Приложение. Правила обработки персональных данных в Администрации города Сарова

Приложение
к постановлению администрации
города Сарова
от 3 апреля 2013 г. N 1992

Правила
обработки персональных данных в Администрации города Сарова

1. Общие положения

1.1. Настоящие Правила обработки персональных данных в Администрации города Сарова (далее - Правила) разработаны в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", Федеральным законом от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации", Постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", постановлением Правительства Российской Федерации от 17.11.2007 N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", постановлением Правительства Российской Федерации от 21.03.2012 N 211 "Перечень мер направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствие с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами".

1.2. Настоящие Правила устанавливают:

порядок определения цели обработки персональных данных,

процедуры, определяющие для каждой цели обработки данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются,

сроки обработки и хранения обрабатываемых персональных данных;

порядок обработки, хранения, распространения, блокирования, использования, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований персональных данных в Администрации города Сарова, осуществляемые с использованием средств автоматизации и без использования средств автоматизации,

правила работы с обезличенными данными,

процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных,

правила рассмотрения запросов субъектов персональных данных или их представителей,

правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами оператора.

1.3. Администрация города Сарова самостоятельно или совместно с другими лицами (далее - оператор) организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Понятия и определения используются в значениях, определенных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" и Федеральным законом от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации" либо их значение дается по тексту.

1.4. Обработка персональных данных должна:

- осуществляться на законной и справедливой основе,

- ограничиваться достижением конкретных, заранее определенных и законных целей.

1.5. Не допускается:

- обработка персональных данных, несовместимая с целями сбора персональных данных;

- объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

1.6. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

1.7. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

1.8. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных.

1.9. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования средств автоматизации.

1.10. Решение о создании муниципальной информационной системы принимает глава администрации города Сарова. Муниципальные информационные системы создаются на основе муниципального контракта. Порядок введения муниципальной информационной системы определяется распоряжением администрации города Сарова.

Решение о создании базы данных (картотека, журнал) принимает руководитель структурного подразделения Администрации, руководитель департамента, комитета.

1.11. Администрация города Сарова (уполномоченное ей лицо) до начала обработки персональных данных уведомляют уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, установленных законодательством Российской Федерации.

2. Цели, субъекты, создание, содержание обрабатываемых персональных данных

2.1. Цель обработки персональных данных определяется при создании соответствующей информационной системы либо базы данных. Случаи, в которых допускается обработка персональных данных, предусмотрены Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных".

2.2. Основными целями обработки персональных данных в Администрации города Сарова являются:

- предоставление муниципальных услуг либо государственных услуг, переданных органам местного самоуправления города Сарова;

- осуществление и выполнение возложенных законодательством Российской Федерации на органы местного самоуправления функций, полномочий, обязанностей.

2.3. Категории субъектов, персональные данные которых обрабатываются, определяются для каждой цели обработки персональных данных при создании соответствующей информационной системы, базы данных.

2.4. Субъектами, персональные данные которых обрабатываются для указанных в п. 2.2. целей, являются лица, обратившиеся за предоставлением муниципальной либо государственной услуги, а также лица, персональные данные которых стали известны в результате реализации вопросов местного значения (выполнения муниципальных функций), избиратели, муниципальные служащие.

2.5. К персональным данным относятся:

1) анкетные и биографические данные гражданина, включая адрес места жительства и проживания;

2) паспортные данные или данные иного документа, удостоверяющего личность и гражданство, включая серию, номер, дату выдачи, наименование органа, выдавшего документ;

3) сведения об образовании, квалификации и о наличии специальных знаний или специальной подготовки;

4) сведения о трудовой деятельности, опыте работы, занимаемой должности, трудовом стаже, повышении квалификации и переподготовки;

5) сведения о составе семьи и наличии иждивенцев, сведения о месте работы или учёбы членов семьи;

6) сведения о состоянии здоровья и наличии заболеваний (когда это необходимо в случаях, установленных законом);

7) сведения об отношении к воинской обязанности;

8) сведения о доходах и обязательствах имущественного характера, в том числе членов семьи;

9) сведения об идентификационном номере налогоплательщика;

10) сведения о социальных льготах и о социальном статусе.

