Политика конфиденциальности

1. Общие положения

Настоящая Политика в отношении обработки персональных данных муниципального бюджетного дошкольного образовательного учреждения «Детский сад № 53 общеразвивающего вида» (далее - Политика) определяет правовые основания для обработки муниципальным автономном дошкольным образовательным учреждением «Детский сад № 53 общеразвивающего вида» (далее - образовательная организация) персональных данных, необходимых для выполнения образовательной организацией уставных целей и задач, основные права и обязанности образовательной организации и субъектов персональных данных, порядок и условия обработки, взаимодействия с субъектами персональных данных, а также принимаемые образовательной организацией меры защиты данных.
Действие Политики распространяется на персональные данные субъектов, обрабатываемых образовательной организацией с применением средств автоматизации и без них.

2. Понятия, которые используются в Политике

Персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;10) информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. 1.3.Обработка персональных данных Организацией осуществляется с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» с согласия субъекта персональных данных на обработку его персональных данных, а также для осуществления и выполнения, возложенных законодательством Российской Федерации на Организацию функций, полномочий и обязанностей, в связи с участием в конституционном, гражданском, административном, уголовном судопроизводстве, для исполнения договоров. 1.4. Обработка персональных данных в Организации выполняется с использованием средств автоматизации или без использования таких средств и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов персональных данных, персональные данные которых обрабатываются в Организации.

3. Цели, условия и порядок обработки персональных данных

Содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки:

1. Цель обработки: обеспечение соблюдения законодательства Российской Федерации в сфере образования.

Категории субъектов	Персональные данные	Специальные категории персональных данных
Обучающиеся, бывшие обучающиеся	фамилия, имя, отчество; число, месяц, год рождения; место рождения; адрес регистрации по месту жительства; адрес фактического проживания; реквизиты свидетельства о рождении; страховой номер индивидуального лицевого счета (СНИЛС); данные о имеющейся инвалидности (при наличии), данные заключения ПМПК (при наличии); гражданство; данные родителей или законных представителей (опекунов, попечителей, усыновителей); изображение (фотография, видео); сведения, образующиеся в процессе реализации образовательной программы; иные персональные данные, предоставляемые физическими лицами, необходимые для заключения и исполнения договоров, исполнения норм законодательства в сфере образования.	Сведения о состоянии здоровья
Родители (законные представители) обучающихся, бывшие родители (законные представители) обучающихся	фамилия, имя, отчество; число, месяц, год рождения; паспортные данные, адрес регистрации по месту жительства; адрес фактического проживания; страховой номер индивидуального лицевого счета (СНИЛС); гражданство; контактные данные: номер телефона, адрес электронной почты; документ удостоверяющий положение законного представителя по отношению к ребенку (опекун, попечитель, усыновитель); место работы, должность, сведения об образовании; сведения о составе семьи, сведения о социальных льготах; сведения о близких родственниках; изображение (фотография, видео); иные сведения, образующиеся в процессе реализации образовательной программы;
Близкие родственники обучающихся	фамилия, имя, отчество
Перечень действий:	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Способы обработки	Автоматизированная обработка и без средств автоматизации, в том числе: получение персональных данных в устной и письменной форме непосредственно от субъектов персональных данных (их представителей); внесение персональных данных в журналы, реестры и информационные системы и документы Организации.
Сроки обработки	В течение срока реализации образовательной программы, не более 8 лет.
Сроки хранения	В течение срока, установленного номенклатурой дел в зависимости от типа документа, в котором содержатся персональные данные.
Порядок уничтожения	В соответствии с Порядком уничтожения персональных данных в Организации, в зависимости от типа носителя персональных данных: материальные, электронные - в течение 30 дней с даты достижения цели обработки персональных данных.

2. Цель обработки: предоставление доступа пользователям сайта к сервисам, информации/или материалам, содержащимся на веб-сайте Организации.

Категории субъектов	Персональные данные
Посетители официального сайта Организации в информационно- телекоммуникационной сети «Интернет»	Фамилия, имя, отчество; адрес электронной почты;
Перечень действий:	Сбор; запись; систематизация; накопление; хранение; извлечение; использование; блокирование; удаление; уничтожение.
Способы обработки	Смешанная (автоматизированная и неавтоматизированная).
Сроки обработки	1 год.
Сроки хранения	3 года.
Порядок уничтожения	Ответственным лицом оператора уничтожаются персональные данные субъекта персональных данных с составлением соответствующего акта.

