ПОЛИТИКА
ФЕДЕРАЛЬНОГО ГОСУДАРСТВЕННОГО БЮДЖЕТНОГО
ОБРАЗОВАТЕЛЬНОГО УЧРЕЖДЕНИЯ ДОПОЛНИТЕЛЬНОГО
ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ
«РОССИЙСКАЯ АКАДЕМИЯ КАДРОВОГО ОБЕСПЕЧЕНИЯ
АГРОПРОМЫШЛЕННОГО КОМПЛЕКСА» (ФГБОУ ДПО РАКО АПК)
В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
г. Москва
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика в отношении обработки персональных данных (далее –
Политика) в федеральном государственном бюджетном образовательном
учреждении дополнительного профессионального образования «Российская
академия кадрового обеспечения агропромышленного комплекса» разработана в
соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных
данных» (далее – Закон № 152-ФЗ) в целях обеспечения защиты прав и свобод
человека и гражданина при обработке его персональных данных, в том числе
защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика действует в отношении всех персональных данных, которые обрабатывает
федеральное государственное бюджетное образовательное учреждение
дополнительного профессионального образования «Российская академия
кадрового обеспечения агропромышленного комплекса» (далее – Оператор,
ФГБОУ ДПО РАКО АПК).
1.3. Во исполнение требований ч. 2 ст. 18.1 152-ФЗ Политика публикуется в свободном
доступе в информационно-телекоммуникационной сети Интернет на сайте ФГБОУ
ДПО РАКО АПК.
2. ЗАКОНОДАТЕЛЬНАЯ И НОРМАТИВНО-ПРАВОВАЯ БАЗА
2.1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее –
Закон № 152-ФЗ);
2.2. Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ (далее – Трудовой
кодекс Российской Федерации, ТК РФ);
2.3. Постановление Правительства Российской Федерации от 06.07.2008 № 512 «Об
утверждении требований к материальным носителям биометрических персональных
данных и технологиям хранения таких данных вне информационных систем
персональных данных»;
2.4. Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об
утверждении Положения об особенностях обработки персональных данных,
осуществляемой без использования средств автоматизации»;
2.5. Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об
утверждении требований к защите персональных данных при их обработке в
информационных системах персональных данных»;
2.6. Приказ Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых
управленческих архивных документов, образующихся в процессе деятельности
государственных органов, органов местного самоуправления и организаций, с
указанием сроков их хранения»;
2.7. Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания
организационных и технических мер по обеспечению безопасности персональных
данных при их обработке в информационных системах персональных данных»;
2.8. Приказ Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов
по обезличиванию персональных данных»;
2.9. Приказ Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке
вреда, который может быть причинен субъектам персональных данных в случае
нарушения Федерального закона «О персональных данных»;
2.10. Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к
подтверждению уничтожения персональных данных»;
2.11. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» (далее – 63-
ФЗ);
2.12. Приказ ФСБ России от 10 июля 2014 г. № 378 «Об утверждении Состава и
содержания организационных и технических мер по обеспечению безопасности
персональных данных при их обработке в информационных системах
персональных данных с использованием средств криптографической защиты
информации, необходимых для выполнения установленных Правительством
Российской Федерации требований к защите персональных данных для каждого из
уровней защищенности»;
2.13. Приказ Роскомнадзора от 14.11.2022 № 187 «Об утверждении Порядка и условий
взаимодействия Федеральной службы по надзору в сфере связи, информационных
технологий и массовых коммуникаций с Операторами в рамках ведения реестра
учета инцидентов в области персональных данных»;
2.14. Федеральный закон от 16.07.1999 № 165-ФЗ «Об основах обязательного
социального страхования» (далее – 165-ФЗ);
2.15. Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной
службе» (далее – 53-ФЗ);
2.16. Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном
(персонифицированном) учете в системах обязательного пенсионного страхования
и обязательного социального страхования» (далее – 27-ФЗ);
2.17. Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном
страховании в Российской Федерации» (далее – 167-ФЗ);
2.18. Иные нормативные правовые акты органов государственной власти Российской
Федерации.
