1. Общие положения
Настоящая Политика в отношении обработки персональных данных в администрации муниципального образования «Чердаклинский район» Ульяновской области (далее – Политика) определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в администрации муниципального образования «Чердаклинский район» Ульяновской области (далее – оператор) с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 №152-Ф3 «О персональных данных» и её действие распространяется на все персональные данные субъектов, обрабатываемые в администрации муниципального образования «Чердаклинский район» Ульяновской области с применением средств автоматизации и без применения таких средств.
1.3. В настоящей Политике понятия и термины применяются в том же значении, что и в Федеральном законе от 27.07.2006 №152-Ф3 «О персональных данных» (далее – Федеральный закон №152-ФЗ).
Настоящая Политика разработана в целях обеспечения реализации требований законодательства Российской Федерации в области обработки персональных данных субъектов персональных данных.
Политика раскрывает основные категории персональных данных, обрабатываемых в администрации муниципального образования «Чердаклинский район» Ульяновской области, цели, способы и принципы обработки персональных данных, права и обязанности администрации муниципального образования «Чердаклинский район» Ульяновской области при обработке персональных данных, права субъектов персональных данных (работников администрации муниципального образования «Чердаклинский район» Ульяновской области и Заявителей), а также включает перечень мер, применяемых администрацией муниципального образования «Чердаклинский район» Ульяновской области в целях обеспечения безопасности персональных данных при их обработке.
Настоящий документ является общедоступным, декларирующим концептуальные основы деятельности администрации муниципального образования «Чердаклинский район» Ульяновской области при обработке персональных данных.
Настоящая Политика может быть дополнена либо изменена. В случае внесения в настоящую Политику существенных изменений, к ним будет обеспечен неограниченный доступ всем заинтересованным субъектам персональных данных.
2. Информация об операторе
Наименование: Муниципальное учреждение администрация муниципального образования «Чердаклинский район» Ульяновской области (далее – Администрация), ИНН: 7323001188, Фактический адрес: 433400, Ульяновская область, р.п.Чердаклы, ул.Советская, д.6, тел., факс: (84231)2-14-58.
3. Правовые основания обработки персональных данных
Политика Администрации в области обработки персональных данных определяется в соответствии со следующими нормативными правовыми актами Российской Федерации:
1) Конституцией Российской Федерации.
2) Трудовым кодексом Российской Федерации.
3) Гражданским кодексом Российской Федерации.
4) Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
5) Федеральным законом от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации».
6) Федеральным законом от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг».
7) Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
8) Иными нормативными правовыми актами, регулирующими законодательство в сфере трудовых отношений, сфере предоставления государственных и муниципальных услуг, в сфере обработки и защиты персональных данных.
4. Цели обработки персональных данных
Основной целью, на достижение которой направлены все положения настоящей Политики, является защита субъектов информационных отношений Администрации от возможного нанесения им материального, физического, морального или иного ущерба, посредством случайного или преднамеренного воздействия на персональные данные, их носители, процессы обработки и передачи.
Указанная цель достигается посредством обеспечения и постоянного поддержания следующих свойств персональных данных:
- доступности персональных данных для легальных пользователей (устойчивого функционирования информационной системы Администрации, при котором пользователи имеют возможность получения необходимых персональных данных и результатов решения задач за приемлемое для них время);
- целостности и аутентичности (подтверждение авторства) персональных данных, хранимых и обрабатываемых в информационной системе Администрации и передаваемой по каналам связи;
- конфиденциальности - сохранения в тайне определенной части персональных данных, хранимых, обрабатываемых и передаваемых по каналам связи;
- выполнение требований трудового законодательства Российской Федерации и законодательства о муниципальной службе в Российской Федерации;
- предоставление государственных и муниципальных услуг;
- выполнение возложенных на Оператора функций, полномочий и обязанностей;
- рассмотрение обращений граждан.
Необходимый уровень доступности, целостности и конфиденциальности персональных данных обеспечивается соответствующими множеству значимых угроз методами и средствами.