3. Цель обработки: подбор персонала (соискателей) на вакантные должности.

Категории субъектов	Персональные данные
Кандидаты на работу (соискатели)	фамилия, имя, отчество; гражданство; число, месяц, год рождения; контактные данные: номер телефона, адрес электронной почты; сведения об образовании; сведения о квалификации; сведения о профессиональной подготовке и повышении квалификации; семейное положение; профессия, должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); иные персональные данные, предоставляемые соискателями по их желанию.
Перечень действий:	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Способы обработки	Смешанная обработка, с передачей по внутренней сети юридического лица, без передачи по сети Интернет.
Сроки обработки	В течение срока, необходимого для рассмотрения кандидатуры соискателя и заключения трудового договора - 30 дней.
Сроки хранения	В течение срока, установленного номенклатурой дел в зависимости от типа документа, в котором содержатся персональные данные, в том числе для анкеты (резюме) соискателя - 30 дней.
Порядок уничтожения	В соответствии с Регламентом уничтожения персональных данных Организации в зависимости от способа обработки персональных данных и типа носителя персональных данных.

4. Цель обработки: ведение кадрового и бухгалтерского учета

Категории субъектов	Персональные данные	Специальные категории персональных данных
Работники, Уволенные работники	фамилия, имя, отчество; пол, гражданство; число, месяц, год рождения; место рождения; паспортные данные, адрес регистрации по месту жительства; контактные данные: номер телефона,адрес электронной почты; страховой номер индивидуального лицевого счета (СНИЛС); Идентификационный номер налогоплательщика (ИНН); сведения об образовании; сведения о квалификации; сведения о профессиональной подготовке и повышении квалификации; состав семьи; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия, должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; фото, видео изображения	сведения о состоянии здоровья; сведения о судимости
Перечень действий:	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Способы обработки	Смешанная обработка, с передачей по внутренней сети юридического лица, без передачи по сети Интернет.
Сроки обработки	В течение срока трудового договора и периода после его завершения, необходимого для выполнения всех обязательств сторон.
Сроки хранения	В течение срока, установленного номенклатурой дел в зависимости от типа документа, в котором содержатся персональные данные, в том числе в составе личных дел - 50 лет.
Порядок уничтожения	В соответствии с Порядком уничтожения персональных данных в Организации в зависимости от способа обработки персональных данных и типа носителя персональных данных.

5. Цель обработки: обеспечение соблюдения трудового законодательства РФ.

Категории субъектов	Персональные данные	Специальные категории персональных данных
Работники, Уволенные работники, Родственники работников	фамилия, имя, отчество; пол, гражданство; число, месяц, год рождения; место рождения; паспортные данные; адрес регистрации по месту жительства; адрес проживания, контактные данные: номер телефона,адрес электронной почты; страховой номер индивидуального лицевого счета (СНИЛС); идентификационный номер налогоплательщика (ИНН); состав семьи; сведения об образовании (наименования оконченных учебных заведений, факультет, специальность, год окончания), профессия; информация о дополнительном образовании, сведения о профессиональной переподготовке (дата начала и окончания обучения, специальность (направление, профессия), серия, номер, дата выдачи документа); информация о повышении квалификации (дата начала и окончания обучения, вид повышения квалификации, наименование образовательного учреждения, серия, №, дата выдачи документа об образовании); информация об аттестации (дата аттестации, решение комиссии, номер, дата протокола); ученая степень (при наличии), ученое звание (при наличии); доходы, полученные в Организации; трудовой и общий стаж; стаж работы по специальности; сведения о детях (количество, возраст); социальные льготы; сведения о воинском учете; номер лицевого счета; стаж работы; прежнее место работы (структурное подразделение), наименование структурного подразделения, наименование должности; информация о наградах (поощрениях), почетных званиях (наименование награды, номер и дата выдачи документа), размер вознаграждения; данные об отпусках (вид отпуска, период, дата начала и окончания отпуска); номер, дата трудового договора; серия и номер трудовой книжки или вкладыша в неё; данные свидетельств о браке и (или) о расторжении брака, о смене фамилии; фото, видео изображение.	сведения о состоянии здоровья; сведения о судимости
Перечень действий	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Способы обработки	Смешанная обработка, с передачей по внутренней сети юридического лица, без передачи по сети Интернет.
Сроки обработки	В течение срока трудового договора и периода после его завершения, необходимого для выполнения всех обязательств сторон.
Сроки хранения	В течение срока, установленного номенклатурой дел в зависимости от типа документа, в котором содержатся персональные данные, в том числе в составе личных дел - 50 лет.
Порядок уничтожения	В соответствии с Порядком уничтожения персональных данных Организации в зависимости от способа обработки персональных данных и типа носителя персональных данных.

