ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ О РАБОТЕ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ В МИНИСТЕРСТВЕ ЭКОНОМИКИ РЕСПУБЛИКИ ХАКАСИЯ



МИНИСТЕРСТВО ЭКОНОМИКИ РЕСПУБЛИКИ ХАКАСИЯ

МИНИСТЕРСТВО ЭКОНОМИКИ РЕСПУБЛИКИ ХАКАСИЯ

ПРИКАЗ

от 01.11.2012 № 050-33-Х

ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ О РАБОТЕ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ В МИНИСТЕРСТВЕ ЭКОНОМИКИ РЕСПУБЛИКИ ХАКАСИЯ

(с изменениями от 29.12.2012г., приказ Министерства экономики Республики Хакасия №050-51-Х, НГР RU19000201201323)

(утратил силу от 25.03.2013г. приказом Министерства экономики Республики Хакасия №050-2-х/1, НГР RU19000201300220)

В соответствии со ст. 86 Трудового кодекса Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Положением о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела, утвержденным Указом Президента РФ от 30.05.2005 № 609,

ПРИКАЗЫВАЮ:

1. Утвердить прилагаемое Положение о работе с персональными данными в Министерстве экономики Республики Хакасия.

2. Руководителям структурных подразделений обеспечить обработку и защиту персональных данных в соответствии с Положением о работе с персональными данными в Министерстве экономики Республики Хакасия, указанным в пункте 1 настоящего приказа.

3. Контроль за исполнением настоящего приказа оставляю за собой.

И.о. министра М.Г. Боярский

Приложение

УТВЕРЖДЕНО

приказом Министерства экономики

Республики Хакасия

от 01.11.2012 № 050-33-Х

ПОЛОЖЕНИЕ

о работе с персональными данными в Министерстве экономики Республики Хакасия

1. Общие положения

1.1. Настоящее Положение о работе с персональными данными в Министерстве экономики Республики Хакасия (далее - Положение) устанавливает порядок получения, обработки, передачи, хранения персональных данных физических лиц, необходимых для осуществления деятельности Министерства экономики Республики Хакасия (далее – Министерство).

1.2. Задачей Министерства в области защиты персональных данных является обеспечение в соответствии с законодательством Российской Федерации обработки, хранения и защиты персональных данных государственных гражданских служащих и других работников Министерства экономики Республики Хакасия (далее – служащие), а также персональных данных, содержащихся в документах, полученных из других органов власти и организаций, в обращениях граждан и иных субъектов персональных данных. Персональные данные всегда являются конфиденциальной, строго охраняемой информацией.

1.3. Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация, определяемая нормативно-правовыми актами Российской Федерации в области защиты информации, в области трудовых отношений, нормативными и распорядительными документами Министерства.

1.4. Оператором персональных данных является Министерство. Допускается привлекать для обработки персональных данных иные органы власти и организации (уполномоченные лица) на основе договоров и соглашений.

2. Порядок получения персональных данных

2.1. Обработка персональных данных допускается в следующих случаях:

1) Обработка персональных данных допускается при наличии у Министерства полученного в установленном порядке согласия субъекта персональных данных на их обработку.

2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Министерство функций, полномочий и обязанностей.

3) Обработка персональных данных необходима:

- для осуществления правосудия, исполнения судебного акта, акта другого органа (должностного лица), подлежащих исполнению в соответствии с законодательством об исполнительном производстве;

- для предоставления государственной (муниципальной) услуги в соответствии с Федеральным законом от 27 июля 2010 года № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг;

- для обеспечения предоставления государственной (муниципальной) услуги, для регистрации субъекта персональных данных на едином портале государственных и муниципальных услуг;

- для исполнения договора, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных;

- для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

-для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

- для осуществления прав и законных интересов Министерства или третьих лиц;

- для достижения общественно значимых целей - при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

- для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации;

- для научной, литературной или иной творческой деятельности - при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных.

4) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», при условии обязательного обезличивания персональных данных.

5) Осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.

6) Осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

2.2. Все персональные данные субъекта персональных данных следует получать у него самого.

2.3. Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своих интересах. Такое согласие должно быть конкретным, информированным и сознательным.

2.4. Согласие на обработку персональных данных может быть дано субъектом персональных данных (его представителем) в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия представителя на дачу согласия от имени субъекта персональных данных проверяются Министерством.

