В целях реализации Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных» и совершенствования локальных актов в сфере защиты и обработки  персональных данных граждан, обращающихся в администрацию Новоахпердинского

 сельского поселения Батыревского района Чувашской Республики:

1. Утвердить Положение «О защите персональных данныхв администрации Новоахпердинского сельского поселения Батыревского района  Чувашской Республики» (приложение 1), формы уведомления

об уничтожении, изменении, прекращении обработки, устранении нарушений, допущенных при обработке персональных данных (приложение 2), обязательства о соблюдении конфиденциальности персональных данных (приложение 3), журнала учета отчуждаемых электронных носителей персональных данных (приложение 4), журнала поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов (для обладателя конфиденциальной информации) (приложение 5), лист ознакомления сПоложением о защите персональных данных
в администрации Новоахпердинского сельского поселения Батыревского района Чувашской Республики (приложение 6).

2. Отделу организационно-контрольной и кадровой работы администрации Новоахпердинского сельского поселенияБатыревского района довести настоящее Положение до каждого работника администрации Новоахпердинского сельского поселения Батыревского района под роспись.

Глава администрации Новоахпердинского

 сельского поселения Батыревского района                                              А.А.Майрушкин

Приложение 1

ПОЛОЖЕНИЕ

о защите персональных данных в администрации Новоахпердинского сельского поселения Батыревского района

Чувашской Республики

1. Общие положения
   
   

1.1.      Настоящее Положение разработано в соответствии с Конституцией Российской Федерации, Трудовым Кодексом Российской Федерации от 30.12 2001 № 197-ФЗ, Гражданским Кодексом Российской Федерации, Федеральным законом от 15.11.1997  №  143-ФЗ «Об актах гражданского состояния», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Постановлением Правительства Российской Федерации от 17.11.2007 № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», нормативно-методическими документами ФСТЭК России в сфере обработки персональных данных.

1.2.      Цель разработки настоящего Положения - определение порядка приема, поиска, сбора, систематизации, накопления, хранения, уточнения, обновления, изменения, использования, распространения (в том числе передачи), обезличивания, блокирования, уничтожения, учета персональных данных, обрабатываемых в администрации Новоахпердинского сельского поселения Батыревского района Чувашской Республики (далее – администрации), и установление ответственности должностных лиц администрации, непосредственно осуществляющих обработку персональных данных и (или) имеющих доступ к персональным данным, за невыполнение требований законодательства Российской Федерации в сфере обработки и защиты персональных данных.

1.3.      В настоящем Положении используются следующие понятия, термины и сокращения:

Персональные данные (ПДн) - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, гражданство, данные документа, удостоверяющего личность, другая информация, необходимая администрации;

Обработка персональных данных – действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;

Распространение персональных данных – действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;

Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта или других лиц, либо иным образом затрагивающих права и свободы субъекта или других лиц;

Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;

Информационная система персональных данных (ИСПДн) – система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;

Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания;

Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами РФ не распространяется требование соблюдения конфиденциальности;

Субъект (персональных данных) – физическое лицо, определяемое на основании персональных данных, обрабатываемых в администрации;

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;

1.4.      Настоящее Положение и изменения к нему утверждаются главой администрации Новоахпердинского сельского поселения Батыревского района Чувашской Республики.

1.5.      Настоящее Положение вступает в силу с момента его утверждения и действует бессрочно, до замены его новым Положением.

1.6.      Настоящее Положение является обязательным для исполнения всеми работниками администрации, непосредственно осуществляющими обработку персональных данных и (или) имеющими доступ к персональным данным. Все работники администрации должны быть ознакомлены с настоящим Положением и изменениями к нему под роспись.

2. Состав персональных данных

2.1.                                                                                                                В администрации обрабатываются персональные данные двух групп субъектов:

- физических лиц, в отношении которых составляются нормативно правовые акты;

- граждан, обращающихся в администрации с письменными обращениями.

2.2.                                                                                                                К персональным данным физических лиц относятся следующие сведения:

- фамилия, имя, отчество;

- дата рождения;

- дата смерти;

- возраст;

- место рождения;

- место смерти;

- пол;

- гражданство;

- национальность;

- место жительства;

- данные документа, удостоверяющего личность;

- серия и № диплома;

- серия и № свидетельства о повышении квалификации;

2.3.                                                                                                                К персональным данным граждан, обращающихся в администрацию Батыревского района с письменными обращениями, относятся следующие сведения:

- ФИО;

- адрес заявителя;

- дата, сущность заявления;

- результаты рассмотрения, принятые меры

2.4.                                                                                                                К документам (в бумажном и (или) электронном виде), содержащим персональные данные граждан, обращающихся в администрацию Новоахпердинского сельского поселения Батыревского района с письменными обращениями, относятся:

- Реестр раздела «Письменные обращения граждан» системы электронного документооборота (СЭД);

- Письма, предложения, заявления и жалобы граждан и переписка по ним по вопросам деятельности администрации Новоахпердинского сельского поселения Батыревского района;

2.5.                                                                                                                Перечень персональных данных, обрабатываемых в ИСПДн администрации Новоахпердинского сельского поселения Батыревского района в разрезе электронных форм документов утверждается и изменяется внутренним распоряжением главы администрации Новоахпердинского сельского поселения Батыревского района.

