Основная информация
| Дата опубликования: | 12 декабря 2013г. |
| Номер документа: | RU58000201301787 |
| Текущая редакция: | 4 |
| Статус нормативности: | Нормативный |
| Субъект РФ: | Пензенская область |
| Принявший орган: | Управление ЗАГС Пензенской области |
| Раздел на сайте: | Нормативные правовые акты субъектов Российской Федерации |
| Тип документа: | Приказы |
Бесплатная консультация
У вас есть вопросы по содержанию или применению нормативно-правового акта, закона, решения суда? Наша команда юристов готова дать бесплатную консультацию. Звоните по телефонам:Федеральный номер (звонок бесплатный): 8 (800) 555-67-55 доб. 732Москва и Московская область: 8 (499) 350-55-06 доб. 192Санкт-Петербург и Ленинградская область: 8 (812) 309-06-71 доб. 749
Текущая редакция документа
Постановление Правительства Пензенской области
УПРАВЛЕНИЕ ЗАПИСИ АКТОВ ГРАЖДАНСКОГО СОСТОЯНИЯ ПЕНЗЕНСКОЙ ОБЛАСТИ
(Управление ЗАГС Пензенской области)
ПРИКАЗ
от 12 декабря 2013 года № 84
ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В УПРАВЛЕНИИ ЗАГС ПЕНЗЕНСКОЙ ОБЛАСТИ
(с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 15.06.2017 № 19, от 05.06.2019 № 26, от 17.09.2019 № 39)
В целях реализации Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (с последующими изменениями), руководствуясь Положением об Управлении записи актов гражданского состояния Пензенской области, утвержденным постановлением Правительства Пензенской области от 03.02.2003 №38-пП «О переименовании отдела ЗАГС Пензенской области» (с последующими изменениями), приказываю:
1. Утвердить прилагаемое Положение об обработке и защите персональных данных в Управлении ЗАГС Пензенской области.
2. Настоящий приказ разместить (опубликовать) на официальном сайте Управления ЗАГС Пензенской области в информационно-телекоммуникационной сети «Интернет».
3. Контроль за исполнением настоящего приказа оставляю за собой.
Начальник Управления
Л.В. КРИВОЗУБОВА
Утверждено
приказом Управления ЗАГС
Пензенской области
от 12 декабря 2013 года № 84
ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В УПРАВЛЕНИИ ЗАГС ПЕНЗЕНСКОЙ ОБЛАСТИ
(с изменениями, внесенными приказами Управления ЗАГС Пензенской области от 15.06.2017 № 19, от 05.06.2019 № 26, от 17.09.2019 № 39)
1. Термины и определения
1.1. В настоящем Положении об обработке и защите персональных данных в Управлении ЗАГС Пензенской области (далее - Положение) используются основные понятия и термины, определённые Федеральными законами от 27.07.2006 № 152-ФЗ «О персональных данных» (с последующими изменениями) (далее – Федеральный закон) и от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с последующими изменениями).
2. Общие положения
2.1. Целью Положения является обеспечение защиты персональных данных в Управлении ЗАГС Пензенской области (далее - Управление) от несанкционированного доступа, неправомерного их использования или утраты.
2.2. Настоящее Положение определяет политику Управления в отношении обработки персональных данных и устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
2.3. Настоящее Положение разработано в соответствии с:
– Конституцией Российской Федерации;
– Трудовым кодексом Российской Федерации;
– Кодексом об административных правонарушениях Российской Федерации;
– Гражданским кодексом Российской Федерации;
– Уголовным кодексом Российской Федерации;
– Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»
(с последующими изменениями);
– Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с последующими изменениями);
– Федеральным законом от 15.11.1997 № 143-ФЗ «Об актах гражданского состояния» (с последующими изменениями);
– Федеральным законом от 27.07.2004 № 79-ФЗ «О государственной гражданской службе Российской Федерации» (с последующими изменениями);
– Указом Президента Российской Федерации от 30.05.2005 № 609
«Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела» (с последующими изменениями);
– постановлением Правительства Российской Федерации от 15.09.2008 № 687
«Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
– постановлением Правительства Российской Федерации от 21.03.2012 № 211
«Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами» (с последующими изменениями);
– постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
– Специальными требованиями и рекомендациями по технической защите конфиденциальной информации, утвержденными приказом Гостехкомиссии России от 30.08.2002 № 282 (с последующими изменениями).
2.4. Обработка персональных данных в Управлении осуществляется на основе принципов, определённых в статье 5 Федерального закона.
2.5. Структурными подразделениями Управления, осуществляющими обработку персональных данных субъектов персональных данных, не отнесенных к общедоступным персональным данным, являются:
– отдел организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчётности и информационных технологий;
– отдел финансирования, бухгалтерского учёта и материльно-технического обеспечения;
-главный специалист – эксперт;
(абзац в редакции приказа Управления ЗАГС Пензенской области от 15.06.2017 № 19)
- консультант;
(абзац в редакции приказа Управления ЗАГС Пензенской области от 15.06.2017 № 19)
– отдел учета, обработки и хранения документов (архив ЗАГС);
– территориальный отдел ЗАГС по государственной регистрации смерти в городе Пензе;
– территориальный отдел ЗАГС Железнодорожного района г. Пензы;
– территориальный отдел ЗАГС Ленинского района г. Пензы;
– территориальный отдел ЗАГС Октябрьского района г. Пензы;
– территориальный отдел ЗАГС Первомайского района г. Пензы;
– территориальный отдел ЗАГС г. Кузнецка и Кузнецкого района;
– территориальный отдел ЗАГС г. Каменки и Каменского района;
– территориальный отдел ЗАГС г.Сердобска и Сердобского района;
– территориальный отдел ЗАГС Башмаковского района;
– территориальный отдел ЗАГС Бековского района;
– территориальный отдел ЗАГС Белинского района;
– территориальный отдел ЗАГС Бессоновского района;
– территориальный отдел ЗАГС Вадинского района;
– территориальный отдел ЗАГС Городищенского района;
– территориальный отдел ЗАГС Земетчинского района;
– территориальный отдел ЗАГС Иссинского района;
– территориальный отдел ЗАГС Камешкирского района;
– территориальный отдел ЗАГС Колышлейского района;
– территориальный отдел ЗАГС Лопатинского района;
– территориальный отдел ЗАГС Лунинского района;
– территориальный отдел ЗАГС Малосердобинского района;
– территориальный отдел ЗАГС Мокшанского района;
– территориальный отдел ЗАГС Наровчатского района;
– территориальный отдел ЗАГС Неверкинского района;
– территориальный отдел ЗАГС Нижнеломовского района;
– территориальный отдел ЗАГС Никольского района;
– территориальный отдел ЗАГС Пачелмского района;
– территориальный отдел ЗАГС Пензенского района;
– территориальный отдел ЗАГС Сосновоборского района;
– территориальный отдел ЗАГС Спасского района;
– территориальный отдел ЗАГС Тамалинского района;
– территориальный отдел ЗАГС Шемышейского района.
