Политика обработки персональных данных

1 Назначение и область применения

 

1.1 Политика обработки персональных данных (далее – Политика) является внутренним документом Частного образовательного учреждения дополнительного профессионального образования «Учебный центр Энергетик» (далее – Учебный центр, Учреждение), разработана в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет основные принципы, цели и условия обработки персональных данных (далее – ПДн), а также меры защиты ПДн в Учреждении.

1.2 Настоящая Политика разработана в целях реализации требований законодательства Российской Федерации в области обработки ПДн и обеспечения безопасности ПДн и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3 Политика действует в отношении всех ПДн, которые обрабатывает Учебный центр.

1.4 Учреждение публикует настоящую Политику на своем официальном сайте в сети Интернет (https://uc-energetik.ru/) не позднее 10 календарных дней со дня ее вступления в силу.

1.5 Учреждение вправе вносить изменения в настоящую Политику с соблюдением требований законодательства Российской Федерации и нормативных правовых актов.

1.6 В случае внесения изменений в настоящую Политику Учреждение публикует на официальном сайте Учреждения в сети Интернет новую редакцию Политики в срок не позднее 10 календарных дней со дня вступления в силу указанных изменений с указанием даты ее размещения на сайте и даты вступления изменений в силу.

1.7 Контроль исполнения требований настоящей Политики осуществляется Ответственным за организацию обработки ПДн, назначаемым приказом Учебного центра.

2 Нормативные ссылки

 

В настоящей Политике использованы ссылки на следующие нормативные документы:

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»);

Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» (далее – ФЗ «Об электронной подписи»);

Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (далее – Постановление № 1119-ПП);

Приказ Федеральной службы по техническому и экспортному контролю России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (далее – Приказ ФСТЭК России от 18.02.2013 № 21).

 

П р и м е ч а н и е – Настоящая Политика разработана с учетом требований действующих нормативных документов и подлежит пересмотру при изменении нормативных требований. Если отдельные требования Политики вступают в противоречие с нормативными, до внесения соответствующих изменений и дополнений в настоящую Политику, она применяется в части, не противоречащей вступившим в силу нормативным требованиям.

 

3 Термины и определения

 

В настоящей Политике применены следующие термины с соответствующими определениями:

3.1 Cookie – небольшой фрагмент данных, который отправляется веб-сервером и хранится на компьютере.

3.2 Автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники.

3.3 Безопасность ПДн – состояние защищенности ПДн, при котором обеспечены их конфиденциальность, доступность и целостность.

3.4 Блокирование ПДн – временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн).

3.5 Информационная система персональных данных – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.

3.6 Конфиденциальность ПДн – обязательное для выполнения лицом, получившим доступ к ПДн, требование не передавать такие ПДн третьим лицам без согласия ее обладателя.

3.7 Несанкционированный доступ – доступ к ПДн или действия с ПДн, нарушающие правила разграничения доступа с использованием средств, предоставляемых ИСПДн.

3.8 Носитель ПДн – технические устройства, предназначенные для записи и обработки ПДн в составе средств вычислительной техники, а также для хранения и перемещения записанных ПДн за пределы состава средств вычислительной техники, а также бумажные носители ПДн.

3.9. Обезличивание ПДн – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн.

3.10 Обработка ПДн – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

3.11 Обработка ПДн без использования средств автоматизации – действия с ПДн, такие как использование, уточнение, распространение, уничтожение ПДн в отношении каждого из Субъектов ПДн, осуществляемые при непосредственном участии человека.

3.12 Ответственный за обеспечение безопасности ПДн – лицо, ответственное за обеспечение безопасности ПДн, за реализацию и непрерывность соблюдения установленных мер защиты и осуществляющее контроль функционирования средств защиты информации, применяемых в ИСПДн Учреждения.

3.13 Ответственный за организацию обработки ПДн – лицо, осуществляющее внутренний контроль за соблюдением Учреждения и его работниками законодательства Российской Федерации о ПДн, в том числе требований к защите ПДн.