3. СОКРАЩЕНИЯ, ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
3.1. Персональные данные – любая информация, относящаяся к прямо или косвенно
определенному или определяемому физическому лицу (субъекту персональных
данных);
3.2. Оператор персональных данных (оператор) – государственный орган,
муниципальный орган, юридическое или физическое лицо, самостоятельно или
совместно с другими лицами организующие и (или) осуществляющие обработку
персональных данных, а также определяющие цели обработки персональных
данных, состав персональных данных, подлежащих обработке, действия (операции),
совершаемые с персональными данными;
3.3. Обработка персональных данных – любое действие (операция) или совокупность
действий (операций) с персональными данными, совершаемых с использованием
средств автоматизации или без их использования. Обработка персональных данных
включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение
(обновление, изменение), извлечение, использование, передачу (распространение,
предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
3.4. Автоматизированная обработка персональных данных – обработка
персональных данных с помощью средств вычислительной техники;
3.5. Распространение персональных данных – действия, направленные на раскрытие
персональных данных неопределенному кругу лиц;
3.6. Предоставление персональных данных – действия, направленные на раскрытие
персональных данных определенному лицу или определенному кругу лиц;
3.7. Блокирование персональных данных – временное прекращение обработки
персональных данных (за исключением случаев, если обработка необходима для
уточнения персональных данных);
3.8. Уничтожение персональных данных – действия, в результате которых становится
невозможным восстановить содержание персональных данных в информационной
системе персональных данных и (или) в результате которых уничтожаются
материальные носители персональных данных;
3.9. Обезличивание персональных данных – действия, в результате которых
становится невозможным без использования дополнительной информации
определить принадлежность персональных данных конкретному субъекту
персональных данных;
3.10. Информационная система персональных данных – совокупность содержащихся
в базах данных персональных данных и обеспечивающих их обработку
информационных технологий и технических средств.
4. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
4.1. Оператор имеет право:
4.1.1. Самостоятельно определять состав и перечень мер, необходимых и достаточных
для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ
и принятыми в соответствии с ним нормативными правовыми актами, если иное
не предусмотрено Законом № 152-ФЗ или другими федеральными законами;
4.1.2. В случае отзыва субъектом персональных данных согласия на обработку
персональных данных Оператор вправе продолжить обработку персональных
данных без согласия субъекта персональных данных при наличии оснований,
указанных в Законе о персональных данных.
4.2. Оператор обязан:
4.2.1. До начала обработки персональных данных уведомить о своем намерении
осуществлять обработку персональных данных уполномоченный орган по защите
прав субъектов персональных данных (Роскомнадзор).
4.2.2. Организовывать обработку персональных данных в соответствии с требованиями
Закона о персональных данных.
4.2.3. Соблюдать конфиденциальность персональных данных – не раскрывать третьим
лицам и не распространять персональные данные без согласия субъекта
персональных данных, если иное не предусмотрено Федеральным законом РФ.
4.2.4. Сообщать в уполномоченный орган по защите прав субъектов персональных
данных по запросу этого органа необходимую информацию в течение 10 рабочих
дней с даты получения такого запроса.
4.2.5. Предоставить безвозмездно субъекту персональных данных или его
представителю возможность ознакомления с персональными данными,
относящимися к этому субъекту персональных данных.
4.2.6. Сообщить в порядке, предусмотренном статьей 14 152-ФЗ, субъекту
персональных данных или его представителю информацию о наличии
персональных данных, относящихся к соответствующему субъекту персональных
данных, а также предоставить возможность ознакомления с этими персональными
данными при обращении субъекта персональных данных или его представителя
либо в течение десяти рабочих дней с даты получения запроса субъекта
персональных данных или его представителя.
