Политика в отношении обработки персональных данных

ПОЛИТИКА

В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Общие положения

Политика в отношении обработки персональных данных (далее – Политика) БУ «Мариинско-Посадский ЦСОН» Минтруда Чувашии (далее – Оператор) определяет основные принципы и правила обработки персональных данных, в соответствии с которыми Оператор принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством Российской Федерации, нормативными правовыми актами и иными документами в области обработки и обеспечения безопасности персональных данных.
Политика содержит сведения об Операторе и обрабатываемых персональных данных, целях, способах и принципах обработки персональных данных, применяемых мерах в целях обеспечения безопасности персональных данных при их обработке, правах субъектов персональных данных, а также сведения необходимые субъектам персональных данных и иным лицам для осуществления обращения к Оператору.
В данном документе (Политике) используются общепринятые термины и определения в области защиты информации, которые используются в законодательстве Российской Федерации, Федеральных законах от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», от 27.07.2006 № 152-ФЗ «О персональных данных», нормативных правовых актах в области обработки персональных данных и защиты информации:

персональные данные (далее – ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

конфиденциальность персональных данных – обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным, требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;

автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;

неавтоматизированная обработка персональных данных – обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, осуществляется при непосредственном участии человека и выполнении с персональными данными таких действий, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных;

распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

информационная система персональных данных (далее – ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Настоящая Политика является общедоступным документом, подлежит опубликованию на сайте Оператора и к ней предоставляется доступ с использованием информационно-телекоммуникационной сети (при наличии сайта), а также иными способами в соответствии с законодательством Российской Федерации.

Сведения об Операторе

Наименование: Бюджетное учреждение Чувашской Республики «Мариинско-Посадский центр социального обслуживания населения» Министерства труда и социальной защиты Чувашской Республики

Адрес: 429570, Чувашская Республика, г. Мариинский Посад, ул. Лазо, д. 82,

Телефон: (83542) 2-24-08

E-mail: cson_mpr@rchuv.ru

Ответственный за организацию обработки персональных данных:

директор Белова Ринаида Пантелеймоновна

Правовые основания обработки персональных данных

Правовые основания обработки персональных данных:

Устав Оператора;
трудовые договоры и договоры гражданско-правового характера, заключаемые между Оператором и субъектом персональных данных;
договора, заключаемые с юридическими и физическими лицами, по основным видам деятельности Оператора;
согласие на обработку персональных, которое дано субъектом персональных данных или его законным представителем Оператору в письменном виде либо в иной форме, позволяющей подтвердить факт его получения.
- Политика Оператора в отношении обработки персональных данных определяется в соответствии с законодательством Российской Федерации, нормативными правовыми актами, в том числе:
Конституция Российской Федерации;
Трудовой кодекс Российской Федерации;
Гражданский кодекс Российской Федерации;
Налоговый кодекс Российской Федерации;
Федеральный закон от 28.12.2013 г. № 442-ФЗ «Об основах социального обслуживания граждан в Российской Федерации»;
постановление Кабинета Министров Чувашской Республики от 25.12.2014 г. № 475 «О социальном обслуживании граждан в Чувашской Республике»;
Устав БУ «Мариинско-Посадский ЦСОН» Минтруда Чувашии;
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон «О персональных данных»);
Федеральный закон от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;
постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
приказ Федеральной службы по техническому и экспортному контролю от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
иные нормативные правовые акты и методические рекомендации надзорных органов (Роскомнадзор, ФСБ России и ФСТЭК России) в области защиты информации и обеспечения безопасности персональных данных.
- Во исполнение настоящей Политики приказами Оператора утверждаются следующие локальные организационно-распорядительные и иные документы, в том числе:
Приказ о назначении ответственного за организацию обработки персональных данных;
Приказ о назначении администратора информационной безопасности;
Приказ о назначении ответственных за обеспечение безопасности ПДн при их обработке, в том числе в ИСПДн;
Приказ о назначении ответственных за эксплуатацию ИСПДн и средств защиты информации;
Приказ об утверждении списка лиц, допущенных к обработке персональных данных;
Приказ об утверждении перечня помещений, используемых для работы с ПДн;
Приказ об организации и проведению работ по обеспечению безопасности ПДн, включая приложения к данному приказу:
Положение об организации и проведении работ по обеспечению безопасности ПДн;
Положение об организации режима безопасности помещений, в которых осуществляется обработка ПДн;
Типовые формы журналов;
Приказ об обработке ПДн, включая приложения, включая приложения к данному приказу:
Положение об обработке ПДн;
Форма Обязательства о неразглашении ПДн;
Формы Согласия на обработку ПДн и Согласия на распространение ПДн;
Приказ об утверждения перечня обрабатываемых персональных данных;
Приказ об утверждения перечня информационных систем персональных данных;
Акты классификации информационных систем персональных данных;
Модели угроз безопасности персональных данных.
- Локальные организационно-распорядительные и иные документы Оператора актуализируются в соответствии с вносимыми изменениями в законодательство Российской Федерации в области обработки персональных данных и защиты информации, организационно-штатными изменениями в структуре Оператора и иными изменениями в деятельности Оператора, в том числе условий и правил обработки персональных данных.

