Положение об обработке персональных данных

Приложение № 16
к приказу от 13.08. 2018 г. № 150

Ссылка на документ

Положение

об обработке персональных данных

1. Общие положения
   1. Положение об обработке персональных данных (далее – Положение) в Управлении социальной защиты населения Кизильского муниципального района (далее Учреждение) разработано в соответствии с Конституцией Российской Федерации от 25.12.1993, Гражданским кодексом Российской Федерации от 30.11.1994 № 51-ФЗ, Федеральным законом «Об информации, информационных технологиях и о защите информации» от 27.07.2006 № 149-ФЗ, Федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ, а также другими нормативными правовыми актами, действующими на территории Российской Федерации.
   2. Цель разработки Положения — определение порядка обработки персональных данных сотрудников и иных субъектов персональных данных, персональные данные которых подлежат обработке на основании полномочий Учреждения; обеспечение защиты прав и свобод человека и гражданина, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.
   3. К любой информации, содержащей персональные данные субъекта, применяется режим конфиденциальности, за исключением общедоступных персональных данных.
   4. Режим конфиденциальности персональных данных снимается в случае истечения срока их хранения или продлевается на основании заключения экспертной комиссии Учреждения, если иное не определено законом Российской Федерации.

1. Термины и определения

1. Безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.
2. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
3. Документированная информация – зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.
4. Доступ к информации – возможность получения информации и ее использования.
5. Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
6. Идентификация – присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.
7. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
8. Информация – сведения (сообщения, данные) независимо от формы их представления.
9. Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.
10. Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.
11. Носитель информации – физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.
12. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
13. Обработка персональных данных без использования средств автоматизации – обработка персональных данных, при которой такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
14. Оператор (персональных данных) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
15. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.
16. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
17. Субъект персональных данных – физическое лицо, которое может быть однозначно идентифицировано по персональным данным.
18. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
19. Целостность информации – состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право.

1. Состав персональных данных

1. Состав персональных данных, обрабатываемых в ИСПДн Учреждения, определяется соответствующим Перечнем персональных данных.
2. Перечень персональных данных утверждается руководителем Учреждения.
3. Руководитель определяет перечень лиц из числа сотрудников, уполномоченных на обработку персональных данных субъектов, обеспечивающих обработку персональных данных в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», других нормативных правовых актов Российской Федерации и несущих ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты этих персональных данных.
4. Документы со сведениями, содержащими персональные данные, обрабатываются на рабочих местах сотрудников, перечень которых определяется руководителем Учреждения.
5. Комплекс документов, сопровождающий процесс оформления трудовых отношений сотрудника Учреждения при его приеме, переводе и увольнении.

1. Информация, представляемая сотрудником при поступлении на работу в Учреждение, должна иметь документальную форму. При заключении трудового договора в соответствии со ст. 65 Трудового кодекса Российской Федерации лицо, поступающее на работу, предъявляет работодателю:

• паспорт или иной документ, удостоверяющий личность;
• трудовую книжку, за исключением случаев, когда трудовой договор заключается впервые или сотрудник поступает на работу на условиях совместительства;
• страховое свидетельство обязательного пенсионного страхования;
• документы воинского учета - для военнообязанных и лиц, подлежащих призыву на военную службу;
• документ об образовании и (или) о квалификации или наличии специальных знаний,
• заполненная анкета работника,
• -справка об отсутствии (наличии) судимости,
• заключение медицинского учреждения о наличии (отсутствии) заболеваний (для муниципальных служащих).

1. При оформлении сотрудника в Учреждение заполняется унифицированная форма Т-2 «Личная карточка работника», в которой отражаются следующие анкетные и биографические данные муниципального служащего:

• общие сведения (идентификационный номер налогоплательщика, номер страхового свидетельства государственного пенсионного страхования, пол, Ф.И.О. дата рождения, место рождения, гражданство, знание иностранного языка, образование, профессия, стаж работы, состояние в браке, состав семьи, серия, номер и дата выдачи паспорта, наименование органа, выдавшего паспорт, адрес и дата регистрации по месту жительства (месту пребывания), номер телефона);
• сведения о воинском учете;
• данные о приеме на работу.

