Положение об обработке и защите персональных данных
УТВЕРЖДЕНО
приказом директора АФ БСИ ДВО РАН
от 10 января 2025 г. № 1-од
1. Общие положения
1.1. (Политика) Положение об обработке и защите персональных данных (далее — Положение) разработано и применяется в соответствии с п. 2 ч.1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ
«О персональных данных».
Настоящее Положение определяет политику, порядок и условия в отношении обработки и защиты персональных данных, устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой и защитой персональных данных.
Все вопросы, связанные с обработкой и защитой персональных данных, не урегулированные настоящим Положением, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.
1.2. Целью обработки персональных данных является:
— обеспечение защиты прав и свобод работников АФ БСИ ДВО РАН при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну;
— продвижение работ, услуг путем осуществления прямых контактов с потенциальным потребителем (допускается в порядке, предусмотренном п. 3.7 настоящего Положения);
1.3. Действие настоящего Положения не распространяется на отношения, возникающие при:
1) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных фондов в соответствии с законодательством об архивном деле в Российской Федерации;
1.4. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных» и настоящим Положением.
Обработка организована на принципах:
— законности целей и способов обработки персональных данных, добросовестности и справедливости в деятельности лица, ответственного за обработку персональных данных;
— ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
— достоверности персональных данных, их достаточности для целей обработки;
— обработки только персональных данных, которые отвечают целям их обработки. Недопустима обработка персональных данных, несовместимая с целями сбора персональных данных;
— соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
— недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;
— обеспечения точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Лицо, ответственное за обработку персональных данных принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
— хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
1.5. Способы обработки персональных данных:
— с использованием средств автоматизации;
— без использования средств автоматизации.
1.6. Категории персональных данных.
В информационных системах АФ БСИ ДВО РАН осуществляется обработка общих категорий персональных данных.
1.7. В соответствии с поставленными целями и задачами до начала обработки персональных данных назначается лицо, ответственное за организацию обработки персональных данных.
1.8. Настоящее Положение (Политика) и изменения к нему утверждаются приказом руководителя.
1.9. Сотрудники, непосредственно осуществляющие обработку персональных данных, должны быть ознакомлены под подпись до начала работы с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику АФ БСИ ДВО РАН в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, с данным Положением.
1.10. При обработке персональных данных применяются правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со ст. 19 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».
Соблюдается режим конфиденциальности персональных данных.
1.11. Контроль соблюдения сотрудниками требований Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» заключается в проверке выполнения требований нормативных документов по защите информации.
1.12. АФ БСИ ДВО РАН, осуществляющий сбор персональных данных, публикует на страницах сайта организации настоящее Положение (Политику) и сведения о реализуемых требованиях к защите персональных данных, а также обеспечивает возможность доступа к настоящему Положению (Политике) с использованием средств информационно-телекоммуникационной сети.
1.13. АФ БСИ ДВО РАН обязан представить документы и локальные акты, указанные в ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», и (или) иным образом подтвердить принятие мер, указанных в ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», по запросу уполномоченного органа по защите прав субъектов персональных данных.
1.14. Условия обработки персональных данных:
1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
2) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
3) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Согласие субъекта персональных данных на их обработку не обязательно, если это осуществляется в рамках исполнения заключенного с ним договора Отдельного согласия субъекта персональных данных не требуется, если клиенты заказывают товары, работы или услуги путем заполнения анкеты на сайте в электронном виде, содержащей сведения о персональных данных (ч. 4 ст. 9 Закона о персональных данных). Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;
4) обработка персональных данных необходима для осуществления научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
5) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», при условии обязательного обезличивания персональных данных;
6) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
1.15. АФ БСИ ДВО РАН на основании договора может поручить обработку персональных данных третьему лицу. Существенным условием такого договора является наличие права у данного лица на обработку персональных данных, обязанность соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных», соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных».
1.16. Хранение персональных данных осуществляется в порядке, предусмотренном Положением о хранении персональных данных у АФ БСИ ДВО РАН.
1.17. Взаимодействие с федеральными органами исполнительной власти по вопросам обработки и защиты персональных данных субъектов, персональные данные которых обрабатываются АФ БСИ ДВО РАН, осуществляется в рамках законодательства Российской Федерации.
2. Структура АФ БСИ ДВО РАН по обработке персональных данных
2.1. Обработку персональных данных работников организует и проводит специалист по управлению персоналом, главный бухгалтер, экономист, заместитель директора по научной работе.
2.2. Лица, организующие и проводящие обработку персональных данных, находится в непосредственном подчинении руководителя АФ БСИ ДВО РАН.
