Приложение. Политика обработки и обеспечения безопасности персональных данных в информационных системах персональных данных администрации Армизонского муниципального района

Приложение
к распоряжению
администрации
Армизонского муниципального района
от 12.08.2019 N 390-р

Политика
обработки и обеспечения безопасности персональных данных в информационных системах персональных данных администрации Армизонского муниципального района

Настоящий документ Политика обработки и обеспечения безопасности персональных данных в информационных системах персональных данных администрации Армизонского муниципального района (далее - Политика) определяет политику в отношении обработки администрацией Армизонского муниципального района персональных данных (далее - ПДн) субъектов ПДн и содержит сведения о реализуемых требованиях к защите ПДн.

Настоящая Политика разработана на основе действующих правовых и нормативных документов по защите конфиденциальной информации и ПДн.

Под ПДн в настоящем документе понимается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту ПДн).

Настоящая Политика утверждается главой Армизонского муниципального района и подлежит пересмотру по мере необходимости.

1. Общие положения

1.1. Согласно статье 18.1, п. 2 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" администрация Армизонского муниципального района как оператор ПДн, обязана опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн, а также к сведениям о реализуемых требованиях к защите ПДн.

1.2. Администрация Армизонского муниципального района в рамках выполнения своей деятельности осуществляет обработку ПДн и, в соответствии с действующим законодательством Российской Федерации, является оператором ПДн (далее - Оператор) с соответствующими правами и обязанностями, определенными Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" и иными нормативными правовыми актами Российской Федерации (далее - РФ).

1.3. Состав обрабатываемых данных, категории субъектов, ПДн которых обрабатываются Оператором, цели и правовые основания их обработки закреплены для каждой информационной системы персональных данных (далее - ИСПДн) перечнем ПДн, обрабатываемых в ИСПДн.

2. Принципы, правила, цели обработки ПДн

2.1. Обработка ПДн осуществляется Оператором с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных":

- обработка ПДн осуществляется на законной и справедливой основе;

- обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;

- не допускается обработка ПДн, несовместимая с целями сбора ПДн;

- не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;

- содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки.

2.2. Оператор принимает все необходимые меры по предотвращению разглашения и нарушения конфиденциальности ПДн.

При обработке ПДн обеспечивает точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн.

2.3. Оператор принимает необходимые меры по удалению или уточнению неполных или неточных данных.

2.4. Хранение ПДн у Оператора осуществляется в форме, позволяющей определить субъект ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДН не установлен нормативными правовыми актами.

2.5. Обрабатываемые ПДн уничтожаются или обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ.

2.6. Обработка ПДн допускается Оператором в следующих случаях:

- наличия согласия субъекта ПДн на обработку его ПДн, если иное не предусмотрено законодательством РФ;

- необходимости достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей;

- участия лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;

- необходимости исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

- необходимости осуществления прав и законных интересов Оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;

- исполнения полномочий органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27.07.2010 года N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг.

- необходимости исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;

- необходимости защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта ПДн невозможно;

- необходимости осуществления прав и законных интересов Оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;

- необходимости осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта ПДн;

- при проведении статистических или иных исследовательских целей, за исключением целей, указанных в статье 15 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", при условии обязательного обезличивания ПДн;

- когда ПДн открыты для неограниченного круга лиц, доступ к которым предоставлен субъектом ПДн либо по его просьбе;

- при осуществлении обработки ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

2.7. Оператор обязуется не раскрывать третьим лицам и не передавать ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством РФ и/или договором с субъектом ПДн.

2.8. Оператор не обрабатывает специальные и биометрические категории ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, сведения, характеризующие биологические и физические особенности человека.

2.9. Оператор не осуществляет трансграничную передачу персональных данных субъектов ПДн.

3. Меры, направленные на обеспечение безопасности ПДн

3.1. Оператор осуществляет следующие организационно-технические меры для обеспечения безопасности ПДн:

- назначение лица, ответственного за организацию обработки ПДн;

- принятие документов, определяющих политику Оператора в области обработки ПДн;

- применение правовых, организационных и технических мер по обеспечению безопасности ПДн в соответствии со статьей 19 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", включая:

- определение угроз безопасности ПДн при их обработке в ИСПДн;

- применение организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн;

- применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

- оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;

- учет машинных носителей ПДн;

- выявление фактов несанкционированного доступа к ПДн;

- восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;

- контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн;

- осуществление внутреннего контроля соответствия обработки ПДн законодательству РФ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, политике Оператора в отношении обработки ПДн, локальным актам Оператора;

- ознакомление сотрудников Оператора, осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику Оператора в отношении обработки ПДн, локальными актами Оператора.

4. Запросы субъектов ПДН

4.1. Субъект ПДн имеет право на получение сведений, указанных в п. 4.6, за исключением случаев, предусмотренных законодательством РФ. Субъект ПДн вправе требовать от законных представителей Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

4.2. Сведения, указанные в п. 4.6, предоставляются законными представителями Оператора субъекту ПДн в доступной форме.

4.3. Сведения, указанные в п. 4.6, предоставляются субъекту ПДн или его представителю Оператором при обращении либо при получении запроса субъекта ПДн или его представителя.

Запрос должен содержать номер основного документа, удостоверяющего личность Субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие Субъекта ПДн в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Оператором, подпись Субъекта ПДн или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

4.4. В случае, если сведения, указанные в п. 4.6, уже были предоставлены для ознакомления субъекту ПДн по его запросу, субъект ПДн вправе обратиться повторно к Оператору в целях повторного получения данных сведений не ранее чем через тридцать дней после первоначального обращения.

4.5. Субъект ПДн вправе обратиться повторно к Оператору в целях получения сведений, указанных в п. 4.6 до истечения срока, указанного в п. 4.4 в случае, если такие сведения были предоставлены ему не в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос должен содержать обоснование направления повторного запроса.

4.6. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:

- подтверждение факта обработки ПДн Оператором;

- правовые основания и цели обработки ПДн;

- применяемые Оператором способы обработки ПДн;

- наименование и место нахождения Оператора сведения о лицах (за исключением сотрудников Оператора), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Оператором или на основании законодательства РФ;

- обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

- сроки обработки ПДн, в том числе сроки их хранения;

- порядок осуществления субъектом ПДн прав, предусмотренных законодательством РФ;

- информацию об осуществленной или о предполагаемой трансграничной передаче ПДн.

- иные сведения, предусмотренные Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" или другими федеральными законами.