Приказ Министерства агропромышленного комплекса и потребительского рынка Свердловской области от 5 октября 2023 г. N 616 "Об утверждении Политики в отношении обработки персональных данных в Министерстве агропромышленного комплекса и потребительского рынка Свердловской области"

В соответствии со статьей 18.1 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных", постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации" приказываю:

1. Утвердить Политику в отношении обработки персональных данных в Министерстве агропромышленного комплекса и потребительского рынка Свердловской области (прилагается).

2. Заместителю Министра агропромышленного комплекса и потребительского рынка Свердловской области С.В. Островской организовать ознакомление сотрудников Министерства агропромышленного комплекса и потребительского рынка Свердловской области, непосредственно осуществляющих обработку персональных данных в Министерстве агропромышленного комплекса и потребительского рынка Свердловской области, с настоящим приказом.

3. Отделу государственной гражданской службы, кадровой и организационной работы Министерства агропромышленного комплекса и потребительского рынка Свердловской области (Т.А. Сандакова) разместить настоящий приказ на официальном сайте Министерства в информационно-телекоммуникационной сети "Интернет".

4. Настоящий приказ вступает в силу со дня его принятия.

5. Контроль за исполнением настоящего приказа возложить на Заместителя Министра агропромышленного комплекса и потребительского рынка Свердловской области С.В. Островскую.

Исполняющий обязанности Министра

С.В. Шарапов

Утверждена
приказом Министерства
агропромышленного комплекса
и потребительского рынка
Свердловской области
от 5 октября 2023 г. N 616
"Об утверждении Политики
в отношении обработки
персональных данных
в Министерстве
агропромышленного комплекса
и потребительского рынка
Свердловской области"

Политика
в отношении обработки персональных данных в Министерстве агропромышленного комплекса и потребительского рынка Свердловской области

Глава 1. Общие положения

1. Настоящая политика в отношении обработки персональных данных в Министерстве агропромышленного комплекса и потребительского рынка Свердловской области разработана в соответствии с Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных" и законодательством Российской Федерации в области обработки и защиты персональных данных.

2. Настоящая политика раскрывает основные принципы и правила, используемые в Министерстве агропромышленного комплекса и потребительского рынка Свердловской области (далее - Министерство) при обработке персональных данных, в том числе определяет цели, правовые основания, условия и способы такой обработки, категории субъектов персональных данных, персональные данные которых обрабатываются в Министерстве.

3. Настоящая политика обязательна для исполнения сотрудниками Министерства, непосредственно осуществляющими обработку персональных данных в Министерстве. Нарушение порядка обработки персональных данных, определенного настоящей политикой, влечет ответственность в соответствии с законодательством Российской Федерации.

4. Персональные данные, обрабатываемые в Министерстве, являются сведениями ограниченного распространения.

Глава 2. Правовое основание обработки персональных данных

5. Правовым основанием обработки персональных данных является совокупность правовых актов, в соответствии с которыми Министерство осуществляет обработку персональных данных:

Конституция Российской Федерации;

Трудовой кодекс Российской Федерации, принят Федеральным законом от 30 декабря 2001 года N 197-ФЗ;

Федеральный закон от 27 июля 2004 года N 79-ФЗ "О государственной гражданской службе Российской Федерации";

Федеральный закон от 2 мая 2006 года N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации";

Федеральный закон от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

Федеральный закон от 27 июля 2006 года N 152-ФЗ "О персональных данных";

Указ Президента Российской Федерации от 30 мая 2005 года N 609 "Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела";

Указ Президента Российской Федерации от 07 сентября 2010 года N 1099 "О мерах по совершенствованию государственной наградной системы Российской Федерации";

постановление Правительства Российской Федерации от 06.07.2008 N 512 "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных";

постановление Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации";

постановление Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами";

постановление Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

Областной закон от 19 апреля 1999 года N 5-ОЗ "О наградах, почетных званиях Свердловской области и наградах высших органов государственной власти Свердловской области";

Указ Губернатора Свердловской области от 09 января 2018 года N 9-УГ "Об утверждении Порядка возбуждения ходатайств о награждении знаками отличия Свердловской области и ходатайств о присвоении почетных званий Свердловской области и Порядка внесения, согласования и рассмотрения представлений к награждению знаками отличия Свердловской области и представлений к присвоению почетных званий Свердловской области";

распоряжение Губернатора Свердловской области от 25.08.2020 N 165-РГ "Об утверждении Перечня сведений ограниченного распространения Правительства Свердловской области, Аппарата Губернатора Свердловской области и Правительства Свердловской области, областных и территориальных исполнительных органов государственной власти Свердловской области и Порядка обращения с информацией, содержащей сведения ограниченного распространения, в Правительстве Свердловской области, Аппарате Губернатора Свердловской области и Правительства Свердловской области, областных и территориальных исполнительных органах государственной власти Свердловской области".