6. Цель обработки: подготовка, заключение и исполнение гражданско-правового договора (подготовка, заключение и исполнение гражданско-правового договора с педагогическими работниками - см. п.5).

Категории субъектов	Персональные данные
Контрагенты, Представители контрагентов, Выгодоприобретател и по договорам.	фамилия, имя, отчество; паспортные данные, адрес регистрации, адрес по месту жительства; контактные данные: номер телефона,адрес электронной почты; страховой номер индивидуального лицевого счета (СНИЛС); идентификационный номер налогоплательщика (ИНН); номер лицевого счета;
Перечень действий	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Способы обработки	Смешанная обработка, с передачей по внутренней сети юридического лица, без передачи по сети Интернет.
Сроки обработки	В течение срока, необходимого для исполнения заключенного договора.
Сроки хранения	В течение срока, установленного номенклатурой дел в зависимости от типа документа, в котором содержатся персональные данные.
Порядок уничтожения	В соответствии с Порядком уничтожения персональных данных в Организации, в зависимости от способа обработки персональных данных и типа носителя персональных данных.

7. Цель обработки: обеспечение пропускного режима на территорию Организации

Категории субъектов	Персональные данные
Посетители, Работники, Уволенные работники, Кандидаты на работу (соискатели), Контрагенты, Представители контрагентов, Выгодоприобретател и по договорам.	фамилия, имя, отчество;
Перечень действий	Сбор, хранение, передача (предоставление, доступ), уничтожение.
Способы обработки	Неавтоматизированная, внесение персональных данных в журнал учета посетителей.
Сроки обработки	В течение срока, необходимого для ведения журнала учета посетителей- 1 год.
Сроки хранения	В течение срока, установленного номенклатурой дел в зависимости от типа документа, в котором содержатся персональные данные- 1 год.
Порядок уничтожения	В соответствии с Порядком уничтожения персональных данных Организации в зависимости от способа обработки персональных данных и типа носителя персональных данных.

8. Цель обработки: Участие лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах.

Категории субъектов	Персональные данные
Законные представители, участники административного производства.	фамилия, имя, отчество; число, месяц, год рождения; место рождения; адрес регистрации по месту жительства; данные документа, удостоверяющего личность.
Перечень действий	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Способы обработки	Смешанная обработка, с передачей по внутренней сети юридического лица, с передачей по сети Интернет.
Сроки обработки	5 лет.
Сроки хранения	5 лет.
Порядок уничтожения	В соответствии с Порядком уничтожения персональных данных Организации в зависимости от способа обработки персональных данных и типа носителя персональных данных.

9. Цель: Обеспечение прохождения ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением.

Категории субъектов	Персональные данные
Учащиеся; Студенты.	фамилия, имя, отчество; сведения об образовании; сведения о состоянии здоровья
Перечень действий	Хранение; удаление; уничтожение.
Способы обработки	Смешанная; без передачи по внутренней сети юридического лица; без передачи по сети Интернет.
Сроки обработки	В течение срока, необходимого для выполнения всех обязательств сторон.
Сроки хранения	1 год.
Порядок уничтожения	В соответствии с Порядком уничтожения персональных данных Организации в зависимости от способа обработки персональных данных и типа носителя персональных данных.

10. Цель обработки: рассмотрение обращений граждан.

