Приказ Управления трудовой занятости населения Правительства Еврейской автономной области от 11 июня 2019 г. N 89/19 "Об утверждении внутренних нормативных актов управления трудовой занятости населения правительства Еврейской автономной области по защите информации" (документ утратил силу)

Приказ Управления трудовой занятости населения Правительства Еврейской автономной области
от 11 июня 2019 г. N 89/19
"Об утверждении внутренних нормативных актов управления трудовой занятости населения правительства Еврейской автономной области по защите информации"

В целях исполнения положений Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" и Приказа ФСТЭК России от 11.02.2013 N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах", постановления Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" приказываю:

1. Утвердить прилагаемые:

- Правила обработки персональных данных, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяющие для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований;

- Правила рассмотрения запросов субъектов персональных данных или их представителей;

- Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных;

- Перечень информационных систем персональных данных;

- Перечень персональных данных, обрабатываемых в управлении трудовой занятости населения правительства Еврейской автономной области в связи с оказанием государственных услуг и осуществлением государственных функций;

- Порядок доступа государственных гражданских служащих управления трудовой занятости населения правительства Еврейской автономной области в помещения, в которых ведется обработка персональных данных;

2. Контроль за исполнением настоящего приказа возложить на начальника отдела организации ведения регистра получателей услуг и зашиты информации управления Бовыкина С.В.

3. Настоящий приказ вступает в силу со дня его подписания.

Начальник управления

Т.А. Павленко

УТВЕРЖДЕНЫ

приказом управления трудовой

занятости населения правительства

Еврейской автономной области

от 11.06.2019 N 89/19

Правила
обработки персональных данных, устанавливающие процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяющие цели для каждой обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований

I. Общие положения

1.1. Настоящие Правила обработки персональных данных устанавливают единый порядок обработки персональных данных в управлении трудовой занятости населения правительства Еврейской автономной области.

1.2. Настоящие правила разработаны на основании и в соответствии с требованиями следующих законодательных и нормативных правовых актов Российской Федерации:

- Трудовой кодекс Российской Федерации.

- Федеральный закон от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и защите информации".

- Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных".

- Постановление Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правыми актами, операторами, являющимися государственными или муниципальными органами".

- Постановление Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации".

- Постановление Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".

1.3. Настоящие правила устанавливают и определяют:

- процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных;

- цели обработки персональных данных;

- содержание обрабатываемых персональных данных для каждой цели обработки персональных данных;

- категории субъектов, персональные данные которых обрабатываются;

- сроки обработки и хранения обрабатываемых персональных данных;

- порядок уничтожения обработанных персональных данных при достижении целей обработки или при наступлении иных законных оснований.

1.4. Основные понятия и термины, используемые в настоящих Правилах, применяются в значениях, определенных статьей 3 Федерального закона N 152-ФЗ "О персональных данных".

1.5. Управление трудовой занятости населения правительства Еврейской автономной области (далее - управление или Оператор) является оператором персональных данных, осуществляющим обработку персональных данных работников управления и лиц, не являющихся работниками управления.

1.6. Доступ к Правилам неограничен, так как Правила являются документом, определяющим политику Оператора в отношении обработки персональных данных.

1.7. Правила вступает в силу с момента их утверждения и действуют до замены их новыми Правилами.

II. Процедуры, направленные на выявление и предотвращение нарушений, предусмотренных законодательством Российской Федерации в сфере персональных данных

2.1. Оператор должен соблюдать принципы и условия обработки персональных данных, а также права субъектов персональных данных, определенные в Федеральном законе N 152-ФЗ "О персональных данных".

2.2. Оператор должен принимать меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом N 152-ФЗ "О персональных данных" в частности:

- назначить ответственного за организацию обработки персональных данных в управлении;

- разработать и утвердить документы, определяющие политику Оператора в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;

- применять правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со статьей 19 Федерального закона N 152-ФЗ "О персональных данных";

- осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных Федеральному закону N 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;

- оценивать вред, который может быть причинён субъектам персональным данных в случае нарушения законодательства Российской Федерации и настоящих Правил;

- ознакомить работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных и настоящими Правилами;

- запрещать обработку персональных данных лицами, не допущенными к их обработке.

2.3. Обработка персональных данных должна осуществляется после получения согласия субъекта персональных данных (за исключением случаев, предусмотренных частью 2 статьи 6 Федерального закона N 152-ФЗ "О персональных данных"), при условии выполнения требований к защите персональных данных.

2.4. Безопасность персональных данных при их обработке в информационной системе обеспечивает Оператор.

