Приложение N 6. Правила обработки персональных данных в Министерстве энергетики и жилищно-коммунального комплекса Омской области

Приложение N 6
к распоряжению Министерства
энергетики и жилищно-коммунального
комплекса Омской области
от 20 ноября 2023 г. N 65-п

Правила
обработки персональных данных в Министерстве энергетики и жилищно-коммунального комплекса Омской области

1. Общие положения

1. Настоящие Правила устанавливают процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяют для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований в Министерстве энергетики и жилищно-коммунального комплекса Омской области (далее - Министерство).

2. Процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных

2. В Министерстве используются следующие процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных:

1) назначение лиц, ответственных за организацию обработки персональных данных;

2) ознакомление государственных гражданских служащих Омской области, работников, замещающих должности, не являющихся должностями государственной гражданской службы Омской области в Министерстве, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации в сфере персональных данных, в том числе требованиями к защите персональных данных, с правовыми актами Министерства по вопросам обработки персональных данных, и (или) соответствующее обучение указанных лиц;

3) осуществление внутреннего контроля принимаемых мер по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных Федеральному закону N 152-ФЗ от 27 июля 2006 года "О персональных данных" (далее - Федеральный закон "О персональных данных") и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, правовым актам Министерства;

4) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии с законодательством;

5) издание документов, определяющих политику в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных в соответствии с "Перечнем мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", утвержденным постановлением Правительства Российской Федерации от 21 марта 2012 года N 211;

6) оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом.

3. Цели обработки персональных данных, содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются

3. Цели обработки персональных данных в Министерстве:

1) выполнение требований законодательства Российской Федерации по вопросам:

- трудовых отношений;

- поступления и прохождения государственной гражданской службы Омской области;

- рассмотрения обращений граждан Российской Федерации;

- награждения государственными наградами Российской Федерации, государственными наградами Омской области, наградами высших органов государственной власти Омской области, присвоения почетных званий Омской области и поощрения благодарственным письмом Губернатора Омской области;

- содействия студентам в прохождении практики в Министерстве.

2) осуществление государственных функций.

4. К категориям субъектов, персональные данные которых обрабатываются в Министерстве, относятся:

- лица, являющиеся работниками Министерства (лица, замещающие должности государственной гражданской службы Омской области и работники, замещающие должности, не относящиеся к должностям государственной гражданской службы Омской области);

- лица, являющиеся близкими родственниками государственных гражданских служащих Омской области Министерства (отец, мать, братья, сестры и дети, а также супруга (супруг) в том числе бывшая (бывший), супруги братьев и сестер, братья и сестры супругов);

- лица, претендующие или состоящие в кадровом резерве и (или) резерве управленческих кадров;

- лица, обратившиеся в Министерство с ходатайством, обращением, заявлением или жалобой;

- лица, представленные к государственным наградам Российской Федерации, государственным наградам Омской области, наградам высших органов государственной власти Омской области, почетным званиям Омской области и благодарственному письму Губернатора Омской области, ведомственным наградам Министерства;

- лица, проходящие практику в Министерстве (учебная, производственные, преддипломная);

- лица, приглашенные для участия в комиссиях и заседаниях.

5. Министерство обеспечивает точность персональных данных, их достаточность и актуальность и принимает необходимые меры по уточнению неполных или неточных персональных данных.

6. В Министерстве для каждой цели обработки персональных данных определено содержание обрабатываемых персональных данных в соответствии с приложениями N 1 - 5 к настоящему приказу.

4. Сроки обработки и хранения персональных данных

7. Сроки обработки и хранения персональных данных субъектов персональных данных определяются в соответствии с законодательством Российской Федерации.

8. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5. Требования к обращению с материальными носителями персональных данных, их учет и хранение

9. Требования к подготовке, оформлению, обработке, прохождению (согласованию), регистрации и хранению бумажных носителей персональных данных определяются нормативными документами Министерства, устанавливающими порядок ведения делопроизводства, с учетом положений, предусмотренных настоящими Правилами.