4.2.7. Уточнить персональные данные либо обеспечить их уточнение в соответствии с
152-ФЗ в случае подтверждения факта неточности персональных данных
Оператор на основании сведений, представленных субъектом персональных
данных или его представителем либо уполномоченным органом по защите прав
субъектов персональных данных, или иных необходимых документов.
4.2.8. Прекратить обработку персональных данных в случае:
выявления неправомерной обработки персональных данных, осуществляемой
Оператором, в срок, не превышающий трех рабочих дней с даты этого выявления;
отзыва субъектом персональных данных согласия на обработку его персональных
данных;
достижения цели обработки персональных данных.
4.2.9. В случае установления факта неправомерной или случайной передачи
(предоставления, распространения, доступа) персональных данных, повлекшей
нарушение прав субъектов персональных данных, Оператор обязан направить в
Роскомнадзор уведомления, содержащие:
информацию о произошедшем инциденте;
информацию о результатах внутреннего расследования выявленного инцидента.
4.2.10. После истечения срока нормативного хранения документов, содержащих
персональные данные субъекта, или при наступлении иных законных оснований,
документы подлежат уничтожению, в соответствии с требованиями
законодательства РФ в области защиты информации персональных данных.
5. ОСНОВНЫЕ ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Субъект персональных данных имеет право:
5.1.1. Получать информацию, касающуюся обработки его персональных данных, в том
числе содержащей:
подтверждение факта обработки персональных данных Оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые Оператором способы обработки персональных данных;
наименование и место нахождения оператора, сведения о лицах (за исключением
работников Оператора), которые имеют доступ к персональным данным или
которым могут быть раскрыты персональные данные на основании договора с
Оператором или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему
субъекту персональных данных, источник их получения, если иной порядок
представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
информацию об осуществленной или о предполагаемой трансграничной передаче
данных;
должность или фамилию, имя, отчество лица, осуществляющего обработку
персональных данных по поручению Оператора, если обработка поручена или
будет поручена такому лицу;
информацию о способах исполнения Оператором обязанностей, установленных
статьей 18.1 152-ФЗ;
иные сведения, предусмотренные 152-ФЗ или иными федеральными законами РФ.
5.1.2. Требовать от Оператора уточнения его персональных данных, их блокирования
или уничтожения в случае, если персональные данные являются неполными,
устаревшими, неточными, незаконно полученными или не являются
необходимыми для заявленной цели обработки, а также принимать
предусмотренные законом меры по защите своих прав.
5.1.3. Обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия
или бездействие Оператора при обработке его персональных данных.
6. ПОНЯТИЕ И СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Сведениями, составляющими персональные данные, является любая информация,
относящаяся к прямо или косвенно определенному, или определяемому
физическому лицу (субъекту персональных данных).
6.2. Перечень персональных данных, подлежащих защите в ФГБОУ ДПО РАКО АПК
определятся целями их обработки, 152-ФЗ, ТК РФ и другими нормативными
правовыми актами.
7. ЦЕЛИ СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Обработка персональных данных ограничивается достижением конкретных,
заранее определенных и законных целей. Не допускается обработка персональных
данных, несовместимая с целями сбора персональных данных.