2.5. При обработке персональных данных необходимо соблюдать следующие требования:

- к работе с персональными данными допускаются только лица, назначенные соответствующим распоряжением начальника управления;

- в целях обеспечения сохранности документов, содержащих персональные данные, все операции по оформлению, формированию, ведению и хранению данной информации должны выполняться работниками управления, осуществляющими данную работу в соответствии со своими должностными обязанностями, зафиксированными в их должностных инструкциях;

- на период обработки защищаемой информации в помещении могут находиться только лица, допущенные в установленном порядке к обрабатываемой информации.

2.6. Особенности обработки персональных данных с использованием средств автоматизации:

- обработка персональных данных с использованием средств автоматизации осуществляется в государственных информационных системах, состав которых должен быть определен в Перечне государственных информационных систем;

- машинные носители персональных данных должны подлежать обязательной регистрации и учету, в соответствии с Приказом управления, регламентирующим порядок учета и хранения носителей персональных данных;

- обработка персональных данных должна осуществляться при условии выполнения требований к защите персональных данных, утвержденных постановлением Правительства от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

- оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Состав и содержание таких мер утвержден приказом ФСТЭК России от 11.02.2013 N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах".

2.7. Особенности обработки персональных данных без использования средств автоматизации:

- персональные данные при их обработке должны обособляться от иной информации, в частности, путем фиксации их на отдельных носителях;

- при фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо несовместимы;

- для обработки различных категорий персональных данных для каждой категории персональных данных должен использоваться отдельный материальный носитель;

- лица, осуществляющие обработку персональных данных, должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами организации;

- требования к типовым формам документов, характер информации в которых предполагает или допускает включение в них персональных данных, изложены в п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства от 15.09.2008 N 687;

- уточнение персональных данных производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

Меры по обеспечению безопасности персональных данных при их обработке, осуществляемой без использования средств автоматизации:

- обработка персональных данных должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ;

- необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;

- при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

III. Цели обработки персональных данных

3.1. Цель обработки персональных данных определяется целями создания и видами деятельности управления, соблюдение действующего законодательства.

3.2. Субъектами, персональные данные которых обрабатываются для указанных целей, являются работники управления, а также лица, не являющиеся работниками управления.

IV. Содержание обрабатываемых персональных данных для каждой цели обработки персональных данных

4.1. Содержание обрабатываемых персональных данных должно определяться целью обработки персональных данных и утверждаться локальным актом Оператора (Перечень персональных данных, обрабатываемых в управления в связи с реализацией трудовых и служебных отношений, а также в связи с оказанием услуг).

4.2. Содержание обрабатываемых персональных данных определяется для каждой цели обработки персональных данных.

V. Категории субъектов, персональные данные которых обрабатываются в управлении:

- работники управления;

- лица, не являющиеся работниками управления.

VI. Сроки обработки и хранения обрабатываемых персональных данных

6.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

6.2. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

6.3. Основания для прекращения обработки персональных данных и сроки их уничтожения определены в частях 3, 4, 5 статьи 21 Федерального закона N 152-ФЗ "О персональных данных".

6.4. Основанием (условием) прекращения обработки персональных данных также является ликвидация управления.

6.5. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в частях 3, 4, 5 статьи 21 Федерального закона N 152-ФЗ "О персональных данных", Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

VII. Порядок уничтожения обработанных персональных данных при достижении целей обработки или при наступлении иных законных оснований

7.1. При уничтожении материальных носителей содержащих персональные данные должно быть исключено ознакомление с ними посторонних лиц, неполное или случайное их уничтожение.

7.2. Уничтожение части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

7.3. Для уничтожения персональных данных Оператор создает комиссию. В состав комиссии включается ответственный за организацию обработки персональных данных. Уничтожение персональных данных производится в присутствии всех членов комиссии.

7.4. После уничтожения материальных носителей членами комиссии подписывается Акт об уничтожении персональных данных и в Журнале учета материальных носителей персональных данных, а также в номенклатурах и описях дел проставляется отметка "Уничтожено, Акт N______ "___" _____________ 201__ г.".

VIII. Ответственность за нарушение требований Правил обработки персональных данных

8.1. Лица, виновные в нарушении требований Правил обработки персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации, в том числе дисциплинарную, административную и уголовную ответственность.

IX. Заключительные положения

9.1. Работники, определенные приказом по управлению, как пользователи, участвующие в обработке персональных данных, должны ознакомиться с настоящими Правилами обработки персональных данных.

