Приложение N 5. Правила оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"

Приложение N 5
к постановлению администрации
города Дзержинска
Нижегородской области
от 26.02.2024 N 713

Правила
оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"

I. Общие положения

1.1. Настоящие правила оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных" (далее - Правила), разработаны с учетом:

- Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных";

- Приказа Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 27 октября 2022 года N 178 "Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных".

1.2. Целью разработки настоящих Правил является установление общего порядка проведения оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения администрацией города Дзержинска (далее - администрация) Федерального закона "О персональных данных" (далее - оценка вреда).

1.3. В администрации создана Комиссия по внутреннему контролю соответствия обработки персональных данных требованиям к защите персональных данных, в задачи которой входит проведение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных" (далее - Комиссия). Численный и персональный состав Комиссии утверждается постановлением администрации.

1.4. Настоящие Правила подлежат анализу и, при необходимости, пересмотру в случаях изменения законодательства Российской Федерации в отношении обработки персональных данных.

II. Порядок оценки вреда, который может быть причинен субъектам персональных данных, и документирование результатов

2.1. Оценка вреда осуществляется Комиссией в отношении всех категорий субъектов, персональные данные которых обрабатываются в администрации.

2.2. Комиссией в отношении каждой категории субъекта персональных данных на основании приведенных ниже показателей присваивается одна из степеней вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных".

2.3. Высокая степень вреда устанавливается, если в отношении субъекта персональных данных применим хотя бы один из следующих показателей:

- администрация обрабатывает сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются администрацией для установления личности субъекта персональных данных. Исключением является обработка биометрических персональных данных в случаях, установленных федеральными законами, предусматривающими цели, порядок и условия обработки биометрических персональных данных;

- администрация обрабатывает специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, сведений о судимости. Исключением является обработка специальных категорий персональных данных в случаях, установленных федеральными законами, предусматривающими цели, порядок и условия обработки специальных категорий персональных данных;

- администрация обрабатывает персональные данные несовершеннолетних для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является несовершеннолетний, а также для заключения договора по инициативе несовершеннолетнего или договора, по которому несовершеннолетний будет являться выгодоприобретателем или поручителем в случаях, не предусмотренных законодательством Российской Федерации;

- нарушение права субъекта на получение информации, касающейся обработки его персональных данных.

2.4. Средняя степень вреда устанавливается, если в отношении субъекта персональных данных применим хотя бы один из нижеприведенных показателей и не применимы показатели, указанные в пункте 2.3:

- администрация распространяет персональные данные субъектов на официальном сайте в информационно-телекоммуникационной сети "Интернет", т.е. предоставляет персональные данные субъектов персональных данных неограниченному кругу лиц. Исключением является распространение персональных данных в случаях, установленных федеральными законами, предусматривающими цели, порядок и условия распространения персональных данных;

- администрация осуществляет обработку персональных данных в дополнительных целях, отличных от первоначальной цели сбора персональных данных;

- администрация осуществляет деятельность по обработке персональных данных,