3.14 Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту ПДн).

3.15 Политика Учреждения – Политика в отношении обработки ПДн в ЧОУ ДПО «Учебный центр «Энергетик».

3.16 Предоставление ПДн – действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.

3.17 Работник Учреждения – лицо, осуществляющее свою деятельность в Учреждении на основании трудового договора и имеющее возможность получить доступ к обработке ПДн как с применением автоматизированных средств обработки ПДн, так и без таковых.

3.18. Распространение ПДн – действия, направленные на раскрытие ПДн неопределенному кругу лиц.

3.19 Система защиты ПДн – комплекс организационных и технических мер, определенных с учетом актуальных угроз безопасности ПДн и информационных технологий, используемых в ИСПДн.

3.20 Средства защиты информации – техническое, программное, программно-техническое средство, предназначенное или используемое для защиты информации.

3.21 Субъект ПДн – физическое лицо, которое прямо или косвенно определено или определяемо с помощью ПДн.

3.22 Уничтожение ПДн – действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн.

3.23 Уполномоченный орган по защите прав Субъектов ПДн – федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору за соответствием обработки ПДн требованиям законодательства Российской Федерации в области ПДн.

3.24 Иные термины, значение которых не определено в настоящей Политике, используются в значении, которое придается им законодательством Российской Федерации и нормативными правовыми актами.

4 Обозначения и сокращения

 

В настоящей Политике используются следующие обозначения и сокращения:

ИСПДн – информационная система персональных данных;

НСД – несанкционированный доступ;

Учреждение – Частное образовательное учреждение дополнительного профессионального образования «Учебный центр «Энергетик»;

ПДн – персональные данные;

Постановление № 1119-ПП – Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

Приказ ФСТЭК России от 18.02.2013 № 21 – Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

СЗИ – средство защиты информации;

СЗПДн – система защиты персональных данных;

ФЗ «О персональных данных» – Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;

ФЗ «Об электронной подписи» – Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;

ФСТЭК России – Федеральная служба по техническому и экспортному контролю России.

5 Принципы обработки ПДн Учреждением

 

Обработка ПДн Учреждением осуществляется на основе принципов:

  • законности и справедливости (соблюдения законодательных актов и соблюдения равноправных интересов Субъектов ПДн, не злоупотребляя представившимися возможностями на основании сведений, представленных Субъектом ПДн) целей и способов обработки ПДн;

  • соответствия целей обработки ПДн законным целям, заранее определенным и заявленным при сборе ПДн;

  • соответствия объема и содержания обрабатываемых ПДн способам и целям обработки ПДн;

  • точности ПДн, их достаточности и актуальности по отношению к целям обработки ПДн;

  • недопустимости обработки ПДн, избыточных по отношению к целям, заявленным при сборе ПДн;

  • недопустимости объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;

  • хранения ПДн в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн либо срок хранения ПДн, установленный законодательством Российской Федерации, договором, заключенным Учреждением с Субъектом ПДн, согласием на обработку ПДн (далее – срок хранения ПДн);

  • уничтожения ПДн по достижении целей их обработки, если срок хранения ПДн не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн.

6 Цели обработки ПДн, категории ПДн, категории Субъектов ПДн и правовые основания обработки ПДн

 

6.1 Обработка ПДн должна ограничиваться достижением конкретных, заранее определенных и законных целей. Обработке подлежат только ПДн, которые отвечают целям их обработки.

6.2 Обработка ПДн в Учреждении осуществляется в следующих целях:

6.2.1 Ведение кадрового, бухгалтерского, налогового, статистического учета‚ учета плательщиков страховых взносов для обеспечения требований законодательства Российской Федерации, выплаты заработной платы.

