Обработка ПДн необходима для исполнения договора, стороной которого либо выгодно приобретателем или поручителем по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодно приобретателем или поручителем (подпункт 2 пункта 1 статьи 6 Федерального закона №152-ФЗ).
4. Объем обрабатываемых ПДн
В «ЦРБ» обрабатываются ПДн более100 000субъектов ПДн.
5. Цели обработки ПДн
Обработка ПДн осуществляется c целью передачи и получения данных о состоянии здоровья граждан с целью оказания услуг в области здравоохранения. 
6. Документы, которыми руководствуется «ЦРБ»при работе сПДн
6.1. «ЦРБ» при работе с ПДн руководствуется следующими правовыми актами Российской Федерации и руководящими документами ФСТЭК России и ФСБ России:
•	Конституцией Российской Федерации;
•	Уголовным кодексом Российской Федерации;
•	Кодексом Российской Федерации об административных правонарушениях;
•	Трудовым кодексом Российской Федерации;
•	Федеральным законом от 19 декабря 2005 г. № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»;
•	Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
•	Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
•	Указом Президента Российской Федерации от 17 марта 2008 г. № 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена»;
•	Распоряжением Президента Российской Федерации от 10 июля 2001 г. № 366-рп «О подписании Конвенции о защите физических лиц при автоматизированной обработке персональных данных»;
•	Постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
•	Постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
•	Методикой оценки угроз безопасности информации. ФСТЭК России, 2021 год;
•	Методическими рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности от 31 марта 2015 г. № 149/7/2/6-432;
•	Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным приказом Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. № 21;
•	Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности, утвержденного приказом ФСБ России от 10 июля 2014 г. № 378;
•	Постановлением Правительства РФ от 21 марта 2012 г. № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами».
7. Принципы обработки ПДн
7.1. «ЦРБ»в своей деятельности обеспечивает соблюдение принципов обработки ПДн, указанных в ст. 5 Федерального закона № 152-ФЗ.
7.2. При обработке ПДн обеспечивается исключение:
7.2.1. не правомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);
7.2.2. не правомерных уничтожения или модифицирования информации (обеспечение целостности информации);
7.2.3.не правомерного блокирования информации (обеспечение доступности информации).
8. Срокиобработки ПДн
8.1. Сроки обработки ПДн субъектов ПДн в информационных системах «ЦРБ» установлены в соответствии с целями обработки ПДн и закреплены в Перечнях информации, в отношении которой установлено требование об обеспечении ее конфиденциальности, обрабатываемой в информационной системе, утверждаемых приказами директора.
8.2. В соответствии с Федеральным законом № 152-ФЗ установлены следующие сроки и условия прекращения обработки ПДн:
8.2.1. не более 30 дней с момента достижения цели обработки ПДн;
8.2.2. не более 30 дней с момента утраты необходимости в достижении целей обработки ПДн;
8.2.3. не более 7 дней с момента предоставления субъектом ПДн, его наследником или представителем субъекта ПДн сведений, подтверждающих, что ПДнявляются незаконно полученными или не являются необходимыми для заявленной цели обработки;
8.2.4. не более 10 дней с момента выявления невозможности обеспечить правомерность обработки ПДн;
8.2.5. не более 30 дней с момента отзыва субъектом ПДн согласия на обработку ПДн, если сохранение ПДн более не требуется для целей обработки ПДн.
9. Способы обработки ПДн
9.1. Обработка «ЦРБ»включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.
9.2. «ЦРБ» не производит трансграничную передачу ПДн.
9.3. «ЦРБ» не принимает решения, порождающие юридические последствия в отношении субъектов ПДн или иным образом затрагивающие их права и законные интересы, на основании исключительно автоматизированной обработки их ПДн.
9.4. «ЦРБ» не осуществляет передачу ПДн третьим лицам, за исключением случаев, предусмотренных нормативными правовыми актами Российской Федерации.
9.5. «ЦРБ» осуществляет обработку ПДн как с использованием средств автоматизации, так и без использования (неавтоматизированная обработка).
10. Состав обрабатываемых ПДн
10.1. «ЦРБ»обрабатывает только ПДн, которые отвечают целям, указанным в пункте 5 Политики.
10.2. «ЦРБ»не осуществляет обработку биометрических ПДн.
11. Меры по надлежащей организации обработки и обеспечению безопасности ПДн
11.1. «ЦРБ» при обработке ПДн принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности ПДн достигается, в частности, следующими способами:
11.1.1. Назначением лиц, ответственных за организацию обработки ПДн, и лиц, ответственных за обеспечение безопасности информации, в отношении которой установлено требование об обеспечении ее конфиденциальности, в том числе и ПДн (далее – Администратор безопасности информации).
11.1.2. Осуществлением внутреннего контроля соответствия обработки ПДн Федеральному закону № 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям по обеспечению безопасности ПДн, локальным актам.
11.1.3. Ознакомлением сотрудников «ЦРБ», осуществляющих обработку ПДн, с законодательством Российской Федерации о защите информации, в отношении которой установлено требование об обеспечении ее конфиденциальности, в том числе с требованиями по обеспечению безопасности ПДн, локальными актами вотношении обработки ПДн и или обучением указанных сотрудников «ЦРБ».
11.1.4. Определением угроз безопасности ПДн при их обработке в информационных системах ПДн.
11.1.5. Применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в информационных системах ПДн, а также на материальных носителях, необходимых для выполнения требований по обеспечению безопасности ПДн.
11.1.6. Оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию информационной системы ПДн.
11.1.7. Учетом носителей ПДн.
11.1.8. Выявлением фактов несанкционированного доступа кПДн и принятием мер в соответствии с законодательством Российской Федерации об обеспечении безопасности ПДн.
11.1.9. Восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
11.1.10. Установкой правил доступа к ПДн, обрабатываемым в информационной системе ПДн, а также обеспечением регистрации иучета всех действий, совершаемых сПДн в информационной системе ПДн.
11.1.11. Контролем над принимаемыми мерами по обеспечению безопасности ПДн и уровнем защищенности информационных систем ПДн.
11.2. Обязанности сотрудников «ЦРБ», осуществляющих обработку и защиту ПДн, а так же их ответственность, определяются в соответствующих должностных инструкциях «ЦРБ».