Глава 3. Основные понятия и определения

6. В настоящей политике используются следующие основные понятия и определения:

1) автоматизированная обработка ПДн - обработка персональных данных с помощью средств вычислительной техники;

2) блокирование ПДн - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

3) доступ к ПДн - возможность получения персональных данных и их использования;

4) запись ПДн - ввод персональных данных в ЭВМ и (или) фиксация персональных данных на материальном носителе;

5) извлечение ПДн - действия, направленные на построение структурированных персональных данных из неструктурированных или слабоструктурированных машиночитаемых документов;

6) изменение ПДн - действия, направленные на модификацию значений персональных данных;

7) информационная система ПДн - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

8) использование ПДн - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц, либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;

9) материальный носитель информации (носитель документированной информации) - материальный объект, используемый для закрепления и хранения на нем речевой, звуковой или изобразительной информации, в том числе в преобразованном виде;

10) накопление ПДн - действия, направленные на формирование исходного, несистематизированного массива персональных данных;

11) неавтоматизированная обработка ПДн - обработка персональных данных без использования средств вычислительной техники. Обработка персональных данных, содержащихся в информационной системе персональных данных (далее - ИСПДн), либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека;

12) обезличивание ПДн - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

13) обработка ПДн - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

14) обновление ПДн - действия, направленные на приведение записанных персональных данных в соответствие с состоянием отображаемых объектов предметной области;

15) общедоступные источники персональных данных - содержащиеся в информационных системах или зафиксированные на материальных носителях персональные данные, доступ неограниченного круга лиц к которым предоставлен с письменного согласия субъекта этих персональных данных;

16) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В настоящей политике оператором является Министерство;

17) передача ПДн - распространение, предоставление или доступ к персональным данным;

18) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

19) предоставление ПДн - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

20) раскрытие ПДн - обеспечение доступа к персональным данным неограниченного круга лиц независимо от цели получения указанных персональных данных;

21) распространение ПДн - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

22) сбор ПДн - действия, направленные на получение оператором персональных данных от субъектов этих данных;

23) систематизация ПДн - действия, направленные на объединение и расположение персональных данных в определенной последовательности;

24) трансграничная передача ПДн - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;

25) удаление ПДн - изъятие персональных данных из информационных систем с сохранением последующей возможности их восстановления;

26) уничтожение ПДн - действия, в результате которых становится невозможным восстановить содержание персональных данных в ИСПДн и (или) в результате которых уничтожаются материальные носители персональных данных;

27) уточнение ПДн - действия, направленные на обновление или изменение персональных данных;

28) хранение ПДн - процесс передачи персональных данных во времени, связанный с обеспечением неизменности состояний материального носителя персональных данных.

Глава 4. Права и обязанности оператора

7. Оператор вправе:

1) отстаивать свои интересы в суде;

2) отказывать в предоставлении ПДн в случаях, предусмотренных законодательством Российской Федерации в области обработки и защиты персональных данных;

3) обрабатывать персональные данные субъекта персональных данных без его согласия, в случаях, предусмотренных законодательством Российской Федерации в области обработки и защиты персональных данных;

4) поручать обработку ПДн другим лицам в соответствии с законодательством Российской Федерации в области обработки и защиты персональных данных.

8. Оператор обязан:

1) предоставлять субъекту персональных данных или его представителю информацию о его персональных данных в случаях, предусмотренных законодательством Российской Федерации в области обработки и защиты персональных данных;

2) осуществлять меры по обеспечению безопасности персональных данных при их обработке в соответствии с законодательством Российской Федерации в области обработки и защиты персональных данных;

3) устранять нарушения законодательства Российской Федерации, допущенные при обработке ПДн;

4) выполнять требования уполномоченного органа по защите прав субъектов персональных данных и законодательства Российской Федерации в области обработки и защиты персональных данных.

