Приложение N 1. Положение о защите персональных данных, обрабатываемых в информационных системах государственной инспекции по надзору за техническим состоянием самоходных машин и других видов техники Рязанской области

Приложение N 1
к приказу
Государственной инспекции
по надзору за техническим состоянием
самоходных машин и других видов техники
Рязанской области
от 23 августа 2011 г. N 90

Положение
о защите персональных данных, обрабатываемых в информационных системах государственной инспекции по надзору за техническим состоянием самоходных машин и других видов техники Рязанской области

1. Общие положения

1.1. Целью данного Положения является защита персональных данных физических лиц (далее - заявителей) государственной инспекции по надзору за техническим состоянием самоходных машин и других видов техники Рязанской области (далее - инспекции), обрабатываемых в информационных системах от несанкционированного доступа, неправомерного их использования или утраты.

1.2. Настоящее Положение разработано на основании статей Конституции РФ, Трудового кодекса РФ, Кодекса РФ об административных правонарушениях, Гражданского кодекса РФ, Уголовного кодекса РФ, а также Федерального закона "О персональных данных".

1.3. Персональные данные относятся к категории конфиденциальной информации. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении 75 лет срока хранения, если иное не определено законом.

1.4. Настоящее Положение утверждается и вводится в действие приказом начальника инспекции и является обязательным для исполнения всеми сотрудниками инспекции, имеющими доступ к персональным данным.

2. Понятие и состав персональных данных

2.1. Персональные данные - информация, касающаяся конкретного заявителя, необходимая для оказания государственных услуг. Под информацией понимаются сведения о фактах, событиях и обстоятельствах жизни заявителя, позволяющие идентифицировать его личность.

2.2. В состав персональных данных входят:

- Фамилия, Имя, Отчество;

- Дата рождения;

- Место рождения;

- Гражданство;

- Пол;

- Сведения ИНН;

- Паспортные данные;

- Сведения о социальных льготах;

- Адрес места жительства;

- Домашний, мобильный телефон;

- Сведения имущественного характера.

2.3. Документы, указанные в п. 2.2. настоящего Положения, являются конфиденциальными.

3. Обработка персональных данных

3.1. Под обработкой персональных данных в информационных системах инспекции понимается получение, хранение, комбинирование, модификация, передача или любое другое использование персональных данных заявителей.

3.2. При обработке персональных данных заявителей сотрудники инспекции обязаны соблюдать следующие требования:

3.2.1. Обработка персональных данных может осуществляться исключительно в целях оказания заявителям государственных услуг.

3.2.2. При определении объема и содержания обрабатываемых персональных данных, сотрудник, осуществляющий прием персональных данных, должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом и иными федеральными законами.

3.2.3. Получение персональных данных может осуществляться как путем представления их самим заявителем, так и путем получения их из иных источников.

3.2.4. Если персональные данные заявителя возможно получить только у третьей стороны, то заявитель должен быть уведомлен об этом заранее, и от него должно быть получено письменное согласие. Заявитель информируется о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа заявителя дать письменное согласие на их получение.

3.2.5. Инспекция не имеет права получать и обрабатывать иные персональные данные заявителя, не связанные с оказанием государственных услуг.

3.3. К обработке, передаче и хранению персональных данных заявителя могут иметь доступ все сотрудники инспекции, связанные с оказанием государственных услуг.

3.4. Использование персональных данных возможно только в соответствии с целями, определившими их получение.

3.4.1. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и карается в соответствии с законодательством.

3.5. Передача персональных данных возможна только с согласия заявителя или в случаях, прямо предусмотренных законодательством.

3.5.1. При передаче персональных данных заявителя сотрудник инспекции должен соблюдать следующие требования:

- не сообщать персональные данные заявителя третьей стороне без письменного согласия заявителя, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью заявителя, а также в случаях, установленных федеральным законом;

- не сообщать персональные данные заявителя в коммерческих целях без его письменного согласия;

- предупредить лиц, получающих персональные данные заявителя, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные заявителя, обязаны соблюдать режим секретности (конфиденциальности).

3.5.2. Передача персональных данных от держателя или его представителей внешнему потребителю может допускаться в минимальных объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных.

3.5.3. При передаче персональных данных заявителя потребителям (в том числе и в коммерческих целях) за пределы организации сотрудник инспекции не должен сообщать эти данные третьей стороне без письменного согласия заявителя, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью или в случаях, установленных федеральными законами.

3.6. Все меры конфиденциальности при сборе, обработке и хранении персональных данных сотрудника распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

3.7. Не допускается передача информации, содержащей персональные данные по средствам телефонной и факсимильной связи.

3.8. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.

3.9. При принятии решений, затрагивающих интересы заявителя, сотрудник инспекции не имеет права основываться на персональных данных заявителя, полученных исключительно в результате их автоматизированной обработки или электронного получения.

4. Доступ к персональным данным

4.1. Внутренний доступ (доступ внутри организации).

4.1.1. Право доступа к персональным данным заявителя имеют:

- начальник инспекции;

- заместитель начальника инспекции

- руководители структурных подразделений (начальники отделов);

- сотрудники инспекции, осуществляющие государственные услуги;

- другие сотрудники инспекции при выполнении ими своих служебных обязанностей.

