Встановлення та впровадження медичного програмного забезпечення

Доброго дня, тендерний комітет уважно вивчив Вашу вимогу щодо виключення з тендерної документації вимоги зазначення в згоді на обробку персональних даних прізвища, ім’я та по-батькові особи, її місце проживання, ідентифікаційний код та паспортні дані (серія, №, ким і коли виданий) та вирішив внести зміни в тендерну документацію.

Доброго дня, тендерний комітет уважно вивчив Вашу вимогу щодо виключення вимог з технічного завдання (додаток № 2) тендерної документації та повідомляємо про відхилення заявленої вимоги з огляду на викладене нижче:
1. Відповідно до умов практичного застосування предмету закупівлі, медичне програмне забезпечення «Медична інформаційна система» (далі – МІС) - передбачає оброблення персональних даних про фізичну особу, інформації про стан здоров’я, факт звернення за медичною допомогою, діагноз та інші відомості, які одержані при медичному обстеженні фізичної особи.
Відповідно до вимог Статті 286 Цивільного Кодексу України, Статей 39-1, 40 Закону України «Про Основи законодавства України про охорону здоров’я», розділу 2 Статті 11 Закону України «Про інформацію», Закону України «Про захист Персональних даних», Статті 8 Закону України «Про захист інформації в ІТС» - такі дані відносяться до інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом і повинні оброблятися в інформаційно-телекомунікаційній системі (далі – ІТС) із застосуванням комплексної системи захисту інформації (далі – КСЗІ) з підтвердженою відповідністю.
Відповідно до вимог Статті 8 Закону України «Про захист інформації в інформаційно-телекомунікаційних системах», для створення КСЗІ, використовуються засоби захисту інформації, які мають сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері технічного та/або криптографічного захисту інформації.
Враховуючи наведені вище прямі вимоги законодавства в сфері захисту інформації, в технічних та якісних характеристиках предмету закупівлі визначена вимога стосовно того, що «..Комплекс засобів захисту МІС повинен мати … позитивнийекспертний висновок за результатами державної експертизи у сфері технічного захисту інформації».
Крім цього, відповідно до інформації, яку розміщено на офіційному інформаційному ресурсі спеціально уповноваженого центрального органу виконавчої влади з питань організації спеціального зв’язку та захисту інформації України - Адміністрації Держспецзв’язку, значна кількість МІС, які можуть розглядатися в якості потенційного предмету закупівлі, мають чинний позитивний експертний висновок за результатами державної експертизи у сфері технічного захисту інформації та, відповідно до цього, мають дозвіл до використання в якості технічних засобів захисту інформації.
2. Застосування Організаційно-технічного рішення на розгортання типової складової компоненти комплексної системи захисту інформації в інформаційно-телекомунікаційній системі (далі – ОТР)- прямо передбачається законодавством в сфері технічного захисту інформації, зокрема «Положенням про державну експертизу в сфері технічного захисту інформації» (наказ Адміністрації Держспецзв’язку від 16.05.2007 № 93, зареєстрований в Міністерстві юстиції України 16.06.2007 за № 820/14087, далі – Положення № 93) під час виконання заходів державної експертизи комплексної системи захисту інформації в інформаційно-телекомунікаційних системах (далі – КСЗІ в ІТС) вимогам нормативних документів в сфері технічного захисту інформації (далі – НД ТЗІ) шляхом аналізу декларацій, є обґрунтованою вимогою до предмету закупівлі, застосування якої дозволить:
- багаторазово розгорнути КСЗІ в ІТС, до складу якої входитиме предмет закупівлі;
- скоротити час на створення КСЗІ, зокрема, за рахунок того, що техноробоча та експлуатаційна документація, яка входить до складу організаційно-технічного рішення (далі – ОТР) – вже розроблена та враховує особливості розгортання і застосування комплексу засобів захисту предмету закупівлі в ІТС;
- скоротити час на виконання заходів державної експертизи КСЗІ, зокрема, за рахунок того, що визначені НД ТЗІ заходи етапу техноробочого проектування вже є наявними, погодженими спеціальним уповноваженим центральним органом виконавчої влади з питань захисту інформації (Адміністрація Держспецзв’язку) та фактично виконані у ході заходів підтвердження відповідності самого ОТР;
- скоротити витрати на впровадження та підтвердження відповідності КСЗІ, зокрема, за рахунок зменшення терміну часу та переліку таких робіт, практичне обґрунтування чого наведене в Аналізі регуляторного впливу Положення № 93 та, частково, за текстом цієї відповіді.
Крім цього, відповідно до інформації, яку розміщено на офіційному інформаційному ресурсі Адміністрації Держспецзв’язку, умови багаторазового розгортання значної кількості МІС, які є дозволеними до використання в якості технічних засобів захисту інформаціїта можуть розглядатися в якості потенційного предмету закупівлі, передбачають застосування саме ОТР. Такі ОТР є наявними та зареєстрованими спеціальним уповноваженим центральним органом виконавчої влади з питань захисту інформації (Адміністрація Держспецзв’язку).
Підсумовуючи наведене зазначаємо таке:
- застосування у тендерній документації вимог, які визначають умови реалізації прямих норм та положень законодавства в сфері захисту інформації – не може визначатись як «дискримінаційні вимоги»;
- наведені у розділі 1.4.1 Технічних вимог до предмету закупівлі «Вимоги до інформаційної безпеки» (в цілому та/або окремо) - повною мірою відповідають нормам та положенням законодавства в сфері захисту інформації та визначеним у Законі Україні «Про публічні закупівлі» принципам здійснення закупівель і не підлягають вилученню.