Приложение N 1. Правила обработки персональных данных в министерстве образования и науки Калужской области

Приложение N 1
к Приказу
Министерства
образования и науки
Калужской области
от 30 сентября 2016 г. N 1603

Правила
обработки персональных данных в министерстве образования и науки
Калужской области

1. Общие положения

1.1. Правила обработки персональных данных в министерстве образования и науки Калужской области (далее - Правила) устанавливают процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяют для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категорий субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований.

1.2. Правила разработаны в соответствии с Федеральными законами от 27.07.2004 N 79-ФЗ "О государственной гражданской службе Российской Федерации", от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Федеральный закон), от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации", от 02.05.2006 N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации", с Указом Президента Российской Федерации от 30.05.2005 N 609 "Об утверждении положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела", постановлениями Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации".

1.3. В рамках настоящих Правил оператором персональных данных является министерство образования и науки Калужской области (далее - министерство).

1.4. Обработка персональных данных в министерстве осуществляется с соблюдением принципов и условий, предусмотренных настоящими Правилами и законодательством Российской Федерации в области персональных данных.

1.5. Термины и понятия, используемые в настоящих Правилах, применяются в значениях, определенных статьей 3 Федерального закона.

2. Цели и основание обработки персональных данных

2.1. Обработка персональных данных осуществляется в целях реализации функций и осуществления полномочий, возложенных на министерство в случаях, установленных Федеральным законом.

2.2. Перечень персональных данных, обрабатываемых в министерстве без использования средств автоматизации и в информационных системах персональных данных, утверждается приказом министерства на основании перечня персональных данных, обрабатываемых в министерстве в связи с реализацией трудовых (служебных) отношений, а также в связи с осуществлением государственной функции.

3. Категории субъектов, персональные данные которых обрабатываются в министерстве

3.1. В министерстве обрабатываются персональные данные следующих категорий субъектов персональных данных:

1) государственные гражданские служащие министерства и работники, состоящие в трудовых отношениях с министерством, лица, занимающие должности руководителей подведомственных министерству учреждений (далее - сотрудники);

2) члены семей (супруг, супруга, несовершеннолетние дети) государственных гражданских служащих министерства и лиц, занимающих должности руководителей подведомственным министерству учреждений;

3) граждане, претендующие на замещение должностей в министерстве, в том числе находящиеся в кадровом резерве, граждане, претендующие на замещение должностей руководителей подведомственных министерству учреждений (далее - претенденты);

4) физические лица, состоящие в гражданско-правовых отношениях с министерством;

5) кандидаты на награждение;

6) физические лица (субъекты), обращающиеся в министерство с предложениями, заявлениями и жалобами, а также с устными обращениями, требующими рассмотрения и ответа в установленном порядке;

7) физические лица (субъекты), обращающиеся в министерство за предоставлением государственных услуг

4. Порядок обработки персональных данных

4.1. Персональные данные лиц, указанных в первой и третьей частях пункта 3.1 Правил, обрабатываются в целях обеспечения кадровой работы, в том числе в целях содействия сотрудникам в прохождении государственной службы, выполнении работы, в целях формирования кадрового резерва государственной гражданской службы, обучения и должностного роста, учета результатов исполнения сотрудниками должностных обязанностей, обеспечения личной безопасности сотрудников и членов их семей, обеспечения сотрудниками установленных законодательством Российской Федерации условий труда, гарантий и компенсаций, сохранности принадлежащего им имущества, а также в целях противодействия коррупции.

4.2. Обработка персональных данных сотрудников, а также претендентов осуществляется без согласия указанных лиц в рамках целей, определенных пунктом 4.1 настоящих Правил, в соответствии с Трудовым кодексом Российской Федерации, пунктом 2 части 1 статьи 6 и частью 2 статьи 11 Федерального закона и положениями Федеральных законов от 27.05.2003 N 58-ФЗ "О системе государственной службы Российской Федерации", от 27.07.2004 N 79-ФЗ "О государственной гражданской службе Российской Федерации", от 25.12.2008 N 273-ФЗ "О противодействии коррупции".

4.3. Обработка специальных категорий персональных данных сотрудников, а также претендентов осуществляется без согласия указанных лиц в рамках целей, определенных пунктом 4.1 настоящих Правил, в соответствии с положениями Трудового кодекса Российской Федерации, с подпунктом 2.3 пункта 2 части 2 статьи 10 Федерального закона, за исключением случаев получения персональных данных работника у третьей стороны (в соответствии с пунктом 3 статьи 86 Трудового кодекса Российской Федерации требуется письменное согласие руководителей подведомственных министерству учреждений и граждан, претендующих на замещение должностей).