2.6. Объем персональных данных, необходимый для конкретной цели обработки персональных данных, определяется при создании информационной системы, базы данных и должен строго соответствовать цели обработки персональных данных.

2.7. Ответственность за создание базы данных, содержащей персональные данные, цели обработки которой не соответствуют функциям соответствующего структурного подразделения администрации, департамента, комитета, включение в базу данных субъекта, обработка персональных данных которого не соответствует целям обработки, а также за расширение объема персональных данных по отношению к заявленным целям их обработки несут руководители структурных подразделений Администрации, руководители департаментов, комитета.

3. Получение персональных данных

3.1. Субъект персональных данных принимает решение о предоставлении его персональных данных, а в случаях, предусмотренных федеральным законом, дает согласие на обработку своих персональных данных. Субъект персональных данных принимает решение и дает согласие свободно, своей волей и в своем интересе.

Типовая форма согласия субъекта на обработку персональных данных представлена в приложении N 1 к настоящим Правилам.

3.2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.

3.3. Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления муниципальных услуг, устанавливается Правительством Российской Федерации.

3.4. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных. Типовая форма согласия субъекта на обработку персональных данных подопечного представлена в приложении N 2 к настоящим Правилам.

3.5. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни, по форме, представленной в Приложении N 2 к настоящим Правилам.

3.6. В случаях, предусмотренных законодательством Российской Федерации, персональные данные могут быть получены от лица, не являющегося субъектом персональных данных (третьего лица).

3.7. Если персональные данные получены не от субъекта персональных данных, должностные лица, ответственные за предоставление (осуществление) соответствующей муниципальной услуги, функции, в случаях, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", до начала обработки таких персональных данных обязаны уведомить субъекта персональных данных.

3.8. В случае отказа субъекта персональных данных предоставить свои персональные данные, если предоставление персональных данных является обязательным в соответствии с федеральным законом, лицо, ответственное за предоставление (осуществление) муниципальной услуги, функции, обязано разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные.

Типовая форма разъяснения субъекту персональных данных юридических последствий отказа предоставить свои персональные данные приведена в приложении N 3 к настоящим Правилам.

4. Обработка персональных данных

4.1. Обработка персональных данных в Администрации города Сарова, департаментах, комитете Администрации осуществляется муниципальными служащими, в должностные обязанности которых входит оказание муниципальных услуг, выполнение муниципальных функций, связанных с получением информации, содержащей персональные данные.

Муниципальные служащие, в должностные обязанности которых входит оказание муниципальных услуг, выполнение муниципальных функций, связанных с получением информации, содержащей персональные данные, подписывают соглашение о неразглашении персональных данных и обязательство муниципального служащего, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним трудового договора прекратить обработку персональных данных, ставших известными ему в связи с исполнением должностных обязанностей (типовая форма представлена в Приложении N 4 к настоящим Правилам).

4.2. Перечень должностей служащих Администрации города Сарова, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным; устанавливается главой Администрации города Сарова.

4.3. Все сотрудники, имеющие доступ к персональным данным субъектов, должны быть ознакомлены с положениями законодательства Российской Федерации о персональных данных (в том числе с требованиями к защите персональных данных), настоящими Правилами и иными правовыми актами администрации города Сарова по вопросам обработки персональных данных. Обязанность ознакомить сотрудников с законодательством и муниципальными правовыми актами, регулирующими порядок работы с персональными данными, возлагается на руководителя департамента, комитета, структурного подразделения Администрации.

Форма листа ознакомлений приведена в Приложении N 5 к настоящим Правилам.

4.4. Запрещается обработка персональных данных:

- лицами, не допущенными к их обработке;

- под диктовку.