2.5. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:

1) фамилию, имя, отчество, адрес субъекта персональных данных, серию и номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, серию и номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя, если Министерство получает такое письменное согласие от представителя субъекта персональных данных, при этом:

в случае недееспособности субъекта персональных данных письменное согласие дает законный представитель субъекта персональных данных;

в случае смерти субъекта персональных данных письменное согласие дают наследники субъекта персональных данных, если такое согласие не было дано им при жизни;

3) наименование и адрес Министерства, получающего согласие субъекта персональных данных;

4) цель обработки и перечень персональных данных, на обработку которых дается письменное согласие;

5) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Министерства, если обработка поручена такому лицу;

6) перечень действий с персональными данными, на совершение которых дается письменное согласие;

7) общее описание используемых Министерством способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, если иное не установлено федеральным законом;

9) способ отзыва согласия, если иное не установлено федеральным законом;;

10) подпись субъекта персональных данных.

2.6. Министерство до начала обработки персональных данных обязано уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

2.7 Министерство вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1) обрабатываемых в соответствии с трудовым законодательством;

2) полученных Министерством в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются Министерством исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;

4) сделанных субъектом персональных данных общедоступными;

5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;

6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится Министерство, или в иных аналогичных целях;

7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;

9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

2.8. Уведомление, предусмотренное пунктом 2.7 настоящего положения, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения:

1) наименование, адрес Министерства;

2) цель обработки персональных данных;

3) категории персональных данных;

4) категории субъектов, персональные данные которых обрабатываются;

5) правовое основание обработки персональных данных;

6) перечень действий с персональными данными, общее описание используемых Министерством способов обработки персональных данных;

7) описание мер, предусмотренных статьями 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;

8) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты;

9) дата начала обработки персональных данных;

10) срок или условие прекращения обработки персональных данных;

11) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;

12) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.

2.9. Министерство не вправе без письменного согласия субъекта персональных данных передавать обрабатываемые персональные данные третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации.

3. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных

3.1. Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных Федеральным законном от 27.07.2006 № 152-ФЗ «О персональных данных».

3.2. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

3.3. Министерство обязано разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.

3.4. Министерство обязано рассмотреть возражение, указанное в пункте 3.3 настоящего Положения, в течение тридцати дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.

4. Получение и обработка персональных данных служащих Министерства

4.1. Служащие Министерства обязаны представлять Министерству комплекс достоверных документированных персональных данных.

4.2. Своевременно, в разумный срок, не превышающий 5 рабочих дней, служащие обязаны лично либо через своих законных представителей сообщать в кадровую службы Министерства об изменении своих персональных данных и представлять подтверждающие документы.

4.3. При получении, обработке, хранении и передаче персональных данных гражданского служащего кадровая служба Министерства обязана соблюдать следующие требования:

1) обработка персональных данных гражданских служащих осуществляется в целях обеспечения соблюдения Конституции Российской Федерации, федеральных законов и иных нормативных правовых актов Российской Федерации, содействия служащим в прохождении государственной гражданской службы Российской Федерации, в обучении и должностном росте, обеспечения личной безопасности служащего и членов его семьи, а также в целях обеспечения сохранности принадлежащего им имущества и имущества Министерства, учета результатов исполнения им должностных обязанностей;

2) персональные данные следует получать лично у служащего. В случае возникновения необходимости получения персональных данных служащего у третьей стороны следует известить об этом служащего заранее, получить его письменное согласие и сообщить служащему о целях, предполагаемых источниках и способах получения персональных данных;

3) запрещается получать, обрабатывать и приобщать к личному делу служащего не установленные федеральными законами персональные данные о его политических, религиозных и иных убеждениях, частной жизни, членстве в общественных объединениях, в том числе в профессиональных союзах;

4) при принятии решений, затрагивающих интересы служащего, запрещается основываться на персональных данных служащего, полученных исключительно в результате их автоматизированной обработки или с использованием электронных носителей;

5) защита персональных данных служащего от неправомерного их использования или утраты обеспечивается за счет средств Министерства в порядке, установленном федеральными законами;

6) передача персональных данных служащего третьей стороне не допускается без письменного согласия служащего, за исключением случаев, установленных федеральным законом.

4.4. В целях обеспечения защиты персональных данных, хранящихся в личных делах, служащие имеют право:

1) получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной);

2) осуществлять свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные служащего, за исключением случаев, предусмотренных федеральным законом;

3) требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением федерального законодательства. Служащий при отказе Министерства или уполномоченного им лица исключить или исправить его персональные данные имеет право заявить в письменной форме Министерству или уполномоченному им лицу о своем несогласии, обосновав соответствующим образом такое несогласие. Персональные данные оценочного характера служащий имеет право дополнить заявлением, выражающим его собственную точку зрения;

4) требовать от Министерства уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные служащего, обо всех произведенных в них изменениях или исключениях из них;

5) обжаловать в суд любые неправомерные действия или бездействие Министерства при обработке и защите персональных данных служащего.