1. В дальнейшем в личную карточку вносятся:

• сведения о переводах на другую работу;
• сведения об аттестации;
• сведения о повышении квалификации;
• сведения о профессиональной переподготовке;
• сведения о наградах (поощрениях), почетных званиях;
• сведения об отпусках;
• сведения о социальных льготах.

1. В Учреждении создаются и хранятся следующие группы документов, содержащие персональные данные сотрудников в единичном или сводном виде:

• документы, содержащие персональные данные сотрудников (комплексы документов, сопровождающие процесс оформления трудовых отношений при приеме на работу, переводе, увольнении; комплекс материалов по анкетированию, тестированию, проведению собеседований с кандидатом на должность; подлинники и копии приказов по личному составу; личные дела и трудовые книжки работников; дела, содержащие основания к приказу по личному составу; дела, содержащие материалы аттестации работников; служебных расследований; справочно-информационный банк данных по персоналу (картотеки, журналы); подлинники и копии отчетных, аналитических и справочных материалов, передаваемых руководству Учреждения, руководителям структурных подразделений; копии отчетов, направляемых в государственные органы статистики, налоговые инспекции и другие учреждения);
• документация по Учреждению, работе отделов (положения, должностные инструкции муниципальных служащих, приказы);
• документы по планированию, учету, анализу и отчетности в части работы с персоналом Учреждения.

1. Данные из документов сотрудников вносятся в электронном виде в информационную систему персональных данных. В бумажном виде впоследствии создаются, хранятся и передаются следующие группы документов, содержащие персональные данные сотрудников Учреждения:

• личная карточка сотрудника формы Т-2.
• лиичное дело сотрудника (содержит копии приказов, отдельных личных документов сотрудников (паспорт, снилс, ИНН, свидетельства о рождении детей и др.))

1. Комплекс документов, сопровождающий процесс работы с гражданами.

1. Информация, представляемая гражданами либо их представителями в структурные подразделения Учреждения:

• фамилия, имя, отчество;
• паспортные данные (серия, номер, дата выдачи, орган выдачи, срок действия);
• сведения о наличии инвалидности;
• дата рождения;
• состав семьи;
• СНИЛС;
• сведения о доходах;
• социальный статус;
• признаки учета (малоимущая семья, неполная семья и т.п.);
• место регистрации;
• место фактического проживания;
• сведения о жилищных условиях;
• сведения о начисленных льготах и мерах социальной поддержки, в том числе размер начислений по предоставляемым льготам и мерам социальной поддержки;
• номер банковского счета;
• место работы;
• телефон;
• стаж работы;
• сведения из квитанций об оплате жилищно-коммунальных услуг;
• дата смерти;
• способ получения мер социальной поддержки;
• сведения о судимости;
• сведения о прохождении военной службы;
• сведения из свидетельства о смерти;
• сведения из свидетельства о заключении брака;
• сведения из свидетельства о расторжении брака;
• сведения из свидетельства об усыновлении;
• сведения из свидетельства об установлении отцовства;
• медицинские сведения;
• гражданство.

2) Информация, представляемая гражданами либо их представителями в государственный банк данных о детях, оставшихся без попечения родителей «АИСТ»:

• номер анкеты;
• дата первичной регистрации ребенка;
• дата регистрации в муниципальном модуле;
• дата регистрации в региональном модуле;
• дата регистрации в федеральном модуле;
• фамилия;
• имя;
• отчество;
• пол;
• дата рождения;
• место рождения;
• цвет волос;
• цвет глаз;
• гражданство;
• номер свидетельства о рождении;
• серия свидетельства о рождении;
• дата выдачи свидетельства о рождении;
• место выдачи свидетельства о рождении;
• этническое происхождение;
• местонахождение ребенка;
• дата проведения обследования;
• вес;
• рост;
• физическое развитие;
• нервно-психологическое развитие;
• группа здоровья;
• дата установки инвалидности;
• срок действия инвалидности;
• медицинское заключение;
• фамилия имя отчество матери;
• дата рождения матери;
• гражданство матери;
• состояние здоровья матери;
• принадлежность к определенной религии и культуре матери;
• местонахождение матери;
• причины отсутствия родительского попечения;
• ФИО, дата рождения, местонахождение, группа здоровья, № анкеты несовершеннолетних братьев и сестер;
• ФИО, дата рождения, местонахождение, степень родства, документ, подтверждающий невозможность устроить ребенка в семью родственника, дата документа совершеннолетнего родственника;
• особые приметы;
• особенности характера;
• фотографии.

3) Информация, предоставляемая гражданами Учреждения должна иметь документальную форму. Граждане предъявляют следующие документы или их заверенные копии:

• паспорт (копия);
• СНИЛС (копия или сведения из ПФР);
• ИНН (копия или сведения);
• справка о доходах;
• справка медико-социальной экспертизы (копия);
• удостоверение пенсионное (копия);
• удостоверение льготное (копия);
• квитанция об оплате жилищно-коммунальных услуг (копия);
• справка о составе семьи;
• справка о наличии судимости;
• справка о прохождении военной службы;
• свидетельство о рождении (копия или сведения);
• справка о стаже;
• свидетельство о заключении брака (копия или сведения);
• свидетельство о расторжении брака (копия или сведения);
• свидетельство о смерти (копия или сведения);
• свидетельство об установлении отцовства (копия или сведения);
• свидетельство об усыновлении (копия);
• постановление отдела опеки;
• договор о приемной семье;
• медицинские справки (из санаториев, лагерей, домов отдыха);
• справка Бюро Технической Инвентаризации;
• ответы на запросы;
• выписка из лицевого счета в банке,
• сберегательная книжка (копия);
• справка об отсутствии задолженности по жилищно-коммунальным услугам;
• технический паспорт на объект недвижимости (копия);
• справки из других учреждений разного характера (для частных случаев).

1. Данные из документов вносятся в электронном виде в ИСПДн. В бумажном виде впоследствии создаются, хранятся и передаются следующие группы документов, содержащие персональные данные граждан, обратившихся в Учреждение, в единичном или свободном виде:

• личное дело гражданина;
• запрос;
• документ по выплате;
• приказ, распоряжение;
• ответ на личное обращение или запрос;
• обращение;
• заявление;
• справки с отделов и других учреждений;
• документ из номенклатуры специалистов.

1. Порядок предоставления доступа к персональным данным

1. Допуск к персональным данным субъекта могут иметь только те сотрудники Учреждения, которым персональные данные необходимы в связи с исполнением ими своих трудовых обязанностей. Перечень таких сотрудников отражен в соответствующем списке.
2. Процедура оформления допуска к персональным данным представляет собой следующую строгую последовательность действий:

1. ознакомление сотрудника под роспись с настоящим Положением, Перечнем персональных данных и другими локальными нормативно-правовыми актами Учреждения, касающимися обработки персональных данных;
2. истребование с сотрудника Обязательства о неразглашении информации ограниченного доступа;
3. внесение сотрудника в Список лиц, допущенных к работе с персональными данными, и в Журнал учета лиц, допущенных к работе с персональными данными в информационных системах.

1. Каждый сотрудник должен иметь доступ к минимально необходимому набору персональных данных субъектов, необходимых ему для выполнения трудовых обязанностей.
2. Сотрудникам, не имеющим надлежащим образом оформленного допуска, доступ к персональным данным субъектов запрещается.
3. Любой субъект (законный представитель) имеет право, за исключением случаев, предусмотренных законодательством:

1. на получение сведений об Учреждении в соответствии со ст. 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
2. на ознакомление со своими персональными данными;
3. на уточнение, блокирование или уничтожение своих персональных данных в случае, если они являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленных Учреждением целей обработки.

1. В случае если Учреждения на основании договора поручает обработку персональных данных другому лицу, существенным условием договора должна являться обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.

1. Обработка персональных данных

1. Обработка персональных данных может осуществляться исключительно в целях осуществления деятельности, указанной в Положении об Учреждении, и в случаях, установленных законодательством Российской Федерации.
2. При определении объема и содержания обрабатываемых персональных данных Учреждение должно руководствоваться Конституцией Российской Федерации от 25.12.1993, Трудовым кодексом Российской Федерации от 30.12.2001 № 197-ФЗ, Федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ, Федеральным законом от 28.12.13 № 442-ФЗ «Об основах социального обслуживания граждан в Российской Федерации» и иными федеральными законами Российской Федерации.
3. Персональные данные субъектов обрабатываются и хранятся в помещениях Учреждения на учтенных машинных носителях в соответствии с Инструкцией по учету машинных носителей.
4. Персональные данные субъектов могут быть получены, обработаны и переданы на хранение как на бумажных носителях, так и в электронном виде – в локальной компьютерной сети, в компьютерных программах и электронных базах данных.
5. При использовании типовых форм документов, обрабатываемых без использования средств автоматизации, характер информации в которых предполагает или допускает включение в них персональных данных, должны соблюдаться условия, предусмотренные Постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
6. При ведении журналов (реестров, книг) без использования средств автоматизации, содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных на территорию, на которой находится Учреждения, или в иных аналогичных целях, должны соблюдаться требования, предусмотренные Постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
7. При обработке персональных данных допущенные к ним лица обязаны соблюдать нижеперечисленные требования:
   1. Персональные данные не могут быть использованы в целях причинения имущественного и/или морального вреда субъектам персональных данных, затруднения реализации прав и свобод граждан Российской Федерации.
   2. Сотрудники должны быть ознакомлены под расписку с нормативными документами Учреждения, устанавливающими порядок обработки персональных данных субъектов, а также их права и обязанности в этой области.
   3. Субъекты персональных данных (законные представители), не являющиеся сотрудниками Учреждения, имеют право ознакомиться с нормативными документами Учреждения, устанавливающими порядок обработки персональных данных субъектов, а также их права и обязанности в этой области.
   4. В случае выявления недостоверных персональных данных субъекта или неправомерных действий с ними сотрудники Учреждения при обращении или по запросу гражданина, являющегося субъектом персональных данных, или его законного представителя, либо уполномоченного органа по защите прав субъектов персональных данных, необходимо осуществить блокирование персональных данных, относящихся к соответствующему гражданину, с момента такого обращения или получения такого запроса на период проверки.
   5. В случае подтверждения факта недостоверности персональных данных на основании документов, представленных субъектом персональных данных, или его законным представителем, либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов необходимо уточнить персональные данные и снять их блокирование.
   6. В случае выявления неправомерных действий с персональными данными в срок, не превышающий трех рабочих дней с даты такого выявления, необходимо устранить допущенные нарушения. В случае если обеспечить правомерность обработки персональных данных невозможно, Учреждение в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Учреждения обязано уведомить субъекта персональных данных, или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, –  также указанный орган.
8. Получение персональных данных:

1. Учреждение имеет право получать и обрабатывать персональные данные граждан об их национальной принадлежности, состоянии здоровья (пп.2.3 п.2 ст.10 ФЗ РФ «О персональных данных» № 152 от 26.07.2006 г.).
2. Учреждение не имеет права получать и обрабатывать персональные данные сотрудников Учреждения об их расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, кроме случаев, когда субъект персональных данных (законный представитель) дал согласие в письменной форме с указанием данных категорий персональных данных.
3. Персональные данные следует получать лично у субъекта персональных данных (законного представителя). Субъект или его законный представитель принимает решение о предоставлении своих персональных данных и дает письменное согласие на их обработку Учреждением в случаях предусмотренных законодательством Российской Федерации. Форма заявления субъекта на обработку персональных данных представлена в Приложенииях 1 и 8 к настоящему Положению. (В Учреждении имеются также другие формы заявления-согласия для конкретных целей или услуг).
4. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных (законным представителем). Форма отзыва согласия на обработку персональных данных представлена в Приложении 2 к настоящему Положению.
5. В случае возникновения необходимости получения персональных данных у третьей стороны следует известить об этом субъекта (законного представителя) заранее, получить его письменное согласие и сообщить ему о целях, предполагаемых источниках и способах получения персональных данных. Форма заявления субъекта на получение его персональных данных от третьей стороны представлена в Приложении 3 к настоящему Положению.
6. Сотрудник Учреждения должен сообщить о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа субъекта дать письменное согласие на их получение.
7. Сотрудник Учреждения должен проверять достоверность персональных данных, сверяя данные, предоставленные субъектом или его законным представителем, с имеющимися у субъекта или его законного представителя документами.
8. При принятии решений, затрагивающих интересы субъекта персональных данных, не допускается основываться на персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получения.

1. Хранение персональных данных:

1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
2. Хранение персональных данных субъектов осуществляется на бумажных и электронных носителях, доступ к которым ограничен.
3. Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях без использования средств автоматизации.
4. Личные дела хранятся в бумажном виде в папках, прошитые и пронумерованные по страницам. Личные дела хранятся в специально отведенной секции сейфа или металлического или деревянного шкафа, обеспечивающего защиту от несанкционированного доступа.
5. Сотрудники, хранящие персональные данные на бумажных носителях, обеспечивают их защиту от несанкционированного доступа и копирования согласно Положению об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденному постановлением Правительства Российской Федерации 15 сентября 2008 г. № 687.
6. Безопасность персональных данных при их обработке с использованием технических и программных средств обеспечивается с помощью системы защиты персональных данных, включающей в себя организационные меры и средства защиты информации, удовлетворяющие устанавливаемым в соответствии с законодательством РФ требованиям, обеспечивающим защиту информации.

1. При передаче персональных данных субъекта Учреждение обязано соблюдать нижеперечисленные требования:

1. Передавать персональные данные субъектов допускается только тем сотрудникам, которые имеют допуск к обработке персональных данных.
2. Не сообщать персональные данные субъекта третьей стороне без письменного согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, предусмотренных Трудовым кодексом Российской Федерации и иными федеральными законами. Форма заявления субъекта на передачу его персональных данных третьей стороне представлена в Приложении 4 настоящего Положения.
3. Предупредить лиц, получающих персональные данные субъекта, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъекта, обязаны соблюдать требования конфиденциальности.
4. Не сообщать персональные данные субъекта в коммерческих целях без его письменного согласия.
5. Не запрашивать информацию о состоянии здоровья сотрудника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения им трудовой функции. Информация запрашивается с письменного согласия субъекта персональных данных (законного представителя).
6. Передавать персональные данные субъекта представителям субъектов в порядке, установленном законодательством Российской Федерации, и ограничивать эту информацию только теми персональными данными субъекта, которые необходимы для выполнения указанными представителями их функций.
7. Все сведения о передаче персональных данных субъекта регистрируются в Журнале учета запросов от сторонних лиц в целях контроля правомерности использования данной информации лицами, ее получившими. В журнале фиксируются сведения о лице, направившем запрос, дата передачи персональных данных или дата уведомления об отказе в их предоставлении, а также перечень переданной информации. Форма журнала представлена в Приложении 5 к настоящему Положению.

1. Конфиденциальность персональных данных:

1. Учреждения обеспечивает конфиденциальность персональных данных, за исключением общедоступных персональных данных.
2. Все меры конфиденциальности при сборе, обработке и хранении персональных данных субъекта распространяются как на бумажные, так и на электронные (машинные) носители информации.
3. Все сотрудники, имеющие доступ к персональным данным субъектов, обязаны подписать соглашение о неразглашении персональных данных. Форма соглашения о неразглашении персональных данных представлена в Приложении 6 настоящего Положения.

1. Уничтожение персональных данных

1. Персональные данные субъектов хранятся не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
2. Документы, содержащие персональные данные, подлежат хранению и уничтожению в порядке, предусмотренном законодательством Российской Федерации, а также нормативными документами Учреждения.
3. Уничтожение носителей информации (как бумажных, так и машинных) производится по решению руководителя Учреждения.
4. Вывод из эксплуатации машинного носителя производится путем его форматирования, либо путем его механического повреждения в присутствии ответственного за обеспечение безопасности персональных данных.
5. Бумажные носители персональных данных уничтожаются в бумагорезательной машине, а также путем сжигания.
6. По факту уничтожения персональных данных составляется акт, утверждаемый руководителем Учреждения, и делается отметка в соответствующем журнале. Форма акта представлена в Приложении 7 настоящего Положения.

1. Права и обязанности субъектов персональных данных и Учреждения

1. В целях обеспечения защиты персональных данных субъекты имеют право:

1.  получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной);
2. осуществлять свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные, за исключением случаев, предусмотренных законодательством Российской Федерации;
3. требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением законодательства Российской Федерации;
4. при отказе Учреждения или уполномоченного им лица исключить или исправить персональные данные субъекта – заявить в письменной форме о своем несогласии, представив соответствующее обоснование;
5. дополнить персональные данные оценочного характера заявлением, выражающим собственную точку зрения;
6. требовать от Учреждения или уполномоченного им лица уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта, обо всех произведенных в них изменениях или исключениях из них;
7. обжаловать в судебном порядке любые неправомерные действия или бездействие Учреждения или уполномоченного им лица при обработке и защите персональных данных субъекта.

1. Субъект персональных данных или его законный представитель обязуется предоставлять персональные данные, соответствующие действительности.
2. Для защиты персональных данных субъектов Учреждения:

1. обеспечивает защиту персональных данных субъекта от неправомерного их использования или утраты в порядке, установленном законодательством Российской Федерации;
2. производит ознакомление субъекта или его представителей с настоящим Положением и его правами в области защиты персональных данных под расписку;
3. по запросу производит ознакомление субъекта персональных данных, не являющегося сотрудником, или в случае недееспособности субъекта, его законных представителей с настоящим Положением и его правами в области защиты персональных данных;
4. осуществляет передачу персональных данных субъекта только в соответствии с настоящим Положением и законодательством Российской Федерации;
5. предоставляет персональные данные субъекта только уполномоченным лицам и только в той части, которая необходима им для выполнения их трудовых обязанностей в соответствии с настоящим положением и законодательством Российской Федерации;
6. обеспечивает субъекту свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей его персональные данные, за исключением случаев, предусмотренных законодательством Российской Федерации;
7. по требованию субъекта или его законного представителя предоставляет ему информацию о его персональных данных и обработке этих данных.

1. Организация защиты персональных данных

1. Защита персональных данных субъекта от неправомерного их использования или утраты обеспечивается Учреждением за счет своих средств, если иное не предусмотрено законодательством РФ.
2. Защита персональных данных сотрудников Учреждения должна осуществляться в соответствии с Главой 14 Трудового кодекса Российской Федерации.
3. В Учреждении защите подлежат все сведения, содержащие персональные данные субъектов, в том числе:

1. зафиксированные в бумажных документах;
2. зафиксированные в электронных документах на технических средствах, включая внешние носители;
3. речевая (акустическая) информация, содержащая персональные данные;
4. текстовая и графическая видовая информация, содержащая персональные данные;
5. информация, представленная в виде информативных электрических сигналов, физических полей, содержащая персональные данные.

1. Защита персональных данных должна вестись по трем взаимодополняющим направлениям:

1. Проведение организационных мероприятий:

• разработка и внедрение внутренних организационно-распорядительных документов, регламентирующих обработку и защиту персональных данных субъектов, в том числе порядок доступа в помещения и к персональным данным;
• ознакомление сотрудников с законодательством Российской Федерации и внутренними нормативными документами, получение обязательств, касающихся обработки персональных данных;
• проведение обучения сотрудников вопросам защиты персональных данных.