4.2. Внешний доступ.

4.2.1. К числу массовых потребителей персональных данных вне организации относятся государственные и негосударственные функциональные структуры, с которыми осуществляется обмен информацией в рамках межведомственного взаимодействия, заключенных договоров о взаимодействии, либо в рамках действующего законодательства РФ.

4.2.2. Надзорно-контрольные органы имеют доступ к информации только в сфере своей компетенции.

5. Защита персональных данных

5.1. Под угрозой или опасностью утраты персональных данных понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующее воздействие на защищаемую информацию.

5.2. Риск угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.

5.3. Защита персональных данных представляет собой жестко регламентированный и динамически-технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных и в конечном счете обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности компании.

5.4. "Внутренняя защита".

5.4.1. Основным виновником несанкционированного доступа к персональным данным является, как правило, персонал, работающий с документами и базами данных. Регламентация доступа персонала к конфиденциальным сведениям, документам и базам данных входит в число основных направлений организационной защиты информации и предназначена для разграничения полномочий между руководителями и сотрудниками организации.

5.4.2. Для обеспечения внутренней защиты персональных данных необходимо соблюдать ряд мер:

- ограничение и регламентация состава сотрудников инспекции, функциональные обязанности которых требуют конфиденциальных знаний;

- строгое избирательное и обоснованное распределение документов и информации между сотрудниками;

- рациональное размещение рабочих мест сотрудников инспекции, при котором исключалось бы бесконтрольное использование защищаемой информации;

- знание сотрудниками инспекции требований нормативно-методических документов по защите информации и сохранении тайны;

- наличие необходимых условий в помещении для работы с конфиденциальными документами и базами данных;

- определение и регламентация состава сотрудников инспекции, имеющих право доступа (входа) в помещение, в котором находится вычислительная техника;

- организация порядка уничтожения информации;

- своевременное выявление нарушения требований разрешительной системы доступа к персональным данным;

- воспитательная и разъяснительная работа с сотрудниками по предупреждению утраты ценных сведений при работе с конфиденциальными документами;

5.4.3. Защита персональных данных заявителей в информационных системах.

Информационные системы, содержащие персональные данные заявителя, должны быть защищены паролем, который сообщается, сотруднику, ответственному за защиту персональных данных.

5.5. "Внешняя защита".

5.5.1. Для защиты конфиденциальной информации создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией. Целью и результатом несанкционированного доступа к информационным ресурсам может быть не только овладение ценными сведениями и их использование, но и их видоизменение, уничтожение, внесение вируса, подмена, фальсификация содержания реквизитов документа и др.

5.5.2. Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности организации, посетители, работники других организационных структур. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов.

5.5.3. Для обеспечения внешней защиты персональных данных заявителей необходимо соблюдать ряд мер:

- порядок приема, учета и контроля деятельности заявителей;

- пропускной режим;

- технические средства охраны, сигнализации;

- порядок охраны территории, зданий, помещений, транспортных средств;

5.6. Все лица, связанные с получением, обработкой и защитой персональных данных, обязаны подписать обязательство о неразглашении персональных данных заявителей (Приложение N 1).

5.7. По возможности персональные данные необходимо обезличить.

6. Права и обязанности заявителя

6.1. Закрепление прав заявителя, регламентирующих защиту его персональных данных, обеспечивает сохранность полной и точной информации о нем.

6.2. Заявители и их представители должны быть ознакомлены с документами, устанавливающими порядок обработки персональных данных заявителей, а также об их правах и обязанностях в этой области.

6.3. В целях защиты персональных данных, хранящихся в инспекции, заявитель имеет право:

- требовать исключения или исправления неверных или неполных персональных данных о нем;

- на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные;

- определять своих представителей для защиты своих персональных данных;

6.4. Заявитель обязан:

- передавать сотруднику инспекции комплекс достоверных, документированных персональных данных, для исполнения своих должностных обязанностей, состав которых определяется в зависимости от исполнения государственной услуги.

- своевременно сообщать сотруднику инспекции об изменении своих персональных данных.

7. Ответственность за разглашение конфиденциальной информации, связанной с персональными данными

7.1. Персональная ответственность - одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы.

7.2. Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.

7.3. Руководитель, разрешающий доступ сотрудника к конфиденциальному документу, несет персональную ответственность за данное разрешение.

7.4. Каждый сотрудник организации, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.

7.5. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных заявителя, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

7.5.1. За неисполнение или ненадлежащее исполнение сотрудником инспекции по его вине возложенных на него обязанностей по соблюдению установленного порядка работы со сведениями конфиденциального характера начальник инспекции вправе применять предусмотренные Трудовым кодексом дисциплинарные взыскания.

7.5.2. Должностные лица, в обязанность которых входит ведение персональных данных заявителей, обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом. Неправомерный отказ в предоставлении собранных в установленном порядке документов, либо несвоевременное предоставление таких документов или иной информации в случаях, предусмотренных законом, либо предоставление неполной или заведомо ложной информации - влечет наложение на должностных лиц административного штрафа в размере, определяемом Кодексом об административных правонарушениях.