12. Сотрудники «ЦРБ», ответственные за организацию обработки ПДн и Администратор безопасности информации
12.1. Права, обязанности и юридическая ответственность сотрудников «ЦРБ», ответственных за организацию обработки ПДн и Администратора безопасности информации, установлены Федеральным законом № 152-ФЗ и приказами директора.
12.2. Назначение на должность сотрудников «ЦРБ», ответственных за организацию обработки ПДн, и Администратора безопасности информации и освобождение от нее осуществляется приказом директора.
12.3.Сотрудники «ЦРБ», ответственные за организацию обработки ПДн:
12.3.1. Организуют осуществление внутреннего контроля над соблюдениемсотрудниками «ЦРБ» законодательства Российской Федерации о ПДн, в том числе требований к обеспечению безопасности ПДн.
12.3.2. Доводят до сведения сотрудников «ЦРБ» положений законодательства Российской Федерации о ПДн, локальных актов по вопросам обработки ПДн, требований к обеспечению безопасности ПДн.
12.3.3. Организуют прием и обработку обращений и запросов субъектов ПДн, их представителей и их наследников и осуществляют контроль над приемом и обработкой таких обращений и запросов.
13. Права субъектов ПДн
13.1. Субъект ПДн имеет право на получение сведений об обработке его ПДн в «ЦРБ». Форма запроса для получения данных сведений приведена в приложении Б к настоящей Политике.
13.2. Субъект ПДн вправе требовать от «ЦРБ» уточнения своих ПДн, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а так же принимать предусмотренные законом меры по защите своих прав.
13.3. Право субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с федеральными законами, в том числе, если доступ субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц.
13.4. Для реализации и защиты своих прав и законных интересов субъект ПДн имеет право обратиться в «ЦРБ». «ЦРБ»рассматривает любые обращения и жалобы со стороны субъектов ПДн, тщательно расследует факты нарушений ипринимает все необходимые меры для их немедленного устранения, наказания виновных сотрудников «ЦРБ» и урегулирования спорных и конфликтных ситуаций в досудебном порядке.
14. Уполномоченный орган по защите прав субъектов ПДн в Пермском крае
14.1. Полное наименование: Управление федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Пермскому краю.
14.2. Краткое наименование: Управление Роскомнадзора по Пермскому краю.
14.3. Адрес: 614096, г. Пермь, ул. Ленина, д. 68.
14.4. Телефон: (342) 236-16-33.
14.5. Факс: (342) 236-26-49.
13.6. Адрес электронной почты: rsockanc59@rkn.gov.ru, rkn@rkn59.ru.
14.7. Веб-сайт: http://59.rkn.gov.ru.
15. Доступ к Политике
15.1. Действующая редакция Политики на бумажном носителе хранится по месту нахождения «ЦРБ»по адресу: Пермский край, Куединский р-н, п.Куеда, ул.Красноармейская, д.40.
.
.
16. Ответственность
16.1.Сотрудники«ЦРБ», виновные в нарушении норм, регулирующих обработку и обеспечение безопасности ПДн, несут ответственность, предусмотренную законодательством Российской Федерации, локальными актами «ЦРБ» и договорами, регламентирующими правоотношения «ЦРБ» с третьими лицами.