7.2. Обработка Оператором персональных данных осуществляется в следующих
целях:
7.2.1. Исполнение трудового законодательства в рамках трудовых и иных
непосредственно связанных с ним отношений, в том числе:
организация кадрового и бухгалтерского учета учреждения, обеспечение
соблюдения законов, заключение и исполнение обязательств по трудовым и
гражданско-правовым договорам;
ведение кадрового делопроизводства, содействие работникам в трудоустройстве,
обучении и продвижении по службе, пользовании льготами;
участие в трудовых взаимоотношениях с работниками;
предоставление гарантий, льгот и компенсаций, предусмотренные трудовым
законодательством, федеральными законами, коллективным договором и иными
локальными нормативными актами;
исполнение обязанностей, возложенных законодательством РФ на Оператора, в
том числе связанных с представлением персональных данных в налоговые
органы, Социальный фонд России, Федеральный фонд обязательного
медицинского страхования, а также в иные государственные органы;
организация постановки на индивидуальный (персонифицированный) учет
работников в системах обязательного пенсионного страхования и обязательного
социального страхования;
обеспечение личной безопасности, охраны труда;
информационное обеспечение структурных подразделений, обучающихся и
работников;
обработка обращений граждан по вопросам, относящимся к компетенции
Оператора;
осуществление прав и законных интересов в рамках осуществления видов
деятельности, предусмотренных Уставом и иными локальными нормативными
актами, либо достижения общественно значимых целей;
обеспечение пропускного и внутриобъектового режимов, обеспечение
соблюдения правил внутреннего трудового распорядка;
ведение хозяйственной деятельности;
соблюдение законов и иных нормативных актов, осуществление и выполнение,
возложенных законодательством Российской Федерации на Оператора, функций,
полномочий и обязанностей, включая организацию приёма на обучение и
осуществление образовательной деятельности, в том числе, предоставление мер
социальной поддержки, соблюдение требований законодательства о воинской
обязанности и военной службе.
7.2.2. Исключение несанкционированных действий работников Оператора и любых
третьих лиц по сбору, систематизации, накоплению, хранению, уточнению
(обновлению, изменению) персональных данных, иных форм незаконного
вмешательства в информационные ресурсы и локальную вычислительную сеть
Оператора.
7.3. Обработка персональных данных необходима для:
7.3.1. Исполнения договора, стороной которого является субъект персональных данных.
Договор, заключаемый с субъектом персональных данных, не может содержать
положения, ограничивающие права и свободы субъекта персональных данных,
устанавливающие случаи обработки персональных данных несовершеннолетних,
если иное не предусмотрено законодательством Российской Федерации, а также
положения, допускающие в качестве условия заключения договора бездействие
субъекта персональных данных.
7.3.2. Осуществления правосудия, исполнения судебного акта, акта другого органа или
должностного лица, подлежащих исполнению, в соответствии с
законодательством Российской Федерации об исполнительном производстве.
7.3.3. Статистических или иных научных целей при условии обязательного
обезличивания персональных данных.
7.3.4. Защиты жизни, здоровья или иных жизненно важных интересов субъекта
персональных данных, если получение согласия субъекта персональных данных
невозможно.
7.3.5. Осуществления прав и законных интересов Оператора или третьих лиц, для
достижения целей при условии, что при этом не нарушаются права и свободы
субъекта персональных данных.
7.4. Обработка персональных данных включает в себя:
сбор;
запись;
систематизацию;
накопление;
хранение;
уточнение (обновление, изменение);
извлечение;
использование;
передачу (распространение, предоставление, доступ);
обезличивание;
блокирование;
удаление;
уничтожение.
8. ПРАВОВЫЕ ОСНОВАНИЯ
ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Правовым основанием обработки персональных данных является совокупность
нормативных правовых актов и иных документов, во исполнение которых и в
соответствии с которыми Оператор осуществляет обработку персональных данных, в
том числе:
8.1.1. Конституция Российской Федерации.
8.1.2. Трудовой кодекс Российской Федерации.
8.1.3. Федеральный закон от 15.12.2001 № 167-ФЗ “Об обязательном пенсионном
страховании в Российской Федерации”.
8.1.4. Иные федеральные законы и принятые на их основе нормативные правовые акты,
регулирующие отношения, связанные с деятельностью Оператора.
8.1.5. Устав Оператора.
8.1.6. Договоры/соглашения, заключаемые между Оператором и субъектом
персональных данных.
8.1.7. Согласие субъектов персональных данных на обработку их персональных данных.
