Положение об обработке и защите персональных данных
Утвержден
приказом Счетной палаты
от «27» января 2017 года №8а о/д
Положение
об обработке и защите персональных данных
в Счетной палате Псковской области
1. Общие положения
1.1. Настоящее Положение определяет организацию работы по
обработке персональных данных в Счетной палате Псковской области (далее - Счетная палата) и включает:
- Правила обработки персональных данных в Счетной палате, устанавливающие процедуры, направленные на выявление и
предотвращение нарушений законодательства Российской Федерации в
сфере персональных данных, а также определяющие для каждой цели
обработки персональных данных содержание обрабатываемых персональных
данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при
достижении целей обработки или при наступлении иных законных
оснований;
- Правила рассмотрения запросов субъектов персональных данных или их представителей;
- Правила осуществления внутреннего контроля соответствия
обработки персональных данных требованиям к защите персональных
данных;
- Правила работы с обезличенными данными;
- Перечень информационных систем персональных данных;
- Перечень персональных данных субъектов персональных данных,
обрабатываемых в Счетной палате в связи с реализацией служебных или трудовых отношений, а также в связи с рассмотрением обращений граждан, осуществлением государственных и иных функций;
- Перечень должностей в Счетной палате, ответственных за проведение мероприятий по обезличиванию персональных данных;
- Перечень государственных должностей Псковской области и
должностей государственной гражданской службы в Счетной палате, замещение которых предусматривает осуществление обработки
персональных данных либо осуществление доступа к персональным данным;
- Типовое обязательство сотрудника Счетной палаты, осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта прекратить обработку персональных данных, ставших известными ему в связи с исполнением должностных обязанностей (приложение №1);
- Типовую форму согласия на обработку персональных данных
(приложение №2);
- Типовую форму разъяснения субъекту персональных данных
юридических последствий отказа предоставить свои персональные данные
(приложение №3);
- Должностной регламент должностного лица, ответственного за организацию обработки персональных данных в Счетной плате (приложение №4);
- Порядок доступа в помещения Счетной палаты, в которых ведется обработка персональных данных;
- Правила обработки информации в общедоступных источниках
персональных данных;
- Ответственность за разглашение персональных данных.
1.2. Обработка персональных данных в Счетной палате выполняется с использованием средств автоматизации или без использования
таких средств и включает сбор, запись, систематизацию, накопление,
хранение, уточнение (обновление, изменение), извлечение, использование,
передачу (распространение, предоставление, доступ), обезличивание,
блокирование, удаление, уничтожение персональных данных субъектов,
персональные данные которых обрабатываются в Счетной палате.
1.3. Обработка персональных данных в Счетной палате осуществляется в целях защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, при реализации Счетной палатой трудовых правоотношений, а также осуществлении возложенных законодательством функций, полномочий и обязанностей.
1.4. Настоящее Положение разработано в соответствии с требованиями Конституции Российской Федерации, Трудового кодекса Российской Федерации, Кодекса Российской Федерации об административных правонарушениях, Федеральных законов: от 27.07.2004 №79-ФЗ «О государственной гражданской службе Российской Федерации», от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации», от 27.07.2006 № 152-ФЗ «О персональных данных»
(далее - Федеральный закон «О персональных данных»), от 25.12.2008
№ 273-ФЗ «О противодействии коррупции», от 07.02.2011 № 6-ФЗ «Об
общих принципах организации и деятельности контрольно-счетных органов
субъектов Российской Федерации и муниципальных образований», от
05.04.2013 № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ,
услуг для обеспечения государственных и муниципальных нужд», постановления Правительства Российской Федерации от 21.03.2012 №211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ними нормативными правовыми актами операторами, являющимися государственными или муниципальными органами», приказа Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных» и иными нормативными правовыми актами Российской Федерации.
2. Субъекты персональных данных
2.1. Субъектами персональных данных в Счетной палате являются:
- сотрудники Счетной палаты - лица, замещающие государственные должности Псковской области, должности государственной гражданской службы Псковской области;
- члены семей сотрудников Счетной палаты;
- лица, претендующие на замещение вакантных должностей государственной гражданской службы в Счетной палате, и члены их семей;
- граждане, обратившиеся в Счетную палату с обращением;
- уволенные сотрудники Счетной палаты, а также члены их семей;
- лица, представившие заявку для участия в закупках для
государственных нужд Счетной палаты;
- контрагенты и представители контрагентов по государственным
контрактам и договорам;
- лица, представившие сведения для участия в конкурсе на замещение
вакантных должностей государственной гражданской службы, а также
состоящие в кадровом резерве и члены их семей;
- участники производства по делам об административных
правонарушениях, подведомственных Счетной палате;
- независимые эксперты, специалисты и иные лица, привлекаемые
Счетной палатой для осуществления возложенных полномочий.