4.4. Обработка персональных данных сотрудников, а также претендентов осуществляется при условии получения согласия указанных лиц в следующих случаях:

- при передаче (распространении, предоставлении) персональных данных третьим лицам в случаях, не предусмотренных действующим законодательством Российской Федерации о государственной гражданской службе;

- при принятии решений, порождающих юридические последствия в отношении указанных лиц или иным образом затрагивающих их права и законные интересы, на основании исключительно автоматизированной обработки их персональных данных.

В указанных случаях согласие субъекта персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом.

Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.

Письменное согласие субъекта на обработку персональных данных получает главный специалист отдела кадрового и организационно-правового регулирования системы образования по форме, утвержденной приказом министерства.

4.5. Обработка персональных данных сотрудников, а также претендентов осуществляется уполномоченными структурными подразделениями министерства и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), удаление, уничтожение персональных данных.

4.6. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных сотрудников, а также претендентов осуществляется путем:

- получения оригиналов необходимых документов;

- получения копий документов;

- внесения сведений в учетные формы (на бумажных и электронных носителях);

- формирования персональных данных в ходе кадровой работы;

- внесения персональных данных в информационные системы министерства, используемые уполномоченными сотрудниками министерства.

4.7. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных непосредственно от сотрудников, а также претендентов.

4.8. В случае возникновения необходимости получения персональных данных сотрудников у третьей стороны следует известить об этом работника заранее, получить его письменное согласие и сообщить ему о целях, предполагаемых источниках и способах получения персональных данных.

4.9. Запрещается получать, обрабатывать и приобщать к личному делу сотрудника персональные данные, не предусмотренные перечнем персональных данных, обрабатываемых в министерстве, утвержденным приказом, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

4.10. Главный специалист отдела кадрового и организационно-правового регулирования системы образования министерства, осуществляющий сбор (получение) персональных данных непосредственно от сотрудников, а также претендентов, обязан разъяснить указанным субъектам персональных данных юридические последствия отказа предоставить их персональные данные согласно типовой форме, прилагаемой к настоящим Правилам.

4.11. Передача (распространение, представление) и использование персональных данных сотрудников, а также претендентов осуществляется лишь в случаях и в порядке, предусмотренных федеральными законами.

5. Условия и порядок обработки персональных данных субъектов в связи с предоставлением государственных услуг и исполнением государственных функций

5.1. В министерстве обработка персональных данных физических лиц может осуществляться в связи с предоставлением государственных услуг и исполнением государственных функций.

5.2. Персональные данные граждан, обратившихся в министерство лично, а также направивших индивидуальные или коллективные письменные обращения или обращения в форме электронного документа, обрабатываются в целях рассмотрения указанных обращений с последующим уведомлением заявителей о результатах рассмотрения.

В соответствии с законодательством Российской Федерации в министерстве подлежат рассмотрению обращения граждан Российской Федерации, иностранных граждан и лиц без гражданства.

5.3. Обработка персональных данных, необходимых в связи с предоставлением государственных услуг и исполнением государственных функций, осуществляется без согласия субъектов персональных данных в соответствии с пунктом 4 части 1 статьи 6 Федерального закона, Федеральным законом "О порядке рассмотрения обращений граждан Российской Федерации", и иными нормативными правовыми актами, определяющими исполнение государственных функций в установленной сфере ведения министерства.

5.4. Обработка персональных данных, необходимых в связи с предоставлением государственных услуг и исполнением государственных функций, осуществляется уполномоченными сотрудниками структурных подразделений министерства, предоставляющими соответствующие государственные услуги и (или) исполняющими государственные функции, и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), удаление, уничтожение персональных данных.

5.5. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных субъектов, обратившихся в министерство в связи с предоставлением государственных услуг и исполнением государственных функций, осуществляется путем:

- получения оригиналов необходимых документов (заявление);

- получения копий документов;

- внесения сведений в учетные формы (на бумажных и электронных носителях).

5.6. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных непосредственно от субъектов персональных данных (заявителей).

5.7. При предоставлении государственных услуг и исполнении государственных функций запрещается запрашивать у субъектов персональных данных и третьих лиц, а также обрабатывать персональные данные в случаях, не предусмотренных законодательством Российской Федерации.

5.8. При сборе персональных данных уполномоченное должностное лицо структурного подразделения министерства, осуществляющее получение персональных данных непосредственно от субъектов персональных данных, обратившихся в связи с предоставлением государственных услуг и исполнением государственных функций, обязано в письменной форме разъяснить указанным субъектам персональных данных юридические последствия отказа предоставить персональные данные (приложение).