9.2. Обязанность доводить до сведения работников Оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных лежит на лице, ответственном за организацию обработки персональных данных (п. 2, часть 4, статья 22.1 Федерального закона N 152-ФЗ "О персональных данных")

УТВЕРЖДЕНЫ

приказом управления трудовой

занятости населения правительства

Еврейской автономной области

от 11.06.2019 N 89/19

Правила
рассмотрения запросов субъектов персональных данных или их представителей, рассмотрения запросов субъектов персональных данных или их представителей

1. Настоящими правилами рассмотрения запросов субъектов персональных данных или их представителей определяются порядок учета (регистрации), рассмотрения запросов субъектов персональных данных или их представителей (далее - запросы).

2. Настоящие правила разработаны в соответствии Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Федеральный закон N 152), Федеральным законом от 2.05.2006 г. N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации", Федеральным законом от 27.07.2004 N 79-ФЗ "О государственной гражданской службе Российской Федерации", Трудовым кодексом Российской Федерации, постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации", постановлением Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных".

3. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных (часть 7 статьи 14 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных"), в том числе содержащей:

- подтверждение факта обработки персональных данных в управлении трудовой занятости населения правительства Еврейской автономной области (далее - управление);

- правовые основания и цели обработки персональных данных;

- цели и применяемые в способы обработки персональных данных;

- наименование и место нахождения в управлении сведений о лицах (за исключением работников управления), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с управлением или на основании федерального закона;

- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

- сроки обработки персональных данных, в том числе сроки их хранения;

- порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;

- информацию об осуществленной или о предполагаемой трансграничной передаче данных;

- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению управления, если обработка поручена или будет поручена такому лицу;

- иные сведения, предусмотренные Федеральным законом или другими федеральными законами.

4. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с частью 8 статьи 14 Федерального закона N 152-ФЗ.

5. Субъект персональных данных вправе требовать от управления уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

6. Сведения, указанные в части 7 статьи 14 Федерального закона N 152-ФЗ должны быть предоставлены субъекту персональных данных в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

7. Сведения, указанные в части 7 статьи 14 Федерального закона N 152-ФЗ, предоставляются субъекту персональных данных или его представителю при обращении либо при получении запроса субъекта персональных данных или его представителя.

8. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с управлением (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных управления, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

9. Рассмотрение запросов является служебной обязанностью начальника управления, заместителей начальника управления и уполномоченных должностных лиц, в чьи обязанности входит обработка персональных данных.

10. Должностные лица управления обеспечивают:

- объективное, всестороннее и своевременное рассмотрения запроса;

- принятие мер, направленных на восстановление или защиту нарушенных прав, свобод и законных интересов субъектов персональных данных;

- направление письменных ответов по существу запроса.

11. Ведение делопроизводства по запросам осуществляется специально назначенным сотрудником управления.

12. Все поступившие запросы регистрируются в день их поступления. На запросе проставляется штамп, в котором указывается входящий номер и дата регистрации.

13. Запрос прочитывается, проверяется на повторность, при необходимости сверяется с находящейся в архиве предыдущей перепиской. В случае, если сведения, указанные в части 7 статьи 14 Федерального закона N 152-ФЗ, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно в Организацию или направить повторный запрос в целях получения сведений, указанных в части 7 статьи 14 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

Субъект персональных данных вправе обратиться повторно в управление или направить повторный запрос в целях получения сведений, указанных в части 7 статьи 14 Федерального закона N 152-ФЗ, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в настоящем пункте, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду с необходимыми сведениями должен содержать обоснование направления повторного запроса.

14. Управление вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным частями 4 и 5 статьи 14 Федерального закона N 152-ФЗ. Такой отказ должен быть мотивированным.

15. Прошедшие регистрацию запросы в тот же день направляются начальнику управления, либо лицу, его заменяющему, который определяет порядок и сроки их рассмотрения, дает по каждому из них письменное указание исполнителям.

16. Начальник управления, его заместители и другие должностные лица при рассмотрении и разрешении запросов обязаны:

- внимательно разобраться в их существе, в случае необходимости истребовать дополнительные материалы или направить сотрудников на места для проверки фактов, изложенных в запросах, принять другие меры для объективного разрешения поставленных заявителями вопросов, выявления и устранения причин и условий, порождающих факты нарушения законодательства о персональных данных;

- принимать по ним законные, обоснованные и мотивированные решения и обеспечивать своевременное и качественное их исполнение;

- сообщать в письменной форме заявителям о решениях, принятых по их запросам, со ссылками на законодательство Российской Федерации, а в случае отклонения запроса - разъяснять также порядок обжалования принятого решения.

17. Управление обязано сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.

18. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя уполномоченные должностные лица управления обязаны дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона N 152-ФЗ или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя, либо с даты получения запроса субъекта персональных данных или его представителя.

19. Управление обязано предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.

20. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, уполномоченные должностные лица управления обязаны внести в них необходимые изменения.

21. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, уполномоченные должностные лица управления обязаны уничтожить такие персональные данные (Приложение 1 к настоящему приказу).

22. Управление обязано уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

23. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных уполномоченные должностные лица управления обязаны осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных с момента такого обращения или получения указанного запроса на период проверки (Приложение 2 к настоящему приказу).

24. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных уполномоченные должностные лица управления обязаны осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

25. В случае подтверждения факта неточности персональных данных уполномоченные должностные лица управления на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязаны уточнить персональные данные в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

26. В случае выявления неправомерной обработки персональных данных уполномоченные должностные лица управления в срок, не превышающий трех рабочих дней с даты этого выявления, обязаны прекратить неправомерную обработку персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, уполномоченные должностные лица управления в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязаны уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных уполномоченные лица обязаны уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

27. Для проверки фактов, изложенных в запросах, при необходимости организуются служебные проверки в соответствии с законодательством Российской Федерации.

28. По результатам служебной проверки составляется мотивированное заключение, которое должно содержать объективный анализ собранных материалов. Если при проверке выявлены факты совершения государственным служащим управления действия (бездействия), содержащего признаки административного правонарушения или состава преступления информация передается незамедлительно в правоохранительные органы. Результаты служебной проверки докладываются начальнику управления.

29. Запрос считается исполненным, если рассмотрены все поставленные в нем вопросы, приняты необходимые меры и даны исчерпывающие ответы заявителю.

30. Ответы на запросы печатаются на бланке установленной формы и регистрируются за теми же номерами, что и запросы.

31. Начальник управления осуществляет непосредственный контроль за соблюдением установленного законодательством и настоящими Правилами порядка рассмотрения запросов.

32. Начальник управления осуществляет контроль за работой с запросами и организацией их приема как лично, так и через своих заместителей. На контроль берутся все запросы.

33. При осуществлении контроля обращается внимание на сроки исполнения поручений по запросам и полноту рассмотрения поставленных вопросов, объективность проверки фактов, изложенных в запросах, законность и обоснованность принятых по ним решений, своевременность их исполнения и направления ответов заявителям.

34. Нарушение установленного порядка рассмотрения запросов влечет ответственность в соответствии с законодательством Российской Федерации.

Приложение 1

Акт
об уничтожении персональных данных

Комиссия, наделенная полномочиями приказом управления трудовой занятости населения правительства Еврейской автономной области от _______________ N_______, в составе:

	ФИО	Должность
Председатель
Члены комиссии

провела отбор носителей персональных данных и установила, что информация, записанная на них в процессе эксплуатации, подлежит гарантированному уничтожению:

N п/п	Дата	Тип носителя	Регистрационный номер носителя ПДн	Примечание

Всего съемных носителей __________________________________

                                     (цифрами и прописью)

На указанных носителях персональные данные уничтожены путем

________________________________________________________.

                   (способы уничтожения информации)

Перечисленные носители ПДн уничтожены путем

________________________________________________________.

        (разрезания, сжигания, механического уничтожения, сдачи

           предприятию по утилизации вторичного сырья и т.п.)

Председатель комиссии: _________________ / _______________ /

Члены комиссии: _________________ / ______________________ /

_________________ / ______________________ /

Приложение 2

                                       ________________________________

                                                   (Ф.И.О.)

                                       от _____________________________

Уведомление N________

Согласно запросу N______ от _________ на ___________________

                               (дата запроса) (блокирование/удаление)

персональных данных было произведено __________________________

                                         (блокирование/удаление)

Ваших персональных данных:

_____________________________________________________________

                       (Ф.И.О. при наличии)

проживающего ________________________________________________

_____________________________________________________________

паспорт сер. __________ N ______________ _______________________

_____________________________________________________________

_____________________________________________________________

                     (кем выдан, дата выдачи)

___________________ _______________________

             (дата)                (подпись)

УТВЕРЖДЕНО

Приказом управления трудовой

занятости населения правительства

Еврейской автономной области

от 11.06.2019 N 89/19

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в управлении трудовой занятости населения правительства Еврейской автономной области

1. Общие положения

1.1. Настоящие правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных (далее - Правила) в управлении трудовой занятости населения правительства Еврейской автономной области (далее - управление), определяют процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных (далее - ПДн); основания, порядок, формы и методы проведения внутреннего контроля соответствия обработки ПДн, необходимой для предоставления государственных и муниципальных услуг, требованиям к защите ПДн.

1.2. Настоящие правила разработаны на основании Федерального закона РФ от 27.07.2006 N 152-ФЗ "О персональных данных", Федерального закона РФ от 27.07.2010 N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг" и в соответствии с частью 1 "Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", утвержденных постановлением Правительства РФ от 21.03.2012 N 211.