2.2. Обработка персональных данных осуществляется после получения согласия субъекта персональных данных, за исключением следующих случаев:
- обработка персональных данных необходима для достижения целей,
предусмотренных международным договором Российской Федерации или
законом, для осуществления и выполнения возложенных законодательством
Российской Федерации на Счетную палату функций, полномочий и обязанностей;
- обработка персональных данных необходима для осуществления
правосудия, исполнения судебного акта, акта другого органа или
должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
- обработка персональных данных необходима для исполнения
договора, стороной которого является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
- обработка персональных данных необходима для защиты жизни,
здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных
невозможно;
- обработка персональных данных необходима для осуществления прав
и законных интересов Счетной платы или третьих лиц, либо для
достижения общественно значимых целей при условии, что при этом не
нарушаются права и свободы субъекта персональных данных;
- осуществления обработки персональных данных, подлежащих
опубликованию или обязательному раскрытию в соответствии с
федеральным законом.
3. Сроки обработки, хранения и порядок уничтожения
персональных данных при достижении целей их обработки
или при наступлении иных законных оснований
3.1. Сроки хранения документов на бумажных носителях,
содержащих персональные данные всех субъектов персональных данных в
Счетной палате, определяются в соответствии с Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности Счетной палаты с указанием сроков хранения, и иными нормативными правовыми актами Российской Федерации.
3.2. Персональные данные, связанные с осуществлением
государственных функций, обрабатываются и хранятся до достижения цели
их обработки или до момента прекращения необходимости в достижении
заранее заявленных целей обработки персональных данных.
3.3. Персональные данные, содержащиеся в документах по личному
составу, хранятся в течение 75 (семидесяти пяти) лет со дня создания.
3.4. Персональные данные, содержащиеся в документах претендентов на замещение вакантной должности государственной гражданской службы в Счетной палате, не допущенных к участию в конкурсе, и кандидатов, участвовавших в конкурсе, хранятся в кадровом подразделении Счетной палаты в течение 3 лет со дня завершения конкурса, после чего подлежат уничтожению.
3.5. В случае достижения цели обработки персональных данных
обработка персональных данных прекращается, и они уничтожаются в срок,
не превышающий 30 (тридцать) дней с даты достижения цели обработки
персональных данных, если иное не предусмотрено договором, стороной
которого, является субъект персональных данных, иным соглашением между Счетной палатой и субъектом персональных данных, либо если Счетная палата не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
3.6. В случае отзыва субъектом персональных данных согласия на
обработку его персональных данных их обработка прекращается, и в случае,
если сохранение персональных данных более не требуется для целей обработки персональных данных, они уничтожаются в срок, не
превышающий 30 (тридцать) дней с даты поступления указанного отзыва,
если иное не предусмотрено договором, стороной которого,
является субъект персональных данных, иным соглашением между Счетной палатой и субъектом персональных данных, либо если Счетная палата не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
3.7. В случае выявления неправомерной обработки персональных
данных в срок, не превышающий 3 рабочих дней с даты этого выявления,
неправомерная обработка персональных данных прекращается. В случае,
если обеспечить правомерность обработки персональных данных
невозможно, в срок, не превышающий 10 рабочих дней с даты выявления
неправомерной обработки персональных данных, такие персональные
данные уничтожаются. Об устранении допущенных нарушений или об
уничтожении персональных данных Счетная палата уведомляет
субъект персональных данных или его представителя, а в случае, если
обращение субъекта персональных данных или его представителя либо
запрос уполномоченного органа по защите прав субъектов персональных
данных были направлены уполномоченным органом по защите прав
субъектов персональных данных, также указанный орган.
3.8. Уничтожение машинных носителей персональных данных,
выведенных из эксплуатации, производится на основании акта уничтожения,
утверждаемого председателем Счетной палаты.
3.9. Отделом правового, финансового и кадрового обеспечения осуществляется систематический контроль и выделение документов, содержащих персональные данные с истекшими сроками хранения, подлежащих уничтожению.