2.6. Ответственность за организацию обработки персональных данных в Управлении возлагается на заместителя начальника Управления - начальника отдела организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчётности и информационных технологий Управления.
Ответственность за организацию обработки персональных данных в структурных подразделениях Управления, указанных в пункте 2.5 раздела 2 настоящего Положения, возлагается на их руководителей.
Ответственность за обеспечение безопасности персональных данных возлагается на старшего специалиста 1 разряда отдела организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчетности и информационных технологий.
(пункт 2.6. в редакции приказа Управления записи актов гражданского состояния Пензенской области от 17.09.2019 № 39)
2.7. В структурных подразделениях Управления, указанных в пункте 2.5 раздела 2 настоящего Положения, обработка персональных данных ведется с использованием средств автоматизации, а также без использования таковых.
2.8. В Управлении работа с обращениями граждан, порядок обработки и защиты персональных данных организуется в соответствии с Федеральным законом, Федеральным законом от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации» (с последующими изменениями), Законом Пензенской области от 28.12.2012 № 2327-ЗПО «О порядке рассмотрения обращений в Пензенской области» и настоящим Положением.
2.9. Управление при обработке персональных данных использует методы и способы защиты персональных данных, предусмотренные статьей 19 Федерального закона и руководящими документами уполномоченных федеральных органов исполнительной власти, с учетом актуальных угроз безопасности персональных данных, определяемых для каждой информационной системы персональных данных.
2.10. Настоящее Положение является обязательным для исполнения всеми государственными гражданскими служащими Пензенской области, замещающими должности в Управлении, и работниками Управления, осуществляющими перевод книг государственной регистрации актов гражданского состояния (актовых книг) в электронную форму путем конвертации (преобразования) в форму электронного документа, имеющими доступ к персональным данным (далее – сотрудники Управления).
(пункт 2.10. в редакции приказа Управления ЗАГС Пензенской области от 05.06.2019 № 26)
3. Условия сбора и обработки персональных данных
3.1. Сбор персональных данных может осуществляться как путем представления их самим субъектом персональных данных, так и путем получения их от иных источников, при условии реализации части 8 статьи 9 Федерального закона. Если персональные данные субъекта персональных данных получены не от субъекта персональных данных, то до начала их обработки необходимо предоставить субъекту информацию, определенную частью 3 статьи 18 Федерального закона, за исключением случаев, предусмотренных частью 4 статьи 18 Федерального закона.
3.2. Персональные данные о частной жизни субъекта персональных данных (информация о жизнедеятельности в сфере семейных, бытовых, личных отношений) в Управлении могут быть получены и обработаны сотрудниками, допущенными к обработке персональных данных, только с письменного согласия субъекта персональных данных на бумажном носителе или в форме электронного документа, подписанного в соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» (с последующими изменениями).
3.3. Управление не имеет право получать и обрабатывать персональные данные субъекта персональных данных о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.
3.4. Все меры конфиденциальности при сборе, обработке и хранении персональных данных субъекта персональных данных распространяются как на бумажные, так и на электронные носители информации.
3.5. Сотрудники Управления, допущенные к обработке персональных данных, в обязательном порядке под роспись знакомятся с настоящим Положением и подписывают обязательство о неразглашении информации, содержащей персональные данные, по форме согласно Приложению № 1 к настоящему Положению (далее - Обязательство). Обязательство не заменяет собой обязательства сотрудника Управления, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта (трудового договора) прекратить обработку персональных данных, ставших известными ему в связи с исполнением должностных (служебных) обязанностей (Приложение № 2 к настоящему Положению).
(пункт 3.5. в редакции приказа Управления ЗАГС Пензенской области от 05.06.2019 № 26)
4. Хранение и использование персональных данных
4.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, если срок их хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
4.2. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.
4.3. Право доступа к персональным данным субъекта персональных данных внутри Управления имеют:
– начальник Управления;
– заместитель начальника Управления – начальник отдела организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчётности и информационных технологий;
– сам субъект персональных данных;
– сотрудники Управления, допущенные к работе с персональными данными, при выполнении ими своих служебных обязанностей.
5. Передача персональных данных
5.1. Передача персональных данных субъекта персональных данных возможна только с согласия субъекта персональных данных или в случаях, предусмотренных законодательством. Если передача персональных данных субъекта персональных данных не предусмотрена законодательством, то с субъекта персональных данных в обязательном порядке берется письменное согласие на бумажном носителе или в форме электронного документа, подписанного в соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» (с последующими изменениями).