1.3. Для обработки ПДн, необходимых для предоставления государственных услуг, используется государственная информационная система (далее - ГИС) "Катарсис", предназначенная для осуществления деятельности управления, согласно Положения об управлении трудовой занятости населения правительства Еврейской автономной области, утвержденного постановлением Правительства Еврейской автономной области от 20.03.2018 N 84-пп.

1.4. Пользователем ГИС (далее - пользователь) является сотрудник управления, участвующий в рамках выполнения своих должностных обязанностей в процессах автоматизированной обработки ПДн и имеющий доступ к аппаратным средствам, программному обеспечению, данным и средствам защиты информации (далее - СЗИ) ГИС.

1.5. Контрольные мероприятия за обеспечением уровня защищенности персональных данных и соблюдений условий использования средств защиты информации, а также соблюдением требований законодательства Российской Федерации по обработке персональных данных в ГИС "Катарсис" проводятся в следующих целях:

- проверки выполнения требований организационно-распорядительной документации по защите информации в управлении и действующего законодательства Российской Федерации в области обработки и защиты персональных данных;

- оценки уровня осведомленности и знаний работников управления в области обработки и защиты персональных данных;

- оценки обоснованности и эффективности применяемых мер и средств защиты.

2. Тематика внутреннего контроля

Тематика внутреннего контроля соответствия обработки ПДн требованиям к защите ПДн:

2.1. Проверки соответствия обработки ПДн установленным требованиям в управлении разделяются на следующие виды:

- регулярные;

- плановые;

- внеплановые.

2.2. Регулярные контрольные мероприятия проводятся Администратором ГИС в соответствии с утвержденным Планом проведения внутренних проверок контроля соответствия обработки персональных данных требованиям к защите персональных данных в управлении трудовой занятости населения правительства Еврейской автономной области (далее - План, приложение N 1) и предназначены для осуществления контроля выполнения требований в области защиты информации в управлении.

2.3. Внеплановые контрольные мероприятия проводятся на основании решения комиссии по информационной безопасности (создается на период проведения мероприятий). Решение о проведении внеплановых контрольных мероприятий и созданию комиссии по информационной безопасности может быть принято в следующих случаях:

- по результатам расследования инцидента информационной безопасности;

- по результатам внешних контрольных мероприятий, проводимых регулирующими органами;

- по решению начальника управления.

3. Планирование контрольных мероприятий

3.1. Для проведения плановых внутренних контрольных мероприятий лицо, ответственное за обеспечение безопасности персональных данных, разрабатывает План внутренних контрольных мероприятий на текущий год.

3.2. План проведения внутренних контрольных мероприятий включает следующие сведения по каждому из мероприятий:

- цели проведения контрольных мероприятий;

- задачи проведения контрольных мероприятий;

- объекты контроля (процессы, подразделения, информационные системы и т.п.);

- состав участников, привлекаемых для проведения контрольных мероприятий;

- сроки и этапы проведения контрольных мероприятий.

3.3. Общий срок контрольных мероприятий не должен превышать пяти рабочих дней. При необходимости срок проведения контрольных мероприятий может быть продлен, но не более чем на десять рабочих дней, соответствующие изменения отображаются в Отчете, выполняемом по результатам проведенных контрольных мероприятий.

4. Оформление результатов контрольных мероприятий

4.1. По итогам проведения регулярных контрольных мероприятий результаты проверок фиксируется в Журнале учета событий информационной безопасности.

4.2. По итогам проведения плановых и внеплановых контрольных мероприятий лицо, комиссия, разрабатывает отчет, в котором указывается:

- описание проведенных мероприятий по каждому из этапов;

- перечень и описание выявленных нарушений;

- рекомендации по устранению выявленных нарушений;

- заключение по итогам проведения внутреннего контрольного мероприятия.

4.3. Отчет передается на рассмотрение начальника управления.

4.4. Общая информация о проведенном контрольном мероприятий фиксируется в Журнале учета событий информационной безопасности.

4.5. Результаты проведения мероприятий по внеплановому контролю заносятся в протокол проведения внутренних проверок контроля соответствия обработки персональных данных требованиям к защите персональных данных в управлении (приложение N 2).

5. Порядок проведения плановых и внеплановых контрольных мероприятий

5.1. Плановые и внеплановые контрольные мероприятия проводятся при обязательном участии лица, ответственного за обеспечение безопасности ПДн.

5.2. Лицо, ответственное за обеспечение безопасности ПДн, не позднее чем за три рабочих дня до начала проведения контрольных мероприятий уведомляет всех руководителей подразделений управления о проверке, и направляет им для ознакомления План проведения контрольных мероприятий. При проведении внеплановых контрольных мероприятий уведомление не требуется.