Приложение А 
к Политике«ЦРБ»в отношении обработки и обеспечения безопасности персональных данных
ФОРМА
Оператору персональных данных
«ЦРБ»

От_____________________________________________ паспорт: серия _______________,
				ФИО
номер _____________, выдан ______________________________________________
 ____________________________________________________________________,
Кем выдан
дата выдачи ______________________. Адрес для получения ответа: _________________ 
____________________________________________________________________.
ЗАПРОС
На основании п.2 ст.9 Федерального Закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» прошу в установленный срок прекратить обработку моих персональных данных в информационной системе _____________________________________ в связи с отзывом мною согласия на обработку моих персональных данных.
				
«    »                       20   г.	
Подпись		ФИО		Дата	

Приложение Б 
к Политике «ЦРБ» в отношении обработки и обеспечения безопасности персональных данных
ФОРМА
Оператору персональных данных
«ЦРБ»

От________________________________________________ паспорт: серия ______________,
				ФИО
номер _____________, выдан ______________________________________________
 ____________________________________________________________________,
Кем выдан
дата выдачи ______________________. Адрес для получения ответа: _________________ 
____________________________________________________________________.
ЗАПРОС
На основании п.1 ст.14 Федерального Закона от 27.07.2006 года №152-ФЗ «О персональных данных» прошу в установленный срок предоставить мне как субъекту персональных данных доступ к моим персональным данным, обрабатываемым в «ЦРБ» на основании заявления №_____________, а также следующую информацию:
1) подтверждение факта обработки персональных данных оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных данных;
4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании Федерального закона №152-ФЗ;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом №152-ФЗ;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом №152-ФЗ;
8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
10) иные сведения, предусмотренные Федеральным законом №152-ФЗ или другими федеральными законами.
				
«    »                       20    г.	
Подпись		ФИО		Дата	

УТВЕРЖДЕНО
приказом «ГБУЗ ПК Куединская ЦРБ»
от 14.03.2024 г. № 110 

Регламент 
«ГБУЗ ПК «Куединская ЦРБ»
1. Общие положения
Регламент «ГБУЗ ПК Куединская ЦРБ» в отношении обработки и обеспечения безопасности персональных данных (далее – Регламент) принят в целях защиты информации, в отношении которой установлено требование об обеспечении ее конфиденциальности, в том числе персональных данных (далее – ПДн), обрабатываемых в «ГБУЗ ПК Куединская ЦРБ»(далее – «ЦРБ»). 
Регламент определяет права и обязанности сотрудников «ЦРБ», порядок использования указанных данных в служебных целях, а также порядок обработки ПДн.
Настоящий Регламент разработан на основе и во исполнение части 1статьи 23, статьи 24 Конституции Российской Федерации, пункта 2 и 3 части 1 статьи 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Федеральный закон № 152-ФЗ), Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
Положения Регламента распространяются на отношения по обработке и защите ПДн, полученных «ЦРБ»как до, так и после утверждения Регламента, за исключением случаев, когда по причинам правового, организационного и иного характера положения Регламента не могут быть распространены на отношения по обработке и обеспечению безопасности ПДн, полученных до его утверждения. Лица из числа сотрудников«ЦРБ», уполномоченные на обработку ПДн, обеспечивающие обработку ПДн в соответствии с требованиями Федерального закона № 152-ФЗ, других правовых актов Российской Федерации и несущих ответственность в соответствии с законодательством Российской Федерации за нарушение мер по обеспечению безопасности этих ПДн, назначаются приказами директора.
Если в отношениях с «ЦРБ» участвуют законные представители субъектов ПДн, то «ЦРБ» становится оператором ПДн лиц, представляющих указанных субъектов. Положения Регламента и другие локальные акты «ЦРБ»распространяются на случаи обработки и обеспечения безопасности ПДн законных представителей субъектов ПДн, даже если эти лица в локальных актах прямо не упоминаются, но фактически участвуют в правоотношениях с«ЦРБ».

1.1. Основные термины и определения
В настоящем Регламенте применяются термины и определения, установленные Федеральным законом № 152-ФЗ, Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также руководящими документами ФСТЭК России, регулирующими вопросы обработки и обеспечения безопасности ПДн.
1.2. Перечень информационных систем, на которые распространяются положения настоящего Регламента
Перечень информационных систем, на которые распространяются положения настоящего Регламента, утверждается приказом директора в документе «Перечень информационных систем, обрабатывающих защищаемую информацию, не содержащую сведения, составляющие государственную тайну в «ЦРБ».