1. Программно-аппаратная защита:

• разработка модели угроз безопасности персональных данных;
• внедрение программно-аппаратных средств защиты информации, прошедших в соответствии с Федеральным законом № 184 от 27.12.2002 г. «О техническом регулировании» оценку соответствия;
• организация учета носителей персональных данных.

1. Инженерно-техническая защита:

• установка сейфов или запирающихся шкафов для хранения носителей персональных данных;
• установка усиленных дверей, сигнализации, режима охраны здания и помещений, в которых обрабатываются персональные данные.

1. Определение конкретных мер, общую организацию, планирование и контроль выполнения мероприятий по защите персональных данных осуществляет ответственный за обеспечение безопасности персональных данных в соответствии с законодательством в области защиты персональных данных и локальными нормативно-правовыми актами Учреждения.
2. Организацию и контроль защиты персональных данных в Учреждении осуществляет ответственный за организацию обработки персональных данных Учреждения.

1. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных

1. Сотрудники Учреждения, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъекта, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.
2. Руководитель Учреждения за нарушение норм, регулирующих получение, обработку и защиту персональных данных субъектов, несет административную ответственность согласно ст. 5.27 и 5.39 Кодекса об административных правонарушениях Российской Федерации, а также возмещает субъекту ущерб, причиненный неправомерным использованием информации, содержащей персональные данные этого субъекта.
3. Разглашение персональных данных субъекта (передача их посторонним лицам, в том числе другим сотрудникам, не имеющим к ним допуск), их публичное раскрытие, утрата документов и иных носителей, содержащих персональные данные субъекта, а также иные нарушения обязанностей по их защите и обработке, установленных настоящим Положением, локальными нормативно-правовыми актами (приказами, распоряжениями) Учреждения, влечет наложение на сотрудника, имеющего доступ к персональным данным, дисциплинарных взысканий в виде: замечания, выговора, увольнения.
4. Сотрудник Учреждения, имеющий доступ к персональным данным субъекта и совершивший указанный дисциплинарный проступок, несет полную материальную ответственность в случае причинения его действиями ущерба Учреждению (в соответствии с п.7 ст. 243 Трудового кодекса РФ).
5. Кодексом Российской Федерации об административных правонарушениях предусмотрены следующие составы административных правонарушений:
   1. статья 5.27. Нарушение законодательства о труде и об охране труда;
   2. статья 5.39. Неправомерный отказ в предоставлении гражданину и (или) организации информации, предоставление которой предусмотрено федеральными законами, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации;
   3. статья 13.11. Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных);
   4. часть 2 статьи 13.12. Использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну);
   5. статья 13.14. Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 Кодекса;
   6. часть 1 статьи 19.5. Невыполнение в установленный срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль), об устранении нарушений законодательства (Роскомнадзор);
   7. статья 19.7. Непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде (уведомление Роскомнадзора).
6. Уголовным кодексом Российской Федерации предусмотрены следующие преступления в области персональных данных:

1. часть 1 статьи 137. Незаконное собирание или распространение персональных данных либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации;
2. часть 2 статьи 137. Те же деяния, совершенные лицом с использованием своего служебного положения;
3. статья 140. Неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан;
4. статья 272. Неправомерный доступ к охраняемой законом компьютерной информации (в т.ч. к персональным данным).

1. В соответствии с Трудовым кодексом Российской Федерации:

1. статья 90. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных сотрудника;
2. статья 192. За совершение дисциплинарного проступка, то есть неисполнение или ненадлежащее исполнение сотрудником по его вине возложенных на него трудовых обязанностей, работодатель имеет право применить дисциплинарные взыскания;
3. по инициативе работодателя может быть расторгнут трудовой договор в случае разглашения персональных данных другого сотрудника (пп в п. 6 ст. 81 ТК РФ).