5.3. Во время проведения контрольных мероприятий, в зависимости от целей мероприятий, могут выполняться следующие проверки:

- соответствие полномочий пользователя правилам доступа;

- соблюдение пользователями требований инструкций по организации антивирусной и парольной политики, инструкции по обеспечению безопасности ПДн;

- соблюдение инструкций и регламентов по обеспечению безопасности информации в управлении;

- соблюдение Порядка доступа в помещения, где ведется обработка персональных данных;

- знание пользователями положений Инструкции пользователя по обеспечению безопасности обработки ПДн при возникновении внештатных ситуаций;

- порядок и условия применения средств защиты информации;

- состояние учета машинных носителей персональных данных;

- наличие (отсутствие) фактов несанкционированного доступа к ПДн и принятие необходимых мер;

- проведенные мероприятия по восстановлению ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- технические мероприятия, связанные с штатным и нештатным функционированием средств защиты;

- технические мероприятия, связанные с штатным и нештатным функционированием подсистем системы защиты информации.

Приложение N 1

к Правилам осуществления

внутреннего контроля соответствия

обработки персональных данных

требованиям к защите персональных данных

План
внутренних проверок контроля соответствия обработки персональных данных требованиям к защите персональных данных

Мероприятие	Периодичность регулярных мероприятий	Исполнитель
Контроль соблюдения правил доступа к ПДн	еженедельно	Ответственный за обеспечение безопасности персональных данных ГИС
Контроль соблюдения режима защиты	еженедельно	Ответственный за обеспечение безопасности персональных данных ГИС
Контроль выполнения антивирусной политики	еженедельно	Ответственный за обеспечение безопасности персональных данных ГИС
Контроль выполнения парольной политики	еженедельно	Ответственный за обеспечение безопасности персональных данных ГИС
Контроль соблюдения режима защиты при подключении к сетям общего пользования и (или) международного обмена	еженедельно	Ответственный за обеспечение безопасности персональных данных ГИС
Проведение внутренних проверок на предмет выявления изменений в режиме обработки и защиты ПДн		Ответственный за обеспечение безопасности персональных данных ГИС
Контроль обновления ПО и единообразия применяемого ПО на всех элементах ГИС "Катарсис"	По мере необходимости	Ответственный за обеспечение безопасности персональных данных ГИС
Контроль обеспечения резервного копирования	ежемесячно	Ответственный за обеспечение безопасности персональных данных ГИС
Организация анализа и пересмотра имеющихся угроз безопасности ПДн, а также предсказание появления новых, еще неизвестных, угроз	ежемесячно	Ответственный за обеспечение безопасности персональных данных ГИС
Поддержание в актуальном состоянии нормативно-организационных документов	ежемесячно	Ответственный за организацию обработки ПДн в ГИС
Контроль запрета на использование беспроводных соединений	еженедельно	Ответственный за организацию обработки ПДн в ГИС

Приложение N 2

к Правилам осуществления

внутреннего контроля соответствия

обработки персональных данных

требованиям к защите персональных данных

Протокол N______
проведения внутренних проверок контроля соответствия обработки персональных данных требованиям к защите персональных данных в управлении трудовой занятости населения правительства Еврейской автономной области

Настоящий Протокол составлен в том, что "__" _________ 201__ г.

_______________________________________________ (комиссией)

               (должность, Ф.И.О. сотрудника)

проведена проверка _______________________________________

                                     (тема проверки)

Проверка осуществлялась в соответствии с требованиями:

_________________________________________________________

                        (название документа)

_________________________________________________________

В ходе проверки проверено:

_________________________________________________________

_________________________________________________________

_________________________________________________________

_________________________________________________________

_________________________________________________________

_________________________________________________________

_________________________________________________________

Выявленные нарушения:

_________________________________________________________

_________________________________________________________

_________________________________________________________

_________________________________________________________

Меры по устранению нарушений:

_________________________________________________________

_________________________________________________________

_________________________________________________________

_________________________________________________________

_________________________________________________________

Срок устранения нарушений: ________________________________

Председатель комиссии:

     фамилия и инициалы / подпись / должность

Члены комиссии:

     фамилия и инициалы / подпись / должность

     фамилия и инициалы / подпись / должность

УТВЕРЖДЕН

приказом управления трудовой

занятости населения правительства

Еврейской автономной области

от 11.06.2019 N 89/19

Перечень
персональных данных, обрабатываемых в управлении трудовой занятости населения правительства Еврейской автономной области в связи с реализацией служебных отношений, а также в связи с оказанием государственных услуг и осуществлением государственных функций