1.3. Документы, которыми руководствуется «ЦРБ»при обработке ПДн
«ЦРБ» при обработке ПДн руководствуется документами, указанными в разделе 6 Политики «ЦРБ» в отношении обработки и обеспечения безопасности персональных данных.
Сотрудник «ЦРБ», ответственный за обеспечение безопасности информации, в отношении которой установлено требование об обеспечении ее конфиденциальности(далее – Администратор безопасности информации), в своей работе помимо вышеперечисленных документов руководствуется следующими локальными актами «ЦРБ»;
настоящим Регламентом;
Политикой «ЦРБ» в отношении обработки и обеспечения безопасности персональных данных;
Планом мероприятий по контролю над обеспечением безопасности информации, не относящейся к государственной тайне, достигнутым классом защищенности информационной системы и обеспечиваемым уровнем защищенности персональных данных;
иными локальными актами «ЦРБ» в сфере обработки и обеспечения безопасности ПДн.
Сотрудники «ЦРБ», непосредственно осуществляющие обработку ПДн, в своей работе помимо вышеперечисленных правовых актов руководствуются следующими локальными актами «ЦРБ»:
настоящим Регламентом;
Политикой «ЦРБ» в отношении обработки и обеспечения безопасности персональных данных;
иными локальными актами «ЦРБ» в сфере обработки и обеспечения безопасности ПДн.
1.4. Принципы обработки ПДн
Обработка ПДн осуществляется в соответствии с принципами, установленными статьей 5 Федерального закона № 152-ФЗ, а также пунктом 7 документа «Политика «ЦРБ» в отношении обработки и обеспечения безопасности персональных данных».
Сотрудники «ЦРБ», в чьи должностные обязанности входит обработка ПДн, подписывают обязательство о неразглашении информации, в отношении которой установлено требование об обеспечении ее конфиденциальности, форма которого приведена в приложении 1 к настоящему Регламенту.
1.5. Состав, сроки и цели обработки ПДн
Цели, сроки и состав обрабатываемых персональных данных утверждаются приказом директора в документе Перечень персональных данных, обрабатываемых в информационной системе персональных данных. 
1.6. Способы обработки ПДн
Обработка ПДн – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации и или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.
Обработка ПДн осуществляется с применением информационных технологий и технических средств в информационных системах. Под техническими средствами, позволяющими осуществлять обработку ПДн, понимаются средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и прочее), средства обеспечения безопасности ПДн, применяемые в информационных системах.
1.7. Носители ПДн
Носителями ПДн могут являться:
отчуждаемые электронные носители – магнитные и оптические (CD и DVD) накопители, съемные жесткие диски и флэш-накопители, применяемые для получения информации; 
неотчуждаемые электронные носители – серверы, ноутбуки, персональные компьютеры и другие электронно-вычислительные машины.
2. Требования к сотрудникам «ЦРБ»
Приказом директора назначается Администратор безопасности информации. Существенным условием является обязанность Администратора безопасности информации обеспечить конфиденциальность ПДн и их безопасность при обработке в информационной системе.
Сотрудники «ЦРБ», доступ которых к ПДн, обрабатываемым в информационной системе, необходим для выполнения служебных (трудовых) обязанностей, допускается к соответствующим ПДн на основании перечня, утверждаемого приказом генерального директора.
При работе с ПДн в информационной системе сотрудники «ЦРБ», допущенные к обработке этих данных в процессе выполнения служебных обязанностей, должны обеспечивать: 
1) проведение мероприятий, направленных на предотвращение несанкционированного доступа к ПДн и (или) передачи их лицам, не имеющим права доступа к такой информации;
2) своевременное обнаружение фактов несанкционированного доступа к ПДн;
3) недопущение воздействия на технические средства автоматизированной обработки ПДн, в результате которого может быть нарушено их функционирование и целостность данных;
4) возможность незамедлительного восстановления ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
5) постоянный контроль за обеспечением уровня защищенности ПДн.
Требования к сотрудникам «ЦРБ», работающим с ПДн, включаются в их должностные обязанности в соответствии с Квалификационным справочником должностей руководителей, специалистов и других служащих, утвержденным постановлением Министерства труда и социального развития Российской Федерации от 21 августа 1998 г. № 37.
3. Порядок взаимодействия с субъектами ПДн
Субъект ПДн имеет права на доступ к его ПДн в соответствии 
со статьей 14 Федерального закона № 152-ФЗ.
Решение, порождающее юридические последствия в отношении субъекта ПДн или иным образом затрагивающее его права и законные интересы на основании исключительно автоматизированной обработки его ПДн не принимается.
«ЦРБ» разъясняет цели обработки ПДн субъекту ПДн в случае необходимости, а также получает согласие субъекта ПДн на обработку его ПДн в форме, позволяющей подтвердить наличие такого согласия. Форма согласия на обработку и форма разъяснения приведены в приложении 2 и приложении 3, соответственно, к настоящему Регламенту. 
«ЦРБ» рассматривает возражение против автоматизированной обработки в течение тридцати дней со дня его получения и уведомляет субъект ПДн о результатах рассмотрения такого возражения.
4. Реализация Регламента
«ЦРБ»принимает необходимые и достаточные меры для защиты обрабатываемых ПДн от неправомерного или случайного доступа к ним, от уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ними со стороны третьих лиц.
Ответственный за организацию обработки ПДн в «ЦРБ» обязан:
1) осуществлять внутренний контроль за соблюдением в «ЦРБ» требований нормативных правовых актов и локальных актов «ЦРБ»в области обработки и обеспечения безопасности ПДн;
2) доводить до сведения сотрудников «ЦРБ» положения нормативных правовых актов Российской Федерации и локальных актов «ЦРБ» в области обработки и обеспечения безопасности ПДн;
3) организовывать прием и обработку обращений и запросов субъектов ПДн или их законных представителей и(или) осуществлять контроль приема и обработки таких обращений и запросов.
В соответствии с требованиями нормативных правовых актов в области обработки и обеспечения безопасности ПДн, обработки ПДн с использованием средств автоматизации в «ЦРБ»создаются информационные системы.
При необходимости проводится периодическая классификация информационных систем, определение уровня защищенности, оценка соответствия требованиям по обеспечению безопасности ПДн, оценка эффективности системы защиты информации в соответствии с требованиями нормативных правовых актов в области обеспечения безопасности ПДн. 
Для каждой информационной системы «ЦРБ»:
1) формируется модель угроз безопасности ПДн информационных систем, утверждаемая директором. На основе модели угроз безопасности ПДн информационных систем проводятся мероприятия по обеспечению безопасности информации в соответствии с требованиями, предъявляемыми к установленному классу (уровню) информационной системы;
2) разрабатывается документ «Технический паспорт информационной системы», утверждаемое директором;
3) разрабатывается документ «Технологический процесс обработки информации в информационной системе», утверждаемый директором;
4) разрабатывается Перечень ПДн, обрабатываемых в информационной системе;