5. Хранение персональных данных

5.1. Персональные данные могут храниться в бумажном и (или) электронном виде централизованно или в соответствующих структурных подразделениях с соблюдением предусмотренных нормативно-правовыми актами Российской Федерации мер по защите персональных данных. Право на обработку персональных данных предоставляется служащим Министерства по утвержденному приказом Министерства перечню.

5.2 Персональные данные защищаются от несанкционированного доступа в соответствии с нормативно-правовыми актами Российской Федерации, нормативно-распорядительными актами и рекомендациями органов в области защиты информации.

5.3. Персональные данные на бумажных носителях, по возможности, хранятся в сейфах или запирающихся шкафах.

При работе документы, содержащие персональные данные, могут находиться на рабочих столах или в специальных папках только в течение рабочего дня. По окончании рабочего дня данные документы должны убираться в сейфы и запирающиеся шкафы при их наличии.

5.4. Персональные данные на электронных носителях должны защищаться паролем доступа и иными средствами в соответствии с действующим законодательством и иными правовыми актами в сфере защиты информации.

6. Отзыв согласия на обработку персональных данных

6.1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в письменной форме.

6.2. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Министерство обязано прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Министерства) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Министерства) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Министерством и субъектом персональных данных либо если Министерство не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

7. Права, обязанности и ответственность субъекта персональных данных и Министерства при работе с персональными данными

7.1. При сборе персональных данных Министерство обязано предоставить субъекту персональных данных по его просьбе всю информацию, имеющую отношение к обработке его персональных данных.

7.2. Если предоставление персональных данных является обязательным в соответствии с федеральным законом, Министерство обязано разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные.

7.3. Если персональные данные получены не от субъекта персональных данных, Министерство до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

1) наименование и адрес Министерства;

2) цель обработки персональных данных и ее правовое основание;

3) предполагаемые пользователи персональных данных;

4) установленные права субъекта персональных данных;

5) источник получения персональных данных.

7.4. Министерство освобождается от обязанности предоставить субъекту персональных данных сведения, предусмотренные пунктом 7.3 настоящего Положения, в случаях, если:

1) субъект персональных данных уведомлен об осуществлении обработки его персональных данных другим оператором;

2) персональные данные получены Министерством на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;

3) персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника;

4) Министерство осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных;

5) предоставление субъекту персональных данных сведений, предусмотренных пунктом 7.3 настоящего Положения, нарушает права и законные интересы третьих лиц.

7.5. В целях обеспечения защиты своих персональных данных субъект персональных данных или его законный представитель в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», за исключением случаев, предусмотренных данным Федеральным законом, имеет право:

1) на получение сведений о Министерстве, о месте его нахождения, о наличии у Министерства персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными;

2) требовать от Министерства уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

3) на получение при обращении или при направлении запроса информации, касающейся обработки его персональных данных;

4) на обжалование действий или бездействия Министерства в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;

5) на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

7.6. В случае выявления неправомерных действий с персональными данными субъект персональных данных или его законный представитель либо уполномоченный органа по защите прав субъектов персональных данных обращается к Министру экономики Республики Хакасия с соответствующим заявлением.

Министр экономики Республики Хакасия издает приказ о блокировании персональных данных, относящихся к соответствующему субъекту персональных данных, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц, с момента такого обращения или получения такого запроса на период проверки, и назначает ответственного за проведение служебной проверки.

Если в ходе служебной проверки подтвердился факт использования недостоверных персональных данных, то служащий, ответственный за получение персональных данных, обязан уточнить персональные данные в течение семи рабочих дней со дня предоставления таких сведений, внести соответствующие изменения и поправки в документы и снять их блокирование.

Если в ходе служебной проверки выявлен факт неправомерных действий с персональными данными, то служащий, ответственный за обработку данных и допустивший подобные действия, в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений указанный служащий в срок, не превышающий трех рабочих дней с даты такого выявления, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных служащий, ответственный за сбор персональных данных, обязан уведомить субъекта персональных данных или его законного представителя, а в случае если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.

7.7. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом Российской Федерации и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.