Политика защиты и обработки персональных данных

1. Общие положения

1.1. Настоящая политика в отношении защиты и обработки персональных данных (далее - Политика) разработана ГУП "Мосводосток" (далее - Оператор) в целях исполнения требований Федерального закона от 27.06.2006 №152-ФЗ "О персональных данных" (далее - Закон о персональных данных).

Политика определяет основные принципы, цели, порядок и условия обработки персональных данных, перечни субъектов и обрабатываемых в ГУП «Мосводосток» персональных данных, функции ГУП «Мосводосток» при обработке персональных данных, права субъектов персональных данных, а также реализуемые в ГУП «Мосводосток» требования к защите персональных данных.

1.2. Политика разработана в соответствии с требованиями Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации в области персональных данных и распространяется на все отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.

1.3. Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих в ГУП «Мосводосток» вопросы обработки персональных данных работников ГУП «Мосводосток» и других субъектов персональных данных.

1.4. Политика вступает в силу с момента подписания Генеральным директором ГУП «Мосводосток» приказа об утверждении Политики. Положения Политики действуют бессрочно, до их отмены.

Пересмотр и обновление настоящей Политики могут осуществляться в связи с изменениями законодательства Российской Федерации в области персональных данных, по результатам анализа актуальности, достаточности и эффективности используемых мер обеспечения безопасности персональных данных, а также по результатам других мероприятий, проводимых ГУП «Мосводосток». Все изменения в Политику вносятся приказом Генерального директора ГУП «Мосводосток».

1.5. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора: https://мосводосток.рф.

2. Основные понятия, используемые в Политике

2.1. Понятия, используемые в Законе о персональных данных, используются в настоящей Политике с аналогичным значением:

субъект персональных данных - определенное или определяемое физическое лицо, данные которого обрабатываются;
персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом о персональных данных;
оператор персональных данных (оператор) - орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе: сбор; запись; систематизацию; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передачу (распространение, предоставление, доступ); обезличивание; блокирование; удаление; уничтожение;
автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
конфиденциальность персональных данных – обязательное для соблюдения назначенным ответственным лицом, получившим доступ к персональным данным работников и иных физических лиц, требование не допускать их распространения без согласия субъекта персональных данных или иного законного основания;
защита персональных данных – деятельность, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные.

3. Правовые основания обработки персональных данных

3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

Конституция Российской Федерации,
Гражданский кодекс Российской Федерации;
Трудовой Кодекс Российской Федерации,
Налоговый Кодекс Российской Федерации,
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27.07.2006;
Федеральный закон № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» от 21.11.2011;
Федеральный закон от 15.12.2001 N 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";
Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Постановление Правительства Российской Федерации от 06 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
приказ Роскомнадзора от 05.09.2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;
приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 г. № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»;
иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

3.2. Правовым основанием обработки персональных данных также являются:

устав и иные учредительные документы Оператора;
договора, заключаемые между Оператором и субъектом персональных данных;
согласие субъектов персональных данных на обработку их персональных данных.

3.3. В целях реализации положений Политики Оператором разрабатываются соответствующие локальные нормативные акты и иные документы, в том числе:

Положение об обработке и защите персональных данных;
иные локальные нормативные акты и документы, регламентирующие вопросы обработки персональных данных Оператором.

4. Принципы и цели обработки персональных данных

4.1. Оператор персональных данных осуществляет обработку персональных данных работников ГУП «Мосводосток» и других субъектов персональных данных, не состоящих с Оператором в трудовых отношениях.

4.2. Обработка персональных данных Оператором осуществляется с учетом необходимости обеспечения защиты прав и свобод работников ГУП «Мосводосток» и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:

обработка персональных данных осуществляется Оператором на законной и справедливой основе;
обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
обработке подлежат только персональные данные, которые отвечают целям их обработки;
содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки, не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;
при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных;
хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом

4.3. Обработка Оператором персональных данных осуществляется в следующих целях:

обеспечения соблюдения требований Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Оператора;
осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора, в том числе по предоставлению персональных данных в органы государственной власти, в Фонд пенсионного и социального страхования Российской Федерации, в Федеральный фонд обязательного медицинского страхования, а также в иные государственные органы;
подготовки, заключения, исполнения и прекращения договоров с контрагентами;
исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, в том числе: содействия работникам в трудоустройстве, получения образования и продвижения по службе, привлечения и отбора кандидатов на работу у Оператора, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы, обеспечения сохранности имущества, ведения кадрового и бухгалтерского учета, заполнения и передачи в уполномоченные органы требуемых форм отчетности, организации постановки на индивидуальный (персонифицированный) учет работников в системах обязательного пенсионного страхования и обязательного социального страхования;
защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
обеспечения пропускного и внутриобъектового режимов на объектах Оператора;
формирования справочных материалов для внутреннего информационного обеспечения деятельности Оператора;
исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;
в иных законных целях.

5. Перечень обрабатываемых персональных данных, перечень субъектов персональных данных

5.1. Оператор может обрабатывать персональные данные следующих категорий субъектов персональных данных в соответствии с перечнем персональных данных, который соответствует заявленным целям обработки:

5.1.1. Кандидатов на замещение вакантных должностей Оператора - для целей исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, осуществления пропускного режима:

фамилия, имя, отчество (ФИО);
сведения об изменении ФИО;
дата и место рождения;
сведения, содержащиеся в документах, удостоверяющих личность;
телефонный абонентский номер (домашний, рабочий, мобильный);
сведения об образовании, опыте работы, квалификации;
иные персональные данные, сообщаемые кандидатами в резюме/анкетах и сопроводительных письмах.

5.1.2. Работников и бывших работников Оператора, членов первичной профсоюзной организации Оператора, работающих на освобожденной основе, - для целей исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, осуществления пропускного режима:

фамилия, имя, отчество (ФИО);
сведения об изменении ФИО;
дата и место рождения;
сведения, содержащиеся в документах, удостоверяющих личность;
адрес регистрации по месту жительства;
адрес фактического проживания;
телефонный абонентский номер (домашний, рабочий, мобильный);
индивидуальный номер налогоплательщика;
страховой номер индивидуального лицевого счета (СНИЛС);
сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
семейное положение, наличие детей, родственные связи;
сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий;
данные о регистрации брака;
сведения о воинском учете;
сведения об инвалидности;
сведения об удержании алиментов;
сведения о доходе с предыдущего места работы;
иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

5.1.3. Членов семьи работников Оператора - для целей исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений:

фамилия, имя, отчество;
степень родства;
год рождения;
иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

5.1.4. Контрагентов Оператора (физических лиц, непосредственно состоящих с Оператором в гражданско-правовых отношениях) - для целей осуществления своей деятельности в соответствии с учредительными документами Оператора, осуществления пропускного режима:

фамилия, имя, отчество (ФИО);
сведения, содержащиеся в документах, удостоверяющих личность;
адрес регистрации по месту жительства;
контактные данные;
замещаемая должность;
индивидуальный номер налогоплательщика;
номер расчетного счета;
иные персональные данные, предоставляемые клиентами и контрагентами (физическими лицами), необходимые для заключения и исполнения договоров, осуществления иных гражданско-правовых отношений.

5.1.5. Представителей (работников) контрагентов Оператора (юридических и физических лиц, состоящих с Оператором в гражданско-правовых отношениях) - для целей осуществления своей деятельности в соответствии с учредительными документами Оператора, осуществления пропускного режима:

фамилия, имя, отчество (ФИО);
сведения, содержащиеся в документах, удостоверяющих личность;
контактные данные;
замещаемая должность;
иные персональные данные, предоставляемые представителями (работниками) контрагентов, необходимые для заключения и исполнения договоров, осуществления иных гражданско-правовых отношений.

5.1.6. Студентов и учащихся, проходящих практику в ГУП "Мосводосток", физических лиц, направленных в служебную командировку в ГУП «Мосводосток» - для целей исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, осуществления пропускного режима:

фамилия, имя, отчество (ФИО);
сведения об изменении ФИО;
дата и место рождения;
сведения, содержащиеся в документах, удостоверяющих личность;
контактные данные;
сведения об образовании, квалификации;
иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

5.2. Обработка Оператором биометрических персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) осуществляется в соответствии с законодательством Российской Федерации.

5.3. Оператором не осуществляется обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья (если эти данные не связаны с выполнением трудовой функции), интимной жизни и частной жизни, за исключением случаев, предусмотренных законодательством РФ.

6. Порядок и условия обработки персональных данных

6.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.

6.2. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.

6.3. Оператор осуществляет обработку персональных данных для каждой цели их обработки следующими способами:

неавтоматизированная обработка персональных данных;
автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
смешанная обработка персональных данных.

Обработка персональных данных без использования средств автоматизации в виде документов на бумажных носителях осуществляется в соответствии с Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Обработка персональных данных в информационных системах с использованием средств автоматизации осуществляется в соответствии с требованиями Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

6.4. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.

6.4.1. В должностных инструкциях работников Оператора, имеющих доступ к персональным данным, установлены обязанности работников об обработке персональных данных и ответственность работников за неисполнение или ненадлежащее исполнение установленных Оператором порядка и условий работы со сведениями конфиденциального характера, содержащими персональные данные.

6.4.2. К обработке персональных данных допускаются работники Оператора, прошедшие процедуру допуска, к которой относятся:

ознакомление работника с локальными нормативными актами (положениями, инструкциями и т. д.), строго регламентирующими порядок и процедуру работы с персональными данными;
наличие должности, занимаемой работником, в перечне должностей, замещение которых предусматривает осуществление обработки и защиты персональных данных;
оформление соглашений о неразглашении персональных данных работников;
получение работником необходимых для исполнения трудовых обязанностей прав доступа к информационной системе, содержащей персональные данные.

6.5. Обработка персональных данных для каждой цели обработки, указанной в п. 4.3 Политики, осуществляется путем:

получения персональных данных в устной и письменной форме непосредственно от субъектов персональных данных;
внесения персональных данных в журналы, реестры и информационные системы Оператора;
использования иных способов обработки персональных данных.

6.6. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, утверждены Приказом Роскомнадзора от 24.02.2021 N 18.

6.7. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд России и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.

6.8. Если в рамках достижения целей обработки персональных данных Оператор взаимодействует с третьими лицами, то ему нужно:

пояснить условия передачи персональных данных в адрес третьих лиц (в том числе и о трансграничной передаче данных);
указать наименование и местонахождение третьих лиц;
обозначить цели передачи данных и их объем;
перечислить действия по обработке, способы и иные условия обработки, включая требования к защите обрабатываемых персональных данных.

В случае получения Оператором запроса от третьих лиц о предоставлении персональных данных, запрос подлежит обязательной проверке в целях контроля за обоснованностью предоставления запроса. При обоснованности полученного запроса Оператор формирует ответ на запрос.

При необоснованности запроса Оператор направляет отправителю запроса письменное уведомление об отказе в предоставлении персональных данных.

При передаче персональных данных третьим лицам Оператор обязан уведомлять лиц, получивших персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получившие персональные данные, обязаны соблюдать режим конфиденциальности.

6.9. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором.

6.9.1. Персональные данные на бумажных носителях хранятся Оператором в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 N 125-ФЗ "Об архивном деле в Российской Федерации", Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 N 236)).

6.9.2. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

6.10. Оператор прекращает обработку персональных данных в следующих случаях:

выявлен факт их неправомерной обработки, срок прекращения обработки - в течение трех рабочих дней с даты выявления;
достигнута цель их обработки;
истек срок действия или отозвано согласие субъекта персональных данных на обработку указанных данных, когда по Закону о персональных данных обработка этих данных допускается только с согласия.

6.11. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку Оператор прекращает обработку этих данных, если:

иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.

6.12. При обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных в срок, не превышающий десяти рабочих дней с даты получения Оператором соответствующего требования, обработка персональных данных прекращается, за исключением случаев, предусмотренных Законом о персональных данных. Указанный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока.

6.13. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе о персональных данных.

7. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

7.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю в течение десяти рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору следует направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.

В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.

Запрос должен содержать:

номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
подпись субъекта персональных данных или его представителя.

Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.

Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

7.2. В случае выявления неточных персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.

7.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения запроса.

В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

7.4. При выявлении Оператором, Роскомнадзором или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Оператор:

в течение 24 часов - уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесенном правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом;
в течение 72 часов - уведомляет Роскомнадзор о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).

7.5. Порядок уничтожения персональных данных Оператором.

