Приложение N 1. Политика в отношении обработки персональных данных в министерстве жилищно-коммунального хозяйства Белгородской области

Приложение N 1

Утверждено

приказом министерства

жилищно-коммунального хозяйства

Белгородской области

от "08" декабря 2022года N 456

Политика
в отношении обработки персональных данных в министерстве жилищно-коммунального хозяйства Белгородской области

1. Термины и определения

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, состав персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

Предоставление персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (предоставление персональных данных) или на ознакомление с персональными данными неопределенного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.

Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.

2. Общие положения

2.1. Настоящая Политика министерства жилищно-коммунального хозяйства Белгородской области (далее - Министерство) определяет принципы и условия обработки персональных данных, права субъекта персональных данных, обязанности оператора, а также меры, направленные на обеспечение безопасности персональных данных в Министерстве.

2.2. Настоящая Политика разработана в соответствии со статьей 18.1 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ).

2.3. Целью настоящей Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также соблюдение требований законодательства Российской Федерации.

3. Принципы и обработка персональных данных

3.1. Обработка персональных данных осуществляется в соответствии со следующими принципами:

- обработка персональных данных осуществляется на законной и справедливой основе;

- обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;

- не допускается обработка персональных данных, не совместимая с целями сбора персональных данных;

- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;

- обработке подлежат только персональные данные, которые отвечают целям их обработки;

- содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки;

- обрабатываемые персональные данные не могут быть избыточными по отношению к заявленным целям их обработки;

- при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях - актуальность по отношению к целям обработки;

- принимаются необходимые меры по удалению или уточнению неполных или неточных данных;

- хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;

- обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4. Условия обработки персональных данных

4.1. Условия обработки персональных данных.

4.1.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, установленных Законом N 152-ФЗ.

4.1.2. Обработка персональных данных допускается в следующих случаях:

- обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

- обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации функций, полномочий и обязанностей;

- обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

- обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 г. N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;

- обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручателем;

- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

- обработка персональных данных необходима для осуществления прав и законных интересов Министерства или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

- обработка персональных данных осуществляется в статистических или иных исследовательских целях, при условии обязательного обезличивания персональных данных;

- осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее - персональные данные, сделанные общедоступными субъектом персональных данных);

- осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

4.1.3. Министерство вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта. При этом Министерство обязует лицо, осуществляющее обработку персональных данных по его поручению, соблюдать принципы и правила обработки персональных данных, предусмотренные Законом N 152-ФЗ.

4.1.4. В случае, если Министерство поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Министерство. Лицо, осуществляющее обработку персональных данных по поручению Министерства, несет ответственность перед Министерством.

4.2. Конфиденциальность персональных данных.

4.2.1. Министерство обязуется и обязует иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом

4.3. Общедоступные источники персональных данных.

4.3.1. В случае необходимости Министерство может включить персональные данные субъектов в общедоступные источники персональных данных, при этом берется письменное согласие субъекта персональных данных.

ГАРАНТ:

Нумерация подпунктов приводится в соответствии с источником

4.4.1. Согласие субъекта персональных данных на обработку его персональных данных.

4.4.2. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных является конкретным, информированным и сознательным.

4.4.3. В случае получения согласия на обработку персональных данных от предоставления субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются Министерством.

4.4.4. В случаях, предусмотренных Федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.

4.4.5. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.

4.5. Специальные категории персональных данных.

4.5.1. Министерство может осуществлять обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни в случаях, если:

- обработка таких категорий персональных данных необходима для достижения конкретных, заранее определенных и законных целей;

- субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

- персональные данные сделаны общедоступными субъектом персональных данных;

- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно.

4.6. Биометрические персональные данные.

4.6.1. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются для установления личности субъекта персональных данных, в Министерстве не обрабатываются.

4.7. Трансграничная передача персональных данных.

4.7.1. Трансграничная передача персональных данных Министерством не осуществляется.

4.8. Принятие решения на основании исключительно автоматизированной обработки.

4.8.1. Принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающие его права и законные интересы, не осуществляется.

4.8.2. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

5. Права субъекта персональных данных

5.1. Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных Министерством, а именно:

- подтверждение факта обработки персональных данных Министерством;

- правовые основания и цели обработки персональных данных;

- цели и применяемые Министерством способы обработки персональных данных;

- наименование и местонахождение Министерства, сведения о лицах (за исключением работников Министерства), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Министерством или на основании федерального закона;

- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

- сроки обработки персональных данных, в том числе сроки их хранения;

- порядок осуществления субъектом персональных данных прав, предусмотренных Законом N 152-ФЗ;

- информацию об осуществленной или о предполагаемой трансграничной передаче данных;

- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Министерства, если обработка поручена или будет поручена такому лицу;

- иные сведения, предусмотренные Закон N 152-ФЗ или другими федеральными законами.

5.2. Субъект персональных данных вправе требовать от Министерства уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

5.3. Субъект персональных данных имеет право заявить возражение против принятия в его отношении решений, порождающих юридические последствия на основе исключительно автоматизированной обработки персональных данных.

5.4. Субъект персональных данных имеет право отозвать согласие на обработку его персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Министерство вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе N 152-ФЗ.

5.5. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.

5.6. Если субъект персональных данных считает, что Министерство осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Министерства в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

5.7. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

6. Обязанности оператора

6.1. При сборе персональных данных Министерство обязано:

- предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных и (или) дать согласие на их обработку;

- разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные;

- обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных Закон N 152-ФЗ;

- до начала обработки персональных данных, полученных не от субъекта персональных данных, предоставить субъекту персональных данных, за исключением случаев, предусмотренных Законом N 152-ФЗ, следующую информацию: наименование либо фамилию, имя, отчество и адрес оператора или его представителя, цель обработки персональных данных и ее правовое основание; предполагаемых пользователей персональных данных, источник получения персональных данных, права субъекта персональных данных.

6.2. При обращении субъекта персональных данных Министерство в порядке, предусмотренном Законом N 152-ФЗ, обязано сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя в течение тридцати дней с даты получения запроса.

6.3. В случае отказа в предоставлении информации Министерство обязано дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Закона N 152-ФЗ или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня получения запроса.

6.4. При обращении субъекта персональных данных Министерство в срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, обязана внести в них необходимые изменения.

6.5. При обращении субъекта персональных данных Министерство в срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, обязана уничтожить такие персональные данные.

6.6. Министерство обязано уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

6.7. Министерство обязано сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати календарных дней с даты получения такого запроса.

7. Меры, направленные на обеспечение безопасности персональных данных

7.1. Министерством принимаются меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом N 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами.

7.2. Обеспечение безопасности достигается применением мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом N 152-ФЗ, а именно:

- определяются угрозы безопасности персональных данных, при их обработке в информационных системах персональных данных;

- применяются правовые, организационные и технические меры по обеспечению безопасности персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;

- производится оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационных систем персональных данных;

- производится учет машинных носителей персональных данных;

- производится восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- обеспечивается сохранность носителей персональных данных;

- устанавливаются правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивается регистрация и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;

- осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных;

- назначается ответственный за организацию обработки персональных данных;

- издаются документы, определяющие политику в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений; осуществляется внутренний контроль соответствия обработки персональных данных Закону N 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Министерства в отношении обработки персональных данных, а также локальным актам оператора;

- производится оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона N 152-ФЗ, определяется соотношение вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, "О персональных данных"; сотрудники (работники) Министерства, непосредственно осуществляющие обработку персональных данных, ознакомляются с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Министерства в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, а также проходят обучение.

7.3. Министерство опубликовывает и обеспечивает неограниченный доступ к документу, определяющему политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.