Категории субъектов	Персональные данные
Посетители сайта; граждане, обратившиеся с заявлениями, обращениями, жалобами.	фамилия, имя, отчество; контактные данные: номер телефона, адрес электронной почты; адрес места жительства;
Перечень действий	Накопление; хранение; использование; передача (предоставление, доступ); удаление; уничтожение.
Способы обработки	С передачей по внутренней сети юридического лица; с передачей по сети Интернет.
Сроки обработки	1 год.
Сроки хранения	1 год.
Порядок уничтожения	Ответственным лицом Организации уничтожаются персональные данные субъекта персональных данных с составлением соответствующего акта.

4. Правовые основания обработки персональных данных

1. Правовыми основаниями для обработки персональных данных образовательной организацией являются нормативно-правовые акты, регулирующие отношения, связанные с деятельностью организации, в том числе: Трудовой кодекс РФ, а также нормативно-правовые акты, содержащие нормы трудового права; Бюджетный кодекс РФ; Налоговый кодекс РФ;

Гражданский кодекс РФ; Семейный кодекс РФ; Федеральный Закон от 29 декабря 2012 г. № 273-ФЗ «Об образовании в Российской Федерации».

1. Основанием для обработки персональных данных также являются договоры с физическими лицами, заявления (согласия, доверенности и т. п.) обучающихся и родителей (законных представителей) несовершеннолетних обучающихся, согласия на обработку персональных данных.

5. Порядок обработки и хранения персональных данных. Порядок уничтожения персональных данных

Обработку персональных данных Организация осуществляет:

без использования средств автоматизации;
с использованием средств автоматизации в программах и информационных системах:

Государственная интегрированная информационная система управления финансами «Электронный бюджет»;
СБИС - это комплексная система для корпоративного учёта и электронного

документооборота;

ЕИС- единая информационная система в сфере закупок;
АС «Госзаказ» - региональная информационная система в сфере закупок;
Официальный сайт Российской Федерации для размещения информации о государственных (муниципальных) учреждениях.

Осуществление Организацией обработки персональных данных субъектов персональных данных, в случаях, не предусмотренных пунктами 2-11 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», и передачи персональных данных третьим лицам должны осуществляться только с согласия субъекта персональных данных.

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных следующими способами:

лично в приёмную Организации;
почтовой корреспонденцией (заказным письмом с уведомлением);
в электронной форме. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2-11 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

При возникновении необходимости получения персональных данных субъекта от третьих лиц, от субъекта должно быть получено письменное согласие.

В случае получения персональных данных от третьего лица субъект, персональные данные которого были получены, должен быть уведомлен об этом.

В уведомлении необходимо сообщить о целях, способах и источниках получения персональных данных, а также о характере подлежащих получению персональных данных и возможных последствиях отказа субъекта дать письменное согласие на их получение.

1. Доступ к персональным данным:

Перечень работников (фамилии, имена, отчества и должности), осуществляющих обработку персональных данных, как в бумажном, так и в электронном виде и (или) имеющих доступ к персональным данным, утверждается внутренним приказом. При этом указанные лица должны иметь право получать только те персональные данные субъектов, которые необходимы для выполнения непосредственных должностных обязанностей. Доступ к персональным данным работников Организации, не входящих в вышеуказанный перечень, запрещается.

Процедура оформления доступа к персональным данным включает в себя:

ознакомление работников с настоящей Политикой, Должностным регламентом лица, ответственного за организацию обработки персональных данных и другими локальными актами Организации, регулирующими обработку и защиту персональных данных в Организации, под роспись;
подписание работником, ответственным за обработку персональных данных и имеющего доступ к персональным данным всех категорий субъектов персональных данных обязательства о неразглашении конфиденциальной информации(персональных данных), не содержащих сведений, составляющих государственную тайну.;
подписание работниками Соглашения о неразглашении персональных данных.

При обработке персональных данных Организация принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Основными организационными мерами по защите персональных данных являются:

ограничение и регламентация состава работников, функциональные обязанности которых требуют конфиденциальных знаний;
строгое, избирательное и обоснованное распределение документов и информации между работниками;
рациональное размещение рабочих мест работников, при котором исключалось бы бесконтрольное использование защищаемой информации;
обеспечение знания работниками требований нормативно-методических документов по защите информации и сохранении тайны;
обеспечение наличия необходимых условий в помещении для работы с конфиденциальными документами и базами данных;
грамотная организация процесса уничтожения информации;
организация регулярной воспитательной и разъяснительной работы с работниками Организации по предупреждению утраты и утечки сведений при р

В работе с конфиденциальными документами, содержащими персональные данные;

разработка комплекта внутренних документов организации, регламентирующих процессы обработки персональных данных.
1. Защита персональных данных.