10. Персональные данные субъектов персональных данных хранятся на бумажных носителях в соответствии с номенклатурой дел и в электронном виде (в элементах государственных информационных систем, на ПЭВМ, а также на съемных магнитных, оптических и других цифровых носителях), с соблюдением условий, обеспечивающих их защиту от несанкционированного доступа.

11. Черновики и рабочие варианты документов, содержащих персональные данные, уничтожаются исполнителем без возможности восстановления.

12. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним. Хранение материальных носителей должно осуществляться в помещениях, находящихся в контролируемой зоне.

13. Копирование и печатание документов, содержащих персональные данные, должно осуществляться в порядке, исключающем возможность нарушения конфиденциальности персональных данных.

14. При изъятии из дел или перемещении из одного дела в другое документов, содержащих персональные данные, производится соответствующая отметка во внутренней описи дела, в которой указывается новое местонахождение документа.

При необходимости вместо изъятых документов в дело могут быть подшиты их заверенные копии.

15. Машинные носители учитываются в журнале учета машинных носителей персональных данных.

16. Все находящиеся на хранении и в обращении съемные машинные носители информации, используемые для хранения информации вне ПЭВМ (флэш-накопители, внешние жесткие диски, CD-диски и иные устройства) (далее - СНИ) с персональными данными подлежат учету. Каждый СНИ, предназначенный для работы с персональными данными, должен иметь этикетку, на которой указывается его регистрационный номер, условное или сокращенное название подразделения.

17. Запрещается:

хранить СНИ, содержащие персональные данные, на рабочих местах ненадлежащим образом или передавать на хранение другим лицам;

выносить СНИ, содержащие персональные данные, из рабочих помещений без служебной необходимости.

6. Порядок уничтожения персональных данных

18. Персональные данные субъектов подлежат уничтожению в порядке и случаях, предусмотренных законодательством Российской Федерации в сфере персональных данных и правовыми актами Министерства.

19. Обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации в сфере персональных данных.

20. В случае достижения цели обработки персональных данных Министерство обязано прекратить обработку персональных данных или обеспечить ее прекращение (в случае обработки персональных данных другим лицом, действующим по поручению оператора - Министерства) и уничтожить персональные данные или обеспечить их уничтожение (в случае обработки персональных данных другим лицом, действующим по поручению оператора - Министерства) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных, либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом "О персональных данных" или другими федеральными законами.

21. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Министерство обязано прекратить их обработку или обеспечить прекращение такой обработки (в случае обработки персональных данных другим лицом, действующим по поручению оператора - Министерства) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (в случае обработки персональных данных другим лицом, действующим по поручению оператора - Министерства) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом "О персональных данных" или другими федеральными законами.

22. Действие согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления в адрес Министерства требования субъекта персональных данных. В течение трех рабочих дней с момента получения требования субъекта персональных данных обработка будет прекращена Министерством. Требование должно быть направлено Министерству и включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению.

23. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Министерство обязано уничтожить такие персональные данные.

24. В случае выявления неправомерной обработки персональных данных, осуществляемой Министерством или лицом, действующим по поручению оператора - Министерства, Министерство в срок, не превышающий трех рабочих дней с даты этого выявления, обязано прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора - Министерства. В случае, если обеспечить правомерность обработки персональных данных невозможно, Министерство в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязано уничтожить такие персональные данные или обеспечить их уничтожение.

25. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Министерство обязано уведомить уполномоченный орган по защите прав субъектов персональных данных в соответствии с частью 3.1 статьи 21 Федерального закона "О персональных данных".

26. В случае если обработка персональных данных осуществляется Министерством без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является акт об уничтожении персональных данных.

27. В случае если обработка персональных данных осуществляется Министерством с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее - выгрузка из журнала).

28. Требования к содержанию акта об уничтожении персональных данных и выгрузке из журнала устанавливаются пунктами 3, 4 и 5 Требований к подтверждению уничтожения персональных данных, утвержденных Приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28 октября 2022 г. N 179.

29. Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных.