« Назад
Положение об обработке персональных данных граждан, проживающих в домах, обслуживаемых ООО "ГУК "РЭУ-6" 13.05.2015 16:20
УТВЕРЖДАЮ
Генеральный директор
ООО «ГУК «РЭУ-6»
________________Булынин В.Б.
«16» апреля 2014г.
ПОЛОЖЕНИЕ
об обработке персональных данных граждан ,
проживающих в домах, обслуживаемых
ООО «ГУК «РЭУ-6»
2014 г.
1. Общие положения.
1.1. Положение об обработке персональных данных граждан, проживающих в домах, обслуживаемых ООО «ГУК «РЭУ-6» (далее – Оператор) разработано в соответствии с Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных», постановления Правительства Российской Федерации от 01.11.2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
1.2. Настоящим Положением определяется порядок и условия получения, обработки, хранения, передачи и любого другого использования персональных данных граждан, проживающих в домах, обслуживаемых ООО «ГУК «РЭУ-6» с использованием средств автоматизации и без использования таких средств.
1.3. Упорядочение обращения с персональными данными имеет целью обеспечить соблюдение законных прав и интересов граждан в связи с необходимостью предоставления персональных данных в процессе получения от Оператора жилищных услуг.
1.4. Обработка персональных данных Оператором осуществляется в целях исполнения договора на обслуживание многоквартирного дома.
1.5. Сведения о персональных данных граждан относятся к числу конфиденциальных (составляющих охраняемую законом тайну). Режим конфиденциальности в отношении персональных данных снимается:
o в случае их обезличивания;
o по истечении срока их хранения;
o в других случаях, предусмотренных федеральными законами.
1.6. Руководитель Оператора определяет лиц, уполномоченных на обработку и доступ к персональным данным и несущих ответственность за нарушение режима защиты персональных данных в соответствии с требованиями нормативных правовых актов Российской Федерации.
2. Основные понятия.
2.1. Для целей настоящего Положения используются следующие основные понятия:
o персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
o Оператор – юридическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
o обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
o конфиденциальность персональных данных – обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным граждан, требование не допускать их распространения без согласия граждан или иного законного основания;
o распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
o использование персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
o блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
o уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
o обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
o общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия граждан, или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности;
o информация – сведения (сообщения, данные) независимо от формы их представления;
o документированная информация – зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель;
o информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
o трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
2.2. Граждане, не являющиеся работниками Оператора, или их законные представители имеют право ознакомиться с документами Оператора, устанавливающими порядок обработки персональных данных граждан, а также их права и обязанности в этой области.
2.3. Правила обработки и использования персональных данных, включая сроки хранения содержащих персональные данные оригиналов документов или копий документов на материальных носителях информации и в информационных системах, устанавливаются распоряжениями, приказами, регламентами, положениями и инструкциями Оператора, а также нормативными правовыми актами Российской Федерации.
3. Состав персональных данных граждан.
3.1. Информация, представляемая гражданами при обращении к Оператору предоставляется как в устной так и письменной формах содержит следующие данные.
o ФИО;
o адрес проживания;
o сведения о жилом помещении (общая площадь, перечень и категории коммунальных услуг, количество зарегистрированных граждан в жилом помещении;
o категории льгот;
o паспортные данные, сведения о ранее выданных паспортах;
o сведения о составе семьи;
o сведения о зарегистрированных в квартире гражданах;
o другие данные необходимые для регистрационного учета граждан..
3.2. ПДн граждан обрабатываются Оператором на основании их письменного согласия, полученных при заключении ими договора на Оператор и обслуживание многоквартирного дома.
4. Порядок обработки персональных данных субъектов персональных данных, осуществляемой без использования средств автоматизации.
4.1. При обработке персональных данных без использования средств автоматизации уполномоченными должностными лицами не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо несовместимы.
4.2. При разработке и использовании типовых форм документов, необходимых для реализации возложенных на Оператора полномочий, характер информации в которых предполагает или допускает включение в них персональных данных (далее – типовая форма), должны соблюдаться следующие условия:
o типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, адрес Оператора, фамилию, имя, отчество и адрес субъекта персональных данных, чьи персональные данные вносятся в указанную типовую форму, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки;
o типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, при необходимости получения согласия на обработку персональных данных;
o типовая форма должна быть составлена таким образом, чтобы каждый из субъектов, чьи персональные данные содержатся в типовой форме, при ознакомлении со своими персональными данными, не имел возможности доступа к персональным данным иных лиц, содержащихся в указанной типовой форме;
o типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
4.3. Уничтожение или обезличивание персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).
4.4. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем изготовления нового материального носителя с уточненными персональными данными.
5. Порядок обработки персональных данных субъектов персональных данных в информационных системах.
5.1. Обработка Оператором персональных данных граждан осуществляется в ИСПДн «Граждане» в составе двух автоматизированных рабочих мест АРМ «Бухгалтер по работе с гражданами»;
Определение уровня защищенности ИСПДн осуществляется в порядке, установленном законодательством Российской Федерации.
5.2. Персональные данные представляются работникам Оператора, допущенным к обработке персональных данных с использованием средств автоматизации в части, касающейся исполнения их должностных обязанностей.
5.3. Безопасность персональных данных, обрабатываемых с использованием средств автоматизации, достигается путем исключения несанкционированного, в том числе, случайного доступа к персональным данным с использованием многоуровневого авторизованного доступа к документам по имени пользователя и паролю, а также средств защиты от вторжений и несанкционированного доступа на основе программных средств антивирусной защиты.
5.4. Должностными лицами при обработке персональных данных в информационных системах персональных данных должна быть обеспечена их безопасность с помощью системы защиты, включающей организационные меры и средства защиты информации, в том числе шифровальные (криптографические) средства. Физически база данных располагается в локальных АРМ, установленных в помещениях 1 этажа с периодическим резервным копированием на сменные носители, хранящиеся в специальном металлическом сейфе.
5.5. При возникшей необходимости обмен персональными данными при их обработке в информационных системах может быть осуществлен по каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и путем применения программных и технических средств.
5.6. Самостоятельное подключение средств вычислительной техники, применяемых для хранения, обработки или передачи персональных данных к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную границу Российской Федерации, в том числе к информационно-телекоммуникационной сети Интернет, не допускается.
5.7. Доступ пользователей к персональным данным в информационных системах персональных данных Оператора должен требовать обязательного прохождения процедуры идентификации и аутентификации.
5.8. Структурными подразделениями (должностными лицами) Оператора, ответственными за обеспечение безопасности персональных данных при их обработке в информационных системах, должно быть обеспечено:
o своевременное обнаружение фактов несанкционированного доступа к персональным данным и немедленное доведение этой информации до руководства Оператора;
o недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
o возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
o постоянный контроль за обеспечением уровня защищенности персональных данных;
o знание и соблюдение условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
o учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;
o при обнаружении нарушений порядка предоставления персональных данных незамедлительное приостановление предоставления персональных данных пользователям информационной системы до выявления причин нарушений и устранения этих причин;
o разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений.
5.9. В случае выявления нарушений порядка обработки персональных данных в информационных системах Оператора, уполномоченными должностными лицами принимаются меры по установлению причин нарушений и их устранению.
6. Передача персональных данных.
6.1. При передаче персональных данных субъекта Оператор должен соблюдать следующие требования:
o не сообщать персональные данные граждан третьей стороне без письменного оповещения субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральным законом;
o обеспечивать конфиденциальность персональных данных, за исключением случаев обезличивания персональных данных и в отношении общедоступных персональных данных;
o разрешать доступ к персональным данным субъектов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретной функции.