5.2. При передаче персональных данных субъекта персональных данных сотрудники Управления, должны соблюдать следующие требования:
(абзац с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 05.06.2019 № 26)
– не сообщать персональные данные субъекта персональных данных в коммерческих целях без его письменного согласия;
– предупреждать лиц, получающих персональные данные субъекта персональных данных, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъекта персональных данных, обязаны соблюдать режим защиты персональных данных;
– передавать персональные данные субъекта персональных данных представителям субъектов персональных данных в порядке, установленном действующим федеральным законодательством, и ограничивать эту информацию только теми персональными данными субъекта персональных данных, которые необходимы для выполнения указанными представителями их функций.
5.3. Передача персональных данных от Управления или его представителей иному оператору персональных данных может допускаться в минимальных объемах, в целях выполнения задач, соответствующих объективной причине сбора этих данных, и только после заключения с этим оператором договора о соблюдении конфиденциальности.
5.4. Не допускается отвечать на вопросы, связанные с передачей персональных данных, по телефону или факсу.
6. Права субъектов персональных данных по обеспечению защиты персональных данных, хранящихся в Управлении
6.1. В целях защиты персональных данных, хранящихся в Управлении, субъект персональных данных имеет право:
– на полную информацию о своих персональных данных и обработку этих данных;
– требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований федеральных законов;
– дополнять персональные данные оценочного характера заявлением, выражающим его собственную точку зрения;
– определять своих представителей для защиты своих персональных данных;
– на сохранение и защиту своей личной и семейной тайны;
– на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные, за исключением случаев, предусмотренных федеральным законодательством;
– требовать об извещении всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта персональных данных, обо всех произведенных в них исключениях, исправлениях или дополнениях;
– на обжалование в суде любых неправомерных действий или бездействия при обработке и защите его персональных данных.
7. Требования к обработке и защите персональных данных, обработка которых осуществляется без использования средств автоматизации
7.1. Структурные подразделения Управления, указанные в пункте 2.5 раздела 2 настоящего Положения, организуют обработку и защиту персональных данных, обработка которых осуществляется без использования средств автоматизации, на основании Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
(пункт 7.1. с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 05.06.2019 № 26)
7.2. Защита персональных данных должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных были выполнены следующие требования:
– определены места хранения персональных данных (материальных носителей),
– обеспечено раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;
– соблюдены условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.
7.3. Управление не осуществляет ведение журналов (книг), содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных в здание Управления, или в иных аналогичных целях.
7.4. Применяемые меры по защите персональных данных должны быть направлены на:
– ограничение доступа персонала и посторонних лиц в помещения, где хранятся материальные носители персональных данных;
– организацию учёта и надёжного хранения материальных носителей персональных данных, их обращения, исключающее хищение, подмену и уничтожение.
8. Требования к обработке и защите персональных данных в информационных системах персональных данных Управления с использованием средств автоматизации
8.1. Управление принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.
8.2. Обработка и защита персональных данных в информационных системах персональных данных с использованием средств автоматизации в структурных подразделениях Управления, указанных в пункте 2.5 раздела 2 настоящего Положения, осуществляется в соответствии с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 01.11.2012 № 1119
«Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», нормативными и руководящими документами уполномоченных федеральных органов исполнительной власти.
8.3. Классификация информационных систем персональных данных Управления осуществляется в порядке, установленном законодательством Российской Федерации.
8.4. Защита персональных данных, содержащихся в информационных системах персональных данных Управления, обеспечивается путем принятия организационных и технических мер защиты, направленных на блокирование (нейтрализацию) угроз безопасности персональных данных в информационных системах персональных данных Управления, в рамках системы (подсистемы) защиты информации Управления (далее - система защиты).
Организационные и технические меры защиты, реализуемые в рамках системы защиты, должны быть направлены на исключение:
– неправомерных доступа, копирования, предоставления или распространения персональных данных (обеспечение конфиденциальности);
– неправомерных уничтожения или модифицирования персональных данных (обеспечение целостности);
– неправомерного блокирования персональных данных (обеспечение доступности).
8.5. Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных Управления включают в себя:
– издание документов, определяющих политику Управления в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
– осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Управления в отношении обработки персональных данных, локальным актам Управления;
– ознакомление сотрудников Управления, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Управления в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных сотрудников;
– определение типа угроз безопасности персональных данных, актуальных для информационных систем персональных данных;
– применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
– оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
– обеспечение сохранности и учета носителей персональных данных;
– восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
– установление правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных Управления, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
– контроль за принимаемыми мерами по обеспечению безопасности персональных данных и установленного уровня защищенности информационных систем персональных данных;
– организация режима обеспечения безопасности помещений, в которых размещены информационные системы персональных данных, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения.
8.6. С учетом актуальных угроз безопасности персональных данных и установленного уровня защищенности персональных данных определяются состав и содержание мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты.
8.7. Не допускается обработка персональных данных в информационных системах персональных данных при отсутствии:
– настроенных средств защиты от несанкционированного доступа, средств антивирусной защиты, резервного копирования информации и других программных и технических средств, в соответствии с требованиями безопасности информации;
– охраны и организации режима допуска в помещения, предназначенные для обработки персональных данных;
– документа, подтверждающего эффективность применяемых мер и средств защиты по нейтрализации актуальных угроз безопасности, определенных в частной модели угроз безопасности персональных данных в конкретных информационных системах персональных данных.
9. Рассмотрение запросов субъектов персональных данных или их представителей в Управлении ЗАГС Пензенской области
9.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, указанной в части 7 статьи 14 Федерального закона.