4. Рассмотрение запросов субъектов персональных данных и их представителей
4.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе
содержащей:
- подтверждение факта обработки персональных данных;
- правовые основания и цели обработки персональных данных;
- цели и применяемые способы обработки персональных данных;
- наименование и место нахождения организации, сведения о лицах,
которые имеют доступ к персональным данным или которыми могут быть
раскрыты персональные данные на основании договора или на основании
федерального закона;
- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения,
если иной порядок представления таких данных не предусмотрен
федеральным законом;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления субъектом персональных данных прав,
предусмотренных Федеральным законом «О персональных данных»;
- информацию об осуществленной или о предполагаемой трансграничной передаче данных;
- наименование или фамилию, имя, отчество и адрес лица,
осуществляющего обработку персональных данных по поручению
руководителя, если обработка поручена или будет поручена такому лицу;
- иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими нормативными правовыми актами
Российской Федерации.
4.2. Субъекты персональных данных вправе требовать от Счетной палаты уточнения их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
4.3. Информация, предусмотренная пунктом 4.1., должна быть представлена Счетной палатой субъекту персональных данных в
доступной форме, в ней не должны содержаться персональные данные,
относящиеся к другим субъектам персональных данных, за исключением
случаев, когда имеются законные основания для раскрытия таких
персональных данных.
4.4. Информация, предусмотренная пунктом 4.1., предоставляется
субъекту персональных данных или его представителю должностным лицом структурного подразделения Счетной палаты, осуществляющим
обработку соответствующих персональных данных, при обращении либо при
получении запроса субъекта персональных данных или его представителя,
содержащего:
- номер, серию документа, удостоверяющего личность субъекта
персональных данных или его представителя, дату выдачи, наименование
органа, выдавшего его;
- информацию, подтверждающую факт обработки персональных данных субъекта персональных данных в Счетной палате;
- подпись субъекта персональных данных или его представителя.
4.5. Запрос может быть направлен в форме электронного документа и
подписан электронной подписью в соответствии с законодательством
Российской Федерации.
4.6. В случае если информация, предусмотренная пунктом 4.1., а также обрабатываемые персональные данные были предоставлены для
ознакомления субъекту персональных данных, субъект персональных данных
вправе повторно обратиться в Счетную палату лично или направить повторный запрос, в целях получения указанной информации и ознакомления с персональными данными, не ранее чем через 30 (тридцать)
дней после первоначального обращения или направления первоначального
запроса, если более короткий срок не установлен законодательством
Российской Федерации или договором, стороной которого является субъект
персональных данных.
4.7. Субъект персональных данных вправе повторно обратиться в
Счетную палату лично или направить повторный запрос в целях
получения информации, предусмотренной пунктом 4.1., а также в целях
ознакомления с обрабатываемыми персональными данными до истечения
срока, указанного в пункте 4.6., в случае, если такие сведения и (или)
обрабатываемые персональные данные не были предоставлены ему для
ознакомления в полном объеме по результатам рассмотрения
первоначального обращения. Повторный запрос наряду со сведениями,
указанными в пункте 4.4., должен содержать обоснование направления
повторного запроса.
4.8. Счетная палата вправе направить мотивированный отказ субъекту персональных данных в выполнении повторного запроса, не
соответствующего условиям, предусмотренным пунктами 4.6., 4.7.
4.9. Право субъекта персональных данных на доступ к его
персональным данным может быть ограничено в соответствии с
законодательством Российской Федерации, в том числе, если доступ
субъекта персональных данных к его персональным данным нарушает права
и законные интересы третьих лиц.
5. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных
5.1. Проверка условий обработки персональных данных осуществляется специальной комиссией, определенной приказом председателя Счетной палаты.
5.2. Проверки осуществляются путем опроса, а также путем осмотра
рабочих мест сотрудников Счетной палаты, участвующих в процессе обработки персональных данных.
Контролируемые вопросы в ходе проведения проверки:
- наличие у служащих допуска к обработке персональных данных;
- наличие согласий субъектов на обработку их персональных данных;
- соблюдение целей, состава и сроков обработки персональных данных;
- соблюдение правил по обезличиванию персональных данных;
- хранение бумажных носителей с персональными данными;
- доступ к бумажным носителям с персональными данными;
- соблюдение порядка доступа в помещения, в которых ведется обработка персональных данных;
- соблюдение служащими правил парольной политики;
- соблюдение служащими правил антивирусной защиты;
- соблюдение служащими правил работы с машинными носителями
персональных данных;
- наличие (отсутствие) фактов несанкционированного доступа к
персональным данным и принятие необходимых мер;
- соблюдение порядка работы со средствами защиты информации.