Цели обработки персональных данных

Оператор осуществляет обработку персональных данных в следующих целях:

выполнение своих полномочий и функций в соответствии с заявленными видами деятельности (оказание услуг и др.), в том числе исполнение действующих договоров;
обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайны.

Принципы обработки персональных данных

Оператор в своей деятельности руководствуется и осуществляет обработку персональных данных с соблюдением принципов, указанных в ст. 5 Федерального закона «О персональных данных», в том числе:

обработка персональных данных осуществляться на законной и справедливой основе, в соответствии с требованиями нормативных правовых актов и иных документов, указанных в п. 3 настоящей Политики;
сбор и обработка персональных данных субъектов, указанных в п. 6.1 настоящей Политики, ограничена достижением целей обработки, указанных в п. 4 настоящей Политики;
содержание и объем обрабатываемых персональных данных, соответствуют требованиям законодательства Российской Федерации, заявленным целям и правовым основаниям обработки персональных данных, указанных в п. 4 и п. 3.1 настоящей Политики соответственно;
при обработке персональных данных обеспечивается точность персональных данных, их достаточность, a в необходимых случаях и актуальность по отношению к целям обработки персональных данных за счёт принимаемых организационных, технических и иных мер, указанных в п. 7 настоящей Политики;
хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законодательством.

Обработка персональных данных

Оператор осуществляет обработку персональных данных следующих категорий субъектов:

кандидаты для приема на работу;
работники Оператора;
члены семьи работника (дети, супруг, супруга, и т.д., обработка персональных данных которых осуществляется в рамках «Личная карточка работника» по форме № Т-2);
физические лица и представители юридических лиц, с которыми Оператором заключены договора по его основному и неосновному видам деятельности;
физические лица, персональные данные которых переданы организациями и учреждениями в соответствии с договорами, заключенными с Оператором;
посетители, которым предоставлен временный доступ на территорию Оператора;
лица, персональные данные которых указаны в обращениях, поступивших в адрес Оператора.
- Оператор осуществляет обработку персональных данных субъектов, категории которых указаны в п. 6.1 настоящей Политики, в автоматизированном и неавтоматизированном виде, с использованием информационных систем персональных данных и на бумажных носителях информации.
- Содержание и объем обрабатываемых персональных данных соответствуют и не являются избыточными по отношению к заявленным целям обработки персональных данных (см. п. 4 настоящей Политики) в соответствии с требованиями Федерального закона «О персональных данных» и согласием субъектов на обработку персональных данных.
- Оператором не предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъектов персональных данных.
- Оператор осуществляет обработку биометрических персональных (фотография) субъектов, на которых оформлены личные или гостевые электронные пропуска, при осуществлении контрольно-пропускного режима на проходных Оператора.
- Оператор не осуществляет обработку специальной категории персональных данных.
- Оператором осуществляется передача персональных данных третьим лицам в соответствии с требованиями законодательства Российской Федерации и организационно-распорядительных документов Оператора в области обработки и защиты персональных данных, а также в соответствии с условиями заключенных Оператором договоров, не противоречащих требованиям законодательства Российской Федерации, и согласия субъектов на обработку персональных данных.
- Оператор не осуществляет трансграничную передачу персональных данных (на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу).