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

- работники и уволенные работники Учебного центра;

- родственники работников и уволенных работников Учреждения;

При этом обрабатываются следующие ПДн:

- фамилия, имя, отчество;

- год, месяц и дата рождения;

- место рождения;

- пол;

- адрес регистрации и адрес места жительства;

- СНИЛС;

- ИНН;

- гражданство;

- данные документа, удостоверяющего личность;

- данные водительского удостоверения;

- реквизиты банковской карты;

- профессия;

- должность;

- сведения о трудовой деятельности (в том числе стаж работы);

- отношение к воинской обязанности, сведения о воинском учете;

- сведения об образовании;

- фото-видео изображение лица,

и специальные категории ПДн:

- сведения о состоянии здоровья;

- сведения о судимости.

6.2.2 Обеспечение соблюдения законодательства РФ в области образования.

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

- обучающиеся (физические лица, зачисленные или планирующие поступить на обучение в Учебный центр);

- законные представители (родители, опекуны несовершеннолетних обучающихся);

При этом обрабатываются следующие ПДн:

- фамилия, имя, отчество;

- год, месяц и дата рождения;

- место рождения;

- пол;

- адрес регистрации и адрес места жительства;

- адрес электронной почты;

- телефон;

- СНИЛС;

- ИНН;

- гражданство;

- данные документа, удостоверяющего личность;

- должность;

- сведения об образовании (в том числе серия, номер диплома, специальность);

- фото-видео изображение лица,

и специальные категории ПДн:

- сведения о состоянии здоровья.

6.2.3 Подготовка, заключение и исполнение гражданско-правового договора.

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

- сторона договора гражданско-правового характера с Учреждением (физическое лицо);

При этом обрабатываются следующие ПДн:

- фамилия, имя, отчество;

- год, месяц и дата рождения;

- место рождения;

- пол;

- адрес регистрации и адрес места жительства;

- адрес электронной почты;

- СНИЛС;

- ИНН;

- гражданство;

- данные документа, удостоверяющего личность;

- реквизиты банковской карты;

- профессия;

- должность;

- сведения об образовании;

- фото-видео изображение лица,

и специальные категории ПДн:

- сведения о судимости.

6.2.4 Исполнение судебного акта.

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

- работники Учебного центра;

При этом обрабатываются следующие ПДн:

- фамилия, имя, отчество;

- год, месяц и дата рождения;

- место рождения;

- пол;

- адрес регистрации и адрес места жительства;

- СНИЛС;

- ИНН;

- гражданство;

- данные документа, удостоверяющего личность;

- реквизиты банковской карты;

- должность;

- фото-видео изображение лица.

6.2.5 Обеспечение пропускного режима на территорию Учреждения.

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

- работники, посетители Учреждения;

При этом обрабатываются следующие ПДн:

- фамилия, имя, отчество;

- должность.

6.2.6 Подбор персонала на вакантные должности Учебного центра.

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

- соискатели (кандидаты на вакантную должность в Учреждении);

При этом обрабатываются следующие ПДн:

- фамилия, имя, отчество;

- год, месяц и дата рождения;

- пол;

- адрес электронной почты;

- номер телефона;

- профессия;

- должность;

- сведения о трудовой деятельности (в том числе стаж работы);

- отношение к воинской обязанности, сведения о воинском учете;

- сведения об образовании;

- фото-видео изображение лица.

6.2.7 Продвижение услуг Учреждения на рынке.

На сайте Учреждения применяются инструменты аналитики данных Яндекс.Метрика для статистического анализа использования сервисов и обеспечения их работоспособности, как в целом, так и их отдельных функций. Данные сбор и обработка информации с применением cookie и инструментов аналитики применяются в отношении сайта Учреждения.