1. Персональные данные, обрабатываемые в связи с реализацией служебных и трудовых отношений:

- фамилия, имя, отчество;

- пол;

- гражданство;

- национальность;

- дата (число, месяц, год) и место рождения (страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт);

- адрес места проживания (почтовый индекс, страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт, улица, дом, корпус, квартира);

- сведения о регистрации по месту жительства или пребывания (почтовый индекс, страна, республика, край, область, район, город, поселок, деревня, иной населенный пункт, улица, дом, корпус, квартира);

- номера телефонов (домашний, мобильный);

- должность;

- сведения о трудовой деятельности (наименования организаций (органов) и занимаемых должностей, продолжительность работы (службы) в этих организациях (органах));

- идентификационный номер налогоплательщика (дата (число, месяц, год) и место постановки на учет, дата (число, месяц, год) выдачи свидетельства);

- страховой номер индивидуального лицевого счета;

- номер страхового медицинского полиса обязательного медицинского страхования граждан;

- данные паспорта или иного удостоверяющего личность документа (серия, номер, дата (число, месяц, год) и место выдачи, наименование и код выдавшего его органа, сведения о ранее выданных паспортах, сведения о выдаче паспорта, удостоверяющего личность гражданина Российской Федерации за пределами территории Российской Федерации, сведения о группе крови);

- данные паспорта, удостоверяющего личность гражданина Российской Федерации за пределами территории Российской Федерации (серия, номер, дата (число, месяц, год) и место выдачи, наименование и код выдавшего его органа);

- данные трудовой книжки, вкладыша в трудовую книжку (номер, серия, дата (число, месяц, год) выдачи, записи);

- сведения о воинском учете (серия, номер, дата (число, месяц, год) выдачи, наименование органа, выдавшего военный билет, военно-учетная специальность, воинское звание, данные о принятии/снятии на (с) учет(а), о прохождении военной службы, о пребывании в запасе, о медицинском освидетельствовании и прививках);

- сведения об образовании (наименование образовательного учреждения, дата (число, месяц, год) окончания, специальность и квалификация, ученая степень, звание, реквизиты документа об образовании);

- сведения о классном чине (классный чин, дата (число, месяц, год) присвоения, орган присвоивший);

- сведения об аттестации (дата (число, месяц, год) аттестации, орган аттестовавший, результаты аттестации);

- сведения о наградах, иных поощрениях и знаках отличия (название награды, поощрения, знака отличия, дата (число, месяц, год) присвоения, реквизиты документа о награждении или поощрении);

- сведения о дисциплинарных взысканиях;

- сведения о прохождении профессиональной переподготовки, повышения квалификации и стажировки (дата (число, месяц, год), место, программа, реквизиты документов, выданных по результатам);

- сведения о владении иностранными языками (иностранный язык, уровень владения);

- сведения об оформлении допуска к государственной тайне (реквизиты документов, на основании которых осуществлен допуск, форма допуска);

- сведения о семейном положении (состояние в браке (холост (не замужем), женат (замужем), повторно женат (замужем), разведен(а), вдовец (вдова), с какого времени в браке, с какого времени в разводе, количество браков, состав семьи, реквизиты свидетельства о заключении брака);

- сведения о приеме на службу, перемещении и увольнении;

- данные служебного контракта (номер, дата заключения, вид работы, наличие испытания, режим работы, длительность основного и дополнительного отпусков, характер работы, форма оплаты, условия труда, продолжительность рабочего времени);

- информация по отпускам;

- информация по командировкам;

- сведения о близких родственниках, свойственниках (степень родства, фамилия, имя, отчество, дата (число, месяц, год) и место рождения, место и адрес работы (службы), адрес места жительства, сведения о регистрации по месту жительства или пребывания);

- сведения о полученных доходах государственного гражданского служащего за отчетный период (вид и размер);

- сведения о расходах государственного гражданского служащего;

- сведения о недвижимом имуществе, принадлежащем государственному гражданскому служащему на праве собственности или находящемся в пользовании (наименование недвижимого имущества, адрес места нахождения, реквизиты правоустанавливающих документов, параметры, характеризующие свойства, сведения о стоимости, даты возникновения и прекращения права собственности (пользования), сведения о правообладателях);

- сведения о транспортных средствах, принадлежащих государственному гражданскому служащему на праве собственности (модель, номерной знак);

- сведения о денежных средствах, находящихся на счетах в банках и иных кредитных организациях государственного гражданского служащего (вид валюты, размер, наименование банка, кредитной организации, реквизиты банковского счета);

- сведения о ценных бумагах государственного гражданского служащего (вид);

