Политика в отношении обработки персональных данных

1.1. Положение об обработке и защите персональных данных (далее - Положение) в администрации Поломского сельского поселения Белохолуницкого района Кировской области (далее – администрация поселения) разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации", Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных", Федеральным законом от 22.10.2004 № 125-ФЗ "Об архивном деле в Российской Федерации", постановлением Правительства Российской Федерации от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", постановлением Правительства Российской Федерации от 15.09.2008 № 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", приказом ФСТЭК от 18.02.2013 № 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных", Правилами внутреннего трудового распорядка администрации поселения.

1.2. Настоящее Положение устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (далее - ИСПДн), представляющих собой совокупность персональных данных, содержащихся в базах данных, позволяющих осуществлять обработку таких персональных данных с использованием и без использования средств автоматизации, в администрации Поломского сельского поселения (далее - Оператор).

1.3. Цель разработки настоящего Положения - определение порядка обработки персональных данных, которые подлежат обработке, на основании полномочий оператора; обеспечение защиты прав и свобод субъектов при обработке их персональных данных, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая:

сбор;
запись;
систематизацию;
накопление;
хранение;
уточнение (обновление, изменение);
извлечение;
использование;
передачу (распространение, предоставление, доступ);
обезличивание;
блокирование;
удаление;
уничтожение персональных данных;

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

Конфиденциальность персональных данных – обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным, требование не допускать их распространения без согласия субъекта персональных данных или иного законного основания;

Распространение персональных данных - действия, направленные на передачу персональных данных субъекта персональных данных определенному кругу лиц или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;

Блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;

Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;

Обезличивание персональных данных - действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;

Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности;

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1. Все персональные данные субъекта следует получать у него самого. Если персональные данные возможно получить только у третьей стороны, то субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Оператор должен сообщить субъекту о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.

2. Письменное согласие субъекта на обработку своих персональных данных должно включать в себя:

фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

наименование (фамилию, имя, отчество) и адрес Оператора, получающего согласие субъекта персональных данных;

цель обработки персональных данных;

перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

срок, в течение которого действует согласие, а также порядок его отзыва.

3. В случае возникновения необходимости передачи персональных данных субъектов персональных данных третьим лицам и их последующей обработки необходимо получать письменное согласие субъекта персональных данных.

4. Согласие субъекта на передачу персональных данных не требуется в следующих случаях:

обработка персональных данных осуществляется на основании Трудового кодекса РФ или иного федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия Оператора;

обработка персональных данных осуществляется в целях исполнения трудового договора;

обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получение его согласия невозможно.

5. Оператор не имеет права получать и обрабатывать персональные данные субъекта о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации Оператор вправе получать и обрабатывать данные о частной жизни субъекта персональных данных только с его письменного согласия.

Обработка указанных персональных данных без согласия субъекта персональных данных возможна в следующих случаях:

персональные данные являются общедоступными;

по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.

5. Порядок обработки, передачи и хранения персональных данных:

Субъект предоставляет Оператору достоверные сведения о себе. Оператор проверяет достоверность сведений, сверяя данные, предоставленные субъектом, с имеющимися у субъекта документами.

При определении объема и содержания обрабатываемых персональных данных оператор должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации", Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных", Федеральным законом от 22.10.2004 № 125-ФЗ "Об архивном деле в Российской Федерации", постановлением Правительства Российской Федерации от 01.11.2012 №1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", Правилами внутреннего распорядка администрации поселения.

Избыточность получаемых персональных данных о субъекте, не требующихся для выполнения поставленной цели, недопустима.

6. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

7. Не допускается объединение баз данных информационных систем персональных данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместных между собой.

8. Защита персональных данных субъекта от неправомерного их использования или утраты обеспечивается Оператором за счет его средств в порядке, установленном федеральным законом.

9.Обработка персональных данных без использования средств автоматизации осуществляется в порядке, определенном Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

Конституция Российской Федерации;
Гражданский кодекс Российской Федерации;
Трудовой кодекс Российской Федерации;
Градостроительный кодекс Российской Федерации;
Жилищный кодекс Российской Федерации;
Земельный кодекс Российской Федерации;
Кодекс Российской Федерации об административных правонарушениях;
Семейный кодекс Российской Федерации,
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»,
Федеральный закон от 06.10.2003 № 131-ФЗ «Об общих принципах организации местного самоуправления в Российской Федерации»;
Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг»;
Федеральный закон от 02.03.2007 № 25-ФЗ «О муниципальной службе в Российской Федерации»;
Федеральный закон от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;
Федеральный закон от 24.04.2008 № 48-ФЗ «Об опеке и попечительстве»;
Федеральный закон от 24.06.1999 № 120-ФЗ «Об основах системы профилактики безнадзорности и правонарушений несовершеннолетних»;
Федеральный закон от 02.04.2014 № 44-ФЗ «Об участии граждан в охране общественного порядка»;
Федеральный закон от 09.02.2009 № 8-ФЗ «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления»;
Федеральный закон от 20.08.2004 № 113-ФЗ «О присяжных заседателях федеральных судов общей юрисдикции в Российской Федерации»;
Закон Кировской области от 25.11.2010 №578-ЗО «О комиссиях по делам несовершеннолетних и защите их прав в Кировской области»;
Закон Кировской области от 04.12.2007 № 200-ЗО «Об административной ответственности в Кировской области»;
Закон Кировской области от 06.04.2009 № 358-ЗО «Об административных комиссиях в Кировской области»;
Устав муниципального образования Белохолуницкий муниципальный район Кировской области;
договоры, заключаемые между Оператором и субъектом персональных данных;
согласие субъекта персональных данных на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Оператора);
иные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

