1. Основные понятия

Оглавление

1.Основные понятия

2.Общие положения

1. 
   Цель разработки настоящего Положения – обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе права на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.
   
2. 
   Положение устанавливает порядок обработки персональных данных субъектов ГБУ КК "МЦИТ" Инвентум" (далее – Учреждение).
   

• 
  сбор, хранение, уточнение (обновление, изменение);
  
• 
  систематизацию, накопление;
  
• 
  использование, распространение (в том числе передачу);
  
• 
  обезличивание, блокирование, уничтожение.
  

• 
  кандидаты для приёма на работу;
  
• 
  сотрудники Учреждения;
  
• 
  граждане, обратившиеся за получением государственных услуг, предоставляемых Учреждением;
  

1. 
   Положение разработано в соответствии со следующими нормативно-правовыми документами Российской Федерации:
   

• 
  конституция Российской Федерации;
  
• 
  Федеральный закон «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных» от 19.12.2005 №160-ФЗ;
  
• 
  Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ;
  
• 
  Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 № 149-ФЗ;
  
• 
  Указ Президента РФ от 06.03.1997 №188 «Об утверждении перечня сведений конфиденциального характера»;
  
• 
  Постановление Правительства РФ «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15.09.2008 №687;
  
• 
  Гражданский кодекс РФ (ГК РФ) Часть 1 от 30.11.1994 N 51-ФЗ;
  
• 
  Кодекс об Административных Правонарушениях РФ (КоАП РФ) от 30.12.2001 N 195-ФЗ;
  
• 
  Трудовой кодекс РФ (ТК РФ) от 30.12.2001 N 197-ФЗ;
  
• 
  Уголовный кодекс РФ (УК РФ) от 13.06.1996 N 63-ФЗ;
  

1. 
   Персональные данные субъекта являются конфиденциальной информацией, за исключением сведений, которые в установленных федеральными законами случаях могут быть опубликованы в средствах массовой информации.
   
2. 
   Обработка персональных данных сотрудника осуществляется для обеспечения:
   

• 
  соблюдения законов и иных нормативных правовых актов;
  
• 
  содействия сотруднику в трудоустройстве, обучении, продвижении по работе;
  
• 
  обеспечения личной безопасности сотрудника;
  
• 
  контроля качества и количества выполняемой работы;
  
• 
  оплаты труда, пользования льготами, предусмотренными законодательством РФ и актами Учреждения;
  
• 
  также для осуществления основной деятельности Учреждения.
  

• 
  проверки получения гражданами господдержки ранее;
  
• 
  оказания информационных услуг;
  

1. 
   Документами, содержащими персональные данные сотрудника, являются:
   

• 
  письменное заявление о приёме на работу;
  
• 
  характеристика-рекомендация;
  
• 
  копия приказа о приёме на работу;
  
• 
  трудовой договор;
  
• 
  расписка сотрудника об ознакомлении с документами Учреждения, устанавливающими порядок обработки персональных данных, а также о правах и обязанностях в этой области;
  
• 
  расписка сотрудника об ознакомлении его с локальными нормативными актами Учреждения;
  
• 
  типовые формы письменного добровольного согласия на обработку получение его персональных данных (Приложения № 1 и № 2 к Положению);
  
• 
  анкета сотрудника Учреждения;
  
• 
  личная карточка формы Т-2;
  
• 
  медицинский полис сотрудника Учреждения, а также иные документы, составляющие личное дело сотрудника Учреждения.
  

1. 
   Персональные данные клиентов имеют документальную форму и включают в себя следующие категории:
   

• 
  фамилия, имя, отчество;
  
• 
  год, месяц, дата рождения;
  
• 
  серия и номер паспорта;
  
• 
  Телефон: домашний, мобильный, рабочий, адрес электронной почты;
  
• 
  адрес места жительства (пребывания);
  
• 
  сведения об образовании
  
• 
  сведения о профессии
  
• 
  сведения о трудовой деятельности
  
• 
  сведения о составе семьи
  
• 
  сведения о финансовых возможностях (среднемесячный доход, наличие ежемесячных выплат и т.д.)
  
• 
  сведения об участии в мероприятиях по социально одобряемым областям деятельности (олимпиадах, конкурсах, спартакиадах, фестивалях и т.д.)
  