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

- посетители сайта Учреждения (физические лица);

При этом обрабатываются следующие ПДн:

  • IP‑адрес устройства посетителя сайта;

  • файлы cookies (включая уникальные идентификаторы, такие как ym_uid), используемые для идентификации сессии и отслеживания поведения посетителя сайта;

  • сведения о браузере (тип, версия, язык), операционной системе, типе и технических характеристиках устройства, разрешении экрана;

  • данные о геолокации (определяются по IP‑адресу с точностью до города/района);

  • информация о поведении посетителя на сайте Учреждения: дата и время посещения, адреса посещённых страниц, источник перехода, длительность сессии, история переходов, глубина просмотра;

  • данные о достижении целей (нажатие кнопок, отправка форм, прокрутка страницы и иные целевые действия).

6.2.8 Осуществление видов деятельности Учреждения, предусмотренных уставом Учебного центра, в том числе заключение и исполнение договоров (контрактов, иных сделок).

Обработка ПДн с этой целью осуществляется для следующих категорий Субъектов ПДн:

  • контрагенты Учреждения;

  • представители контрагентов Учреждения.

При этом обрабатываются следующие ПДн:

- фамилия, имя, отчество;

- год, месяц и дата рождения;

- место рождения;

- пол;

- адрес регистрации и адрес места жительства;

- адрес электронной почты;

- телефон;

- СНИЛС;

- ИНН;

- гражданство;

- данные документа, удостоверяющего личность;

- реквизиты банковской карты;

- номер расчетного счета;

- должность.

6.3 Основаниями для обработки ПДн Субъектов ПДн Учебного центра, в том числе, являются:

Конституция Российской Федерации;

Гражданский кодекс Российской Федерации;

Налоговый кодекс Российской Федерации;

Трудовой кодекс Российской Федерации;

Федеральный закон от 12.01.1996 N 7-ФЗ "О некоммерческих организациях";

Федеральный закон от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации";

Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;

Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;

Федеральный закон Российской Федерации от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации»;

Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;

Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (далее – Постановление № 1119-ПП);

Иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Учреждения;

Устав Учреждения и иные локальные акты Учреждения;

договоры, заключаемые между Учреждением и контрагентом;

согласие Субъекта ПДн на обработку его ПДн.

6.4 В Учебном центре осуществляется автоматизированная обработка ПДн и обработка ПДн без использования средств автоматизации путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (предоставления, предоставления, доступа), блокирования, удаления, уничтожения ПДн.

6.5 Учреждение в своей деятельности исходит из того, что при взаимодействии с Учреждением Субъект ПДн предоставляет точную и достоверную информацию о своих ПДн, а также своевременно извещает Учреждение об изменении своих ПДн.

6.6 В соответствии с положениями Постановления № 1119-ПП в Учреждении обрабатываются следующие категории ПДн без использования средств автоматизации и с использованием средств автоматизации:

общедоступные, специальные, биометрические и иные категории ПДн.

6.7 Учреждением не осуществляется обработка специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, предусмотренных законодательством Российской Федерации.

7 Условия обработки ПДн Субъектов ПДн и условия передачи ПДн третьим лицам

 

7.1 Учреждение обрабатывает ПДн Субъектов ПДн в соответствии с требованиями законодательства Российской Федерации, а также внутренними нормативными документами Учреждения, разработанными в соответствии с требованиями законодательства Российской Федерации в области ПДн.

7.2 Обработка ПДн в Учреждении допускается в следующих случаях:

  • обработка ПДн осуществляется с согласия Субъекта ПДн на обработку его ПДн;

  • в случаях, предусмотренных ФЗ «О персональных данных», обработка ПДн осуществляется только с согласия Субъекта ПДн, оформленного в письменной форме в соответствии с требованиями ФЗ «О персональных данных»;

  • обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации;

  • обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем является Субъект ПДн, а также для заключения договора по инициативе Субъекта ПДн;

  • обработка ПДн осуществляется в статистических или иных исследовательских целях, за исключением случаев, установленных ст. 15 ФЗ «О персональных данных», при условии обязательного обезличивания ПДн;

  • осуществляется обработка ПДн, полученных из открытых источников, размещенных в них субъектом ПДн либо по его просьбе;

