На основании Приказа руководителя Управления Роскомнадзора по Ивановской области Девочкина Владимира Николаевича от 25.10.2011 № 219 была проведена 08.11.2011 плановая выездная проверка в отношении Департамента здравоохранения Ивановской области. В ходе проведения проверки выявлены нарушения обязательных требований:
1. Части 4 и 5 статьи 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - Департамент здравоохранения Ивановской области обрабатывает персональные данные избыточные по отношению к целям, заявленным при сборе персональных данных.
2. Части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - Департамент здравоохранения Ивановской области осуществляет обработку персональных данных без согласия субъектов персональных данных.
3. Части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - в договорах, заключенных Департаментом здравоохранения Ивановской области, отсутствует обязанность контрагентов по соблюдению конфиденциальности персональных данных и обеспечению безопасности персональных данных при их обработке. Не указаны требования к защите обрабатываемых персональных данных в соответствии с требованиями статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
4. Части 4 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - типовые формы согласия на обработку персональных данных работников, используемые Департаментом здравоохранения Ивановской области, не соответствуют требованиям ч. 4 ст. 9
Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
5. Части 1 статьи 10 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - Департамент здравоохранения Ивановской области осуществляет обработку специальных категорий персональных данных, относящихся к состоянию здоровья граждан, без письменного согласия субъектов персональных данных.
6. Части 1 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - Департамент здравоохранения осуществляет обработку сведений, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (биометрические персональные данные) без письменного согласия субъекта персональных данных.
7. Части 1 и 4 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - Департамент здравоохранения Ивановской области не предоставил документы и локальные акты, определяющие состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей по защите персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении обрабатываемых персональных данных.
8. Части 4 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - Департамент здравоохранения Ивановской области не предоставил документы, подтверждающие прекращение обработки и уничтожение персональных данных, после достижения целей обработки персональных данных.
9. Части 7 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - Департамент здравоохранения Ивановской области не уведомил надлежащим образом Уполномоченный орган по защите прав субъектов персональных данных, об изменении информации, содержащейся в уведомлении об обработке персональных данных от 09.09.2008 № 01-10/5372.
10. Пункта 8 статьи 86, статьи 87 Трудового кодекса Российской Федерации - в Департаменте здравоохранения Ивановской области отсутствуют локальные нормативные акты, устанавливающие порядок обработки персональных данных работников, содержащие их права и обязанности, а также документы, устанавливающие порядок хранения и использования персональных данных работников.
11. Пункта 6 постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» - Департаментом здравоохранения Ивановской области не представлены документы, подтверждающие соблюдение требований по информированию лиц, о факте обработки их персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.
12. Пункта 7 постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» - используемая Департаментом здравоохранения Ивановской области форма журнала регистрации жалоб и заявлений не соответствует требованиям законодательства Российской Федерации.
13. Пункта 13 постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» - в Департаменте здравоохранения Ивановской области отсутствуют документы, устанавливающие в отношении каждой категории персональных данных, места хранения персональных данных (материальных носителей), перечень лиц, осуществляющих обработку персональных данных, либо имеющих к ним доступ.
14. Пункта 15 постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» - Департаментом здравоохранения Ивановской области не установлен перечень мер, необходимых для создания условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ, а так же перечень лиц, ответственных за реализацию указанных мер.
По окончании проверки выданы 14 предписаний.