9.2. Субъект персональных данных имеет право требовать от Управления уточнения его персональных данных, их блокирования или уничтожения, в случае если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
9.3. При обращении либо при получении запроса субъекта персональных данных или его представителя запрашиваемые сведения должны быть предоставлены в доступной форме, в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
9.4. Запрос субъекта персональных данных регистрируется ответственным за организацию обработки персональных данных в Управлении в сроки, установленные законодательством Российской Федерации. Запрос должен содержать:
– номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
– сведения, подтверждающие участие субъекта персональных данных в отношениях с Управлением (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Управлением, подпись субъекта персональных данных или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
9.5. Управление сообщает в порядке, предусмотренном статьей 14 Федерального закона, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставляет возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.
9.6. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя Управление дает в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя.
9.7. Возможность ознакомления с персональными данными предоставляется на безвозмездной основе лицом, ответственным за обработку персональных данных в Управлении. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Управление вносит в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Управление уничтожает такие персональные данные. Управление уведомляет субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым были переданы персональные данные этого субъекта.
9.8. В случае, если запрашиваемые сведения, указанные в части 7 статьи 14 Федерального закона, за исключением случаев, предусмотренных частью 8 статьи 14 Федерального закона, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно или направить повторный запрос в целях получения указанных сведений и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен иным федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
9.9. Субъект персональных данных вправе обратиться повторно или направить повторный запрос в целях получения сведений, указанных в части 7 статьи 14 Федерального закона, за исключением случаев, предусмотренных частью 8 статьи 14 Федерального закона, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в пункте 9.8 настоящего Положения, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, должен содержать обоснование направления повторного запроса.
9.10. Управление вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 9.8 и 9.9 настоящего Положения. Такой отказ должен быть мотивированным.
9.11. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с Федеральным законом, в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
9.12. При получении запроса из уполномоченного органа по защите прав субъектов персональных данных Управление сообщает необходимую информацию в сроки, установленные Федеральным законом.
10. Порядок привлечения специализированных сторонних организаций к разработке информационных систем персональных данных и средств защиты информации Управления
10.1. Для выбора и реализации методов и способов защиты информации в информационных системах персональных данных Управлением может привлекаться организация, имеющая лицензию на осуществление деятельности по технической защите конфиденциальной информации.
11. Ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных
11.1. Персональная ответственность – одно из главных требований к организации функционирования в Управлении системы защиты персональных данных и обязательное условие обеспечения эффективности этой системы.
11.2. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено в соответствии с законодательством.
11.3. Сотрудники Управления, виновные в нарушении норм и требований действующего законодательства, регулирующих обработку и защиту персональных данных, несут ответственность в соответствии с законодательством Российской Федерации.
(пункт 11.3. с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 05.06.2019 № 26)
Приложение № 1 к Положению
об обработке и защите персональных данных
в Управлении ЗАГС Пензенской области
Начальник Управления ЗАГС
Пензенской области
________________________
(в редакции приказа Управления ЗАГС Пензенской области от 05.06.2019 № 26)
ОБЯЗАТЕЛЬСТВО
о неразглашении конфиденциальной информации
(персональных данных), не содержащей сведений,
составляющих государственную тайну
Я,_______________________________________________________________________
(ФИО государственного гражданского служащего, работника)
исполняющий(ая) должностные (служебные) обязанности по замещаемой должности_____________________________________________________________________
(должность, наименование структурного подразделения Управления ЗАГС Пензенской области)
предупрежден(а), что на период исполнения должностных (служебных) обязанностей в соответствии с должностным регламентом (должностной инструкцией), мне будет предоставлен допуск к конфиденциальной информации (персональным данным), не содержащим сведений, составляющих государственную тайну. Настоящим добровольно принимаю на себя обязательства:
1. Не разглашать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных (служебных) обязанностей.
2. Не передавать и не раскрывать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных (служебных) обязанностей.
3. В случае попытки третьих лиц получить от меня конфиденциальные сведения, немедленно сообщать об этом своему непосредственному руководителю.
4. Не использовать конфиденциальные сведения с целью получения выгоды.
5. Выполнять относящиеся ко мне требования приказов, инструкций, положений и иных нормативных (руководящих) документов, регламентирующих вопросы защиты конфиденциальных сведений.
6. Не разглашать и не передавать третьим лицам известные мне конфиденциальные сведения после прекращения права на допуск к конфиденциальным сведениям.
Я предупрежден(а), что в случае нарушения конфиденциальности информации или утраты документов и предметов, содержащих такую информацию, а также иные нарушения режима безопасности информации буду привлечен(а) к дисциплинарной и/или иной ответственности в соответствии с законодательством Российской Федерации.
______________________ _______________________
(подпись) (расшифровка подписи)
« » 20 г.
Приложение № 2 к Положению
об обработке и защите персональных данных
в Управлении ЗАГС Пензенской области
(в редакции приказа Управления ветеринарии Пензенской области от 10.06.2019 № 63-п)
Начальник Управления ЗАГС
Пензенской области
________________________
Обязательство сотрудника Управления ЗАГС Пензенской области, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта (трудового договора) прекратить обработку персональных данных, ставших известными ему в связи с исполнением
должностных (служебных) обязанностей
Я, ______________________________________________________________________
(ФИО государственного гражданского служащего, работника)
исполняющий(ая) должностные (служебные) обязанности по замещаемой должности_____________________________________________________________________
(должность, наименование структурного подразделения Управления ЗАГС Пензенской области)
обязуюсь прекратить обработку персональных данных, ставших известными мне в связи с исполнением должностных (служебных) обязанностей, в случае расторжения со мной служебного контракта (трудового договора), освобождения меня от замещаемой должности и увольнения с гражданской службы (увольнения).
В соответствии со статьей 7 Федерального закона Российской Федерации от 27.06.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон) я уведомлен(а) о том, что персональные данные являются конфиденциальной информацией и я обязан(а) не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, чьи персональные данные стали известными мне в связи с исполнением должностных (служебных) обязанностей. Ответственность, предусмотренная Федеральным законом и другими федеральными законами, мне разъяснена.