5.3. Проверки проводятся на основании приказа председателя
Счетной палаты по его инициативе или на основании поступившего в Счетную палату письменного заявления о нарушениях правил обработки персональных данных, не реже одного раза в год.
5.4. Срок проведения проверки 1 месяц. О результатах проведенной
проверки и мерах, необходимых для устранения выявленных нарушений,
председателю Счетной палаты докладывает председатель комиссии в форме письменного заключения.
5.5. Заключения хранятся у ответственного за организацию обработки
персональных данных в течение 5 лет.
5.6. В отношении персональных данных, ставших известными
комиссии в ходе проведения мероприятий внутреннего контроля, должна
обеспечиваться конфиденциальность персональных данных.
6. Правила работы с обезличенными данными
6.1. Обезличивание персональных данных - действия, в результате
которых невозможно определить принадлежность персональных данных
конкретному субъекту персональных данных.
6.2. Обезличивание персональных данных проводится с целью ведения статистического учета и отчетности, снижения ущерба от разглашения персональных данных, снижения уровня защищенности автоматизированных информационных систем, если иное не предусмотрено законодательством Российской Федерации.
6.3. Способы обезличивания при условии дальнейшей обработки
персональных данных:
- уменьшение перечня обрабатываемых сведений;
- замена части сведений идентификаторами;
- обобщение, понижение точности некоторых сведений;
- деление сведений на части и обработка в разных информационных
системах;
- другие способы.
6.4. Способом обезличивания в случае достижения целей обработки или в случае утраты необходимости в достижении этих целей является сокращение перечня персональных данных.
6.5. Председатель Счетной палаты принимает решение о необходимости обезличивания персональных данных на основании предложений служащих Счетной палаты, непосредственно осуществляющих обработку персональных данных, по обезличиванию персональных данных, обоснование такой необходимости и способ обезличивания.
6.6. Обезличенные персональные данные не подлежат разглашению.
7. Перечень информационных систем персональных данных
7.1. Система «СБиС++ Электронная отчетность».
7.2. Программный продукт «1С: Предприятие»:
- КАМИН: Расчет заработной платы для бюджетных учреждений;
- Бухгалтерия государственного учреждения.
7.3. Система документационного обеспечения «СЭД АПО».
7.4. Сбербанк Бизнес Онлайн.
8. Перечень персональных данных субъектов персональных данных, обрабатываемых в Счетной палате в связи с реализацией служебных или трудовых отношений, а также в связи с рассмотрением обращений граждан, осуществлением государственных и иных функций
8.1. В Счетной палате в связи с реализацией служебных или трудовых отношений, а также в связи с осуществлением полномочий могут обрабатываться следующие категории персональных данных:
- фамилия, имя, отчество (в том числе предыдущие);
- год рождения, месяц рождения, дата рождения, место рождения;
- информация о гражданстве (в том числе предыдущие гражданства,
иные гражданства);
- вид, серия, номер документа, удостоверяющего личность,
наименование органа, выдавшего его, дата выдачи, код подразделения (в том
числе сведения о предыдущих документах, удостоверяющих личность);
- номер контактного телефона или сведения о других способах связи;
- адрес места жительства (адрес регистрации, адрес фактического проживания);
- семейное положение, состав семьи и сведения о близких родственниках (в том числе бывших);
- социальное положение;
- наличие иждивенцев;
- образование;
- профессия;
- реквизиты свидетельства государственной регистрации актов
гражданского состояния;
- данные воинского учета;
- сведения о послевузовском профессиональном образовании
(наименование и год окончания образовательного учреждения, наименование
и реквизиты документа об образовании, квалификация, специальность по
документу об образовании, ученая степень);
- информация о владении иностранными языками, степень владения;
- состояние здоровья;
- медицинское заключение по установленной форме об отсутствии у
гражданина заболевания, препятствующего поступлению на
государственную гражданскую службу или ее прохождению;
- фотоизображение;
- сведения о трудовой деятельности;
- сведения о прежнем месте работы, информация, содержащаяся в
служебном контракте, дополнительных соглашениях к служебному
контракту;
- сведения о прохождении государс