008. Особенности защиты персональных данных в медицинских учреждениях

1. Обзор российского законодательства в области защиты персональных данных

• Конституция Российской Федерации;
• Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных»;
• Федеральный закон от 19 декабря 2005 г. N 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»;
• Федеральный закон Российской Федерации от 27 июля 2006 г. N 152-ФЗ «О персональных данных»;
• Федеральный закон Российской Федерации 30 декабря 2001 г. № 197-ФЗ «Трудовой кодекс Российской Федерации»;
• Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановление от 6 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
• Постановление Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Нормативные документы ФСТЭК России и ФСБ России;
• и другие нормативные документы.

2. Обзор отраслевых нормативных документов Министерства здравоохранения и социального развития Российской Федерации

• Методические рекомендации по составлению Частной модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных учреждений здравоохранения, социальной сферы, труда и занятости;
• Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости.

3. Этапы проекта по защите персональных данных в медицинском учреждении

• Основные мероприятия по организации защиты персональных данных ;
• Определение структурного подразделения, ответственного за обеспечение безопасности персональных даных;
• Инвентаризация и категорирование персональных данных, обрабатываемых в организации (в информационных системах и без средств автоматизации)
• Классификация систем;
• Разработка специальной модели угроз по отраслевой методике;
• Внедрение средств защиты;
• Внедрение организационных мер защиты персональных данных;
• Аттестация информационных систем персональных данных по требованиям безопасности;

4. Неавтоматизированная обработка персональных данных в медицинских учреждениях

• Определение возможности;
• Внедрение процедур по работе с персональными данными, обрабатываемых без средств автоматизации.

5. Разработка внутренних нормативных документов в соответствии с отраслевыми рекомендациями

• Положение о защите персональных данных;
• Положения о подразделениях;
• Должностные инструкции;
• Инструкции пользователей и администраторов.

6. Взаимодействие с третьими сторонами

• Требования по защите персональных данных при их передаче сторонним организациям;
• Трансграничная передача медицинских персональных данных;
• Договорные отношения с контрагентами.

7. Привлечение к работам по защите персональных данных системных интеграторов

• Возможные риски проекта и меры по их минимизации;
• Выбор интегратора.

8. Контроль соблюдения требований регуляторами

• Практика проверок;
• Регламенты проведения проверок регулирующих органов;
• Правила поведения в ходе проверки.