«___» __________ 20__г.____________________________
(подпись, расшифровка подписи)
Постановление Правительства Пензенской области
УПРАВЛЕНИЕ ЗАПИСИ АКТОВ ГРАЖДАНСКОГО СОСТОЯНИЯ ПЕНЗЕНСКОЙ ОБЛАСТИ
(Управление ЗАГС Пензенской области)
ПРИКАЗ
от 12 декабря 2013 года № 84
ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В УПРАВЛЕНИИ ЗАГС ПЕНЗЕНСКОЙ ОБЛАСТИ
(с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 15.06.2017 № 19, от 05.06.2019 № 26, от 17.09.2019 № 39)
В целях реализации Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (с последующими изменениями), руководствуясь Положением об Управлении записи актов гражданского состояния Пензенской области, утвержденным постановлением Правительства Пензенской области от 03.02.2003 №38-пП «О переименовании отдела ЗАГС Пензенской области» (с последующими изменениями), приказываю:
1. Утвердить прилагаемое Положение об обработке и защите персональных данных в Управлении ЗАГС Пензенской области.
2. Настоящий приказ разместить (опубликовать) на официальном сайте Управления ЗАГС Пензенской области в информационно-телекоммуникационной сети «Интернет».
3. Контроль за исполнением настоящего приказа оставляю за собой.
Начальник Управления
Л.В. КРИВОЗУБОВА
Утверждено
приказом Управления ЗАГС
Пензенской области
от 12 декабря 2013 года № 84
ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В УПРАВЛЕНИИ ЗАГС ПЕНЗЕНСКОЙ ОБЛАСТИ
(с изменениями, внесенными приказами Управления ЗАГС Пензенской области от 15.06.2017 № 19, от 05.06.2019 № 26, от 17.09.2019 № 39)
1. Термины и определения
1.1. В настоящем Положении об обработке и защите персональных данных в Управлении ЗАГС Пензенской области (далее - Положение) используются основные понятия и термины, определённые Федеральными законами от 27.07.2006 № 152-ФЗ «О персональных данных» (с последующими изменениями) (далее – Федеральный закон) и от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с последующими изменениями).
2. Общие положения
2.1. Целью Положения является обеспечение защиты персональных данных в Управлении ЗАГС Пензенской области (далее - Управление) от несанкционированного доступа, неправомерного их использования или утраты.
2.2. Настоящее Положение определяет политику Управления в отношении обработки персональных данных и устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
2.3. Настоящее Положение разработано в соответствии с:
– Конституцией Российской Федерации;
– Трудовым кодексом Российской Федерации;
– Кодексом об административных правонарушениях Российской Федерации;
– Гражданским кодексом Российской Федерации;
– Уголовным кодексом Российской Федерации;
– Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»
(с последующими изменениями);
– Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с последующими изменениями);
– Федеральным законом от 15.11.1997 № 143-ФЗ «Об актах гражданского состояния» (с последующими изменениями);
– Федеральным законом от 27.07.2004 № 79-ФЗ «О государственной гражданской службе Российской Федерации» (с последующими изменениями);
– Указом Президента Российской Федерации от 30.05.2005 № 609
«Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела» (с последующими изменениями);
– постановлением Правительства Российской Федерации от 15.09.2008 № 687
«Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
– постановлением Правительства Российской Федерации от 21.03.2012 № 211
«Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами» (с последующими изменениями);
– постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
– Специальными требованиями и рекомендациями по технической защите конфиденциальной информации, утвержденными приказом Гостехкомиссии России от 30.08.2002 № 282 (с последующими изменениями).
2.4. Обработка персональных данных в Управлении осуществляется на основе принципов, определённых в статье 5 Федерального закона.
2.5. Структурными подразделениями Управления, осуществляющими обработку персональных данных субъектов персональных данных, не отнесенных к общедоступным персональным данным, являются:
– отдел организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчётности и информационных технологий;
– отдел финансирования, бухгалтерского учёта и материльно-технического обеспечения;
-главный специалист – эксперт;
(абзац в редакции приказа Управления ЗАГС Пензенской области от 15.06.2017 № 19)
- консультант;
(абзац в редакции приказа Управления ЗАГС Пензенской области от 15.06.2017 № 19)
– отдел учета, обработки и хранения документов (архив ЗАГС);
– территориальный отдел ЗАГС по государственной регистрации смерти в городе Пензе;
– территориальный отдел ЗАГС Железнодорожного района г. Пензы;
– территориальный отдел ЗАГС Ленинского района г. Пензы;
– территориальный отдел ЗАГС Октябрьского района г. Пензы;
– территориальный отдел ЗАГС Первомайского района г. Пензы;
– территориальный отдел ЗАГС г. Кузнецка и Кузнецкого района;
– территориальный отдел ЗАГС г. Каменки и Каменского района;
– территориальный отдел ЗАГС г.Сердобска и Сердобского района;
– территориальный отдел ЗАГС Башмаковского района;
– территориальный отдел ЗАГС Бековского района;
– территориальный отдел ЗАГС Белинского района;
– территориальный отдел ЗАГС Бессоновского района;
– территориальный отдел ЗАГС Вадинского района;
– территориальный отдел ЗАГС Городищенского района;
– территориальный отдел ЗАГС Земетчинского района;
– территориальный отдел ЗАГС Иссинского района;
– территориальный отдел ЗАГС Камешкирского района;
– территориальный отдел ЗАГС Колышлейского района;
– территориальный отдел ЗАГС Лопатинского района;
– территориальный отдел ЗАГС Лунинского района;
– территориальный отдел ЗАГС Малосердобинского района;
– территориальный отдел ЗАГС Мокшанского района;
– территориальный отдел ЗАГС Наровчатского района;
– территориальный отдел ЗАГС Неверкинского района;
– территориальный отдел ЗАГС Нижнеломовского района;
– территориальный отдел ЗАГС Никольского района;
– территориальный отдел ЗАГС Пачелмского района;
– территориальный отдел ЗАГС Пензенского района;
– территориальный отдел ЗАГС Сосновоборского района;
– территориальный отдел ЗАГС Спасского района;
– территориальный отдел ЗАГС Тамалинского района;
– территориальный отдел ЗАГС Шемышейского района.