5. Основные задачи системы обеспечения безопасности персональных данных
Для достижения основной цели защиты и обеспечения указанных свойств персональных данных система обеспечения информационной безопасности администрации должна обеспечивать эффективное решение следующих задач:
- своевременное выявление, оценка и прогнозирование источников угроз информационной безопасности, причин и условий, способствующих нанесению ущерба заинтересованным субъектам информационных отношений, нарушению нормального функционирования информационной системы Администрации;
- создание механизма оперативного реагирования на угрозы безопасности информации и негативные тенденции;
- создание условий для минимизации и локализации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния и ликвидация последствий нарушения безопасности информации;
- защиту от вмешательства в процесс функционирования информационной системы администрации посторонних лиц (доступ к информационным ресурсам должны иметь только зарегистрированные в установленном порядке пользователи);
- разграничение доступа пользователей к информационным, аппаратным, программным и иным ресурсам Администрации (возможность доступа только к тем ресурсам и выполнения только тех операций с ними, которые необходимы конкретным пользователям для выполнения своих служебных обязанностей), то есть защиту от несанкционированного доступа;
- обеспечение аутентификации пользователей, участвующих в информационном обмене (подтверждение подлинности отправителя и получателя информации);
- защиту от несанкционированной модификации используемых в информационной системе Администрации программных средств, а также защиту системы от внедрения несанкционированных программ, включая компьютерные вирусы;
- защиту информации ограниченного пользования от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи.
5.1. Основные пути решения задач системы защиты
Поставленные основные цели защиты и решение перечисленных выше задач достигаются:
- строгим учетом всех подлежащих защите ресурсов информационной системы Администрации (информации, задач, документов, каналов связи, серверов, автоматизированных рабочих мест);
- журналированием действий персонала, осуществляющего обслуживание и модификацию программных и технических средств информационной системы;
- полнотой, реальной выполнимостью и непротиворечивостью требований организационно-распорядительных документов Администрации по вопросам обеспечения безопасности информации;
- подготовкой должностных лиц (сотрудников), ответственных за организацию и осуществление практических мероприятий по обеспечению безопасности персональных данных и процессов их обработки;
- наделением каждого сотрудника (пользователя) минимально необходимыми для выполнения им своих функциональных обязанностей полномочиями по доступу к информационным ресурсам Администрации;
- четким знанием и строгим соблюдением всеми пользователями информационной системы Администрации требований организационно-распорядительных документов по вопросам обеспечения безопасности персональных данных;
- персональной ответственностью за свои действия каждого сотрудника, в рамках своих функциональных обязанностей имеющего доступ к информационным ресурсам Администрации;
- непрерывным поддержанием необходимого уровня защищенности элементов информационной среды Администрации;
- применением физических и технических (программно-аппаратных) средств защиты ресурсов системы и непрерывной административной поддержкой их использования;
- эффективным контролем над соблюдением пользователями информационных ресурсов Администрации требований по обеспечению безопасности информации;
- юридической защитой интересов Администрации при взаимодействии с внешними организациями (связанном с обменом персональными данными) от противоправных действий, как со стороны этих организаций, так и от несанкционированных действий обслуживающего персонала и третьих лиц.
6. Категории обрабатываемых персональных данных
Основными объектами системы безопасности персональных данных в администрации являются:
- информационные ресурсы с ограниченным доступом, содержащие персональные данные;
- процессы обработки персональных данных в информационной системе персональных данных Администрации, информационные технологии, регламенты и процедуры сбора, обработки, хранения и передачи информации, персонал разработчиков и пользователей системы и ее обслуживающий персонал;
- информационная инфраструктура, включающая системы обработки и анализа информации, технические и программные средства ее обработки, передачи и отображения, в том числе каналы информационного обмена и телекоммуникации, системы и средства защиты информации, объекты и помещения, в которых расположены технические средства обработки персональных данных.
В информационных системах персональных данных Администрации обрабатываются следующие категории персональных данных:
персональные данные работников Администрации.
персональные данные Заявителей, обращающихся в Администрацию за предоставлением государственных и муниципальных услуг.
Персональные данные работников Администрации включают в себя: фамилия, имя, отчество; дата рождения; место рождения; адрес регистрации; фактический адрес проживания; паспортные данные (серия, номер паспорта, кем и когда выдан); информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность); сведения о награждении, квалификация; информация о трудовой деятельности работника до приёма на работу; информация о трудовом стаже (место работы, должность, период работы, причины увольнения); телефонные номера; семейное положение и состав семьи; сведения о доходах; данные о трудовом договоре; сведения о воинском учёте (для военнообязанных и лиц, подлежащих призыву на военную службу); идентификационный номер налогоплательщика (ИНН); сведения о регистрации в системе обязательного пенсионного страхования и его страховой номер индивидуального лицевого счёта (СНИЛС); сведения о постановке на учёт в налоговом органе, иные персональные данные, необходимые для исполнения трудового законодательства.