  • обработка ПДн работников Учреждения не требует получения соответствующего согласия указанных лиц, в частности, в следующих случаях:

  • объем обрабатываемых Учреждения ПДн не превышает установленные перечни, а также соответствует целям обработки, предусмотренным трудовым законодательством;

  • обязанность по обработке, в том числе опубликованию и размещению ПДн работников в информационно-телекоммуникационной сети «Интернет», предусмотрена законодательством Российской Федерации;

  • обработка ПДн близких родственников работника в необходимом объеме либо в случаях, установленных законодательством Российской Федерации;

  • обработка специальных категорий ПДн работника, в том числе, сведений о состоянии здоровья, относящихся к вопросу о возможности выполнения работником трудовой функции;

  • при передаче ПДн работника третьим лицам в случаях, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, a также в других случаях, предусмотренных трудовым кодексом Российской Федерации или иными федеральными законами.

7.3 Если иное не предусмотрено федеральным законом, Учреждение вправе поручить обработку ПДн другому лицу на основании заключаемого с этим лицом договора при условии наличия согласия Субъекта ПДн. Лицо, осуществляющее обработку ПДн по поручению Учреждения, обязано соблюдать принципы и правила обработки ПДн, предусмотренные ФЗ «О персональных данных».

7.4 В поручении третьему лицу указываются цели обработки и перечень действий (операций) с ПДн, которые могут быть совершены данным лицом, устанавливаются его обязанности по обеспечению конфиденциальности ПДн и безопасности ПДн при их обработке, а также требования к защите обрабатываемых ПДн в соответствии с ФЗ «О персональных данных».

7.5 Учебный центр не производит трансграничную (на территорию иностранного государства, органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу) передачу ПДн.

7.6 Учреждением не принимаются решения, порождающие юридические последствия в отношении Субъектов ПДн или иным образом затрагивающие их права и законные интересы, на основании исключительно автоматизированной обработки ПДн, за исключением случая наличия согласия в письменной форме Субъекта ПДн или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов Субъекта ПДн.

7.7 Учреждение прекращает обработку ПДн в следующих случаях:

При выявлении неправомерной обработки ПДн, осуществляемой Учреждением или лицом, действующим по поручению Учреждения. Учебный центр в срок, не превышающий трех рабочих дней с даты такого выявления, прекращает неправомерную обработку ПДн или обеспечивает прекращение неправомерной обработки ПДн лицом, действующим по поручению Учебного центра, и устраняет допущенные нарушения. В случае невозможности устранения допущенных нарушений Учреждение в срок, не превышающий десяти рабочих дней с даты выявления неправомерности действий с ПДн, уничтожает ПДн или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн Учреждение уведомляет Субъекта ПДн или его представителя, а в случае, если обращение или запрос были направлены в уполномоченный орган по защите прав Субъектов ПДн, также этот орган.

При достижении цели обработки ПДн Учреждение прекращает обработку ПДн или обеспечивает ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждения) и уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждения) в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн, иным соглашением между Учреждением и Субъектом ПДн либо если Учреждение не вправе осуществлять обработку ПДн без согласия Субъекта ПДн на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.

При отзыве Субъектом ПДн согласия на обработку своих ПДн Учреждение прекращает обработку ПДн или обеспечивает ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждения) и в случае, если сохранение ПДн более не требуется для целей Обработки ПДн, уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждения) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн, иным соглашением между Учреждением и Субъектом ПДн либо если Учреждение не вправе осуществлять обработку ПДн без согласия Субъекта ПДн на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.

7.8 В случае отсутствия возможности уничтожения ПДн в течение срока, указанного в настоящем разделе, Учреждение осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждение) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

8 Уничтожение ПДн

 

8.1 Документы, содержащие ПДн, подлежат хранению и уничтожению в порядке, предусмотренном настоящей Политикой и архивным законодательством Российской Федерации.