1. 
   Порядок регистрации, учёта, оформления, тиражирования, хранения, использования и уничтожения документов и других материальных носителей с персональными данными определяют действующие документы Учреждения.
   
2. 
   Учреждение является оператором персональных данных лиц, указанных в пункте 2.2 настоящего Положения. На основании договора Учреждение может поручать обработку персональных данных третьим лицам. Существенным условием договора об оказании услуг по обработке персональных данных является обязанность обеспечения этими лицами конфиденциальности и безопасности персональных данных субъектов.
   
3. 
   В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьёй 24 Конституции Российской Федерации, Учреждение вправе получать и обрабатывать данные о частной жизни сотрудника только с его письменного согласия.
   
4. 
   Учреждение не имеет права получать и обрабатывать персональные данные субъекта о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законодательством.
   
5. 
   Настоящее Положение вступает в силу с момента его утверждения и действует до замены его новым Положением.
   
6. 
   Все изменения в Положение вносятся приказом Руководителя Учреждения.
   

3.Порядок обработки персональных данных

14. 
    Все персональные данные субъектов Учреждение получает от них самих либо от их представителей. Обработка персональных данных осуществляется в соответствии с действующим законодательством Российской Федерации на основании согласия субъекта персональных данных (Приложение № 1).
    
15. 
    Субъект персональных данных принимает решение о предоставлении своих персональных данных и даёт согласие на их обработку своей волей и в своём интересе.
    

16. 
    При установлении договорных отношений с субъектом персональных данных получение письменного согласия на обработку его персональных данных не требуется.
    

17. 
    Обработка персональных данных, осуществляемая без использования средств автоматизации, должна выполняться в соответствии с требованиями «Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» утверждённого постановлением Правительства РФ от 15.09.2008 № 687.
    

1. 
   Обработка биометрических персональных данных (фотография, отпечатки пальцев, сетчатки глаза и т.д.), в соответствии со ст.11 Федерального закона «О персональных данных» № 152 ФЗ, допускается при наличии согласия субъекта (Приложение № 3).
   
2. 
   Персональные данные сотрудников Учреждения обрабатываются в следующих подразделениях в соответствии с исполняемыми функциями:
   

• 
  Отдел инновационного развития;
  
• 
  Аппарат управления;
  

• 
  Отдел консультационной работы и работы с обращениями граждан;
  
• 
  Отдел инновационного развития;
  
• 
  Аппарат управления;
  

1. 
   При необходимости допускается обработка персональных данных в других структурных подразделениях Учреждения при условии их обработки специально уполномоченными лицами и с соблюдением требований настоящего Положения.
   
2. 
   Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных (Приложение № 1).
   
3. 
   Сотрудники должны быть ознакомлены под роспись с настоящим Положением и другими документами Учреждения, устанавливающими порядок обработки персональных данных субъектов, а также об их правами и обязанностями в этой области.
   

4.Передача персональных данных третьим лицам.

1. 
   При обработке персональных данных субъекта должны соблюдаться следующие требования:
   

• 
  Не сообщать персональные данные субъекта третьей стороне без письменного согласия с субъекта (Приложение № 4);
  
• 
  Предупреждать лиц, получающих персональные данные субъекта, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъекта, обязаны соблюдать режим конфиденциальности в отношении этих данных.
  

1. 
   При необходимости трансграничной передачи ПДн на территорию иностранных государств, не обеспечивающих адекватной защиты прав субъектов ПДн, Учреждение запрашивает согласие субъекта в письменной форме (Приложение № 5).
   

5.Права субъектов персональных данных

1. 
   В целях обеспечения своих интересов субъекты имеют право:
   

• 
  получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной);
  
• 
  осуществлять свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные субъекта, за исключением случаев, предусмотренных федеральным законом;
  
• 
  требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением федерального закона. Субъект при отказе Учреждения исключить или исправить персональные данные субъекта имеет право заявлять в письменной форме о своём несогласии, обосновав соответствующим образом такое несогласие. Персональные данные оценочного характера субъект имеет право дополнить заявлением, выражающим его собственную точку зрения;
  
• 
  требовать от Учреждения уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта, обо всех произведённых в них изменениях или исключениях из них;
  
• 
  обжаловать в суд любые неправомерные действия или бездействие Учреждения при обработке и защите персональных данных субъекта.
  

