Проект Приказа Министерства цифрового развития, связи и массовых коммуникаций РФ "О порядке обеспечения безопасности персональных данных, направляемых органами государственной власти в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации для их обработки в федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации" (подготовлен Минцифры России 16.06.2021)

Проект Приказа Министерства цифрового развития, связи и массовых коммуникаций РФ "О порядке обеспечения безопасности персональных данных, направляемых органами государственной власти в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации для их обработки в федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации"
(подготовлен Минцифры России 16.06.2021 г.)

Досье на проект

В соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2021, N 1, ст. 58), постановлением Правительства Российской Федерации от 21 марта 2012 г. N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ними нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" (Собрание законодательства Российской Федерации, 2012, N 14, ст. 1626; 2019, N 16, ст. 1957), постановлением Правительства Российской Федерации от 3 марта 2017 N 256 "О федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации" (Собрание законодательства Российской Федерации, 2017, N 11, ст. 1573; 2021, N 17, ст. 2975) приказываю:

1. Утвердить прилагаемые:

правила обработки персональных данных в федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации" (далее - Единая система), которые направляются органами государственной власти Российской Федерации в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации, являющееся оператором Единой системы на основании Положения о федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации", утвержденного постановлением Правительства Российской Федерации от 3 марта 2017 г. N 256 "О федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации" (далее - правила обработки персональных данных), согласно приложению N 1 к настоящему приказу;

правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных", согласно приложению N 2 к настоящему приказу;

перечень должностей федеральных государственных гражданских служащих Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным, согласно приложению N 3 к настоящему приказу;

перечень должностей в Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных в случае обезличивания персональных данных, согласно приложению N 4 к настоящему приказу;

типовое обязательство федерального государственного гражданского служащего Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта прекратить обработку персональных данных, ставших известными ему в связи с исполнением должностных обязанностей, согласно приложению N 5 к настоящему приказу.

2. Направить настоящий приказ на государственную регистрацию в Министерство юстиции Российской Федерации.

3. Контроль исполнения настоящего приказа оставляю за собой.

Министр

М.И. Шадаев

Приложение N 1
к приказу Министерства цифрового развития,
связи и массовых коммуникаций
Российской Федерации
от __.__.2021 N _______

Правила
обработки персональных данных в федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации", которые направляются органами государственной власти Российской Федерации в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации, являющееся оператором Единой системы на основании Положения о федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации", утвержденного постановлением Правительства Российской Федерации от 3 марта 2017 г. N 256 "О федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации"

I. Общие положения

1. Правила обработки в федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации" (далее соответственно - Единая система, Правила) персональных данных, которые направляются органами государственной власти Российской Федерации в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации, являющееся оператором на основании Положения о федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации", утвержденного постановлением Правительства Российской Федерации от 3 марта 2017 г. N 256 "О федеральной государственной информационной системе "Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации" (Собрание законодательства Российской Федерации, 2017, N 11, ст. 1573; 2021, N 17, ст. 2975), устанавливают процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в области персональных данных, а также определяют цели обработки персональных данных, содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки и порядок их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований в Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации.

2. Обработка в Единой системе персональных данных выполняется Минцифры России с использованием средств автоматизации и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов, персональные данные которых обрабатываются в Минцифры России.

3. Правила определяют политику Минцифры России как оператора, обрабатывающего персональные данные в Единой системе и определяющего цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

4. Субъектами персональных данных являются государственные гражданские служащие органов государственной власти Российской Федерации (далее - гражданские служащие) и члены их семей, руководители и заместители руководителей подведомственных органов государственной власти Российской Федерации, руководители подведомственных им учреждений и предприятий (далее - работники подведомственных организаций), а также члены их семей, граждане, претендующие на замещение вакантных должностей гражданской службы в органах государственной власти Российской Федерации, гражданской службы в подведомственных органах и подведомственных организациях, а также члены их семей.

5. Обработка персональных данных осуществляется Минцифры России с соблюдением принципов и условий, предусмотренных законодательством Российской Федерации в области персональных данных и настоящими Правилами.

II. Цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными в единой системе

6. Персональные данные субъектов персональных данных обрабатываются в целях обеспечения кадровой работы, в том числе в целях содействия прохождению государственной гражданской службы Российской Федерации (далее - гражданская служба), содействия в выполнении осуществляемой работы, формирования кадрового резерва гражданской службы, обучения и должностного роста, учета результатов исполнения должностных обязанностей, обеспечения личной безопасности субъектов персональных данных, обеспечения установленных законодательством Российской Федерации условий труда, гарантий и компенсаций, сохранности принадлежащего им имущества, а также в целях противодействия коррупции.