- сведения об обязательствах имущественного характера государственного гражданского служащего (вид обязательства) и размер обязательств;

- сведения о полученных доходах, расходах супруги (супруга) и несовершеннолетних детей государственного гражданского служащего за отчетный период (размер);

- сведения о недвижимом имуществе, принадлежащем супруге (супругу) и несовершеннолетним детям государственного гражданского служащего на праве собственности или находящемся в пользовании (наименование недвижимого имущества, адрес места нахождения, параметры, характеризующие свойства);

- сведения о транспортных средствах, принадлежащих супруге (супругу) и несовершеннолетним детям государственного гражданского служащего на праве собственности (модель);

- сведения о денежных средствах, находящихся на счетах в банках и иных кредитных организациях супруги (супруга) и несовершеннолетних детей государственного гражданского служащего (вид валюты, размер, наименование банка, кредитной организации, реквизиты банковского счета), ценные бумаги, обязательства имущественного характера;

- фотографии.

2. Персональные данные, обрабатываемые в связи с исполнением государственных услуг и осуществлением государственных функций

В ГИС "Катарсис" обрабатываются следующие категории персональных данных Заявителей:

- фамилия, имя, отчество;

- дата рождения;

- паспортные данные (серия, номер, кем и когда выдан);

- справка об освобождении из мест лишения свободы;

- индивидуальный номер налогоплательщика;

- номер страхового свидетельства государственного пенсионного страхования;

- контактные телефоны;

- свидетельство о браке;

- об образовании;

- свидетельства о рождении детей;

- количество детей;

- сведения из трудовой книжки;

- номер счета в кредитной организации;

- сведения о доходах с последнего места работы;

- данные по исполнительному листу;

- сведения о состоянии здоровья (группа, причина инвалидности, беременность и ее срок);

- копия индивидуальной программы реабилитации (абилитации);

- решение ГБ МСЭ;

- справка об ограничениях по состоянию здоровья;

- должность.

УТВЕРЖДЕН

Приказом управления трудовой

занятости населения правительства

Еврейской автономной области

от 11.06.2019 N 89/19

Перечень
государственных информационных систем персональных данных управления трудовой занятости населения правительства Еврейской автономной области

1. ГИС "Катарсис"

УТВЕРЖДЕН

приказом управления трудовой

занятости населения правительства

Еврейской автономной области

от 11.06.2019 N 89/19

Порядок
доступа государственных гражданских служащих управления трудовой занятости населения правительства Еврейской автономной области в помещения, в которых ведется обработка персональных данных

1. Настоящий Порядок доступа государственных служащих управления трудовой занятости населения правительства Еврейской автономной области (далее - управление) в помещения, в которых ведется обработка персональных данных (далее - Порядок) разработан в соответствии с требованиями: Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" и другими нормативными правовыми актами.

2. Целью настоящего Порядка является исключение несанкционированного доступа к персональным данным субъектов персональных данных в управлении.

3. Персональные данные относятся к конфиденциальной информации. Работники и должностные лица управления, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено вышеназванным федеральным законом.

4. Обеспечение безопасности персональных данных от уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных достигается, в том числе, установлением правил доступа в помещения, где обрабатываются персональные данные в информационной системе персональных данных и без использования средств автоматизации.

5. Для помещений, в которых обрабатываются персональные данные, организуется режим безопасности, при котором обеспечивается сохранность носителей персональных данных и средств защиты информации, а также исключается возможность неконтролируемого проникновения и пребывания в этих помещениях посторонних лиц. При хранении материальных носителей персональных данных должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.

6. В помещения, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители информации, допускаются только работники и должностные лица управления, получившие доступ к персональным данным.

7. Нахождение в помещениях, в которых ведется обработка персональных данных лиц, не являющихся работниками и должностными лицами управления, получившими доступ к персональным данным, возможно только в присутствии работников и должностных лиц управления, получивших доступ к персональным данным на время, ограниченное необходимостью решения вопросов, связанных с исполнением должностных функций и (или) осуществлением полномочий в рамках договоров, заключенных с управлением.

8. Работники и должностные лица управления, получившие доступ к персональным данным не должны покидать помещение, в котором ведется обработка персональных данных, оставляя в нем без присмотра посторонних лиц, включая работников управления, не уполномоченных на обработку персональных данных. После окончания рабочего дня дверь каждого помещения закрывается на ключ.

9. Ответственными за организацию доступа в помещения управления, в которых ведется обработка персональных данных, являются должностные лица управления.

10. Внутренний контроль за соблюдением порядка доступа в помещения, в которых ведется обработка персональных данных, проводится лицом, ответственным за организацию обработки персональных данных или комиссией, утверждаемой приказом управления.