Постановление от 20.02.2023 № 77 - п Об утверждении Политики и Положений об обработке персональных данных

1.    Введение

Настоящая Политика в области обработки персональных данных в администрации Саянского района (далее-Политика) разработана в соответствии с требованиями нормативно-правовых актов Российской Федерации, регулирующих отношения, связанные с обработкой персональных данных (далее - ПДн).
Политика определяет принципы сбора, обработки, хранения, передачи и защиты ПДн физических лиц (далее - субъекты ПДн), реализуемые в администрации Саянского района (далее-Оператор).
Действие настоящей Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передаче (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению ПДн, осуществляемых как с использованием средств автоматизации, так и без использования таких средств.
В рамках реализации настоящей Политики  Оператором  разработаны другие внутренние нормативные документы, регламентирующие отдельные процессы обработки и защиты ПДн.

2.    Нормативная документация

Настоящая Политика разработана с учетом требований следующих документов:
-    Конституция Российской Федерации» (принята всенародным голосованием 12.12.1993)
-    Федеральный закон Российской Федерации от 27 июля 2006 г. №152- ФЗ «О персональных данных»;
-    Федеральный закон Российской Федерации от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»;
-    Федеральный закон Российской Федерации от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
-    Федеральный закон Российской Федерации от  29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
-    Трудовой кодекс Российской Федерации;
-    Постановление Правительства Российской Федерации от 15  сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
-    Постановление Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
3.    Общие положения

1.    Оператор осуществляет обработку ПДн следующих категорий субъектов ПДн:
-    работники Оператора, и лица, заключившие с Оператором гражданско-правовые договоры;
-    заявители (для оказания государственных услуг и рассмотрения обращений).
2.    Оператор осуществляет обработку ПДн, руководствуясь следующими принципами:
-    обработка ПДн осуществляется исключительно на законных основаниях;
-    обработка ПДн осуществляется исключительно для достижения конкретных, заранее определенных и законных целей; обработка ПДн, не оправданная достижением таких целей, не осуществляется;
-    ПДн, цели обработки которых не совместимы, не объединяются;
-    содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки;
-    при обработке ПДн обеспечивается их точность, достаточность, а в необходимых случаях и актуальность по отношению к целям их обработки;
-    хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн;
-    ПДн уничтожаются или обезличиваются при достижении целей их обработки, утрате необходимости в достижении этих целей или окончании срока хранения ПДн, определенного, согласием на обработку ПДн, федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн-
3.    В целях обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами Оператор:
-    назначает ответственного за организацию обработки ПДн из числа своих сотрудников;
-    утверждает настоящую Политику, а также внутренние нормативные и распорядительные документы по вопросам обработки ПДн, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
-    применяет правовые, организационные и технические меры по обеспечению безопасности ПДн;
-    осуществляет внутренний контроль и (или) внешний аудит соответствия обработки ПДн требованиям Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», принятых в соответствии с ним нормативных правовых актов, внутренних нормативных и распорядительных документов Оператора, регулирующих обработку ПДн;
-    проводит оценку вреда, который может быть причинен субъектам ПДн в случае нарушения Оператором требований законодательства в области ПДн, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения своих обязанностей, предусмотренных законодательством в области ПДн;
-    ознакомляет своих работников, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации в области ПДн, в том числе с требованиями к защите ПДн, внутренними нормативными и распорядительными документами Оператора, регулирующими обработку ПДн.
-    публикует настоящую Политику на официальном сайте Оператора, обеспечивая беспрепятственный доступ к ней неограниченного круга лиц.

4.    Получение, обработка и защита персональных данных

4.1 Порядок получения персональных данных.
-    Оператор по возможности получает все обрабатываемые им ПДн непосредственно у субъектов ПДн. В случаях, когда получение ПДн непосредственно у субъектов ПДн невозможно, Оператор предпринимает предусмотренные действующим законодательством меры по соблюдению прав субъектов ПДн при получении их ПДн от третьих лиц.
-    В случаях, когда действующим  законодательством  требуется получение согласия субъекта ПДн на обработку его  ПДн,  Оператор обрабатывает его ПДн только при наличии такого согласия и с соблюдением ограничений на объем, сроки и способы  обработки  ПДн,  предусмотренных таким согласием.
-    Оператор не получает и не обрабатывает ПДн субъекта ПДн о его политических, религиозных и иных убеждениях, частной жизни, членстве в общественных объединениях или его профсоюзной деятельности.
-    Оператор предоставляет своим работникам доступ к минимальному объему ПДн, необходимому им  для  выполнения  своих  служебных обязанностей.
-    Работники Оператора допускаются к обработке ПДн только после ознакомления с требованиями действующего законодательства и внутренних нормативных и распорядительных документов Оператора, регулирующих обработку и защиту ПДн, и подписания обязательства о неразглашении конфиденциальной информации.