1. При передаче персональных данных субъекта Оператор должен соблюдать следующие требования:

Не сообщать персональные данные субъекта третьей стороне без письменного согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральным законом.
Не сообщать персональные данные субъекта в коммерческих целях без его письменного согласия.
Предупредить лиц, получающих персональные данные субъекта, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъекта, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными субъектов в порядке, установленном федеральными законами.
Разрешать доступ к персональным данным субъектов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретной функции.

2. Распространение персональных данных:

Оператор не вправе распространять персональные данные субъектов третьим лицам без согласия субъектов на передачу таких данных.

Согласие на обработку персональных данных, разрешенных субъектом для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных и приведено в приложении № 4 к настоящему Положению.

Оператор обязан обеспечить субъекту возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на распространение персональных данных.

В случае если из предоставленного субъектом согласия на распространение персональных данных не следует, что субъект согласился с распространением персональных данных, такие персональные данные обрабатываются Оператором без права распространения.

В случае если из предоставленного субъектом согласия на передачу персональных данных не следует, что субъект не установил запреты и условия на обработку персональных данных или не указал категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, Оператор обрабатывает такие персональные данные без возможности передачи (распространения, предоставления, доступа) неограниченному кругу лиц.

Согласие субъекта на распространение персональных данных может быть предоставлено Оператору:

непосредственно;
с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

В согласии на распространение персональных данных субъект вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных Оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом данных запретов и условий не допускается.

Оператор обязан в срок не позднее трех рабочих дней с момента получения согласия субъекта на распространение персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных субъекта для распространения.

Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом для распространения, должна быть прекращена в любое время по его требованию. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта, а также перечень персональных данных, обработка которых подлежит прекращению.

Субъект вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений Федерального закона от 27.07.2006 № 152-ФЗ или обратиться с таким требованием в суд. Оператор или третье лицо обязаны прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта или в срок, указанный во вступившем в законную силу решении суда. Если такой срок в решении суда не указан, то Оператор или третье лицо обязаны прекратить передачу персональных данных субъекта в течение трех рабочих дней с момента вступления решения суда в законную силу.

3. Хранение и использование персональных данных субъектов:

Персональные данные субъектов обрабатываются и хранятся в структурных подразделениях, в которые они поступают.
Документы, содержащие персональные данные субъектов, хранятся в шкафах (сейфах), обеспечивающих защиту от несанкционированного доступа.
Персональные компьютеры, в которых содержатся персональные данные, должны быть защищены паролями доступа. Жесткие диски компьютеров должны быть пронумерованы и учтены в специальном журнале.
Системные блоки компьютеров должны быть опечатаны, все действия по обслуживанию и ремонту должны осуществляться специалистами сектора информационных технологий.
Персональные данные субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде с передачей по внутренней сети информационной системы.
Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют соответствующие цели обработки персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

1. Уничтожение персональных данных производится при наступлении обстоятельств или достижении цели обработки персональных данных, с которыми законодательство, а также настоящее Положение связывает необходимость их уничтожения, если иное не предусмотрено соглашением между Оператором и субъектом персональных данных. Уничтожение документов, содержащих персональные данные, производится путем их физического уничтожения (сжигание, измельчение), исключающего возможность восстановления персональных данных.

2. Блокирование персональных данных осуществляется на основании письменного заявления субъекта или в случаях, установленных законодательством.

В заявлении о блокировании персональных данных субъект обязан указать, на какой срок и какие его персональные данные необходимо блокировать.

По получении указанного заявления субъекта Оператор блокирует персональные данные на срок, указанный в заявлении.

3. Изменение персональных данных производится в случае поступления заявления субъекта об изменении своих персональных данных либо в случае получения сведений об изменении персональных данных субъекта от третьих лиц в порядке и на условиях, предусмотренных действующим законодательством.

Внесение изменений в персональные данные субъекта производится путем внесения таких изменений в документы, содержащие персональные данные субъекта.

Политика конфиденциальности

Постановление администрации Поломского сельского поселения № 41-П от 07.08.2024 "Об утверждении Политики администрации Поломского сельского поселения в отношении обработки персональных данных"

58 КБ

Постановление администрации Поломского сельского поселения № 42-П от 07.08.2024 "Об утверждении Положения об обработке и защите персональных данных в администрации Поломского сельского поселения"

67 КБ