7.5.1. Условия и сроки уничтожения персональных данных Оператором:

достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение тридцати дней;
достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение тридцати дней;
предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение тридцати дней.

7.5.2. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:

иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.

7.5.3. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора Оператора.

8. Функции Оператора при осуществлении обработки персональных данных

8.1. Оператор при осуществлении обработки персональных данных:

принимает меры, необходимые и достаточные для обеспечения выполнения требований законодательства Российской Федерации, и локальных нормативных актов Оператора в области персональных данных;
принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в том числе: определяет угрозы безопасности персональных данных при их обработке; назначает лиц, ответственных за обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Оператора;
создает необходимые условия для работы с персональными данными (ограничивает доступ работников к персональным данным в соответствии с должностными обязанностями; обеспечивает ознакомление работников Оператора с порядком обработки и обеспечения безопасности персональных данных любых субъектов, а также степени ответственности за нарушение такого порядка);
организует учет документов, содержащих персональные данные;
организует работу с информационными системами, в которых обрабатываются персональные данные;
хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
определяет состав и объем организационных мероприятий по защите персональных данных в соответствии с требованиями законодательства РФ;
определяет состав технических средств защиты информации для системы защиты персональных данных в соответствии с нормативными правовыми актами;
назначает лицо, ответственное за организацию обработки персональных данных Оператором;
издает локальные нормативные акты, определяющие политику и вопросы обработки и защиты персональных данных;
осуществляет ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации и локальных нормативных актов в области персональных данных, в том числе требованиями к защите персональных данных, и обучение указанных работников;
публикует или иным образом обеспечивает неограниченный доступ к настоящей Политике;
сообщает в установленном порядке субъектам персональных данных или их представителям информацию о наличии персональных данных, относящихся к соответствующим субъектам, предоставляет возможность ознакомления с этими персональными данными при обращении и (или) поступлении запросов указанных субъектов персональных данных или их представителей, если иное не установлено законодательством Российской Федерации;
прекращает обработку и уничтожает персональные данные в случаях, предусмотренных законодательством Российской Федерации в области персональных данных;
совершает иные действия, предусмотренные законодательством Российской Федерации в области персональных данных.

9. Права субъектов персональных данных

9.1. Субъекты персональных данных имеют право на:

полную информацию об их персональных данных, обрабатываемых Оператором;
доступ к своим персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом, а также на доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;
уточнение своих персональных данных, их блокирование или уничтожение в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отзыв согласия на обработку персональных данных;
принятие предусмотренных законом мер по защите своих прав;
обжалование действия или бездействия Оператора, осуществляемого с нарушением требований законодательства Российской Федерации в области персональных данных, в уполномоченный орган по защите прав субъектов персональных данных или в суд;
осуществление иных прав, предусмотренных законодательством Российской Федерации.

10. Контроль за соблюдением законодательства Российской Федерации и локальных нормативных актов Операторов в области персональных данных, в том числе требований к защите персональных данных

10.1. Контроль за соблюдением структурными подразделениями и работниками Оператора законодательства Российской Федерации и локальных нормативных актов Оператора в области персональных данных, в том числе требований к защите персональных данных, осуществляется с целью проверки соответствия обработки персональных данных в структурных подразделениях Оператора законодательству Российской Федерации и локальным нормативным актам Оператора в области персональных данных, в том числе требованиям к защите персональных данных, а также принятых мер, направленных на предотвращение и выявление нарушений законодательства Российской Федерации в области персональных данных, выявления возможных каналов утечки и несанкционированного доступа к персональным данным, устранения последствий таких нарушений.

10.2. Внутренний контроль за соблюдением структурными подразделениями и работниками Оператора законодательства Российской Федерации и локальных нормативных актов Оператора в области персональных данных, в том числе требований к защите персональных данных, осуществляется лицом, ответственным за организацию обработки персональных данных Оператором и/ или Комиссией.

10.3. Персональная ответственность за соблюдение требований законодательства Российской Федерации и локальных нормативных актов Оператора в области персональных данных в структурных подразделениях, а также за обеспечение конфиденциальности и безопасности персональных данных возлагается на руководителей структурных подразделений.

Скачать: Политика персональных данных ГУП Мосводосток.