Образовательная организация принимает нормативные, организационные и технические меры защиты персональных данных.

Нормативные меры защиты персональных данных - комплекс локальных и распорядительных актов, обеспечивающих создание, функционирование, совершенствование механизмов обработки персональных данных.

Организационные меры защиты персональных данных предполагают создание в образовательной организации разрешительной системы, защиты информации во время работы с персональными данными работниками, партнерами и сторонними лицами.

Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту персональных данных.

Основными мерами защиты персональных данных в образовательной организации являются:

Назначение ответственного за организацию обработки персональных данных. Ответственный осуществляет организацию обработки персональных данных, обучение и инструктаж, внутренний контроль за соблюдением образовательной организацией и его работниками требований к защите персональных данных.

Издание локальных актов по вопросам обработки персональных данных, а также локальных актов, определяющих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.

Ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, настоящей Политикой, локальными актами по вопросам обработки персональных данных.

Определение актуальных угроз безопасности персональным данным при их обработке с использованием средств автоматизации и разработка мер и мероприятий по защите персональных данных.

Установление правил доступа к персональным данным, обрабатываемым с использованием средств автоматизации, а также регистрация и учет всех действий, совершаемых с персональными данными в информационных системах, и контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем.

Учет электронных носителей персональных данных.

Принятие мер по факту обнаружения несанкционированного доступа к персональным данным, обрабатываемым с использованием средств автоматизации, в том числе восстановление персональных данных, которые были модифицированы или уничтожены вследствие несанкционированного доступа к ним.

Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства о персональных данных, оценка соотношения указанного вреда и принимаемых мер.

Внутренний контроль и (или) аудит соответствия обработки персональных данных требованиям законодательства, настоящей Политики, принятых локальных актов.

Публикация настоящей Политики на официальном сайте образовательной организации.

В качестве технических мер защиты персональных данных Организацией должны применяться:

антивирусная защита;
межсетевые экраны;
разграничение прав доступа (пароли);

- специализированные средства защиты информации от несанкционированного доступа.

Сотрудники Организации, имеющие право осуществлять обработку персональных данных в информационных системах, имеют уникальный логин и пароль для доступа к соответствующей информационной системе, в соответствии с функциями, предусмотренными их должностными инструкциями.

Информация вносится как в автоматическом режиме при получении персональных данных из федеральной государственной информационной системы «Единый портал государственных и муниципальных услуг» или официального сайта Организации в информационно-телекоммуникационные сети «Интернет», так и в ручном режиме при получении информации на бумажном носителе или в ином виде, не позволяющем осуществлять её автоматическую регистрацию.

Обеспечение безопасности персональных данных, обрабатываемых в информационных системах, достигается:

определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

3) применением для уничтожения персональных данных прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации (п.3.1 введен Федеральным законом от 08.08.2024 N 233-ФЗ);

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя Организация осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу Организация осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных Организация на основании сведений, представленных субъектом персональных данных или его представителем, или иных необходимых документов обязано уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организация) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

В случае выявления неправомерной обработки персональных данных, осуществляемой Организацией или лицом, действующим по поручению Организации, Организация в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных или обеспечивает прекращение неправомерной обработки персональных данных лицом, действующим по поручению Организации. В случае, если обеспечить правомерность обработки персональных данных невозможно, Организация в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Организация уведомляет субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

В случае достижения цели обработки персональных данных Организация прекращает обработку персональных данных или обеспечивает ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) и уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Организацией и субъектом персональных данных, либо если Организация не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.