Глава 5. Права и обязанности субъекта персональных данных

9. Субъект персональных данных вправе:

1) требовать уточнения своих персональных данных, их блокирования или уничтожения, в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

2) запрашивать информацию о своих персональных данных, обрабатываемых оператором;

3) отзывать свое согласие на обработку персональных данных;

4) обжаловать действия или бездействие оператора в отношении обработки его персональных данных.

10. Субъект персональных данных обязан:

1) представлять полные, достоверные персональные данные, необходимые для достижения целей обработки, а также подтверждать их достоверность предоставлением оригиналов документов;

2) при изменении персональных данных, необходимых для достижения целей обработки ПДн, предоставить актуальные персональные данные, а также подтвердить их достоверность представлением оригиналов документов;

3) соблюдать требования законодательства Российской Федерации в области обработки и защиты персональных данных.

Глава 6. Цели, правовые основания и категории обрабатываемых персональных данных

11. Оператор обрабатывает персональные данные следующих субъектов персональных данных:

Наименование субъекта персональных данных	Цель обработки персональных данных	Правовые основания обработки персональных данных	Категория обрабатываемых персональных данных
Сотрудники; субъекты персональных данных, не являющиеся сотрудниками	учет самоходных машин и других видов техники; выдача, обмен удостоверений тракториста-машиниста; формирование сведений для ИФНС и военных комиссариатов; поиск в информационной базе по любым имеющимся данным; формирование отчетов, журналов, реестров по основному виду деятельности; печать на бланках спецпродукции; учет результатов проведения государственного технического осмотра	Приказ Министерства сельского хозяйства и продовольствия Свердловской области от 23.09.2011 N 297	Иные

Глава 7. Порядок и условия обработки персональных данных

12. Оператор осуществляет обработку персональных данных с использованием средств автоматизации или без использования таких средств и осуществляет следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

13. Передача персональных данных третьим лицам допускается:

1) при наличии действующего согласия субъекта персональных данных на обработку персональных данных для выполнения заявленных целей обработки персональных данных;

2) при наличии законных оснований.

Трансграничная передача персональных данных оператором не осуществляется.

Сроки обработки персональных данных определены в согласии субъекта персональных данных, а при наличии законных оснований - соответствующим правовым актом.

Глава 8. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

14. Актуализация, исправление, удаление и уничтожение персональных данных осуществляется при непосредственном обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя, либо уполномоченного органа по защите прав субъектов персональных данных.

15. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку, персональные данные подлежат уничтожению, если:

1) иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;

2) оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом "О персональных данных" или иными федеральными законами;

3) иное не предусмотрено иным соглашением между оператором и субъектом персональных данных.

16. Реагирование на запросы и обращения субъектов персональных данных и их представителей, уполномоченного органа по защите прав субъектов персональных данных по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным приведено в регламенте. Ответственный за организацию обработки персональных данных или иное лицо, назначенное оператором, осуществляет прием и обработку обращений и запросов субъектов персональных данных или их представителей в соответствующем журнале.

Глава 9. Обеспечение безопасности персональных данных

17. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации в области обработки и защиты персональных данных.

18. Оператор при обработке ПДн принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности персональных данных достигается, но не ограничивается, следующими способами:

1) назначением ответственного за организацию обработки персональных данных;

2) осуществлением внутреннего контроля и аудита соответствия обработки персональных данных Федеральному закону от 27 июля 2006 года N 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, локальным актам оператора;

3) оценкой вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных";

4) ознакомлением сотрудников оператора, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации в области обработки и защиты персональных данных, в том числе с требованиями к защите персональных данных, локальными актами по вопросам обработки ПДн и обучением указанных сотрудников;

5) определением угроз безопасности персональных данных при их обработке в ИСПДн;

6) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн, необходимых для выполнения требований к защите персональных данных, установленных законодательством Российской Федерации в области обработки и защиты персональных данных;

7) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации в случаях, предусмотренных законодательством Российской Федерации в области обработки и защиты персональных данных;

8) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию ИСПДн;

9) учетом машинных носителей персональных данных;

10) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;

11) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

12) установлением правил доступа к персональным данным, обрабатываемым в ИСПДн, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в ИСПДн;

13) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности ИСПДн;

14) применением иных мер в зависимости от актуальных угроз безопасности информации, установленного уровня (класса) защищенности ИСПДн.