8.2 Уничтожение документов, содержащих ПДн, производится:

  • в случае отзыва согласия Субъекта ПДн, если отсутствуют иные законные основания обработки ПДн;

  • по достижении целей их обработки или при утрате необходимости в их достижении;

  • по достижении окончания срока хранения ПДн, оговоренного в соответствующем соглашении заинтересованных сторон;

  • в случае выявления неправомерной обработки ПДн в срок, не превышающий десяти рабочих дней с момента выявления неправомерной обработки ПДн.

8.3 Уничтожение ПДн, содержащихся в машинных носителях информации, выполняется средствами операционных систем, систем управления базами данных или путем их обезличивания.

8.4 Порядок и процедуры уничтожения материальных носителей ПДн определены во внутренних организационно-распорядительных документах Учреждения.

9 Согласие на обработку ПДн

 

9.1 Получение и обработка ПДн в случаях, предусмотренных ФЗ «О персональных данных», осуществляется Учреждением с согласия Субъекта ПДн. Согласие на обработку ПДн может быть дано Субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством Российской Федерации. В случае получения согласия на обработку ПДн от представителя Субъекта ПДн полномочия данного представителя на дачу согласия от имени Субъекта ПДн проверяются Учреждением.

9.2 В случаях, предусмотренных ФЗ «О персональных данных», обработка ПДн осуществляется Учебным центром только с согласия в письменной форме Субъекта ПДн. Равнозначным содержащему собственноручную подпись Субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного электронной подписью в порядке, определенном ФЗ «Об электронной подписи».

9.3 Письменное согласие Субъекта ПДн должно включать:

  • фамилию, имя, отчество, адрес Субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

  • фамилию, имя, отчество, адрес представителя Субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя Субъекта ПДн);

  • наименование и адрес Учреждения;

  • цель обработки ПДн;

  • перечень ПДн, на обработку которых дается согласие Субъекта ПДн;

  • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Учреждения, если обработка ПДн поручена такому лицу;

  • перечень действий с ПДн, на совершение которых дается согласие, общее описание используемых Учреждением способов обработки ПДн;

  • срок, в течение которого действует согласие, а также способ его отзыва, если иное не установлено федеральным законом;

  • подпись Субъекта ПДн.

9.4 Субъект ПДн дает Учреждению согласие на обработку ПДн свободно, по своей воле и в своем интересе. Согласие на обработку ПДн может быть отозвано Субъектом ПДн путем направления в Учреждение письменного заявления в свободной форме. В этом случае Учреждение обязуется прекратить обработку, а также уничтожить все имеющиеся в Учреждении ПДн, касающиеся данного Субъекта, в сроки, установленные ФЗ «О персональных данных».

9.5 Передача ПДн третьим лицам осуществляется Учреждением с согласия Субъекта ПДн в соответствии с требованиями законодательства Российской Федерации.

9.6 В случае необходимости получения ПДн по электронной почте в целях принятия решения о трудоустройстве кандидата, в электронном письме, содержащем запрос на получение ПДн, должно содержаться сообщение следующего содержания: «Отвечая на данное письмо в трехдневный срок, Вы, таким образом, подтверждаете согласие на обработку своих ПДн, указанных в резюме. В ином случае Ваши данные будут уничтожены в 30-дневный срок и Ваша кандидатура в качестве соискателя на замещение вакансии рассматриваться не будет».

10 Права Субъектов ПДн

 

10.1 Для обеспечения соблюдения установленных законодательством прав Субъектов ПДн в Учреждении разработан и введен порядок работы с обращениями и запросами Субъектов ПДн, а также порядок предоставления Субъектам ПДн информации, установленной законодательством Российской Федерации в области ПДн.