2.3. Состав, уровень квалификации сотрудников, полномочия, функции, условия допуска сотрудников к персональным данным, порядок взаимодействия с другими структурными подразделениями, ответственность, установлены в Положении об обработке и защите персональных данных.
2.4. Лица, проводящие обработку персональных данных:
1) доводят до сведения работников АФ БСИ ДВО РАН положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
2) организуют обработку персональных данных;
3) организуют прием и обработку обращений и запросов субъектов персональных данных или их представителей.
2.5. Контроль исполнения сотрудниками требований законодательства Российской Федерации и положений локальных нормативных актов при обработке персональных данных возложен на руководителя.
2.6. Обработка персональных данных сопровождает процесс оформления трудовых отношений при приеме работника, переводе, аттестации, увольнении и включает:
— фамилию, имя, отчество субъекта персональных данных;
— вид документа, удостоверяющего личность субъекта персональных данных;
— серию и номер документа, удостоверяющего личность субъекта персональных данных, сведения о дате выдачи указанного документа и выдавшем его органе;
— адрес регистрации и адрес фактического проживания субъекта персональных данных;
— почтовый адрес субъекта персональных данных;
— контактный телефон, субъекта персональных данных;
— адрес электронной почты субъекта персональных данных;
— ИНН субъекта персональных данных;
— номер страхового свидетельства обязательного пенсионного страхования.
— семейное положение, состав семьи и сведения о близких родственниках (в том числе бывших);
— сведения о трудовой деятельности;
— сведения об образовании, в том числе о послевузовском профессиональном образовании (наименование и год окончания образовательного учреждения, наименование и реквизиты документа об образовании, квалификация, специальность по документу об образовании);
— информацию о владении иностранными языками, степень владения;
— сведения о предыдущих местах работы;
— сведения о воинском учете и реквизиты документов воинского учета;
— военно-учетную специальность;
— воинское звание;
— годность к военной службе, состав;
— специальный учет (состоит или нет);
— иные персональные данные, необходимые для формирования и ведения учетного дела военнообязанного.
Информация может вноситься в ручном режиме — при получении информации на бумажном носителе или в ином виде.
2.7. Обеспечение безопасности персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным.
3. Порядок обеспечения прав субъекта персональных данных
3.1. Субъекты персональных данных или их представители обладают правами, предусмотренными Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных» и другими нормативно-правовыми актами, регламентирующими обработку персональных данных.
3.2. Оператор обеспечивает права субъектов персональных данных в порядке, установленном гл. 3 и 4 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».
3.3. Сведения, указанные в ч.7 ст. 14 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», предоставляются субъекту персональных данных в доступной форме без персональных данных, относящихся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных, в электронном виде. По требованию субъекта персональных данных они могут быть продублированы на бумаге. Доступная форма заверяется уполномоченным приказом руководителя сотрудником.
3.4. Сведения, указанные в ч. 7 ст. 14 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», предоставляются субъекту персональных данных или его представителю в течение 10 (десяти) рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя.
Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях руководителем (номер договора, дата заключения договора, условное словесное обозначение), либо сведения, иным образом подтверждающие факт обработки персональных данных, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Руководитель предоставляет сведения, указанные в ч. 7 ст. 14 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
3.5. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.
3.6. Обработка персональных данных в целях продвижения работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, допускается только при условии предварительного согласия субъекта персональных данных. Согласие может быть устным или письменным.
3.7. Руководитель обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в ч. 1 ст. 15 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».
3.8. Руководитель обязан предоставить субъекту персональных данных возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных, по месту своего расположения в рабочее время.
3.9. Руководитель течение пяти рабочих дней с момента исправления или уничтожения персональных данных по требованию субъекта персональных данных обязан уведомить его о внесенных изменениях и принятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
Формы уведомлений, предусмотренных ч. 1, 4.1 и 7 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», устанавливаются уполномоченным органом по защите прав субъектов персональных данных.
4. Порядок обработки персональных данных
4.1. Цель обработки персональных данных определяет лицо, ответственное за организацию обработки персональных данных работников. Цель обработки персональных данных утверждается приказом Руководителя.
4.2. На основании заданной цели руководитель определяет задачи, сроки, способы и условия обработки персональных данных, перечень причастных и ответственных лиц. Такие задачи, сроки, способы, условия, лица утверждаются распоряжением руководителя.
4.3. Руководитель обязан:
— организовывать принятие правовых, организационных и технических мер для обеспечения защиты обрабатываемых персональных данных, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
— осуществлять внутренний контроль соблюдения его подчиненными требований законодательства Российской Федерации в области персональных данных, в том числе требований к защите персональных данных;
— доводить до сведения работников положения законодательства Российской Федерации в области
персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
— организовать прием и обработку обращений и запросов субъектов персональных данных или их представителей, а также осуществлять контроль за приемом и обработкой таких обращений и запросов;
— в случае нарушения требований к защите персональных данных принимать необходимые меры по восстановлению нарушенных прав субъектов персональных данных.