5) разрабатывается Перечень защищаемых ресурсов конфиденциального характера и матрица доступа субъектов информационной системы к защищаемым информационным ресурсам.
Пересмотр моделей угроз для каждой информационной системы осуществляется:
1) в плановом порядке для существующих информационных систем – ежегодно;
2) в случае существенных изменений в инфраструктуре информационной системы или порядке обработки ПДн в информационной системе – в течение трех месяцев с даты фиксации изменений;
3) в случае создания новой информационной системы (выделения части из существующей информационной системы) – в течение одного месяца с даты создания (выделения) информационной системы.
В «ЦРБ» запрещается обработка ПДн в целях, не соответствующих целям создания информационной системы, эксплуатация информационной системы всоставе, отличном от указанного при создании информационной системы.
В целях обеспечения управления информационной безопасностью ПДн в «ЦРБ» создается система защиты ПДн (далее – СЗПДн).
Объектами защиты СЗПДн являются информация, обрабатываемая «ЦРБ» и содержащая ПДн, а также инфраструктура, содержащая и поддерживающая указанную информацию.
СЗПДн реализуется комплексом правовых, организационных и технических мер, которые включают:
1) подготовку локальных актов «ЦРБ» по вопросам обработки и обеспечения безопасности ПДн, контроль за исполнением «ЦРБ» требований нормативных правовых актов и локальных актов «ЦРБ» в области обработки и обеспечения безопасности ПДн, а так же внесение соответствующих изменений в имеющиеся локальные акты «ЦРБ»;
2) письменное оформление обязательств «ЦРБ» о неразглашении ПДн;
3) доведение до сведения сотрудников «ЦРБ» информации об установленной законодательством Российской Федерации ответственности за нарушения, связанные с обработкой и обеспечением безопасности ПДн;
4) обеспечение наличия в положениях о структурных подразделениях «ЦРБ» и должностных обязанностях требований по соблюдению установленного порядка обработки и обеспечения безопасности ПДн;
5) разработку и введение в действие локальных актов «ЦРБ» по обеспечению безопасности информационной системы;
6) регламентацию процедур создания и осуществление документирования действующих инженерных и информационных систем, программных комплексов, порядка внесения в них изменений и своевременной актуализации эксплуатационной документации;
7) ознакомление сотрудников «ЦРБ» с положениями нормативных правовых актов Российской Федерации и локальных актов «ЦРБ» в области обработки и обеспечения безопасности ПДн и(или) организацию обучения их правилам обработки и обеспечения безопасности ПДн;
8) проведение мероприятий в форме утверждения планов проверки и контроля по регламентации, установлению, поддержанию и осуществлению контроля за состоянием:
8.1) контрольно-пропускного режима, а так же за перемещением технических средств и машинных носителей информации;
8.2) защиты технологических процессов, информационных ресурсов, информации и поддерживающей их инфраструктуры от угроз техногенного характера и внешних неинформационных воздействий;
9) регламентацию в форме инструкций сотрудникам «ЦРБ», участвующим в обработке ПДн, а также отвечающим за организацию обработки и обеспечение безопасности ПДн правил обработки ПДн, в том числе хранение и передачу информации внутри «ЦРБ» при взаимодействии с контрагентами «ЦРБ», государственными органами и организациями, обращения с документами (включая электронные документы) и машинными носителями, порядка их учета, хранения и уничтожения;
10) установление в форме инструкций и перечней сотрудникам «ЦРБ»правил доступа на объекты, в помещения, в информационную систему, применения в этих целях систем охраны и управления доступом;
11) формирование участков (например, выделение в отдельные виртуальные локальные компьютерные сети технических средств) администрирования безопасности, мониторинга и аудита, управление доступом к защищаемым ресурсам;
12) организацию технического оснащения объектов и информационной системе в соответствии с существующими требованиями к информационной безопасности;
13) формирование условий и технологических процессов обработки, хранения и передачи информации в «ЦРБ» (включая условия хранения документов в архивах), обеспечивающих реализацию требований нормативных правовых актов, методических документов уполномоченных государственных органов и локальных актов «ЦРБ»в области обработки и обеспечения безопасности ПДн;
14) установление полномочий пользователей и форм представления информации пользователям информационной системы;
15) организацию непрерывного процесса контроля (мониторинга) событий безопасности для своевременного выявления и пресечения попыток несанкционированного доступа к ПДн;
16) организацию необходимых мероприятий с сотрудниками «ЦРБ», а так же собеседование с лицами, претендующими на работу в «ЦРБ», изучение их биографии и проверку предоставляемых сведений; обучение сотрудников «ЦРБ» требованиям информационной безопасности;
17) осуществление контроля эффективности организационных мер защиты;
18) разработку защитных технических решений:
18.1) при стратегическом планировании архитектуры информационной системы;
18.2) при выборетехнических средств обработки информации;
18.3) при разработке и(или) приобретении программного обеспечения;
19) применение следующих компонентов технических мер защиты:
19.1) защищенных средств (систем) обработки информации, содержащей ПДн;
19.2) межсетевых экранов для логического разделения подсетей и защиты от несанкционированного доступа из внешних (открытых) информационных систем;
19.3) аппаратных и программных средств защиты и контроля, устройств, технических систем и средств, используемых для обеспечения информационной безопасности, в том числе для обнаружения и нейтрализации попыток несанкционированного доступа к информации.
Сотрудники «ЦРБ» ознакамливаются с локальными актами «ЦРБ», регламентирующими необходимые действия по обеспечению целостности и доступности ПДн в нештатных ситуациях.
По окончанию сроков обработки ПДн создается комиссия, утверждаемая приказом директора, из сотрудников «ЦРБ»  для уничтожения ПДн. Данные ПДн уничтожаются по решению комиссии. В рамках уничтожения составляется акт об уничтожении, форма которого приведена в приложении 4 к настоящему Регламенту. 
5. Правила допуска, хранения и пересылки ПДн
Допуск сотрудников «ЦРБ» к обработке ПДн в информационной системе осуществляется на основании соответствующих разрешительных документов и ключей (паролей) доступа.
Пересылка ПДн без использования специальных средств защиты информации по общедоступным сетям связи, в том числе сети «Интернет», запрещается.
Пересылка ПДн разрешается только в соответствии с целями обработки ПДн по каналам связи, расположенным в пределах контролируемой зоны, либо по защищенным каналам связи с помощью средств защиты информации, прошедших оценку соответствия в ФСБ России и/или ФСТЭК России. 
6. Ответственность за нарушение норм, регулирующих обработку ПДн
Сотрудники «ЦРБ», виновные в нарушении норм, регулирующие обработку и обеспечение безопасности ПДн, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.
7. Заключительные положения
Настоящий Регламент вступает в силу с момента ввода в действие приказом директора.
Настоящий Регламент доводится до сведения всех сотрудников «ЦРБ»персонально под подпись, а также до сотрудников, вновь принимаемых на работу.