2.6. Ответственность за организацию обработки персональных данных в Управлении возлагается на заместителя начальника Управления - начальника отдела организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчётности и информационных технологий Управления.
Ответственность за организацию обработки персональных данных в структурных подразделениях Управления, указанных в пункте 2.5 раздела 2 настоящего Положения, возлагается на их руководителей.
Ответственность за обеспечение безопасности персональных данных возлагается на старшего специалиста 1 разряда отдела организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчетности и информационных технологий.
(пункт 2.6. в редакции приказа Управления записи актов гражданского состояния Пензенской области от 17.09.2019 № 39)
2.7. В структурных подразделениях Управления, указанных в пункте 2.5 раздела 2 настоящего Положения, обработка персональных данных ведется с использованием средств автоматизации, а также без использования таковых.
2.8. В Управлении работа с обращениями граждан, порядок обработки и защиты персональных данных организуется в соответствии с Федеральным законом, Федеральным законом от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации» (с последующими изменениями), Законом Пензенской области от 28.12.2012 № 2327-ЗПО «О порядке рассмотрения обращений в Пензенской области» и настоящим Положением.
2.9. Управление при обработке персональных данных использует методы и способы защиты персональных данных, предусмотренные статьей 19 Федерального закона и руководящими документами уполномоченных федеральных органов исполнительной власти, с учетом актуальных угроз безопасности персональных данных, определяемых для каждой информационной системы персональных данных.
2.10. Настоящее Положение является обязательным для исполнения всеми государственными гражданскими служащими Пензенской области, замещающими должности в Управлении, и работниками Управления, осуществляющими перевод книг государственной регистрации актов гражданского состояния (актовых книг) в электронную форму путем конвертации (преобразования) в форму электронного документа, имеющими доступ к персональным данным (далее – сотрудники Управления).
(пункт 2.10. в редакции приказа Управления ЗАГС Пензенской области от 05.06.2019 № 26)
3. Условия сбора и обработки персональных данных
3.1. Сбор персональных данных может осуществляться как путем представления их самим субъектом персональных данных, так и путем получения их от иных источников, при условии реализации части 8 статьи 9 Федерального закона. Если персональные данные субъекта персональных данных получены не от субъекта персональных данных, то до начала их обработки необходимо предоставить субъекту информацию, определенную частью 3 статьи 18 Федерального закона, за исключением случаев, предусмотренных частью 4 статьи 18 Федерального закона.
3.2. Персональные данные о частной жизни субъекта персональных данных (информация о жизнедеятельности в сфере семейных, бытовых, личных отношений) в Управлении могут быть получены и обработаны сотрудниками, допущенными к обработке персональных данных, только с письменного согласия субъекта персональных данных на бумажном носителе или в форме электронного документа, подписанного в соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» (с последующими изменениями).
3.3. Управление не имеет право получать и обрабатывать персональные данные субъекта персональных данных о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.
3.4. Все меры конфиденциальности при сборе, обработке и хранении персональных данных субъекта персональных данных распространяются как на бумажные, так и на электронные носители информации.
3.5. Сотрудники Управления, допущенные к обработке персональных данных, в обязательном порядке под роспись знакомятся с настоящим Положением и подписывают обязательство о неразглашении информации, содержащей персональные данные, по форме согласно Приложению № 1 к настоящему Положению (далее - Обязательство). Обязательство не заменяет собой обязательства сотрудника Управления, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта (трудового договора) прекратить обработку персональных данных, ставших известными ему в связи с исполнением должностных (служебных) обязанностей (Приложение № 2 к настоящему Положению).
(пункт 3.5. в редакции приказа Управления ЗАГС Пензенской области от 05.06.2019 № 26)
4. Хранение и использование персональных данных
4.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, если срок их хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
4.2. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.
4.3. Право доступа к персональным данным субъекта персональных данных внутри Управления имеют:
– начальник Управления;
– заместитель начальника Управления – начальник отдела организации деятельности по государственной регистрации актов гражданского состояния, аналитики, отчётности и информационных технологий;
– сам субъект персональных данных;
– сотрудники Управления, допущенные к работе с персональными данными, при выполнении ими своих служебных обязанностей.
5. Передача персональных данных
5.1. Передача персональных данных субъекта персональных данных возможна только с согласия субъекта персональных данных или в случаях, предусмотренных законодательством. Если передача персональных данных субъекта персональных данных не предусмотрена законодательством, то с субъекта персональных данных в обязательном порядке берется письменное согласие на бумажном носителе или в форме электронного документа, подписанного в соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» (с последующими изменениями).
5.2. При передаче персональных данных субъекта персональных данных сотрудники Управления, должны соблюдать следующие требования:
(абзац с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 05.06.2019 № 26)
– не сообщать персональные данные субъекта персональных данных в коммерческих целях без его письменного согласия;
– предупреждать лиц, получающих персональные данные субъекта персональных данных, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные субъекта персональных данных, обязаны соблюдать режим защиты персональных данных;
– передавать персональные данные субъекта персональных данных представителям субъектов персональных данных в порядке, установленном действующим федеральным законодательством, и ограничивать эту информацию только теми персональными данными субъекта персональных данных, которые необходимы для выполнения указанными представителями их функций.