5.9. Передача (распространение, предоставление) и использование персональных данных заявителей (субъектов персональных данных) министерством осуществляется лишь в случаях и в порядке, предусмотренных федеральными законами.

6. Порядок обработки персональных данных субъектов персональных данных в информационных системах

6.1. Сотрудниками министерства, имеющим право осуществлять обработку персональных данных в информационных системах министерства, доступ в систему предоставляется через средства аутентификации при наличии обязательной парольной защиты на автоматизированном рабочем месте. Доступ предоставляется в соответствии с функциями, предусмотренными должностными регламентами (должностными инструкциями) государственных гражданских служащих (работников) министерства.

6.2. Обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных министерства, выполняется путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, а также принятия следующих мер по обеспечению безопасности:

6.2.1. Определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных министерства.

6.2.2. Применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных министерства, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

6.2.3. Применение прошедших в установленном порядке процедур оценки соответствия средств защиты информации.

6.2.4. Оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных.

6.2.5. Учет машинных носителей персональных данных.

6.2.6. Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер.

6.2.7. Восстановление персональных данных, модифицированных или удаленных, уничтоженных вследствие несанкционированного доступа к ним.

6.2.8. Разграничением прав доступа к персональным данным, обрабатываемым в информационных системах персональных данных министерства, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных министерства.

6.2.9. Контроль за принимаемыми мерами по обеспечению безопасности персональных данных.

6.3. В случае выявления нарушений порядка обработки персональных данных уполномоченными должностными лицами незамедлительно принимаются меры по установлению причин нарушений и их устранению.

7. Сроки обработки и хранения персональных данных

7.1. Сроки обработки и хранения персональных данных работников и претендентов определяются в соответствии с законодательством Российской Федерации. С учетом положений законодательства Российской Федерации устанавливаются следующие сроки обработки и хранения персональных данных государственных гражданских служащих и работников:

7.1.1. Документы по личному составу, содержащие персональные данные сотрудников министерства со сроками хранения свыше 10 лет, подлежат хранению в отделе по общим вопросам и финансово-экономическом отделе министерства в течение 10 лет с последующим формированием и передачей указанных документов в государственный архив в порядке, предусмотренном законодательством Российской Федерации, где хранятся в течение сроков, установленных Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения, утвержденным приказом Министерства культуры Российской Федерации от 25.08.2010 N 558.

7.1.2. Документы, содержащие персональные данные сотрудников министерства со сроками хранения менее 10 лет, подлежат хранению в отделе по общим вопросам и финансово-экономическом отделе министерства в течение сроков, установленных Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения, утвержденным приказом Министерства культуры Российской Федерации от 25.08.2010 N 558, с последующим уничтожением.

7.1.3. Документы, содержащие персональные данные претендентов на замещение вакантной должности государственной гражданской службы в министерстве, хранятся в отделе по общим вопросам министерства в течение 3 лет со дня завершения конкурса с последующим уничтожением.

7.2. Сроки обработки и хранения персональных данных, предоставляемых субъектами персональных данных в министерство в связи с предоставлением государственных услуг и исполнением государственных функций, определяются нормативными правовыми актами, регламентирующими порядок их сбора и обработки.

7.3. Персональные данные граждан, обратившихся в министерство лично, а также направивших индивидуальные или коллективные письменные обращения или обращения в форме электронного документа, хранятся в течение пяти лет с последующим уничтожением.

7.4. Персональные данные, предоставляемые субъектами на бумажном носителе в связи с исполнением государственных функций, хранятся на бумажных носителях в структурных подразделениях министерства, к полномочиям которых относится обработка персональных данных в связи с исполнением государственной функции, в соответствии с утвержденными положениями о соответствующих структурных подразделениях министерства.

7.5. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на разных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).

7.6. Необходимо обеспечивать раздельное хранение персональных данных на разных материальных носителях, обработка которых осуществляется в различных целях, определенных настоящими Правилами.

7.7. Контроль за хранением и использованием материальных носителей персональных данных, не допускающий несанкционированное использование, уточнение, распространение и уничтожение персональных данных, находящихся на этих носителях, осуществляют руководители уполномоченных структурных подразделений министерства.

8. Уничтожение персональных данных

8.1. Уничтожение документов, содержащих персональные данные (в соответствии с законодательством и по мере необходимости) осуществляется комиссией по уничтожению документов, содержащих персональные данные.

8.2. Состав и порядок деятельности комиссии определяется приказом министерства. По факту уничтожения документов, содержащих персональные данные, составляется акт о выделении к уничтожению документов (дел), не подлежащих дальнейшему хранению.

8.3. Уничтожение по окончании срока обработки персональных данных на электронных носителях производится путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.