3. Обработка персональных данных

3.1.      Общие требования при обработке персональных данных.

3.1.1. В целях обеспечения прав и свобод человека и гражданина работники администрации при обработке персональных данных гражданина Российской Федерации обязаны соблюдать следующие общие требования:

- обработка персональных данных в администрации осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, деятельности в сфере муниципальной службы;

- при определении объема и содержания обрабатываемых персональных данных, работники администрации должны руководствоваться Конституцией Российской Федерации, Федеральным законом от 02.03.20007 г. № 25-ФЗ «О муниципальной службе в Российской Федерации» и иными федеральными законами;

- обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также сведений о членстве субъекта персональных данных в общественных объединениях не допускается;

- обработка персональных данных в администрации осуществляется только специально уполномоченными лицами, перечень которых утверждается внутренним распоряжением администрации, при этом указанные в распоряжении сотрудники должны иметь право получать только те персональные данные субъекта, которые необходимы для выполнения непосредственных должностных обязанностей.

3.1.2. Использование персональных данных возможно только в соответствии с целями, определившими их получение. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации.

3.1.3. При принятии решений, затрагивающих интересы субъекта, сотрудники отдела администрации не имеют права основываться на персональных данных субъекта, полученных исключительно в результате их автоматизированной обработки.

3.2.      Получение персональных данных

Согласно п.2 ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», согласия субъекта персональных данных на обработку его персональных данных не требуется в случае, когда обработка персональных данных осуществляется на основании Федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данных которых подлежат обработке, а также определяющего полномочия оператора.

3.3.      Доступ к персональным данным

3.3.1. Перечень работников, осуществляющих обработку персональных данных, как в бумажном, так и в электронном виде и (или) имеющих доступ к персональным данным, утверждается внутренним распоряжением главы администрации Батыревского района. При этом указанные лица должны иметь право получать только те персональные данные субъектов, которые необходимы для выполнения непосредственных должностных обязанностей. Доступ к персональным данным работников администрации, не входящих в вышеуказанный перечень, запрещается.

3.3.2. Процедура оформления доступа к персональным данным включает в себя:

- ознакомление работника с настоящим Положением, инструкцией пользователя ИСПДн и другими нормативными актами, регулирующими обработку и защиту персональных данных в администрации Новоахпердинского сельского поселения Батыревского района, под роспись;

- подписание работником обязательства о соблюдении конфиденциальности персональных данных. Форма о соблюдении конфиденциальности персональных данных представлена в Приложении № 2 к настоящему Положению.

3.4.      Обеспечение конфиденциальности персональных данных

3.4.1. Персональные данные относятся к категории конфиденциальной информации.

3.4.2. Работники администрации Новоахпердинского сельского поселения Батыревского района получают доступ к персональным данным, которые относятся к категории конфиденциальной информации, имеют ограниченный доступ и разглашению не подлежат, за исключением случаев обработки:

- обезличенных персональных данных;

- общедоступных персональных данных.

3.5.      Права и обязанности сторон при обработке персональных данных

3.5.1. Каждый субъект персональных данных имеет право:

- на получение полной информации о своих персональных данных и на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей его персональные данные, за исключением случаев, предусмотренных действующим законодательством;

- на получение сведений об Операторе, о месте его нахождения, о наличии в администрации Новоахпердинского сельского поселения Батыревского района персональных данных, относящихся к соответствующему субъекту;

- на получение информации, касающейся обработки его персональных данных, в том числе содержащей: подтверждение факта обработки, цель обработки; способы обработки, сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ; перечень обрабатываемых персональных данных и источник их получения; сроки обработки персональных данных, в том числе сроки их хранения;

- требовать от работников администрации Батыревского района уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

- заявить о своем несогласии при отказе работников администрации Новоахпердинского сельского поселения Батыревского района исключить или исправить персональные данные (в письменной форме с соответствующим обоснованием такого несогласия).

3.5.2. Администрация Новоахпердинского сельского поселения Батыревского района обязана безвозмездно предоставить субъекту возможность ознакомления с персональными данными, относящимися к соответствующему субъекту, а также внести в них необходимые изменения.