Меры по обеспечению безопасности персональных данных

В соответствии с законодательством Российской Федерации по защите информации Оператором при обработке персональных данных принимаются необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности персональных данных достигается, в том числе принятием следующих мер:
- В соответствии с локальными организационно-распорядительными документами Оператора (п. 3.2. настоящей Политики):

назначены:

ответственный за организацию обработки персональных данных;
администратор информационной безопасности;
ответственные за обработку персональных данных;
ответственные за обеспечение безопасности персональных данных в информационных системах персональных данных;
ответственные за эксплуатацию информационных систем персональных данных;

определены:

лица, допущенные к обработке персональных данных;
помещения, в которых осуществляется обработка персональных данных;
перечень информационных систем, в которых обрабатываются персональные данные;
перечни персональных данных, которые обрабатываются в автоматизированном и неавтоматизированном виде;
обязанности ответственных, осуществляющих обработку и защиту персональных данных при их обработке;
форма согласия субъекта на обработку его персональных данных;
форма согласия субъекта на распространение его персональных данных;
форма обязательства работника о неразглашении персональных данных;
- Проведена классификация информационных систем персональных данных, определены угрозы безопасности персональных данных при их обработке в информационных системах персональных данных на основании обследования процессов обработки персональных данных. Разработаны и утверждены акты классификации информационных систем персональных данных и частные модели угроз безопасности персональных данных;
- Применяются организационные и технических меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требований по защите персональных данных, а также осуществления внутреннего контроля обработки персональных данных и хранения персональных данных на материальных носителях информации;
- Работники Оператора, осуществляющие обработку персональных данных, ознакомлены с законодательством Российской Федерации, нормативными правовыми актами и локальными организационно-распорядительными документами Оператора (положения, правила, инструкции и др.) по защите персональных данных при их обработке;
- Оператор, по мере необходимости, проводит обучение в целях повышения уровня подготовки и осведомленности работников по вопросам обработки персональных данных и защиты информации в соответствии с требованиями законодательства Российской Федерации.
Обязанности и функции должностных лиц и работников Оператора, осуществляющих обработку и защиту персональных данных, определяются локальными организационно-распорядительными документами, принятыми Оператором (см. п.3.3 настоящей Политики).

Права субъекта персональных данных
- Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, установленных частью 7 статьи 14 Федерального закона «О персональных данных», в том числе:
  - подтверждение факта обработки персональных данных Оператором;
  - правовые основания и цели обработки персональных данных;
  - цели и применяемые Оператором способы обработки персональных данных;
  - наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
  - обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
  - сроки обработки персональных данных, в том числе сроки их хранения;
  - порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
  - информацию об осуществленной или о предполагаемой трансграничной передаче данных;
  - наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
  - иные сведения, предусмотренные Федеральным законом «О персональных данных» и(или) другими федеральными законами.
- Субъект вправе требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки персональных данных, а также принимать предусмотренные законодательством Российской Федерации меры по защите своих прав.
- Субъект персональных данных по всем интересующим его вышеуказанным вопросам может обратиться к должностному лицу Оператора – ответственному за организацию обработки персональных данных, информация о котором указана в п. 2 настоящей Политики.
- Запрос субъекта персональных данных может быть направлен в адрес Оператора в письменном виде либо его обращение может быть озвучено непосредственно на личном приеме ответственному за организацию обработки персональных данных.

Запрос может быть также направлен Оператору в форме электронного документа, подписанного электронной подписью в соответствии с требованиями п. 4 статьи 9 Федерального закона «О персональных данных».

Оператор осуществляет рассмотрение запросов по вопросам обработки персональных данных в сроки и в соответствии требованиями, установленными Федеральными законами от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации».

Заключительные положения

Оператор оставляет за собой право вносить в данную Политику изменения, которые не противоречат законодательству Российской Федерации, нормативным правовым актам по вопросам обработки персональных данных и защиты информации.

Политика в отношении обработки персональных данных

Дополнительно