7. В Единой системе обрабатываются персональные данные субъектов персональных данных, предусмотренные законодательством Российской Федерации.

8. Обработка персональных данных субъектов персональных данных осуществляется без согласия указанных лиц в рамках целей, определенных пунктом 6 Правил, в соответствии с пунктом 2 и пунктом 4 части 1 статьи 6 и частью 2 статьи 11 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; .2021, N 1, ст. 58) (далее - Федеральный закон "О персональных данных") и положениями Федерального закона от 27 мая 2003 г. N 58-ФЗ "О системе государственной службы Российской Федерации" (Собрание законодательства Российской Федерации, 2003, N 22, ст. 2063; 2016, N 22, ст. 3091), Федерального закона от 27 июля 2004 г. N 79-ФЗ "О государственной гражданской службе Российской Федерации" (Собрание законодательства Российской Федерации, 2004, N 31, ст. 3215; 2021, N 13, ст. 2138), Федерального закона от 25 декабря 2008 г. N 273-ФЗ "О противодействии коррупции" (Собрание законодательства Российской Федерации, 2008, N 52, ст. 6228; 2021, N 22, ст. 3690), Трудового кодекса Российской Федерации (Собрание законодательства Российской Федерации, 2002, N 1, ст. 3; 2021, N 18, ст. 3054).

9. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных субъектов персональных данных осуществляются посредством специального программного обеспечения Единой системы.

10. Передача (распространение, предоставление) и использование персональных данных субъектов персональных данных осуществляются лишь в случаях и порядке, предусмотренных законодательством Российской Федерации.

III. Работа с обезличенными данными

11. Обезличивание персональных данных проводится в целях ведения статистического учета и отчетности, снижения ущерба от разглашения персональных данных, повышения уровня защищенности автоматизированных информационных систем и предотвращения несанкционированного использования персональных данных, если иное не предусмотрено законодательством Российской Федерации.

12. Обезличивание персональных данных осуществляется в соответствии с приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 5 сентября 2013 г. N 996 "Об утверждении требований и методов по обезличиванию персональных данных" (зарегистрирован Минюстом России 10 сентября 2013 г., регистрационный N 29935).

13. Обезличенные персональные данные подлежат разглашению в случаях, предусмотренных законодательством Российской Федерации.

14. Обезличенные персональные данные обрабатываются с использованием средств автоматизации.

IV. Сроки обработки и хранения персональных данных

15. Обработка персональных данных граждан, претендующих на замещение вакантных должностей гражданской службы, и членов их семей осуществляется в соответствии с Указом Президента Российской Федерации от 1 февраля 2005 г. N 112 "О конкурсе на замещение вакантной должности государственной гражданской службы Российской Федерации" (Собрание законодательства Российской Федерации, 2005, N 6, ст. 439; 2021, N 1, ст. 85).

16. Срок хранения персональных данных в Единой системе определяется в соответствии с Перечнем типовых архивных документов, образующихся в научно-технической и производственной деятельности организаций, с указанием сроков хранения, утвержденным приказом Министерства культуры и массовых коммуникаций Российской Федерации от 31 июля 2007 г. N 1182 (зарегистрирован Минюстом России 27 сентября 2007 г., регистрационный N 10194) с изменениями, внесенными приказом Министерства культуры Российской Федерации от 28 апреля 2011 г. N 412 (зарегистрирован Минюстом России 20 мая 2011 г., регистрационный N 20831).

17. К персональным данным, полученным Минцифры России в связи с осуществлением своих полномочий, имеют доступ гражданские служащие Минцифры России, включенные в перечень должностей в Минцифры России, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным, согласно приложению N 3 к настоящему приказу.

18. Минцифры России обеспечивает раздельное хранение на разных материальных носителях персональных данных, обработка которых осуществляется в целях, определенных настоящими Правилами.

19. Контроль за хранением и использованием материальных носителей персональных данных, не допускающими несанкционированное использование, уточнение, распространение и уничтожение персональных данных, находящихся на этих носителях, осуществляют руководители структурных подразделений Минцифры России.

20. Срок хранения персональных данных, внесенных в Единую систему, должен соответствовать сроку хранения бумажных оригиналов документов.

V. Порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований

21. Систематический контроль и выделение информации, содержащей персональные данные с истекшими сроками хранения, подлежащих уничтожению, осуществляется Департаментом развития облачных сервисов и управления данными.

22. Уничтожение выделенной информации, содержащей персональные данные, осуществляется исключительно при согласии органа государственной власти Российской Федерации, передавшего информацию, содержащую персональные данные, в Единую систему.

VI. Право субъектов персональных данных на получение информации, касающейся обработки их персональных данных

23. Субъекты персональных данных имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:

1) подтверждение факта обработки персональных данных в Минцифры России;

2) правовые основания и цели обработки персональных данных;

3) применяемые в Минцифры России способы обработки персональных данных;

4) наименование и место нахождения Минцифры России, сведения о гражданах (за исключением гражданских служащих Минцифры России), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании действующего законодательства Российской Федерации;

5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких персональных данных не предусмотрен законодательством Российской Федерации;

6) сроки обработки персональных данных, в том числе сроки их хранения в Минцифры России;

7) порядок осуществления субъектом персональных данных прав, предусмотренных законодательством Российской Федерации в области персональных данных;

8) сведения об осуществленной или предполагаемой трансграничной передаче персональных данных;

9) наименование организации или фамилию, имя, отчество (при наличии) и адрес лица, осуществляющего обработку персональных данных по поручению Минцифры России, если обработка поручена или будет поручена такой организации.

24. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с частью 8 статьи 14 Федерального закона "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2021, N 1, ст. 58).

VII. Порядок доступа в помещения, в которых ведется обработка персональных данных

25. Нахождение в помещениях, в которых ведется обработка персональных данных, лиц, не являющихся гражданскими служащими Минцифры России, уполномоченными на обработку персональных данных, возможно только в присутствии гражданского служащего Минцифры России, уполномоченного на обработку персональных данных, на время, ограниченное необходимостью решения вопросов, связанных с предоставлением персональных данных.

26. Ответственность за соблюдение порядка доступа в помещения, в которых ведется обработка персональных данных, возлагается на гражданского служащего Минцифры России, ответственного за организацию обработки персональных данных в Минцифры России.

VIII. Ответственный за организацию обработки персональных данных

27. Ответственный за организацию обработки персональных данных в Минцифры России (далее - ответственный за обработку персональных данных) назначается Министром цифрового развития, связи и массовых коммуникаций Российской Федерации из числа гражданских служащих Минцифры России, относящихся к высшей и (или) главной группе должностей категории "руководители".

28. Ответственный за обработку персональных данных в своей работе руководствуется законодательством Российской Федерации и настоящими Правилами.

29. Ответственный за обработку персональных данных обязан:

1) организовывать принятие правовых, организационных и технических мер для обеспечения защиты персональных данных, обрабатываемых в Минцифры России, от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий;

2) осуществлять внутренний контроль за соблюдением гражданскими служащими, уполномоченными на обработку персональных данных, требований законодательства Российской Федерации в области персональных данных, в том числе требований к защите персональных данных;

3) доводить до сведения гражданских служащих, уполномоченных на обработку персональных данных, положения законодательства Российской Федерации в области персональных данных, локальных актов по вопросам обработки персональных данных, требования к защите персональных данных.

30. Ответственный за обработку персональных данных вправе:

1) иметь доступ к информации, касающейся обработки персональных данных в Минцифры России и включающей:

цели обработки персональных данных;

категории обрабатываемых персональных данных;

категории субъектов персональных данных, персональные данные которых обрабатываются;

правовые основания обработки персональных данных;

описание мер, предусмотренных статьями 18.1 и 19 Федерального закона "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2011, N 1, ст.4701), в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;

дату начала обработки персональных данных;

срок или условия прекращения обработки персональных данных;

сведения о наличии или отсутствии трансграничной передачи персональных данных в процессе их обработки;

сведения об обеспечении безопасности персональных данных в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257);

2) привлекать к реализации мер, направленных на обеспечение безопасности персональных данных, обрабатываемых в Минцифры России, иных гражданских служащих Минцифры России с возложением на них соответствующих обязанностей и закреплением ответственности.

31. Ответственный за обработку персональных данных несет ответственность за ненадлежащее выполнение функций по организации обработки персональных данных в Минцифры России в соответствии с законодательством Российской Федерации.

__________________

Приложение N 2
к приказу Министерства цифрового развития,
связи и массовых коммуникаций
Российской Федерации
от __.__.2021 N _______

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных"

1. Настоящие правила устанавливают цели, условия, порядок, формы и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных.