4.4. Лицо, ответственное за организацию обработки персональных данных работников вправе:
— иметь доступ к информации, касающейся порученной ему обработки персональных данных и включающей:
— цели обработки персональных данных;
— категории обрабатываемых персональных данных;
— категории субъектов, персональные данные которых обрабатываются;
— правовые основания обработки персональных данных;
— перечень действий с персональными данными, общее описание используемых способов обработки персональных данных;
— описание мер, предусмотренных ст. ст. 18.1 и 19 Федерального закона от 27.07.2006 N 152-ФЗ «О
персональных данных»;
— дату начала обработки персональных данных;
— срок или условия прекращения обработки персональных данных;
— сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;
— сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации;
4.5. В соответствии с целями, задачами, условиями осуществляется сбор персональных данных по следующим процедурам:
— комплексы документов, сопровождающие процесс оформления трудовых отношений при приеме на работу, переводе, аттестации, увольнении;
— комплекс материалов по анкетированию, тестированию, проведению собеседований с кандидатом на должность;
— подлинники и копии приказов по личному составу;
— личные дела, трудовые книжки работников;
— дела, содержащие основания к приказам по личному составу;
— дела, содержащие материалы аттестации работников;
— материалы, предоставляемые в федеральные и региональные исполнительные органы власти для награждения работников;
— подлинники и копии отчетных, аналитических и справочных материалов, передаваемых руководству, руководителям структурных подразделений;
— копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие органы управления;
— документация по организации работы структурных подразделений (положения о структурных подразделениях, должностных инструкции работников, приказы руководства); документы по планированию, учету, анализу и отчетности в части работы с персоналом.
4.6. В соответствии с поставленными целями и задачами накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), персональных данных осуществляются в порядке, установленном Положением о хранении персональных данных.
4.7. Обезличивание, блокирование, удаление, уничтожение персональных данных осуществляются по следующей процедуре:
4.7.1. Ежегодно осуществляется экспертиза ценности дел (документов), содержащих персональные данные, постоянного и временного сроков хранения. По результатам экспертизы ценности документов составляются описи дел постоянного, временного (свыше 10 (десяти) лет) хранения и по личному составу (включая описи электронных документов постоянного хранения) (далее — описи дел), а также акты о выделении к уничтожению документов (дел), не подлежащих хранению (включая акты о выделении электронных документов).
4.7.2. Описи дел и акты о выделении к уничтожению документов (дел), не подлежащих хранению, рассматриваются на заседании экспертной комиссии.
4.7.3. Документы (дела), не подлежащие хранению и включенные в данные акты, уничтожаются в присутствии специальной комиссии, созданной специально для уничтожения документов.
4.7.4. По окончании процедуры уничтожения составляется акт об уничтожении документов, в учетных формах (номенклатурах дел, журналах) проставляется отметка об их уничтожении, пишется словами или проставляется штамп «Уничтожено. Акт (дата, N)», заверяется подписью членов комиссии, или работника, осуществляющего учет документов, содержащих персональные данные.
4.7.5. Уничтожение выделенных к уничтожению документов на бумажных носителях осуществляется с помощью сжигания.
Уничтожение по окончании срока обработки персональных данных на электронных носителях производится путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.
5. Взаимодействие с другими операторами при обработке персональных данных
с применением системы электронного взаимодействия
5.1. На основании двух- и многосторонних соглашений Оператор осуществляет обработку персональных данных в рамках электронного информационного взаимодействия с применением системы электронного взаимодействия (далее — СЭВ).
5.2. По согласованным регламентам Оператор в рамках СЭВ на основании поступивших запросов направляет информацию, включающую персональные данные субъектов.
5.3. Прекращение действия соглашения с другим оператором является основанием для уничтожения Оператором обработанных в рамках такого соглашения персональных данных.
6. Контроль, ответственность за нарушение или неисполнение положения
6.1. Контролирует исполнение Положения руководитель.
6.2. Лица, нарушающие или не исполняющие требования Положения, привлекаются к дисциплинарной, административной (ст. ст. 5.39, 13.11 – 13.14,19.7 Кодекса Российской Федерации об административных правонарушениях) или уголовной ответственности (ст. ст. 137, 140, 272 Уголовного кодекса Российской Федерации).
6.3. Руководители структурных подразделений Оператора несут персональную ответственность за исполнение обязанностей их подчиненными.