Управлением Роскомнадзора по Еврейской автономной области проведена проверка Областного государственного бюджетного учреждения здравоохранения «Октябрьская центральная районная больница», осуществляющего обработку персональных данных.

Проверялось соответствие обработки категорий персональных данных, заявленных в соответствующем уведомлении, требованиям законодательства Российской Федерации.

В ходе проверки установлено, что оператор в процессе деятельности был переименован с Муниципального учреждения здравоохранения на Областное государственное бюджетное учреждение здравоохранения «Октябрьская центральная районная больница», однако Управление о возникших изменениях не проинформировано.

Тем самым нарушено требование ч. 7 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Кроме того, при сличении сведений, содержащихся в уведомлении оператора, установлены несоответствия, выразившиеся в неполноте и недостоверности данных сведений, что является нарушением требований ч. 3 ст. 22 вышеуказанного Федерального закона.

Управлением также установлено, что в нарушение требований ч. 1 ст. 19 вышеуказанного Федерального закона информационные системы ПД (ИСПДн) оператора не классифицированы, не проведено обследование на предмет выявления обработки ПД в них и установления режима безопасности.

Помимо этого, Управлением установлено, что:

- локальными актами ОГБУЗ «Октябрьская ЦРБ» не предусмотрена процедура резервного восстановления баз данных;

- не ведется учет съемных носителей – флеш-карт и магнито-оптических дисков;

- отсутствует Положение об обработке персональных данных пациентов ЛПУ;

- не ведется контроль за электронным журналом обращений;

- отсутствуют иные внутренние локальные акты, регламентирующие правила обработки персональных данных в ИСПДн учреждения.

Выявленные факты свидетельствуют о признаках нарушения юридическим лицом требований ч. 1 ст. 19 вышеуказанного Федерального закона, выразившегося в непринятии оператором организационных, правовых и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Ответственность за данное правонарушение предусмотрена ст. 13.11 КоАП РФ, в отношении юридического лица составлено два протокола.

По итогам проверки оператору выдано предписание об устранении выявленных нарушений.

Материалы проверки направлены в прокуратуру, а также в мировой суд для привлечения юридического лица к административной ответственности.