5.3. Передача персональных данных от Управления или его представителей иному оператору персональных данных может допускаться в минимальных объемах, в целях выполнения задач, соответствующих объективной причине сбора этих данных, и только после заключения с этим оператором договора о соблюдении конфиденциальности.
5.4. Не допускается отвечать на вопросы, связанные с передачей персональных данных, по телефону или факсу.
6. Права субъектов персональных данных по обеспечению защиты персональных данных, хранящихся в Управлении
6.1. В целях защиты персональных данных, хранящихся в Управлении, субъект персональных данных имеет право:
– на полную информацию о своих персональных данных и обработку этих данных;
– требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований федеральных законов;
– дополнять персональные данные оценочного характера заявлением, выражающим его собственную точку зрения;
– определять своих представителей для защиты своих персональных данных;
– на сохранение и защиту своей личной и семейной тайны;
– на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные, за исключением случаев, предусмотренных федеральным законодательством;
– требовать об извещении всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта персональных данных, обо всех произведенных в них исключениях, исправлениях или дополнениях;
– на обжалование в суде любых неправомерных действий или бездействия при обработке и защите его персональных данных.
7. Требования к обработке и защите персональных данных, обработка которых осуществляется без использования средств автоматизации
7.1. Структурные подразделения Управления, указанные в пункте 2.5 раздела 2 настоящего Положения, организуют обработку и защиту персональных данных, обработка которых осуществляется без использования средств автоматизации, на основании Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
(пункт 7.1. с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 05.06.2019 № 26)
7.2. Защита персональных данных должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных были выполнены следующие требования:
– определены места хранения персональных данных (материальных носителей),
– обеспечено раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;
– соблюдены условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.
7.3. Управление не осуществляет ведение журналов (книг), содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных в здание Управления, или в иных аналогичных целях.
7.4. Применяемые меры по защите персональных данных должны быть направлены на:
– ограничение доступа персонала и посторонних лиц в помещения, где хранятся материальные носители персональных данных;
– организацию учёта и надёжного хранения материальных носителей персональных данных, их обращения, исключающее хищение, подмену и уничтожение.
8. Требования к обработке и защите персональных данных в информационных системах персональных данных Управления с использованием средств автоматизации
8.1. Управление принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.
8.2. Обработка и защита персональных данных в информационных системах персональных данных с использованием средств автоматизации в структурных подразделениях Управления, указанных в пункте 2.5 раздела 2 настоящего Положения, осуществляется в соответствии с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 01.11.2012 № 1119
«Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», нормативными и руководящими документами уполномоченных федеральных органов исполнительной власти.
8.3. Классификация информационных систем персональных данных Управления осуществляется в порядке, установленном законодательством Российской Федерации.
8.4. Защита персональных данных, содержащихся в информационных системах персональных данных Управления, обеспечивается путем принятия организационных и технических мер защиты, направленных на блокирование (нейтрализацию) угроз безопасности персональных данных в информационных системах персональных данных Управления, в рамках системы (подсистемы) защиты информации Управления (далее - система защиты).
Организационные и технические меры защиты, реализуемые в рамках системы защиты, должны быть направлены на исключение:
– неправомерных доступа, копирования, предоставления или распространения персональных данных (обеспечение конфиденциальности);
– неправомерных уничтожения или модифицирования персональных данных (обеспечение целостности);
– неправомерного блокирования персональных данных (обеспечение доступности).
8.5. Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных Управления включают в себя:
– издание документов, определяющих политику Управления в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
– осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Управления в отношении обработки персональных данных, локальным актам Управления;
– ознакомление сотрудников Управления, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Управления в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных сотрудников;
– определение типа угроз безопасности персональных данных, актуальных для информационных систем персональных данных;
– применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
– оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
– обеспечение сохранности и учета носителей персональных данных;
– восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
– установление правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных Управления, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
– контроль за принимаемыми мерами по обеспечению безопасности персональных данных и установленного уровня защищенности информационных систем персональных данных;
– организация режима обеспечения безопасности помещений, в которых размещены информационные системы персональных данных, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения.
8.6. С учетом актуальных угроз безопасности персональных данных и установленного уровня защищенности персональных данных определяются состав и содержание мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты.
8.7. Не допускается обработка персональных данных в информационных системах персональных данных при отсутствии:
– настроенных средств защиты от несанкционированного доступа, средств антивирусной защиты, резервного копирования информации и других программных и технических средств, в соответствии с требованиями безопасности информации;
– охраны и организации режима допуска в помещения, предназначенные для обработки персональных данных;
– документа, подтверждающего эффективность применяемых мер и средств защиты по нейтрализации актуальных угроз безопасности, определенных в частной модели угроз безопасности персональных данных в конкретных информационных системах персональных данных.
9. Рассмотрение запросов субъектов персональных данных или их представителей в Управлении ЗАГС Пензенской области
9.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, указанной в части 7 статьи 14 Федерального закона.
9.2. Субъект персональных данных имеет право требовать от Управления уточнения его персональных данных, их блокирования или уничтожения, в случае если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
9.3. При обращении либо при получении запроса субъекта персональных данных или его представителя запрашиваемые сведения должны быть предоставлены в доступной форме, в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
9.4. Запрос субъекта персональных данных регистрируется ответственным за организацию обработки персональных данных в Управлении в сроки, установленные законодательством Российской Федерации. Запрос должен содержать:
– номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
– сведения, подтверждающие участие субъекта персональных данных в отношениях с Управлением (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Управлением, подпись субъекта персональных данных или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
9.5. Управление сообщает в порядке, предусмотренном статьей 14 Федерального закона, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставляет возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.
9.6. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя Управление дает в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя.