9. ОБЪЕМ И КАТЕГОРИИ
ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ,
КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Содержание и объем обрабатываемых персональных данных соответствуют
заявленным целям обработки. Обрабатываемые персональные данные не должны
быть избыточными по отношению к заявленным целям их обработки.
9.2. Оператор может обрабатывать персональные данные следующих категорий
субъектов персональных данных:
работники Оператора, исполнители по гражданско-правовому договору, бывшие
работники, кандидаты на замещение вакантных должностей, а также родственники
работников Оператора – для целей исполнения трудового законодательства в рамках
трудовых и иных, непосредственно связанных с ним отношений.
обучающиеся (слушатели, аспиранты, соискатели) – в целях реализации программ
подготовки научных и научно-педагогических кадров в аспирантуре; реализация
дополнительных образовательных программ (дополнительных
общеобразовательных программ, дополнительных профессиональных программ,
дополнительных предпрофессиональных программ в области искусств,
дополнительных образовательных программ спортивной подготовки);
распространение знаний среди специалистов и широких групп населения, в
соответствии с Уставом Оператора.
9.3. Категории персональных данных в соответствии с характером информации:
9.3.1. Общие персональные данные:
автобиография;
паспортные данные;
ИНН, СНИЛС;
адрес места жительства;
домашний телефон;
сведения о трудовом и общем стаже;
сведения о предыдущем месте работы;
образование;
специальность;
занимаемая должность;
сведения о составе семьи;
сведения о воинском учете;
сведения о заработной плате работника;
сведения о социальных льготах;
содержание трудового договора;
содержание декларации;
финансовое положение (доходы, долги, владение недвижимым имуществом,
денежные вклады и др.);
подлинники и копии приказов по личному составу;
личные дела, трудовые книжки и сведения о трудовой деятельности работников;
основания к приказам по личному составу;
дела, содержащие материалы по повышению квалификации и переподготовке
работников, их аттестации, служебным расследованиям;
копии документов об образовании;
рекомендации, характеристики;
семейное положение, наличие детей, родственные связи.
9.3.2. Биометрические персональные данные:
изображение лица человека, полученное с помощью фото- и видеоустройств;
запись голоса человека, полученная с помощью звукозаписывающих устройств.
9.3.3. Специальные персональные данные:
состояние здоровья.
9.4. В случае обработки Оператором биометрических персональных данных
(сведений, которые характеризуют физиологические и биологические
особенности человека, на основании которых можно установить его личность),
она осуществляется в соответствии с требованиями законодательства Российской
Федерации.
9.5. Обработка специальных категорий персональных данных, допускается:
9.5.1. В случае, если субъект персональных данных дал согласие в письменной форме
на обработку своих персональных данных.
9.5.2. В соответствии с законодательством о государственной социальной помощи,
трудовым законодательством, пенсионным законодательством Российской
Федерации.
10. ПОРЯДОК И УСЛОВИЯ
ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Обработка персональных данных осуществляется Оператором с соблюдением
принципов и правил, предусмотренных законодательством РФ.
10.2. Обработка персональных данных осуществляется:
10.2.1. После направления уведомления об обработке персональных данных в
Роскомнадзор.
10.2.2. После утверждения приказа о назначении лиц, уполномоченных на обработку
персональных данных работников, обеспечивающих обработку и несущих
ответственность за нарушение режима защиты персональных данных
работников Оператора.
10.2.3. После утверждения перечня автоматизированных и информационных систем,
обрабатывающих персональные данные работников.
10.2.4. После утверждения перечня помещений, предназначенных для обработки
персональных данных работников.
10.2.5. После подписания обязательства о неразглашении персональных данных
лицами, допущенными к обработке персональных данных работников
Оператора.
10.2.6. После принятия необходимых мер по защите персональных данных работников
Оператора.
10.3. Обработка персональных данных осуществляется с согласия субъектов
персональных данных на обработку их персональных данных, а также без
такового в случаях, предусмотренных законодательством РФ.