3.6.      Передача персональных данных

3.6.1. При передаче персональных данных субъекта работники администрации Новоахпердинского сельского поселения Батыревского района обязаны соблюдать следующие требования:

- не сообщать персональные данные субъекта третьей стороне, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, предусмотренных Трудовым Кодексом Российской Федерации или иными федеральными законами.

- предупреждать лица, получающие персональные данные субъектов, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц обеспечения конфиденциальности полученных персональных данных;

- не сообщать персональные данные субъекта в коммерческих целях;

- передавать персональные данные субъекта представителям субъектов в порядке, установленном Трудовым Кодексом Российской Федерации, и ограничивать эту информацию только теми персональными данными субъекта, которые необходимы для выполнения указанными представителями их функций;

- не отвечать на вопросы, связанные с передачей персональных данных субъекта по телефону или факсу, за исключением случаев, связанных с выполнением соответствующими работниками своих непосредственных должностных обязанностей, адресатам в чью компетенцию входит получение такой информации.

3.7.      Хранение персональных данных

3.7.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении. В администрации Батыревского района хранение персональных данных субъектов может осуществляться на бумажных и электронных носителях, в базах данных, доступ к которым ограничен списком лиц, допущенных к обработке персональных данных.

3.7.2. Все электронные носители персональных данных подлежат строгому учету. Форма Журнала учета электронных носителей приведена в Приложении 4 к настоящему Положению.

3.7.3. Все хранимые или используемые СКЗИ (средства криптографической защиты информации), эксплуатационная и техническая документация к ним, ключевые документы подлежат поэкземплярному учету и выдаются под расписку в Журнале поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов пользователям СКЗИ, несущим персональную ответственность за их сохранность. Форма соответствующего Журнала приведена в Приложении 5 к настоящему Положению.

3.7.4. Хранение персональных данных субъектов должно происходить в порядке, исключающем их утрату или их неправомерное использование.

3.7.5. Персональные данные субъектов, содержащиеся на бумажных носителях и отчуждаемых электронных носителях информации, должны храниться в сейфах или запираемых шкафах, установленных в пределах контролируемой зоны администрации Батыревского района.

3.7.6. Персональные данные субъектов, содержащиеся на электронных носителях информации, должны храниться на автоматизированных рабочих местах и серверах информационных систем персональных данных администрации Батыревского района, установленных в пределах контролируемой зоны администрации Батыревского района.

3.7.7. Все меры, направленные на соблюдение конфиденциальности при сборе, обработке и хранении персональных данных субъекта, распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

3.8.      Уничтожение персональных данных

3.8.1. Обрабатываемые персональные данные должны быть уничтожены в следующих случаях:

- в случае достижения цели обработки персональных данных – в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных;

- в случае выявления неправомерных действий с персональными данными и невозможности устранения допущенных нарушений в трехдневный срок – уничтожить в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными.

3.8.2. После уничтожения персональных данных необходимо уведомить об этом субъекта персональных данных или его законного представителя. Форма уведомления представлена в Приложении № 2 к настоящему Положению.

3.8.3. Документы, содержащие персональные данные, подлежат хранению и уничтожению в порядке, предусмотренном архивным законодательством Российской Федерации.

4. Защита персональных данных

4.1. Администрация Батыревского района при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

4.2. Защита персональных данных представляет собой жестко регламентированный технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных, используемых в процессе деятельности администрации Батыревского района.

4.3. Основными организационными мерами по защите персональных данных в администрации Новоахпердинского сельского поселения Батыревского района являются:

- ограничение и регламентация состава работников, функциональные обязанности которых требуют конфиденциальных знаний;

- строгое, избирательное и обоснованное распределение документов и информации между работниками;

- рациональное размещение рабочих мест работников, при котором исключалось бы бесконтрольное использование защищаемой информации;

- обеспечение знания работником требований нормативно-методических документов по защите информации и сохранении тайны;

- обеспечение наличия необходимых условий в помещении для работы с конфиденциальными документами и базами данных;

- грамотная организация процесса уничтожения информации;

- организация регулярной воспитательной и разъяснительной работы с сотрудниками администрации Новоахпердинского сельского поселения Батыревского района по предупреждению утраты и утечки сведений при работе с конфиденциальными документами, содержащими персональные данные;

- разработка комплекта внутренних документов администрации Батыревского района, регламентирующих процессы обработки персональных данных.

4.4. В качестве дополнительных организационных мер защиты персональных данных в администрации Батыревского района создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ к персональным данным с целью овладения ценными сведениями и их использования, а также их искажения, уничтожения, подмены, фальсификации содержания реквизитов документа и т.д.

Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности администрации Батыревского района: посетители, работники других организационных структур. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов, содержащих персональные данные.