6.Защита персональных данных субъекта

26. 
    Защиту персональных данных субъектов от неправомерного их использования или утраты Учреждение обеспечивает за счёт собственных средств в порядке, установленном законодательством Российской Федерации.
    

• 
  РД ФСТЭК России - «Положение о методах и способах защиты информации в информационных системах персональных данных». Утверждено директором ФСТЭК России 5 февраля 2010 г.
  
• 
  специальными требованиями и рекомендации по технической защите конфиденциальной информации (СТР-К), утверждёнными приказом Гостехкомиссии России от 30 августа 2002 г. № 282;
  
• 
  внутренними документами Учреждения, действующими в сфере обеспечения информационной безопасности.
  

1. 
   Защита персональных данных предусматривает ограничение к ним доступа.
   
2. 
   Доступ к персональным данным устанавливается в соответствие с приказом Руководителя Учреждения, при этом указанные лица имеют право получать только те персональные данные, которые необходимы для выполнения конкретных функций, и в целях, для которых они сообщены субъекту персональных данных.
   
3. 
   Руководитель структурного подразделения Учреждения, осуществляющего обработку персональных данных:
   

• 
  несет ответственность за организацию защиты персональных данных в структурном подразделении;
  
• 
  закрепляет за сотрудниками, уполномоченными обрабатывать персональные данные, конкретные носители с персональными данными, которые необходимы для выполнения возложенных на них функций;
  
• 
  организовывает изучение уполномоченными сотрудниками нормативных правовых актов по защите персональных данных и требует их неукоснительного исполнения;
  
• 
  обеспечивает режим конфиденциальности в отношении персональных данных, обрабатываемых в структурном подразделении;
  
• 
  организовывает контроль доступа к персональным данным в соответствии с функциональными обязанностями сотрудников подразделения.
  

1. 
   С сотрудником, допущенным к персональным данным, заключается обязательство о неразглашении таких данных в установленном порядке.
   

7.Обязанности лиц, допущенных к обработке персональных данных

• 
  знать законодательство Российской Федерации в области обработки и защиты персональных данных, нормативные документы Учреждения по защите персональных данных;
  
• 
  сохранять конфиденциальность персональных данных;
  
• 
  обеспечивать сохранность закреплённых за ними носителей персональных данных;
  
• 
  контролировать срок истечения действия согласий на обработку ПДн и, при необходимости дальнейшей обработки ПДн, обеспечивать своевременное получение новых согласий или прекращение обработки ПДн;
  
• 
  докладывать своему непосредственному руководителю отдела (структурного подразделения) обо всех фактах и попытках несанкционированного доступа к персональным данным и других нарушениях.
  

8.Ответственность сотрудника за нарушение норм, регулирующих обработку и защиту персональных данных субъектов

1. 
   Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъекта, привлекаются к материальной, административной, уголовной и гражданско-правовой ответственности на основании судебного решения, а также к дисциплинарной ответственности.
   
2. 
   К данным лицам могут быть применены следующие дисциплинарные взыскания:
   

• 
  замечание;
  
• 
  выговор;
  
• 
  предупреждение о неполном должностном соответствии;
  
• 
  освобождение от занимаемой должности;
  
• 
  увольнение.
  

33. 
    За каждый дисциплинарный проступок может быть применено только одно дисциплинарное взыскание.
    
34. 
    Копия приказа о применении к сотруднику дисциплинарного взыскания с указанием оснований его применения вручается сотруднику под расписку в течение пяти дней со дня издания приказа.
    
35. 
    Если в течение года со дня применения дисциплинарного взыскания сотрудник не будет подвергнут новому дисциплинарному взысканию, то он считается не имеющим дисциплинарного взыскания. Учреждение до истечения года со дня издания приказа о применении дисциплинарного взыскания, имеет право снять его с сотрудника по собственной инициативе, по письменному заявлению сотрудника или по ходатайству его непосредственного руководителя.
    

ПРИЛОЖЕНИЕ № 1

ПРИЛОЖЕНИЕ № 2

ПРИЛОЖЕНИЕ № 3

ПРИЛОЖЕНИЕ № 4

ПРИЛОЖЕНИЕ № 5