6.2. Персональные данные субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение, как на бумажных носителях, так и в электронном виде (посредством локальной компьютерной сети).
6.3. Все меры конфиденциальности при сборе, обработке и хранении персональных данных Субъекта распространяются на материальные носители информации.
6.4. Порядок передачи документов на электронных носителях, а так же находящихся в базах данных информационных систем персональных данных определяется регламентом, утвержденным Оператором.
7. Доступ к персональным данным.
7.1. Право доступа к персональным данным субъектов определяет Руководитель Оператора.
7.2. Внутренний доступ (доступ внутри Оператора) к персональным данным Субъекта производится на основании прав доступа, которые утверждаются Руководителем Оператора. Для исполнения своих должностных обязанностей право доступа к персональным данным Субъекта могут иметь:
o непосредственный руководитель структурного подразделения, в котором обрабатываются персональные данные;
o администраторы баз данных информационных систем персональных данных;
o администраторы безопасности информационных систем персональных данных;
o пользователи информационных систем персональных данных, имеющие допуск к персональным данным и осуществляющие её обработку; специалист по технической защите информации Оператора;
o пользователи информационных систем персональных данных, имеющие допуск к персональным данным и осуществляющие её обработку;
o специалист по технической защите информации Оператора;
o сам Субъект, носитель данных.
7.3. Субъект персональных данных имеет право:
7.3.1. Получать доступ к своим персональным данным и ознакомление с ними, включая право на безвозмездное получение копии любой записи, содержащей его персональные данные.
7.3.2. Требовать от оператора уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для работодателя персональных данных.
7.3.3. Получать от оператора:
o сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
o перечень обрабатываемых персональных данных и источник их получения;
o сроки обработки персональных данных, в том числе сроки их хранения;
o сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.
7.3.4. Обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, если субъект персональных данных, считает, что оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона РФ «О персональных данных» № 152-ФЗ от 27.07.2006 или иным образом нарушает его права.
7.4. В случае выявления недостоверных персональных данных субъекта или неправомерных действий с ними оператора при обращении или по запросу гражданина, являющегося субъектом персональных данных, или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных, оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту, с момента такого обращения или получения такого запроса на период проверки
7.4.1. В случае подтверждения факта недостоверности персональных данных субъекта оператор на основании документов, представленных гражданином, являющимся субъектом персональных данных, или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные и снять их блокирование;
7.4.2. В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить гражданина, являющегося субъектом персональных данных, или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
7.5. Хранение персональных данных должно осуществляться в форме, позволяющей определить гражданина, являющегося субъектом персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
7.6. В случае отзыва Субъектом персональных данных согласия на обработку своих персональных данных Оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней от даты поступления указанного отзыва, если иное не предусмотрено законодательством Российской Федерации, договором или соглашением между Оператором и Субъектом персональных данных. Об уничтожении персональных данных Оператор обязан уведомить Субъекта персональных данных.
8. Порядок хранения персональных данных.
8.1. Хранение персональных данных Субъектов осуществляется на материальных носителях информации или в составе баз данных информационных систем персональных данных в соответствующих структурных подразделениях Оператора, с соблюдением предусмотренных нормативными правовыми актами Российской Федерации мер по защите персональных данных.
8.2. Структурные подразделения Оператора, хранящие персональные данные на материальных носителях, обеспечивают их защиту от несанкционированного доступа и копирования согласно «Положению об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденному Постановлением Правительства Российской Федерации от 15 сентября 2008 г. N 687.
9. Ответственность за нарушение норм, регулирующих обработку персональных данных.
9.1. Работники Оператора , виновные в нарушении порядка обращения с персональными данными, привлекаются к дисциплинарной, административной, гражданско-правовой или уголовной ответственности в соответствии с действующим законодательством РФ .
9.2. Руководитель Оператора за нарушение порядка обращения с персональными данными несет административную ответственность согласно статей 5.27 и 5.39 Кодекса об административных правонарушениях РФ.
|