5. Порядок обработки персональных данных в информационных системах персональных данных с использованием средств автоматизации

5.1. Обработка персональных данных в Администрации города Сарова, департаментах, комитете Администрации осуществляется в соответствии с законодательством Российской Федерации, техническими регламентами, а также нормативными правовыми актами Администрации о создании, введении в эксплуатацию и инструкции по эксплуатации соответствующей информационной системы.

5.2. Обработка персональных данных допускается после:

- назначения лица, ответственного за обработку персональных данных в соответствующей информационной системе;

- утверждения перечня должностей муниципальных служащих, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным соответствующей информационной системы;

- ознакомления муниципального служащего, осуществляющего обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, муниципальными правовыми актами, регулирующими работу с персональными данными.

Форма листа ознакомлений приведена в Приложении N 5 к настоящим Правилам.

5.3. Перечень информационных систем персональных данных утверждается главой администрации.

5.4. Персональные данные могут быть представлены для ознакомления:

а) муниципальным служащим, допущенным к обработке персональных данных с использованием средств автоматизации в части, касающейся исполнения их должностных обязанностей;

б) уполномоченным работникам федеральных органов исполнительной власти в порядке, установленном законодательством Российской Федерации;

в) субъекту персональных данных.

5.5. Муниципальными служащими, ответственными за обеспечение безопасности персональных данных при их обработке в информационных системах, должно быть обеспечено:

а) своевременное обнаружение фактов несанкционированного доступа к персональным данным и немедленное доведение этой информации до руководства;

б) недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;

в) возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

г) постоянный контроль за обеспечением уровня защищенности персональных данных;

д) знание и соблюдение условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

е) учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;

ж) при обнаружении нарушений порядка предоставления персональных данных незамедлительное приостановление предоставления персональных данных пользователям информационной системы до выявления причин нарушений и устранения этих причин;

з) разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений.

5.6. В случае выявления нарушений порядка обработки персональных данных в информационных системах уполномоченными должностными лицами принимаются меры по установлению причин нарушений и их устранению.

6. Порядок обработки персональных данных без использования средств автоматизации

6.1. Обработка персональных данных, осуществляемая без использования средств автоматизации, осуществляется в соответствии с законодательством Российской Федерации, постановлением Правительства Российской Федерации от 15 сентября 2008 года N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", техническими регламентами, а также нормативными правовыми актами администрации города Сарова о создании, введении в эксплуатацию и инструкции по эксплуатации соответствующей информационной системы.

6.2. Решение о создании информационного ресурса, содержащего персональные данные, в форме журнала или базы данных принимается руководителем структурного подразделения, департамента, комитета Администрации путем внесения соответствующих документов в номенклатуру дел.

6.3. Обработка персональных данных допускается после:

- назначения лица, ответственного за обработку персональных данных;

- утверждения перечня должностей муниципальных служащих, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным;

- ознакомления муниципального служащего, осуществляющего обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, муниципальными правовыми актами, регулирующими работу с персональными данными.

6.4. Журналы, содержащие персональные данные, хранятся в закрытых шкафах, исключающих доступ посторонних лиц.

7. Сроки обработки и хранения персональных данных, порядок их уничтожения при достижении целей обработки или при наступлении иных законных оснований

7.1. Сроки обработки персональных данных определяются в соответствии с целью обработки. Персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки персональных данных, если иное не предусмотрено федеральным законодательством.

7.2. Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законодательством.

7.3. Сроки обработки, хранения, уничтожения либо обезличивания персональных данных в муниципальных информационных системах устанавливаются инструкцией по эксплуатации соответствующей информационной системы.

7.4. Порядок создания, хранения, уничтожения журналов и электронных баз данных, содержащих персональные данные, устанавливается инструкцией по делопроизводству в Администрации города Сарова.

7.5. Сроки хранения журналов и электронных баз данных, содержащих персональные данные, устанавливается номенклатурой дел Администрации города Сарова, департамента, комитета Администрации, утверждаемой в установленном порядке.

7.6. В целях уничтожения обработанных персональных данных постановлением администрации города Сарова создается комиссия. Уничтожение обработанных персональных данных производится комиссией с составлением соответствующего акта (Приложение N 6 к настоящим Правилам).

8. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в Администрации города Сарова

8.1. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям лицо, ответственное за организацию обработки персональных данных в Администрации города Сарова, организует проведение периодических проверок соблюдения муниципальными служащими законодательства Российской Федерации о персональных данных и соблюдения требований к защите персональных данных не реже одного раза в год.

8.2. Проверки соответствия обработки персональных данных установленным требованиям проводятся на основании утвержденного постановлением администрации города Сарова ежегодного плана осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям (плановые проверки), а также на основании поступившего письменного заявления о нарушениях правил обработки персональных данных (внеплановые проверки).

Проведение внеплановой проверки организуется в течение трех рабочих дней с момента поступления соответствующего заявления.

В проведении проверки не может участвовать лицо, прямо или косвенно заинтересованное в её результатах.

8.3. Плановые проверки осуществляются лицом (лицами), ответственным за организацию обработки персональных данных в Администрации города Сарова.

Внеплановые проверки осуществляются комиссией по осуществлению внутреннего контроля соответствия обработки персональных данных установленным требованиям, создаваемой постановлением администрации города Сарова. Персональный состав комиссии и порядок ее работы устанавливается постановлением администрации города Сарова.

8.4. При проведении плановой проверки соответствия обработки персональных данных установленным требованиям должны быть полностью, объективно и всесторонне установлены:

- порядок и условия соблюдения муниципальными служащими, допущенными к работе с персональными данными, Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", настоящих Правил, правовых актов администрации города Сарова по работе с персональными данными.

8.5. При проведении внеплановой проверки соответствия обработки персональных данных установленным требованиям осуществляется полностью, объективно, всесторонне проверка сведений, указанных в заявлении о нарушениях правил обработки персональных данных.

8.6. Ответственный за организацию обработки персональных данных (комиссия) имеет право:

- запрашивать у сотрудников информацию, необходимую для реализации полномочий;

- требовать от уполномоченных на обработку персональных данных должностных лиц уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

- принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации;

- вносить главе администрации города Сарова предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке;

- вносить главе администрации города Сарова предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных.

8.7. В отношении персональных данных, ставших известными ответственному за организацию обработки персональных данных (членам комиссии) в ходе проведения мероприятий внутреннего контроля, должна обеспечиваться конфиденциальность персональных данных.

8.8. Проверка должна быть завершена не позднее чем через месяц со дня принятия решения о её проведении. О результатах проведенной проверки и мерах, необходимых для устранения выявленных нарушений, главе администрации города Сарова докладывает ответственный за организацию обработки персональных данных, председатель комиссии, в форме письменного заключения.

9. Правила рассмотрения запросов субъектов персональных данных или их представителей в Администрации города Сарова

9.1. Запрос субъекта персональных данных о предоставлении информации, касающейся обработки его персональных данных, указанных в части 7 статьи 14 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", подается в структурное подразделение Администрации города Сарова, департамент, комитет Администрации, осуществляющий обработку персональных данных.

Регистрация запроса осуществляется в день поступления.

9.2. Запрос может быть направлен в электронной форме и подписан электронной подписью в соответствии с законодательством Российской Федерации.

9.3. Содержание запроса должно соответствовать требованиям, установленным Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных".

9.4. Муниципальный служащий обязан:

- сообщить в порядке статьи 14 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными;

- предоставить информацию по запросу субъекта персональных данных в сроки, установленные федеральным законодательством.

9.5. Муниципальный служащий вправе отказать субъекту персональных данных в предоставлении информации по основаниям, указанным в федеральном законодательстве. В ответе должно быть указано основание для отказа в предоставлении информации со ссылкой на соответствующую норму федерального закона.

9.6. Возможность ознакомления с персональными данными предоставляется на безвозмездной основе лицом, ответственным за обработку персональных данных.