10.4. Оператор осуществляет обработку персональных данных для каждой цели их
обработки следующими способами:
10.4.1. Неавтоматизированная обработка персональных данных.
10.4.2. Автоматизированная обработка персональных данных.
10.5. Оператор для защиты персональных данных предпринимает комплекс мер
организационного и технического характера, а также правовые меры защиты, в
том числе:
10.5.1. Принимает локальные нормативные акты и иные документы, регулирующие
отношения в сфере обработки и защиты персональных данных.
10.5.2. Назначает лиц, ответственных за обеспечение безопасности персональных
данных в структурных подразделениях и информационных системах Оператора.
10.5.3. Организует учет документов, содержащих персональные данные.
10.5.4. Хранит персональные данные в условиях, при которых обеспечивается их
сохранность и исключается неправомерный доступ к ним.
10.6. Оператор прекращает обработку персональных данных в следующих случаях:
10.6.1. Выявлен факт их неправомерной обработки. Срок – в течение трех рабочих дней
с даты выявления.
10.6.2. Достигнута цель их обработки.
10.6.3. Истек срок действия или отозвано согласие субъекта персональных данных на
обработку указанных данных, когда в соответствии с 152-ФЗ обработка этих
данных допускается только с согласия.
11. УСЛОВИЯ ОБРАБОТКИ
БИОМЕТРИЧЕСКИХ ПЕРСОНАЛЬНЫХ ДАННЫХ
11.1. К биометрическим персональным данным относятся сведения, которые
характеризуют физиологические и биологические особенности человека, на
основании которых можно установить его личность и которые используются
Оператором для установления личности субъекта персональных данных.
11.2. Биометрические персональные данные, которые используются для установления
личности субъекта персональных данных, могут обрабатываться только при
наличии согласия в письменной форме, за исключением случаев,
предусмотренных частью 2 статьи 11 152-ФЗ.
12. ПЕРЕДАЧА, ХРАНЕНИЕ И УНИЧТОЖЕНИЕ
ПЕРСОНАЛЬНЫХ ДАННЫХ
12.1. Оператор вправе осуществлять передачу персональных данных работника
третьим лицам, только с предварительного письменного согласия субъекта
персональных данных.
12.2. Передача персональных данных работника Оператора третьим лицам
допускается без письменного согласия работника в случаях, установленных 165-
ФЗ, 53-ФЗ, 27-ФЗ, 167-ФЗ.
12.3. При передаче персональных данных работника Оператор должен соблюдать
следующие требования:
12.3.1. Не сообщать персональные данные работника третьей стороне без письменного
согласия работника, за исключением случаев, когда это необходимо в целях
предупреждения угрозы жизни и здоровью работника, а также в случаях,
установленных законодательством РФ.
12.3.2. Не сообщать персональные данные работника в целях выгоды (финансовой и
иной) без письменного согласия субъекта персональных данных.
12.3.3. Осуществлять передачу персональных данных субъектов между
подразделениями Оператора, только работникам, допущенным к обработке
персональных данных.
12.3.4. Предупреждать лиц, получивших персональные данные субъекта, о том, что эти
данные могут быть использованы лишь в целях, для которых они сообщены, и
требовать от этих лиц подтверждения того, что это правило соблюдено. Лица,
получившие персональные данные работника, обязаны соблюдать режим
конфиденциальности.
12.3.5. Разрешать доступ к персональным данным субъекта только специально
уполномоченным лицам, при этом указанные лица должны иметь право
получать только те персональные данные работника, которые необходимы для
выполнения конкретной функции.
12.3.6. Передавать персональные данные субъекта представителям работников в
порядке, установленном Трудовым кодексом Российской Федерации, и
ограничивать эту информацию только теми персональными данными работника,
которые необходимы для выполнения указанными представителями их функции.