9.7. Возможность ознакомления с персональными данными предоставляется на безвозмездной основе лицом, ответственным за обработку персональных данных в Управлении. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Управление вносит в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Управление уничтожает такие персональные данные. Управление уведомляет субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым были переданы персональные данные этого субъекта.
9.8. В случае, если запрашиваемые сведения, указанные в части 7 статьи 14 Федерального закона, за исключением случаев, предусмотренных частью 8 статьи 14 Федерального закона, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно или направить повторный запрос в целях получения указанных сведений и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен иным федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
9.9. Субъект персональных данных вправе обратиться повторно или направить повторный запрос в целях получения сведений, указанных в части 7 статьи 14 Федерального закона, за исключением случаев, предусмотренных частью 8 статьи 14 Федерального закона, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в пункте 9.8 настоящего Положения, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, должен содержать обоснование направления повторного запроса.
9.10. Управление вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 9.8 и 9.9 настоящего Положения. Такой отказ должен быть мотивированным.
9.11. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с Федеральным законом, в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
9.12. При получении запроса из уполномоченного органа по защите прав субъектов персональных данных Управление сообщает необходимую информацию в сроки, установленные Федеральным законом.
10. Порядок привлечения специализированных сторонних организаций к разработке информационных систем персональных данных и средств защиты информации Управления
10.1. Для выбора и реализации методов и способов защиты информации в информационных системах персональных данных Управлением может привлекаться организация, имеющая лицензию на осуществление деятельности по технической защите конфиденциальной информации.
11. Ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных
11.1. Персональная ответственность – одно из главных требований к организации функционирования в Управлении системы защиты персональных данных и обязательное условие обеспечения эффективности этой системы.
11.2. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено в соответствии с законодательством.
11.3. Сотрудники Управления, виновные в нарушении норм и требований действующего законодательства, регулирующих обработку и защиту персональных данных, несут ответственность в соответствии с законодательством Российской Федерации.
(пункт 11.3. с изменениями, внесенными приказом Управления ЗАГС Пензенской области от 05.06.2019 № 26)
Приложение № 1 к Положению
об обработке и защите персональных данных
в Управлении ЗАГС Пензенской области
Начальник Управления ЗАГС
Пензенской области
________________________
(в редакции приказа Управления ЗАГС Пензенской области от 05.06.2019 № 26)
ОБЯЗАТЕЛЬСТВО
о неразглашении конфиденциальной информации
(персональных данных), не содержащей сведений,
составляющих государственную тайну
Я,_______________________________________________________________________
(ФИО государственного гражданского служащего, работника)
исполняющий(ая) должностные (служебные) обязанности по замещаемой должности_____________________________________________________________________
(должность, наименование структурного подразделения Управления ЗАГС Пензенской области)
предупрежден(а), что на период исполнения должностных (служебных) обязанностей в соответствии с должностным регламентом (должностной инструкцией), мне будет предоставлен допуск к конфиденциальной информации (персональным данным), не содержащим сведений, составляющих государственную тайну. Настоящим добровольно принимаю на себя обязательства:
1. Не разглашать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных (служебных) обязанностей.
2. Не передавать и не раскрывать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных (служебных) обязанностей.
3. В случае попытки третьих лиц получить от меня конфиденциальные сведения, немедленно сообщать об этом своему непосредственному руководителю.
4. Не использовать конфиденциальные сведения с целью получения выгоды.
5. Выполнять относящиеся ко мне требования приказов, инструкций, положений и иных нормативных (руководящих) документов, регламентирующих вопросы защиты конфиденциальных сведений.
6. Не разглашать и не передавать третьим лицам известные мне конфиденциальные сведения после прекращения права на допуск к конфиденциальным сведениям.
Я предупрежден(а), что в случае нарушения конфиденциальности информации или утраты документов и предметов, содержащих такую информацию, а также иные нарушения режима безопасности информации буду привлечен(а) к дисциплинарной и/или иной ответственности в соответствии с законодательством Российской Федерации.
______________________ _______________________
(подпись) (расшифровка подписи)
« » 20 г.
Приложение № 2 к Положению
об обработке и защите персональных данных
в Управлении ЗАГС Пензенской области
(в редакции приказа Управления ветеринарии Пензенской области от 10.06.2019 № 63-п)
Начальник Управления ЗАГС
Пензенской области
________________________
Обязательство сотрудника Управления ЗАГС Пензенской области, непосредственно осуществляющего обработку персональных данных, в случае расторжения с ним служебного контракта (трудового договора) прекратить обработку персональных данных, ставших известными ему в связи с исполнением
должностных (служебных) обязанностей
Я, ______________________________________________________________________
(ФИО государственного гражданского служащего, работника)
исполняющий(ая) должностные (служебные) обязанности по замещаемой должности_____________________________________________________________________
(должность, наименование структурного подразделения Управления ЗАГС Пензенской области)
обязуюсь прекратить обработку персональных данных, ставших известными мне в связи с исполнением должностных (служебных) обязанностей, в случае расторжения со мной служебного контракта (трудового договора), освобождения меня от замещаемой должности и увольнения с гражданской службы (увольнения).
В соответствии со статьей 7 Федерального закона Российской Федерации от 27.06.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон) я уведомлен(а) о том, что персональные данные являются конфиденциальной информацией и я обязан(а) не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, чьи персональные данные стали известными мне в связи с исполнением должностных (служебных) обязанностей. Ответственность, предусмотренная Федеральным законом и другими федеральными законами, мне разъяснена.
«___» __________ 20__г.____________________________
(подпись, расшифровка подписи)
Дополнительные сведения
| Рубрики правового классификатора: | 120.070.000 Информационная безопасность. Защита информации и прав субъектов в области информационных процессов и информатизации (см. также 160.040.030) |
Вопрос юристу
Поделитесь ссылкой на эту страницу:
