Об ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

ПОЛОЖЕНИЕ

1. Общие положения

1.1. Положение об обработке и защите персональных данных определяет цели, содержание, порядок обработки персональных данных, меры, направленные на защиту персональных данных, а также процедуры, направленные на выявление и предотвращение нарушений законодательства в области персональных данных в МБУ «Кемеровский городской архив» (далее соответственно – Положение, МБУ «КГА»).

1.2. Положение принято в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных в МБУ «КГА», в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайн.

1.3. Положение распространяет свое действие на все персональные данные субъектов, обрабатываемые в МБУ «КГА» с использованием средств автоматизации, а также без использования средств автоматизации.

1.4. Положение разработано в соответствии с Конституцией Российской Федерации (ч. 1 ст. 23, ст. 24); на основе Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»; Трудового кодекса Российской Федерации; Федерального закона № 149-ФЗ от 27.07.2006 «Об информации, информационных технологиях и о защите информации»; Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства Российской Федерации от № 687 15.09.2008; Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденного постановлением Правительства Российской Федерации № 781 от 17.11.2007.

1.5. Положение использует понятия, определенные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 3) в редакции Федерального закона от 25.07.2011 № 261.

1.6. При обработке персональных данных МБУ «КГА» руководствуется требованиями законодательства Российской Федерации в области персональных данных.

1.7. Лицо, персональные данные которого обрабатываются в МБУ «КГА», имеет права субъекта персональных данных, установленные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1.8. Положение обязательно для руководства всем лицам, непосредственно осуществляющим обработку персональных данных, либо получившим доступ к персональным данным в МБУ «КГА».

2. Цель обработки персональных данных

2.1. МБУ «КГА» осуществляет обработку персональных данных с целью оказания муниципальных услуг по использованию документов архивного фонда в соответствии с уставом и муниципальным заданием МБУ «КГА».

2.2. При достижении цели обработки персональных данных в отношении конкретного субъекта персональных данных обработка его персональных данных прекращается, за исключением хранения персональных данных в течение срока, установленного федеральным законом или договором, стороной которого является субъект персональных данных, или номенклатурой дел МБУ «КГА».

2.3. По истечении определённого срока хранения персональные данные подлежат уничтожению в установленном порядке.

3. Категории субъектов, персональные данные которых обрабатываются

3.1. МБУ «КГА» обрабатывает персональные данные, принадлежащие следующим категориям субъектов персональных данных:
- работникам, состоящим с МБУ «КГА» в трудовых отношениях (далее – работники);
- заявителям (получателям услуг), обратившимся в МБУ «КГА» по вопросам исполнения социально-правовых и тематических запросов (далее – заявители);
- пользователям читальных залов (далее – пользователи).

4. Категории обрабатываемых персональных данных

4.1. МБУ «КГА» обрабатывает следующие указанные персональные данные работников: фамилия, имя, отчество, дата и место рождения, адрес проживания (регистрации); семейное, социальное, имущественное положение; образование, профессия, специальность, занимаемая должность; сведения о трудовом стаже, о предыдущем месте работы, о воинском учете, о заработной плате, о социальных льготах; номер телефона, паспортные данные, ИНН, СНИЛС, а также сведения, касающихся состояния здоровья, свидетельствующие о причине отсутствия на рабочем месте.

4.2. МБУ «КГА» обрабатывает следующие указанные персональные данные заявителей: фамилия, имя, отчество (и все изменения их), год рождения, место и годы работы, должность, домашний адрес, номер телефона, паспортные данные.

4.3. МБУ «КГА» обрабатывает следующие указанные персональные данные пользователей: фамилия, имя, отчество, дата рождения, образование, место работы, должность, адрес, номер телефона, паспортные данные.

4.4. МБУ «КГА» не обрабатывает специальные категории персональных данных (за исключением ограниченных сведений, касающихся состояния здоровья работника, свидетельствующих о причине его отсутствия на рабочем месте).

5. Перечень действий с персональными данными, способы обработки персональных данных

5.1. МБУ «КГА» совершает следующие указанные действия (операции) или совокупность действий (операций) с персональными данными работников, заявителей и пользователей: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

5.2. МБУ «КГА» обрабатывает персональные данные смешанным способом (с использованием средств автоматизации и без использования таких средств) с передачей персональных данных по локальной сети.

5.3. При реализации дистанционной передачи информации, получения и отправки запросов МБУ «КГА» использует:
- информационно-телекоммуникационную сеть, в том числе сеть интернет для сбора персональных данных заявителей посредством электронной почты и через сайт МБУ «КГА»;
- специально выделенный защищенный канал для обмена запросами с органами Фонда пенсионного и социального страхования Российской Федерации по Кемеровской области;
- интегрированная система электронного документооборота для обмена информацией с органами законодательной и исполнительной власти Кемеровской области.

5.4. МБУ «КГА» не поручает обработку персональных данных другим лицам.

5.5. МБУ «КГА» допускает трансграничную передачу персональных данных при исполнении запросов, поступивших от заявителей из-за рубежа.

5.6. МБУ «КГА» раскрывает персональные данные руководящих работников (фамилия, имя, отчество, должность, рабочий телефон) неопределенному кругу лиц путем размещения указанных данных на сайте МБУ «КГА».

6. Порядок обработки персональных данных

6.1. МБУ «КГА» проводит обработку персональных данных на основаниях, указанных в пунктах 1, 2, 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а именно:
- обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
- обработка персональных данных необходима для осуществления и выполнения возложенных законодательством на МБУ «ГА» функций, полномочий и обязанностей;
- обработка персональных данных необходима для исполнения запросов поступивших в МБУ «ГА» на использование документов, одной из сторон которых является субъект персональных данных.

6.2. МБУ «КГА» проводит обработку персональных данных с соблюдением принципов и условий, установленных Федеральным законом № 152-ФЗ от 27.07.2006 «О персональных данных» (глава 2); правил, предусмотренных Трудовым кодексом Российской Федерации (глава 14); в соответствии с Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным постановлением Правительства Российской Федерации от 15.09.2008 № 687; Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным постановлением Правительства Российской Федерации от 17.11.2007 № 781.

6.3. МБУ «КГА» при сборе персональных данных по просьбе субъекта персональных данных может предоставить ему следующую информацию:
- подтверждение факта обработки персональных данных;
- правовые основания и цели обработки персональных данных;
- цели и применяемые способы обработки персональных данных;
- наименование и место нахождения МБУ «ГА», сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании законодательства;
- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
- сроки обработки персональных данных, в том числе сроки их хранения;
- информацию об осуществленной или о предполагаемой трансграничной передаче данных или об отсутствии таковой;
- порядок осуществления субъектом персональных данных своих прав, предусмотренных Федеральным законом «О персональных данных»;
- иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.

6.4. МБУ «КГА» получает персональные данные работника и согласие на их обработку непосредственно от него самого.

6.5. МБУ «КГА» осуществляет обработку персональных данных работников с их согласия. Получение согласия происходит в письменной форме (приложение № 1) при предоставлении работником его персональных данных.

6.6. МБУ «КГА» получает персональные данные заявителя и согласие на их обработку непосредственно от него самого или от того юридического лица, направляющего на него запрос (последнее – на основании ч. 8 ст. 9 Федерального закона «О персональных данных»). Получение согласия происходит в письменной форме на сайте МБУ «КГА» или непосредственно в архиве при заполнении анкеты-заявления (приложение № 2).

6.7. При получении персональных данных заявителя от юридического лица МБУ «КГА» освобождается от обязанности предоставить заявителю сведения, предусмотренные ч. 3 ст. 18 Федерального закона «О персональных данных», на основании того, что заявитель уведомлен о передаче его персональных данных соответствующим юридическим лицом.

6.8. МБУ «КГА» получает персональные данные пользователя и согласие на их обработку непосредственно от него самого при его обращении в архив при заполнении анкеты (приложение № 2).

6.9. К обработке персональных данных всех групп субъектов допускаются работники МБУ «КГА», список которых определён приказом МБУ «КГА».

6.10. Работники, допущенные к обработке персональных данных, в письменной форме дают обязательство (приложение № 3) о неразглашении сведений, содержащих персональные данные.

7. Условие прекращения обработки персональных данных

7.1. МБУ «КГА» прекращает обработку персональных данных в случае реорганизации (слияния, присоединения, разделения, выделения, преобразования) и ликвидации в качестве юридического лица.

7.2. В отношении конкретного субъекта персональных данных (работника, заявителя, пользователя) обработка его персональных данных, за исключением хранения документов с его персональными данными в течение установленного номенклатурой дел срока, не осуществляется после прекращения отношений субъекта с МБУ «КГА».

8. Реализуемые меры защиты и обеспечения безопасности персональных данных

8.1. МБУ «КГА» при обработке персональных данных реализует правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, а именно:
- назначает лицо, ответственное за организацию обработки персональных данных;
- определяет список лиц, допущенных к обработке персональных данных;
- назначает лицо, ответственное за обеспечение безопасности персональных данных при их обработке с использованием средств автоматизации, а также без использования таких средств;
- издаёт политику в отношении обработки персональных данных субъектов и размещает её на сайте МБУ «КГА»;
- знакомит работников, осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, требованиями к защите персональных данных, а также документом, определяющим политику МБУ «КГА» в отношении персональных данных, локальными актами по вопросам обработки персональных данных;
- принимает от своих работников обязательство о неразглашении сведений, содержащих персональные данные;
- хранит документы, содержащие персональные данные, в отдельных сейфах или металлических шкафах, находящихся на рабочих местах ответственных за обработку персональных данных лиц;
- хранит персональные данные в электронном виде в защищенных паролем серверах МБУ «КГА», в том числе в бухгалтерии;
- сдаёт на архивное хранение документы с персональными данными после истечения установленного срока их хранения согласно номенклатуре дел;
- осуществляет обработку персональных данных только в помещениях, для которых установлен пропускной режим (по окончании рабочего дня помещения ставятся на сигнализацию, сдаются под охрану с помощью радиосигнала).

8.2. При проведении обработки персональных данных без использования средств автоматизации реализуются меры защиты и безопасности персональных данных, предусмотренные Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным постановлением Правительства Российской Федерации от 15.09.2008 № 687:
- для каждой категории субъектов персональных данных используется отдельный материальный носитель;
- не допускается фиксация на одном бумажном носителе персональных данных, цели обработки которых заведомо не совместимы;
- персональные данные обособляются от иной информации путем фиксации их на отдельных бумажных носителях, в специальных разделах или на полях форм;
- документы, содержащие персональные данные, формируются в дела в зависимости от цели обработки в соответствии с номенклатурой дел МБУ «КГА»;
- при использовании анкет заявителей и пользователей, как типовых форм документов, характер информации в которых предполагает включение в них персональных данных, соблюдаются следующие условия: анкета содержит сведения о цели неавтоматизированной обработки персональных данных, наименование и местонахождение МБУ «ГА», фамилию, имя, отчество, год рождения, адрес и телефон субъекта персональных данных, источник получения персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки в МБУ «КГА», анкета предусматривает поле, в котором субъект персональных данных ставит отметку о своем согласии на обработку персональных данных;

8.3. При проведении обработки персональных данных с использованием средств автоматизации в программе «1С: зарплата и кадры государственного учреждения», программном комплексе «Учет обращений граждан и организаций» (далее – ИСПДн) реализуются меры защиты и безопасности персональных данных, предусмотренные Федеральным законом «О персональных данных» (ч. 2 ст. 19) и Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным постановлением Правительства Российской Федерации от 17.11.2007 № 781:
- определяются риски и угрозы безопасности персональных данных при их обработке в ИСПДн;
- применяются организационные и технические меры для обеспечения безопасности персональных данных при их обработке в ИСПДн, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- применяются средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия;
- учитываются машинные носители персональных данных;
- проводится работа по обнаружению фактов несанкционированного доступа к персональным данным, при обнаружении принимаются соответствующие меры;
- персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним, восстанавливаются;
- устанавливаются правила доступа к персональным данным, обеспечивается регистрация и учёт действий, совершаемых с персональными данными в ИСПДн;
- осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности ИСПДн.

9. Обязанности лиц, осуществляющих обработку персональных данных

9.1. Работники, осуществляющие обработку персональных данных, обязаны знать положения законодательства о персональных данных, в том числе требования к защите персональных данных, документы, определяющие политику в отношении обработки персональных данных.
9.2. Работники, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.
9.3. В случае попытки третьих лиц получить от работника сведения, содержащие персональные данные, работник обязан незамедлительно сообщать об этом непосредственному начальнику.
9.4. Работники, получившие доступ к персональным данным, обязаны не использовать сведения, содержащие персональные данные, с целью получения выгоды.
9.5. В течение года после прекращения права на допуск к информации, содержащей персональные данные, работник обязан не разглашать и не передавать третьим лицам известную ему информацию, содержащую персональные данные.

10. Обязанности лица, ответственного за организацию обработки персональных данных

10.1. Лицо, ответственное за организацию обработки персональных данных, назначается приказом директора МБУ «КГА».

10.2. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от директора МБУ «КГА» и подотчётно ему.

10.3. Лицо, ответственное за организацию обработки персональных данных в МБУ «КГА», обязано:
- осуществлять внутренний контроль за соблюдением в МБУ «КГА» и его работниками законодательства о персональных данных, в том числе требований к защите персональных данных;
- доводить до сведения работников МБУ «ГА» положения законодательства о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
- осуществлять приём и обработку запросов субъектов персональных данных или их представителей.

11. Ответственность за нарушение требований законодательства о персональных данных

11.1. Работники, виновные в нарушении требований законодательства о персональных данных, несут предусмотренную законодательством Российской Федерации дисциплинарную, гражданскую, административную и уголовную ответственность.

11.2. В отношении работников, допустивших нарушение, могут быть наложены дисциплинарные взыскания: замечание, выговор, предупреждение о неполном соответствии должности, освобождение от занимаемой должности, увольнение.

11.3. В отношении работников, виновных в нарушении требований законодательства о персональных данных, может быть возбуждено ходатайство о привлечении их к ответственности соответствующими органами.

12. Заключительные положения

12.1. Положение действует с момента его утверждения, допускается вносить изменения и дополнения в связи с развитием законодательства в области персональных данных и совершенствованием деятельности МБУ «КГА».

12.2. Положение доводится под роспись до сведения работников МБУ «КГА», непосредственно осуществляющих обработку персональных данных, и подлежит опубликованию на сайте МБУ «КГА».