12.4. Хранение персональных данных субъектов осуществляется на бумажных
носителях информации, а также в информационных системах Оператора,
обеспечивающих сохранность персональных данных и их защиту от
несанкционированного доступа.
12.5. Персональные данные на бумажных носителях хранятся в течение сроков
хранения документов, для которых эти сроки предусмотрены Федеральным
законом от 22.10.2004 № 125-ФЗ “Об архивном деле в Российской Федерации” и
перечнем типовых управленческих архивных документов, образующихся в
процессе деятельности государственных органов, органов местного
самоуправления и организаций, с указанием сроков их хранения (утв. Приказом
Росархива от 20.12.2019 № 236 “Об утверждении Перечня типовых
управленческих архивных документов, образующихся в процессе деятельности
государственных органов, органов местного самоуправления и организаций, с
указанием сроков их хранения”).
12.6. Срок хранения персональных данных, обрабатываемых в информационных
системах персональных данных, соответствует сроку хранения персональных
данных на бумажных носителях.
12.7. Персональные данные, которые хранит и обрабатывает Оператор, содержатся в
электронном виде в базе 1С. Доступ к электронной базе данных, содержащей
персональные данные работников, защищается в соответствии с требованиями
регуляторов по обеспечению защиты информации персональных данных в
информационных системах персональных данных, при использовании
сертифицированных средств защиты информации и парольной защиты.
12.8. Использование и хранение биометрических персональных данных (при наличии)
вне информационных систем персональных данных возможно только на
материальных носителях информации, которые обеспечены требуемой защитой
этих данных от неправомерного или случайного доступа к ним, их уничтожения,
изменения, блокирования, копирования, предоставления, распространения,
кражи.
12.9. При достижении цели обработки персональных данных, а также в случае отзыва
субъектом персональных данных согласия на их обработку, персональные
данные подлежат уничтожению.
12.10. Порядок уничтожения носителей, содержащих персональные данные субъектов,
должен соответствовать следующим правилам:
12.10.1. Быть конфиденциальным, исключая возможность последующего
восстановления.
12.10.2. Уничтожение должно проводиться комиссией по работе с информацией
ограниченного распространения и персональными данными, и оформляться
юридически.
12.11. Документами, которые Оператор должен сформировать при уничтожении
персональных данных, при одновременном использовании средств
автоматизации и без использования средств автоматизации, являются:
12.11.1. Акт об уничтожении персональных данных, соответствующий требованиям,
установленным п. 3 и 4 приказа Роскомнадзора от 28.10.2022 № 179 «Об
утверждении Требований к подтверждению уничтожения персональных
данных».
12.11.2. Выгрузка из журнала, соответствующая требованиям, установленным п. 5
приказа Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к
подтверждению уничтожения персональных данных».
13. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ,
РЕГУЛИРУЮЩИХ ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ
ДАННЫХ
13.1. Лица, виновные в нарушении положений законодательства РФ в области
персональных данных, при обработке персональных данных субъекта,
привлекаются к дисциплинарной и иной ответственности в порядке,
установленном Трудовым кодексом Российской Федерации и иными
федеральными законами РФ, а также привлекаются к административной,
гражданско-правовой или уголовной ответственности в порядке, установленном
федеральными законами РФ.
13.2. Разглашение персональных данных, их публичное раскрытие, утрата документов и
иных носителей, содержащих персональные данные, а также иные нарушения
обязанностей по их защите и обработке влечет наложение на работника, имеющего
доступ к персональным данным, дисциплинарного взыскания – замечания,
выговора, увольнения.
13.3. Моральный вред, причиненный работнику вследствие нарушения его прав,
нарушения правил обработки персональных данных, а также несоблюдения
требований по защите персональных данных, установленных № 152-ФЗ, подлежит
возмещению, в соответствии с законодательством РФ. Возмещение морального
вреда осуществляется независимо от возмещения имущественного вреда и
понесенных работником убытков.