Для защиты персональных данных от несанкционированного доступа в администрации Батыревского района необходимо обеспечить:

- охрану в ночное время, в выходные и праздничные дни в помещениях администрации Батыревского района (в контролируемую зону),

- постоянную работоспособность пожарной и охранной сигнализации.

4.5. В качестве технических мер защиты персональных данных в администрации Батыревского района должны применяться:

- антивирусная защита;

- межсетевые экраны;

- специализированные средства защиты информации от несанкционированного доступа.

4.6. В целях организации контроля за обеспечением безопасности персональных данных в администрации Новоахпердинского сельского поселения Батыревского района быть создана постоянно действующая Комиссия по обеспечению безопасности персональных данных.

5. Взаимодействие с контрольно-надзорными органами

5.1. При поступлении запроса от уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) администрации Батыревского района  обязана сообщить информацию, необходимую для осуществления деятельности указанного органа, в течение семи рабочих дней с даты получения такого запроса.

5.2. В случае выявления недостоверных персональных данных или неправомерных действий с ними по запросу уполномоченного органа по защите прав субъектов персональных данных, администрация Батыревского района обязана осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки. В случае подтверждения факта недостоверности персональных данных, администрация Батыревского района на основании документов, представленных уполномоченным органом по защите прав субъектов персональных данных, обязан уточнить персональные данные и снять их блокирование.

 5.2. В случае выявления неправомерных действий с персональными данными по запросу уполномоченного органа по защите прав субъектов персональных данных и невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, администрация Батыревского района обязана уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных.

5.3. При проведении контрольно-надзорных мероприятий за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных, осуществляемых федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности (ФСБ России) и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации (ФСТЭК России), представители вышеуказанных контрольно-надзорных органов не имеют права на ознакомление с персональными данными, обрабатываемыми в информационных системах персональных данных.

5.4. При проведении контрольно-надзорных мероприятий в отношении администрации Новоахпердинского сельского поселения Батыревского района контрольно-надзорными органами, не осуществляющими контроль и надзор в сфере обработки персональных данных, представители вышеуказанных контрольно-надзорных органов имеют право на доступ к персональным данным только в сфере своей компетенции и в пределах своих полномочий в соответствии с законодательством Российской Федерации.

6. Ответственность за разглашение конфиденциальной информации, содержащей персональные данные

6.1. Каждый работник администрации Новоахпердинского сельского поселения Батыревского района, получающий доступ к конфиденциальному документу, содержащему персональные данные, несет персональную ответственность за сохранность носителя и конфиденциальность информации.

6.2. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работников, пациентов и (или) граждан, обратившихся в администрацию Новоахпердинского сельского поселения Батыревского района в письменной форме, несут дисциплинарную, административную ответственность в соответствии со ст.5.39, ст.13.11., ст.13.14  КоАП, гражданско-правовую в соответствии со ст.150 и ст.151 ГК РФ, уголовную ответственность в соответствии с ч.1 и ч.2 ст.137, ч.1 и ч.2 ст.272 УК. РФ и полную материальную ответственность в случае причинения их действиями ущерба в соответствии с п.7 ст. 243 Трудового кодекса Российской Федерации.

Приложение № 2

к Положению о защите персональных данных
в администрации Новоахпердинского сельского поселенияБатыревского района

от «11» мая  2011 г.

Уведомление

об уничтожении, изменении, прекращении обработки, устранении нарушений, допущенных при обработке персональных данных)

сообщаем Вам, что обработка Ваших персональных данных прекращена и указанная информация подлежит уничтожению (изменению).

Настоящее уведомление на руки получил:

Приложение № 3

к Положению о защите персональных данных
в администрацииНовоахпердинского сельского поселения Батыревского района

от «12» мая 2011 г.

Обязательство о соблюдении конфиденциальности персональных данных

Я предупрежден (а) о том, что в случае разглашения мной сведений, касающихся персональных данных или их утраты я несу ответственность, предусмотренную КоАП РФ.

Приложение №4

к Положению о защите персональных данных
в администрацииНовоахпердинского сельского поселения Батыревского района

от «11» мая 2011 г.

ЖУРНАЛ

учета отчуждаемых электронных носителей персональных данных

Приложение №5

к Положению о защите персональных данных
в администрацииНовоахпердинского сельского поселения Батыревского района

от «11» мая  2011

ЖУРНАЛ

поэкземплярного учета СКЗИ, эксплуатационной

и технической документации к ним, ключевых документов

(для обладателя конфиденциальной информации)

ЛИСТ ОЗНАКОМЛЕНИЯ
с Положением о защите персональных данных
в администрации Новоахпердинского сельского поселенияБатыревского района Чувашской Республики