4.2 Порядок обработки персональных данных
-    Обработка ПДн осуществляется Оператором только в целях, заявленных при их сборе (получении). В частности:
-    Обработка ПДн сотрудников осуществляется в целях исполнения возложенных на Оператора действующим законодательством и трудовым договором обязанностей работодателя;
-    Обработка ПДн заявителей осуществляется в целях оказания государственных услуг и рассмотрения обращений.
-    При определении объема и содержания, обрабатываемых  ПДн, Оператор руководствуется Конституцией Российской Федерации, Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и иными федеральными законами в области защиты ПДн, а также принципом соответствия объема и содержания обрабатываемых ПДн заявленным целям их обработки.
-    При принятии решений, затрагивающих интересы субъекта ПДн, Оператор не имеет права основываться на результатах исключительно автоматизированной обработки его ПДн, кроме случаев, наличия согласия в письменной форме субъекта ПДн на принятие таких решений и случаев, предусмотренных федеральными законами.

4.3 Порядок защиты персональных данных.
-    Защита ПДн субъекта ПДн от неправомерного их использования или утраты обеспечивается Оператором за счет его  средств  в  порядке, установленном федеральными законами Российской Федерации в  области защиты ПДн.
-    Оператор принимает необходимые организационные, а также технические меры для защиты ПДн от несанкционированного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПДн, а также от иных неправомерных действий.
-    Оператор привлекает к дисциплинарной ответственности работников, виновных в нарушении норм, регулирующих получение, обработку, хранение и защиту ПДн субъекта ПДн.
-    Оператор исключает доступ  к ПДн  субъектов ПДн своих работников, не включенных в Перечень лиц, допущенных к обработке ПДн.
-    Копировать и делать выписки ПДн субъектов ПДн сотрудникам Оператора разрешается исключительно в служебных целях с письменного разрешения руководителя.
-    Сохранение и защита ПДн  субъектов  ПДн  осуществляются Оператором в соответствии с требованиями действующего законодательства независимо от наличия соответствующих требований  со  стороны  субъектов ПДн.

5.    Хранение персональных данных

-    Оператор осуществляет  учет  всех  хранимых  им  ПДн,  независимо  от формы их представления.
-    ПДн на бумажных носителях хранятся Оператором в специально оборудованных шкафах и сейфах, которые запираются на ключ.
-    В процессе хранения ПДн субъектов ПДн Оператор осуществляет контроль за достоверностью и полнотой ПДн, их регулярное обновление и внесение по мере необходимости соответствующих изменений.

6.    Передача персональных данных

Оператор передает находящиеся в его распоряжении ПДн третьим лицам в следующих случаях:
-    При наличии письменного согласия субъекта ПДн на передачу его ПДн третьему лицу, включающего наименование или фамилию, имя, отчество и адрес третьего лица, цели, сроки и способы обработки третьим лицом ПДн.
-    В случае если передача ПДн третьему лицу необходима для выполнения обязательств Оператора перед субъектом ПДн.
-    В случае если обязанность по  передаче ПДн третьему лицу возложена на Оператора действующим законодательством.

7.    Уничтожение персональных данных

-    Уничтожение ПДн производится Оператором в случаях и в порядке, предусмотренных действующими законами и принятыми в соответствии с ними нормативными правовыми актами.
-    При уничтожении ПДн как на бумажных, так и на электронных носителях Оператор обеспечивает невозможность их последующего восстановления.

8.    Права субъекта ПДн

8.1 Субъект ПДн вправе требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
8.2 Субъект ПДн имеет право на получение от Оператора информации, касающейся обработки его ПДн, в том числе содержащей:
-    подтверждение факта обработки ПДн Оператором;
-    правовые основания и цели обработки ПДн;
-    цели и применяемые Оператором способы обработки ПДн;
-    наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к  ПДн или которым могут быть раскрыты ПДн на основании договора с Оператором или на основании федерального закона;
-    обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения;
-    сроки обработки ПДн, в том числе сроки их хранения; порядок осуществления субъектом ПДн прав, предусмотренных Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
-    информацию об осуществленной или о предполагаемой трансграничной передаче ПДн;
-    наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Оператора, если обработка поручена или будет поручена такому лицу;
-    иные сведения, предусмотренные Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» или другими федеральными законами.
-    Субъект ПДн имеет право требовать исключить или исправить неверные или неполные ПДн, а также ПДн, обрабатываемые с нарушением требований Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
-    Субъект ПДн имеет право на обжалование в судебном порядке любых неправомерных действий или  бездействии  Оператора при обработке и защите его ПДн.

9.    ОТВЕТСТВЕННОСТЬ

-    Лица, виновные в нарушении требований федеральных законов РФ,
-    Несут предусмотренную законодательством РФ ответственность.
-    Моральный вред, причиненный субъекту ПДн вследствие нарушения его прав, нарушения правил обработки ПДн, установленных федеральными законами, а также нарушения требований к защите ПДн подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом ПДн убытков.