10.2 Субъект ПДн или его законный представитель имеет право на получение информации, касающейся обработки ПДн, в том числе содержащей:

  • подтверждение факта обработки ПДн Учреждения;

  • правовые основания и цели обработки ПДн;

  • цели и применяемые Учреждением способы обработки ПДн;

  • наименование и местонахождение Учреждения, сведения о лицах (за исключением работников Учреждения), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Учреждением или на основании федерального закона;

  • обрабатываемые ПДн, относящиеся к соответствующему Субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

  • сроки обработки ПДн, в том числе сроки их хранения;

  • порядок осуществления Субъектом ПДн прав, предусмотренных ФЗ «О персональных данных»;

  • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Учреждения, если обработка поручена или будет поручена такому лицу;

  • иные сведения, предусмотренные ФЗ «О персональных данных» или другими федеральными законами в области ПДн.

10.3 Учреждение предоставляет указанную информацию при обращении или на основании соответствующего письменного запроса Субъекта ПДн или его представителя, содержащего: номер основного документа, удостоверяющего личность Субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие Субъекта ПДн в отношениях с Учреждением (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт Обработки ПДн Учреждением, подпись Субъекта ПДн или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации, по форме, размещенной на сайте Учреждения: https://uc-energetik.ru/.

10.4 Субъект ПДн вправе требовать от Учреждения уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки ПДн, а также принимать предусмотренные законодательством Российской Федерации в области ПДн меры по защите своих прав.

10.5 Для реализации и защиты своих прав и законных интересов в части обеспечения правомерности обработки ПДн и обеспечения безопасности ПДн Субъект ПДн имеет право обратиться к Учреждению.

10.6 Если Субъект ПДн считает, что Учреждение осуществляет обработку ПДн с нарушением требований ФЗ «О персональных данных» или иным образом нарушает его права и свободы, Субъект ПДн вправе обжаловать действия или бездействие Учреждения в Уполномоченный орган по защите прав Субъектов ПДн или в судебном порядке.

10.7 Право Субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с федеральными законами, в том числе, если доступ Субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц.

11 Права и обязанности Учреждения

 

11.1 Учреждение вправе:

  • самостоятельно определять состав и перечень мер, необходимых для обеспечения выполнения обязанностей, предусмотренных ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено действующим законодательством;

  • отстаивать свои интересы в судебных органах;

  • предоставлять ПДн Субъектов третьим лицам, если это предусмотрено действующим законодательством Российской Федерации (правоохранительные, налоговые органы и др.);

  • отказывать в предоставлении ПДн в случаях, предусмотренных законодательством Российской Федерации;

  • использовать ПДн Субъекта ПДн без его согласия, в случаях, предусмотренных законодательством Российской Федерации.

  • Обязанности Учреждения:

  • обеспечивать конфиденциальность в отношении ПДн, ставших известными Учреждению в ходе осуществления им своей деятельности;

  • в случае выявления неправомерной обработки ПДн, выявления неточных ПДн, при обращении Субъекта ПДн или его представителя либо по запросу Субъекта ПДн или его представителя осуществлять блокирование неправомерно обрабатываемых ПДн, относящихся к этому Субъекту ПДн, или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждения) с момента такого обращения;

  • в случае достижения цели обработки ПДн прекращать обработку ПДн или обеспечивать ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждения) и уничтожать ПДн или обеспечивать их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Учреждения).

12 Обеспечение безопасности ПДн

 

12.1 Для обеспечения безопасности ПДн Учреждение принимает необходимые и достаточные организационные и технические меры для защиты ПДн Субъектов ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, включающие:

  • назначение приказом Учреждения Ответственного за организацию обработки ПДн и Ответственного за обеспечение безопасности ПДн, а также определение их функций и полномочий;

  • разработка и поддержание в актуальном состоянии внутренних нормативных документов Учреждения в отношении обработки ПДн и обеспечения безопасности ПДн, установления процедур, направленных на выявление и предотвращение нарушения в Учреждении законодательства Российской Федерации в области ПДн, устранения последствий таких нарушений;