Хранение персональных данных субъектов персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки в соответствии со сроками хранения, определяемыми законодательством Российской Федерации:

персональные данные, содержащиеся в приказах по личному составу Организации (о приеме, о переводе, об увольнении, об установлении надбавок), подлежат хранению в Организации в порядке, предусмотренном законодательством Российской Федерации, где хранятся в течение 75 лет;
персональные данные, содержащиеся в личных делах работников Организации, хранятся в Организации в порядке, предусмотренном законодательством Российской Федерации, в течение 75 лет;
персональные данные, содержащиеся в приказах о поощрениях, материальной помощи Организации, подлежат хранению в Организации в порядке, предусмотренном законодательством Российской Федерации, в течение 75 лет;
персональные данные, содержащиеся в приказах о предоставлении отпусков, о краткосрочных командировках, о дисциплинарных взысканиях работников Организации, подлежат хранению в Организации в течение 5 лет;
персональные данные, содержащиеся в приказах по воспитанникам Организации (о зачислении, об отчислении, о переводе, о сохранении места и др.), хранятся в Организации в порядке, предусмотренном законодательством Российской Федерации, в течение 5 лет;

- персональные данные, содержащиеся в личных делах воспитанников Организации, хранятся в Организации в течение 3 лет;

- персональные данные граждан, обратившихся в Организацию лично, а также направивших индивидуальные или коллективные письменные обращения или обращения в форме электронного документа, хранятся в течение 5 лет;

- персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на разных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков);

- срок хранения персональных данных, внесенных в информационные системы персональных данных - 3 года.

Обеспечивается раздельное хранение персональных данных на разных материальных носителях, обработка которых осуществляется в различных целях, определенных настоящей Политикой. Места хранения материальных носителей персональных данных определяются приказом Организации.

Все электронные носители персональных данных подлежат строгому учёту. Форма Журнала учёта электронных носителей.

Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено действующим законодательством.

В случае отсутствия возможности уничтожения персональных данных в течении указанных выше сроков, оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

Уничтожение персональных данных осуществляется в соответствии с Порядком уничтожения персональных данных в Организации требованиям законодательства в сфере обработки персональных данных (далее - Порядок), составляется Акт уничтожения персональных данных.

В целях обеспечения безопасности персональных данных в Организации 2 раза в год осуществляется внутренний контроль и (или) аудит в соответствии с локальным актом «Положение о внутреннем контроле и(или) аудите соответствия обработки персональных данных в Организации требованиям законодательства в сфере обработки персональных данных»..

Приказом Организации создается постоянно действующая Комиссия по обеспечению безопасности персональных данных (далее -Комиссия). По итогам внутреннего контроля комиссией составляется Акт внутреннего контроля соответствия обработки персональных данных требованиям законодательства в сфере обработки персональных данных.

Комиссия является совещательным органом при руководителе Организации.

Решения Комиссии вступают в силу после их утверждения руководителем Организации.

6. Права и обязанности сторон при обработке персональных данных

Работники Организации обязаны предоставлять только достоверные, документированные персональные данные и своевременно сообщать об изменении своих персональных данных.

Каждый субъект персональных данных имеет право:

на получение полной информации о своих персональных данных и на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей его персональные данные, за исключением случаев, предусмотренных действующим законодательством;

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных оператором;
правовое основание и цели обработки персональных данных;
цели и применяемые оператором способы обработки персональных данных;
наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Учреждением или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных действующим Федеральным законом;

-иные сведения, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и другими федеральными законами.

Обязанности Организации:

Обязанности Организации при сборе персональных данных.

При сборе персональных данных Организация предоставляет субъекту персональных данных по его просьбе запрашиваемую субъектом информацию.

Если в соответствии с федеральным законом предоставление персональных данных и (или) получение Организацией согласия на обработку персональных данных являются обязательными, Организация обязана разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.

Обязанности Организации по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных.

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Организация обязана осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных Организация обязана осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных Организация на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязана уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

В случае выявления неправомерной обработки персональных данных, осуществляемой Организацией или лицом, действующим по поручению Организации, Организация в срок, не превышающий трех рабочих дней с даты этого выявления, обязана прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению Организации. В случае, если обеспечить правомерность обработки персональных данных невозможно, Организация в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязана уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Организация обязана уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Организация обязана с момента выявления такого инцидента Организацией, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:

в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном Организацией на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии);

В случае достижения цели обработки персональных данных Организация обязана прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Организацией и субъектом персональных данных либо если Организация не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Организация обязана прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Организацией и субъектом персональных данных либо если Организация не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

В случае обращения субъекта персональных данных к Организации с требованием о прекращении обработки персональных данных Организация обязана в срок, не превышающий десяти рабочих дней с даты получения Организацией соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 152 ФЗ. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Организацией в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в частях 3 - 5.1 ст. 21 152 ФЗ. Организация осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

Подтверждение уничтожения персональных данных в случаях, предусмотренных настоящей статьей, осуществляется в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных.