Персональные данные Заявителей могут включать в себя следующую информацию: фамилия, имя, отчество; дата рождения; место рождения; адрес регистрации; фактический адрес; тип и наименование документа, удостоверяющего личность; номер, серия, кем, когда выдан документ, удостоверяющий личность Заявителя; гражданство Заявителя; идентификационный номер налогоплательщика (ИНН); страховой номер индивидуального лицевого счёта (СНИЛС); телефонный номер; адрес электронной почты, иные сведения указанные Заявителем.
Так же могут обрабатываться персональные данные Заявителей, содержащиеся в иных документах, необходимых для предоставления им государственных и муниципальных услуг. Однако обработка таких данных ведётся исключительно без использования средств автоматизации.
7. Принципы обработки персональных данных
Обработка персональных данных Заявителей осуществляется на законной и справедливой основе.
Обработка персональных данных Заявителей ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
Обработке подлежат только персональные данные, которые необходимы для полноценного предоставления государственных и муниципальных услуг Заявителям. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
В Администрации обеспечивается конфиденциальность персональных данных Заявителей. Лица, получающие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральными законами.
Обработка персональных данных Заявителей включает в себя такие действия как сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Предоставление государственных и муниципальных услуг предполагает обработку персональных данных Заявителей различными способами (с использованием автоматизированных информационных систем, а также без использования автоматизации).
В Администрации не осуществляется обработка биометрических персональных данных (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность).
В Администрации не допускается обработка с использованием автоматизированных информационных систем специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Персональные данные Заявителей с их согласия могут быть переданы в федеральные органы исполнительной власти (их территориальные органы), органы государственных внебюджетных фондов (их территориальные органы), исполнительные органы государственной власти Ульяновской области, органы местного самоуправления муниципальных образований Ульяновской области, а также организации, участвующие в предоставлении государственных и муниципальных услуг. Порядок взаимодействия в рамках соглашений с вышеперечисленными операторами персональных данных в обязательном порядке предусматривает соблюдение конфиденциальности и обеспечение безопасности персональных данных Заявителей.
Администрация не предоставляет и не раскрывает сведения, содержащие персональные данные Заявителей, третьей стороне без письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.
По мотивированному запросу исключительно для выполнения возложенных законодательством функций и полномочий персональные данные субъекта персональных данных без его согласия могут быть переданы: в судебные органы в связи с осуществлением правосудия; в органы государственной безопасности; в органы прокуратуры; в органы полиции; в следственные органы;
в иные органы и организации в случаях, установленных нормативными правовыми актами, обязательными для исполнения.
Трансграничная передача персональных данных Заявителей не ведётся.
8. Меры по обеспечению безопасности персональных данных при их обработке
В Администрации при обработке персональных данных принимаются правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них.
Работники Администрации, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации в области персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных.
Также применяются организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных Администрации: разграничение доступа к персональным данным, антивирусная и парольная защита информационных систем, система резервного копирования и восстановления данных, иные необходимые меры безопасности. Установлена пожарная и охранная сигнализация, оборудован круглосуточный пункт охраны.
9. Права Заявителей
Заявители имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:
подтверждение факта обработки Администрации персональных данных.
правовые основания и цели обработки их персональных данных, цели и применяемые способы обработки персональных данных, обрабатываемые персональные данные, относящиеся к соответствующему Заявителю, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом.
сроки обработки персональных данных, в том числе сроки их хранения, информацию об осуществлённой или о предполагаемой трансграничной передаче данных.
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Администрации, если обработка поручена или будет поручена такому лицу.
иные сведения, предусмотренные федеральными законами. Администрация обязана сообщить Заявителю или его представителю информацию о наличии персональных данных, относящихся к соответствующему Заявителю, а также предоставить возможность
ознакомления с этими персональными данными при обращении Заявителя или его представителя в течение тридцати дней со дня получения запроса Заявителя или его представителя.
В случае отказа в предоставлении информации Администрация обязана дать в письменной форме мотивированный ответ, содержащий ссылку на положение Федерального закона № 152-ФЗ «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня обращения либо с даты получения запроса.
Для реализации своих прав и защиты законных интересов Заявитель имеет право обратиться в Администрацию. Администрация рассматривает любые обращения и жалобы со стороны Заявителей, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.
Заявитель вправе обжаловать действия или бездействие Администрации путём обращения в уполномоченный орган по защите прав субъектов персональных данных. Заявитель имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.