  • периодический внутренний контроль соответствия обработки ПДн требованиям ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам;

  • проведение оценки вреда, который может быть причинен Субъектам ПДн в случае нарушения законодательства в области ПДн, а также соотношение указанного вреда с принимаемыми мерами по обеспечению исполнения законодательства в области ПДн;

  • ознакомление работников Учреждения, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации и внутренних нормативных документов Учреждения в отношении обработки ПДн и обеспечению безопасности ПДн, обучение указанных работников Учреждения;

  • определение угроз безопасности ПДн при их обработке в ИСПДн;

  • применение организационных и технических мер по обеспечению безопасности ПДн при обработке ПДн в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Постановлением № 1119-ПП уровни защищенности ПДн;

  • применение СЗИ, сертифицированных по требованиям безопасности информации;

  • оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;

  • учет работников Учреждения, допущенных к обработке ПДн;

  • учет носителей ПДн;

  • обнаружение фактов НСД к ПДн и принятием мер;

  • восстановление ПДн, модифицированных или уничтоженных вследствие НСД к ним;

  • установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;

  • контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн.

12.2 Комплекс мероприятий по обеспечению безопасности ПДн в Учреждении, предусмотренных Постановлением № 1119-ПП и Приказом ФСТЭК России от 18.02.2013 № 21, определяется в организационно-распорядительных документах Учреждения, с учетом результатов оценки возможного вреда Субъекту ПДн, который может быть нанесен в случае нарушения безопасности его ПДн, актуальности угроз безопасности ПДн, а также установления уровня защищенности ПДн.

13 Контроль за соблюдением законодательства Российской Федерации и внутренних нормативных документов Учреждения в области ПДн

 

13.1 Внутренний контроль за соблюдением в Учреждении требований законодательства Российской Федерации и внутренних нормативных документов Учреждения в области ПДн осуществляется Ответственным за организацию обработки ПДн на постоянной основе с привлечением Ответственного за обеспечение безопасности ПДн.

13.2 Ответственный за организацию обработки ПДн получает указания непосредственно от директора Учебного центра, и подотчетен ему.

13.3 Ответственный за организацию обработки ПДн, в частности, обязан:

осуществлять внутренний контроль за соблюдением Учреждением и работниками Учреждения законодательства Российской Федерации о ПДн, в том числе требований к защите ПДн;

доводить до сведения работников Учреждения положения законодательства Российской Федерации о ПДн, внутренних нормативных документов Учреждения по вопросам обработки ПДн, требований к защите ПДн;

организовывать прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.

14 Ответственность за реализацию положений Политики

 

14.1 Работники Учебного центра, осуществляющие обработку ПДн, а также Ответственный за организацию обработки ПДн, Ответственный за обеспечение безопасности ПДн несут дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с законодательством Российской Федерации за нарушение требований настоящей Политики, иных внутренних нормативных документов Учреждения в области ПДн и законодательства Российской Федерации в области ПДн.

15 Заключительные положения

 

15.1 Внесение изменений в настоящую Политику может быть вызвано изменениями в законодательстве Российской Федерации, внутренних документах Учреждения, информационных системах ПДн, системах защиты ПДн.

15.2 Все изменения и дополнения, внесенные в настоящую Политику, утверждаются организационно-распорядительным документом Учреждения.

15.3 Все работники Учреждения подлежат обязательному ознакомлению с настоящей Политикой и несут предусмотренную законодательством Российской Федерации ответственность за нарушение её положений.

15.4 В случае, если при вступлении в силу изменений в законодательство Российской Федерации отдельные пункты настоящей Политики будут противоречить таким изменениям, Политика применяется в части, не противоречащей законодательству Российской Федерации, и до момента внесения соответствующих изменений в настоящую Политику Учреждение в своей деятельности руководствуется требованиями законодательства Российской Федерации.