Внутренний контроль соответствия обработки персональных данных требованиям к защите персональных данных (далее - внутренний контроль) проводится в целях выявления и предотвращения нарушений законодательства Российской Федерации в сфере персональных данных.

Внутренний контроль осуществляется лицом, ответственным за организацию обработки персональных данных.

Внутренний контроль подразделяется на плановый и внеплановый.

2. Плановый внутренний контроль проводится на основании ежегодного плана, утвержденного Минцифры России (далее - плановые проверки). Периодичность планового контроля - не реже одного раза в год. Срок проведения планового внутреннего контроля составляет 10 рабочих дней.

3. Внеплановый контроль проводится по решению лица, ответственного за организацию обработки персональных данных, на основании поступившего в Минцифры России письменного заявления о нарушениях правил обработки персональных данных (далее - внеплановые проверки). Внеплановый внутренний контроль должен быть завершен не позднее 20 дней со дня принятия решения о его проведении.

4. В плане по каждой проверке устанавливаются объект внутреннего контроля, проверяемый период, срок проведения проверки, ответственные исполнители.

5. Проверки проводятся Комиссией, создаваемой приказом Минцифры России, которым один из членов комиссии назначается председателем Комиссии. В проведении проверки не может участвовать гражданский служащий, прямо или косвенно заинтересованный в ее результатах. Решение комиссии принимается простым большинством ее членов и оформляется протоколом, который подписывается всеми членами Комиссии. Комиссия не может состоять менее, чем из 3 человек.

6. Проведение внеплановой проверки организуется в течение пяти рабочих дней с момента поступления обращения.

7. Срок проведения проверки не может превышать 30 дней со дня регистрации обращения.

8. Члены Комиссии, получившие доступ к персональным данным субъектов персональных данных в ходе проведения проверки, обеспечивают конфиденциальность персональных данных субъектов персональных данных, не раскрывают третьим лицам и не распространяют персональные данные без согласия субъекта персональных данных.

9. По результатам каждой проверки Комиссией проводится заседание. Решения, принятые на заседаниях Комиссии, оформляются протоколом.

10. По существу поставленных в обращении (жалобе) вопросов Комиссия в течение 30 дней со дня регистрации обращения (жалобы) дает письменный ответ.

__________________

Приложение N 3
к приказу Министерства цифрового развития,
связи и массовых коммуникаций
Российской Федерации
от __.__.2021 N _____

Перечень
должностей федеральных государственных гражданских служащих Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным

1. Министр.

2. Статс-секретарь - заместитель Министра.

3. Заместитель Министра.

4. Советник Министра.

5. Помощник Министра.

6. Директор Департамента.

7. Заместитель директора Департамента.

8. Заместитель директора Департамента - начальник отдела.

9. Начальник отдела прямого подчинения.

__________________

Приложение N 4
к приказу Министерства цифрового развития,
связи и массовых коммуникаций
Российской Федерации
от __.__.2021 N ___

Перечень
должностей в Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных, в случае обезличивания персональных данных

1. Министр.

2. Статс-секретарь - заместитель Министра.

3. Заместитель Министра.

4. Советник Министра.

5. Помощник Министра.

6. Директор Департамента.

7. Заместитель директора Департамента.

8. Заместитель директора Департамента - начальник отдела.

9. Начальник отдела прямого подчинения.

__________________

Приложение N 5
к приказу Министерства цифрового развития,
связи и массовых коммуникаций
Российской Федерации
от __.__.2021 N ___

ТИПОВОЕ ОБЯЗАТЕЛЬСТВО
федерального государственного гражданского служащего Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта прекратить обработку персональных данных, ставших известными ему в связи с исполнением должностных обязанностей

Я, __________________________________________________________________,

(фамилия, имя, отчество (при наличии)

обязуюсь прекратить обработку персональных данных, ставших мне известными в связи с исполнением должностных обязанностей, в случае

расторжения со мной служебного контракта.

В соответствии со статьей 7 Федерального закона от 27 июля 2006 г.

N 152-ФЗ "О персональных данных" я уведомлен(а) о том, что персональные

данные являются конфиденциальной информацией и я обязан(а) не раскрывать

третьим лицам и не распространять персональные данные без согласия субъекта

персональных данных.

Ответственность, предусмотренная законодательством Российской Федерации, мне разъяснена.

"__" ______________ 20__ г. ____________________ _________________________

(личная подпись) (инициалы, фамилия)

__________________