Приложение 1
к Регламенту «ЦРБ»
в отношении обработки и обеспечения безопасности персональных данных
ФОРМА
ОБЯЗАТЕЛЬСТВО
о неразглашении информации, в отношении которой установлено требование об обеспечении ее конфиденциальности

Я, _____________________________________________________________
(фамилия, имя, отчество, адрес, документ, удостоверяющий личность)
____________________________________________________________________
____________________________________________________________________
____________________________________________________________________,
Сотрудник «ГБУЗ ПК «Куединская ЦРБ»(далее – «ЦРБ»)
обязуюсь: 
не разглашать персональные данные физических лиц и другую информацию, в отношении которой установлено требование об обеспечении ее конфиденциальности (далее – сведения ограниченного доступа), которые будут доверены мне «ЦРБ»или станут известны в период действия трудового договора, а также сведения ограниченного доступа сторонних предприятий и организаций, переданные мне в ходе профессиональной деятельности;
не сообщать устно или письменно кому бы то ни было сведения ограниченного доступа без соответствующего разрешения имеющих 
на то право лиц;
в случае попытки посторонних лиц получить сведения ограниченного доступа немедленно сообщать об этом своему непосредственному руководителю;
не использовать знание сведений ограниченного доступа 
для занятий любой деятельностью, которая в качестве конкурентного действия может нанести ущерб «ЦРБ»;
при прекращении действия трудового договора все машинные носители сведений ограниченного доступа (документы, электронные носители, черновики, распечатки на принтерах и пр.), которые находились в моем распоряжении в связи с выполнением должностных обязанностей, передать своему непосредственному руководителю;
об утрате или недостаче машинных носителей сведений ограниченного доступа, удостоверений, пропусков, ключей от сейфов (хранилищ), личных печатей и других фактах, которые могут привести к разглашению сведений ограниченного доступа, а также о причинах и условиях возможной утечки этих сведений немедленно сообщать непосредственному руководителю;
использовать переданные мне «ЦРБ»и установленные на рабочем месте технические средства обработки и передачи информации исключительно для выполнения обязанностей, предусмотренных служебным контрактом.
«ЦРБ»предоставило мне необходимые условия для выполнения требований по охране сведений ограниченного доступа, к которым я допущен: хранилища для документов, средства для доступа к информационным ресурсам (ключи, пароли и т.п.) и др., определяемые обязанностями, выполняемыми мною.
«ЦРБ» оставляет за собой право, но не принимает каких-либо обязательств контролировать надлежащее использование мною технических средств обработки и хранения информации, соблюдение мною мер по защите персональных данных.
Я предупрежден, что разглашение сведений ограниченного доступа, ставших мне известными в период действия трудового договора, может повлечь дисциплинарную, материальную, административную, гражданско-правовую, уголовную ответственность, предусмотренную действующим законодательством Российской Федерации.
«____»____________20__г.	                             ________________________
	(подпись)