10. Правила работы с обезличенными персональными данными в Администрации города Сарова

10.1. Обезличивание персональных данных может быть проведено с целью ведения статистических данных, снижения ущерба от разглашения защищаемых персональных данных, снижения класса информационных систем персональных данных и по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

10.2. Для обезличивания персональных данных применяются способы, не запрещенные законодательством Российской Федерации.

10.3. Способы обезличивания при условии дальнейшей обработки персональных данных:

1) уменьшение перечня обрабатываемых сведений;

2) замена части сведений идентификаторами;

3) обобщение - понижение точности некоторых сведений;

4) понижение точности некоторых сведений (например, "Место жительства" может состоять из страны, индекса, города, улицы, дома и квартиры, а может быть указан только город);

5) деление сведений на части и обработка в разных информационных системах;

6) другие способы.

10.4. Способом обезличивания в случае достижения целей обработки или в случае утраты необходимости в достижении этих целей является сокращение перечня персональных данных.

10.5. Перечень должностей муниципальных служащих, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных, устанавливается постановлением администрации города Сарова.

10.6. Решение о необходимости обезличивания персональных данных принимает глава администрации города Сарова на основании предложений по обезличиванию персональных данных. Обоснование такой необходимости и способ обезличивания подготавливаются муниципальными служащими, непосредственно осуществляющими обработку персональных данных. Муниципальные служащие, обслуживающие базы данных с персональными данными, совместно с ответственным за организацию обработки персональных данных, осуществляют непосредственное обезличивание выбранным способом.

10.7. Обезличенные персональные данные не подлежат разглашению и нарушению конфиденциальности.

10.8. Обезличенные персональные данные могут обрабатываться с использованием и без использования средств автоматизации.

10.9. При обработке обезличенных персональных данных с использованием средств автоматизации необходимо соблюдение:

1) парольной политики;

2) антивирусной политики;

3) правил работы со съемными носителями (если они используются);

4) правил резервного копирования;

5) правил доступа в помещения, где расположены элементы информационных систем;

10.10. При обработке обезличенных персональных данных без использования средств автоматизации необходимо соблюдение:

1) правил хранения бумажных носителей;

2) правил доступа к ним и в помещения, где они хранятся.

11. Порядок доступа муниципальных служащих в помещения Администрации города Сарова, в которых ведется обработка персональных данных

11.1. В целях обеспечения соблюдения требований к ограничению доступа в служебные помещения обеспечивается:

- использование служебных помещений строго по назначению;

- наличие на входах в служебные помещения дверей, оборудованных запорными устройствами;

- содержание дверей служебных помещений в нерабочее время в закрытом на запорное устройство состоянии;

- содержание окон в нерабочее время в закрытом состоянии;

- доступ в служебные помещения граждан строго в установленные дни и часы приема.

11.2. Доступ в служебные помещения муниципальных служащих допускается только для выполнения поручений и получения информации, необходимой для исполнения служебных обязанностей в соответствии с должностной инструкцией, иных лиц - в случаях, установленных законодательством.

При этом ведется журнал учета лиц (организаций), получивших доступ к персональным данным, и (или) лиц (организаций), которым такая информация была предоставлена или передана в помещениях Администрации города Сарова.

11.3. Муниципальным служащим запрещается передавать ключи от служебных помещений третьим лицам.

11.4. Текущий контроль за содержанием служебных помещений осуществляет ответственный за организацию обработки персональных данных.

12. Процедуры, направленные на выявление и предотвращение нарушений законодательства в сфере персональных данных

12.1. К процедурам, направленным на предотвращение и выявление нарушений законодательства в отношении обработки персональных данных и устранение таких последствий, относятся:

1) назначение ответственного за организацию обработки персональных данных в Администрации города Сарова;

2) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии с частями 1 и 2 статьи 19 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных";

3) осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону от 27.07.2006 N 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативными правовыми актами, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;

4) оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения законодательства Российской Федерации и настоящих Правил, соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных федеральным законом;

5) ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных и настоящими Правилами, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных и (или) обучение указанных работников;

6) запрет на обработку персональных данных лицами, не допущенными к их обработке;

7) запрет на обработку персональных данных под диктовку.