7. Ответственность за разглашение конфиденциальной информации, содержащей персональные данные

Каждый работник Организации, получающий доступ к конфиденциальному документу, содержащему персональные данные, или о существляющий его обработку несет персональную ответственность за сохранность носителя и конфиденциальность информации.

Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работников, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами и полную материальную ответственность в случае причинения их действиями ущерба в соответствии с п.7 ст. 243 Трудового кодекса Российской Федерации.

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», а также требований к защите персональных данных, установленных в соответствии с Законом, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

8. О персональной информации пользователей сайта

При использовании информации, размещаемой на официальном сайте Организации (далее - Сайт), технические средства Сайта автоматически распознают сетевые (IP) адреса и доменные имена каждого пользователя (посетителя Сайта). Упомянутые сведения; электронные адреса лиц, пользующихся интерактивными сервисами Сайта или отправляющих электронные сообщения по адресам, указанным на Сайте; автоматически накапливаемые сведения о том, к каким интернет-страницам Сайта обращались пользователи; иные сведения (в том числе персонального характера), сообщаемые пользователями, - хранятся с использованием технических средств Сайта для целей, перечисленных в абз. 2 раздела 8.

Сведения о пользователях Сайта, накапливаемые и хранимые в технических средствах Сайта, используются исключительно для целей совершенствования способов и методов представления информации на Сайте, улучшения обслуживания его пользователей (посетителей), выявления наиболее посещаемых интернет-страниц (интерактивных сервисов) Сайта, а также ведения статистики посещений Сайта.

Вне пределов, указанных в пункте 6.2, информация о пользователях Сайта не может быть каким-либо образом использована или разглашена. Доступ к таким сведениям имеют только лица, уполномоченные на проведение работ, указанных в абз. 2 раздела 8 и предупрежденные об ответственности за случайное или умышленное разглашение либо несанкционированное использование таких сведений.

Информация персонального характера о пользователях Сайта хранится и обрабатывается с соблюдением требований российского законодательства о персональных данных. Какая-либо информация, являющаяся производной по отношению к сведениям, перечисленным в пункте абз. 1 раздела 8, представляется для последующего использования (распространения) исключительно в обобщенном виде, без указания конкретных сетевых (электронных) адресов и доменных имен пользователей (посетителей) Сайта.

Рассылка каких-либо электронных сообщений по сетевым (электронным) адресам пользователей (посетителей) Сайта, а также размещение на Сайте гиперссылок на сетевые (электронные) адреса пользователей Сайта и (или) их интернет-страницы допускаются исключительно, если такая рассылка и (или) размещение прямо предусмотрены правилами использования соответствующего интерактивного сервиса и на такую рассылку и (или) размещение получено предварительное согласие пользователя (посетителя) Сайта, выраженное в форме, предусмотренной указанными правилами.

Переписка с пользователями (посетителями) Сайта, не относящаяся к использованию интерактивных сервисов Сайта либо иных информационных разделов Сайта, не ведется.

9. Заключительные положения

Настоящая Политика является локальным нормативным актом, принимается на Общем собрании работников Организации и утверждается (либо вводится в действие) приказом руководителя Организации.

Все изменения и дополнения, вносимые в настоящую Политику, оформляются в письменной форме в соответствии с действующим законодательством Российской Федерации.

Политика Организации принимается на неопределенный срок.

Изменения и дополнения к Политике оформляются приказом Организации.

После принятия Политики (или изменений и дополнений отдельных пунктов и разделов) в новой редакции предыдущая редакция автоматически утрачивает силу.

На этой странице

Документы

Согласие на обработку персональных данных с помощью сервиса «Яндекс.Метрика»

0,5 Мб

Скачать

Открыть в браузере