Приложение 2
к Регламенту «ЦРБ»
в отношении обработки и обеспечения безопасности персональных данных
ФОРМА
СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

Я,нижеподписавшийся	
ФИО полностью
Проживающий поадресу:	

По местурегистрации:	

Паспорт:	
серия и номер, выдан дата, название выдавшего органа

всоответствиив соответствии с требованиями статьи 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и статьи20Федеральногозакона«ОсновзаконодательстваРФобохранездоровьяграждан»№323-ФЗот21.11.2011г., подтверждаю свое согласие на обработку «ЦРБ» «Пермский край, Куединский р-н, п.Куеда, ул.Красноармейская , 40»(далее-Оператор)моих персональных данных, включающих:фамилию,имя,отчество,пол,датурождения,адреспроживания,контактныйтелефон,реквизитыполисаОМС,страховойномер индивидуальноголицевогосчетавПенсионномфондеРоссии(СНИЛС),данныеосостояниимоегоздоровья,заболеваниях,случаяхобращенияза медицинскойпомощью,вмедико-профилактическихцелях,вцеляхустановлениямедицинскогодиагнозаиоказаниямедицинскихуслугприусловии, чтоихобработкаосуществляетсялицом,профессиональнозанимающимсямедицинскойдеятельностьюиобязаннымсохранятьврачебнуютайну.
ВпроцессеоказанияОператороммнемедицинскойпомощияпредоставляюправомедицинскимработникампередаватьмоиперсональныеданные, содержащиесведения,составляющиеврачебнуютайну,другимдолжностнымлицамОператоравинтересахмоегообследованияилечения.
ПредоставляюОператоруправоосуществлятьвседействия(операции)смоимиперсональнымиданными,включаясбор,систематизацию,накопление, хранение,обновление,изменение,использование,обезличивание,блокирование,уничтожение.Операторвправеобрабатыватьмоиперсональныеданные посредствомвнесенияихвэлектроннуюбазуданных,включениявсписки(реестры)иотчетныеформы,предусмотренныедокументами,регламентирую- щими предоставление отчетных данных (документов) поОМС.
ОператоримеетправовоисполнениесвоихобязательствпоработевсистемеОМСнаобмен(приемипередачу)моимиперсональнымиданнымисо страховоймедицинскойорганизацией,ПермскимКраевымфондомобязательногомедицинскогострахования,Управлениемздравоохраненияг.Перми, медицинскимиорганизациями(учреждениями),работающимивсистемеобязательногомедицинскогострахованиянатерриторииПермскогокрая,МУЗ
«Бюромедицинскойстатистики-информационно-аналитическийцентр»сиспользованиеммашинныхносителейилипоканаламсвязи,ссоблюдением мер, обеспечивающих их защиту от несанкционированного доступа, при условии, что их прием и обработка будут осуществляться лицом, обязанным сохранять профессиональнуютайну.
Срокхранениямоихперсональныхданныхсоответствуетсрокухраненияпервичныхмедицинскихдокументовисоставляетдвадцатьпятьлетдля стационара, пять лет - дляполиклиники.
Передачамоихперсональныхданныхинымлицамилииноеихразглашениеможетосуществлятьсятолькосмоегописьменногосогласия. Настоящее согласие даномной«	»	20	г. и действуетбессрочно.
Яоставляюзасобойправоотозватьсвоесогласиепосредствомсоставлениясоответствующегописьменногодокумента,которыйможетбытьнаправлен мнойвадресОператорапопочтезаказнымписьмомсуведомлениемовручениилибоврученличноподраспискупредставителюОператора.
Вслучаеполучениямоегописьменногозаявленияоботзывенастоящегосогласиянаобработкуперсональныхданных,Операторобязанпрекратитьих обработкувтечениепериодавремени,необходимогодлязавершениявзаиморасчетовпооплатеоказанноймнедоэтогомедицинскойпомощи.
Контактныетелефоны	и почтовыйадрес _____________________________________________
подписьсубъектаперсональныхданных	

Врач:	/	

Приложение 3
к Регламенту «ЦРБ»в отношении обработки и обеспечения безопасности персональных данных

Типовая форма разъяснения субъекту персональных данных юридических последствий отказа предоставить свои персональные данные 
«ГБУЗ ПК Куединская ЦРБ» с целью___________________________________________

Мне, ________________________________________________________,
разъяснены юридические последствия отказа предоставить свои персональные данные «ГБУЗ ПК Куединская ЦРБ»далее – «ЦРБ»).
«ЦРБ»осуществляет обработку персональных данных на основе законодательства Российской Федерации, регламентирующего правила обработки персональных данных, а также на основе принятой в «ЦРБ» Политики «ЦРБ»в отношении обработки и обеспечения безопасности персональных данных. 
Обработка персональных данных в «ЦРБ»осуществляется в связи с выполнением Федерального закона от27 июля 2006 г. № 152-ФЗ «О персональных данных».
Мне как субъекту персональных данных разъяснено, что без предоставления данных, обязательных для ________________________________________________________________
_____________________________________________________________, мне будет отказано в _______________________________________________________________________________.

«____»___________20__г.	______________	/_______________________________/	
(дата)	(Подпись)	(Расшифровка подписи)

	
Разъяснение провел  	______________	/________________________________/	
	(Подпись)	(Расшифровка подписи)	

Приложение 4
к Регламенту «ЦРБ» в отношении обработки и обеспечения безопасности персональных данных
ФОРМА
АКТ №
уничтожения персональных данных, 
находящихся в информационной системе

	«		»		20___ г.	
                              (Место уничтожения)			(Дата уничтожения)

Комиссия в составе: 
Председатель комиссии:	
			
(Должность)		(ФИО)	
Члены комиссии:			
			
(Должность)		(ФИО)	
			
(Должность)		(ФИО)	
			
(Должность)		(ФИО)	
			
(Должность)		(ФИО)	

составили настоящий акт о том, что «____»____________20____ г. произведено уничтожение персональных данных, находящихся на:
____________________________________________________________________________________________________________________________________________________________________________________________________________ (наименование АРМ по утвержденной конфигурации, ФИО ответственного пользователя АРМ, заводской или учетный номер системного блока ПЭВМ, носителя информации, способ уничтожения информации)

Уничтожены персональные данные в соответствии с таблицей:

№ п/п	Информация
(наименование документа)	Учетный номер	Вид носителя	Количество	Срок хранения	

						

						

						

						

Подписи членов комиссии:

Председатель комиссии:	
				
«    »                         20   г.	
(Подпись)		(ФИО)		(Дата)	
					
Члены комиссии:	
				
«    »                         20   г.	
(Подпись)		(ФИО)		(Дата)	
				
«    »                         20   г.	
(Подпись)		(ФИО)		(Дата)	
				
«    »                         20   г.	
(Подпись)		(ФИО)		(Дата)	
				
«    »                         20   г.	
(Подпись)		(ФИО)		(Дата)