Публичная политика по обработке и защите персональных данных граждан СПб ГКУ «Организатор перевозок»
ОГЛАВЛЕНИЕ
1 ВВЕДЕНИЕ
2 ТЕРМИНЫ
3 ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ ГРАЖДАН В СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК»
3.1 Основания и цели обработки персональных данных граждан
3.2 Условия обработки персональных данных граждан
3.3 Ответственные за организацию обработки и обеспечение защиты персональных данных
3.4 Права и обязанности граждан
3.5 Порядок запроса сведений гражданами
3.6 Передача персональных данных граждан третьим лицам
4 ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5 ОСОБЕННОСТИ НЕАВТОМАТИЗИРОВАННОЙ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ПРИЛОЖЕНИЕ. ШАБЛОН СОГЛАСИЯ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Публичная политика по обработке и защите персональных данных граждан (далее – Публичная политика) определяет правила и порядок обработки персональных данных граждан в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК», а также требования к способам обработки.
Настоящая Публичная политика разработана в соответствии с:
- Конституцией Российской Федерации; * Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (в ред. Федерального закона от 25.07.2011 N 261-ФЗ);* Постановлением Правительства Российской Федерации от 1 ноября 2012 г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;* Постановлением Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».* Приказом ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных»;* Руководящим документом ФСТЭК России. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Утвержден Заместителем директора ФСТЭК России 15 февраля 2008 г.;* Руководящим документом ФСТЭК России. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Утвержден Заместителем директора ФСТЭК России 14 февраля 2008 г.;
* «Специальными требованиями и рекомендации по технической защите конфиденциальной информации (СТР-К)» ФСТЭК России;
* Руководящими документами ФСБ РФ. Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации. Утвержден руководством 8 Центра ФСБ России 21 февраля 2008 г. №149/5-144.
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
Примечание: Собственниками информации могут быть: государство, юридическое лицо, группа физических лиц, отдельное физическое лицо.Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку технических средств.
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно, или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные – любая информация относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Роскомнадзор – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.
Система защиты информационных систем – совокупность программных, аппаратных и технических средств защиты информации, используемых для обеспечения информационной безопасности информационных систем.
Субъект персональных данных – лицо, обработка персональных данных которого осуществляется оператором персональных данных: клиенты (физические лица/их представители); сотрудники СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» и другие физические лица, предоставляющие свои персональные данные для обработки организацией).
Угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
3 ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ ГРАЖДАН СПб ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК»
3.1 Основания и цели обработки персональных данных граждан
Основаниями для обработки персональных данных граждан в СПб ГКУ «Организатор перевозок» являются:
* Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
* Социальный кодекс Санкт-Петербурга;
* Распоряжение Комитета по транспорту Санкт-Петербурга от 26.08.2005 г. № 129 (с изменениями и дополнениями);
* Постановление Правительства РФ от 14.02.2009 № 112 (в ред. от 14.05.2013) “Об утверждении Правил перевозок пассажиров и багажа автомобильным транспортом и городским наземным электрическим транспортом”;
* Федеральный закон от 02.05.2006 г. № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»
Целями обработки персональных данных граждан в СПб ГКУ «Организатор перевозок» являются:
* выдача и обеспечение использования льготных проездных билетов;
* прием и обработка обращений граждан по работе наземного пассажирского транспорта.
Граждане предоставляют СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» персональные данные только в объеме, необходимом для достижения указанных целей.
3.2 Условия обработки персональных данных граждан
В СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» осуществляется как автоматизированная, так и неавтоматизированная обработка персональных данных граждан.
Сбор, хранение, использование и распространение, в том числе передача третьим лицам, персональных данных граждан без их письменного согласия или любого другого основания, установленного Федеральным законом №152-ФЗ «О персональных данных» в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» запрещены.
В СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» не ведется сбор и обработка биометрических и специальных категорий персональных данных граждан, в том числе информации о их расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни.
Сотрудники СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК», в должностные обязанности которых входит обработка персональных данных граждан, при приеме на работу подписывают соглашение о неразглашении персональных данных граждан. Сотрудники, не подписавшие данное соглашение, к обработке персональных данных не допускаются.
Во все заявления и формы обращения в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» для физических лиц, их представителей и т.д., включен пункт о согласии граждан на обработку переданных ими в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» персональных данных с возможностью передачи третьим лицам (при этом третьи лица в каждом случае конкретизированы).
Во всех случаях, когда необходимо получение согласия граждан, соблюдаются следующие условия:
* граждане принимают решение о предоставлении своих персональных данных и дают согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным;
* Согласие на обработку персональных данных может быть дано гражданами или их законными представителями в письменной форме или в любой другой форме, позволяющей подтвердить факт его получения. Шаблон «Согласия гражданина на обработку персональных данных» представлен в Приложении 1;
* при получении согласия на обработку персональных данных от представителей граждан, полномочия данных представителей на дачу согласия от имени граждан проверяются СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК».
В случае выявления недостоверных персональных данных или неправомерных действий с ними СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» при обращении или по запросу граждан, СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» осуществляет блокирование персональных данных.
В случае подтверждения факта неточности персональных данных на основании сведений, представленных гражданами или их представителями, либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
В случае достижения целей обработки персональных данных СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» прекращает обработку персональных данных и уничтожает персональные данные в срок, не превышающий тридцати дней с даты достижения целей обработки персональных данных, если иное не предусмотрено законодательством или условиями обслуживания граждан – субъектов персональных данных, либо другими законными основаниями, предусмотренными Федеральным законом №152-ФЗ «О персональных данных».
В случае отзыва субъектами персональных данных согласия на обработку их персональных данных, СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» прекращает обработку персональных данных и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено Федеральным законом №152-ФЗ «О персональных данных». После уничтожения персональных данных СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» уведомляет субъектов персональных данных об уничтожении их данных.
В случае отсутствия возможности уничтожения персональных данных в течение указанного срока, СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» осуществляет блокирование таких персональных данных и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
3.3 Ответственные за организацию обработки и обеспечение защиты персональных данных
Сотрудники ответственные за организацию обработки и обеспечение защиты персональных данных обязаны:
* осуществлять внутренний контроль за соблюдением СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
* доводить до сведения сотрудников СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, внутренних требований к защите персональных данных;
* организовывать прием и обработку обращений и запросов граждан или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
3.4 Права и обязанности граждан
Граждане при обработке их персональных данных в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» имеют право:
* на получение информации, касающейся обработки их персональных данных, в том числе содержащей:
– подтверждение факта обработки персональных данных СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК»;
– правовые основания и цели обработки персональных данных;
– применяемые СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» способы обработки персональных данных;
– наименование и место нахождения СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК», сведения о лицах (за исключением работников СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК»), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» или на основании федерального закона;
– сроки обработки персональных данных, в том числе сроки их хранения;
– иные сведения, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных» или другими федеральными законами;
* на отзыв данного ранее согласия на обработку персональных данных, если иное не предусмотрено условиями обслуживания граждан или другими законными основаниями, предусмотренными Федеральным законом № 152-ФЗ «О персональных данных».
Сведения предоставляются гражданам в доступной форме, и в них не содержатся персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных. Порядок запроса указанных сведений представлен в разделе 3.5 настоящей политики.
3.5 Порядок запроса гражданами сведений
Сведения, запрашиваемые гражданами в соответствие с разделом 3.4 настоящей Публичной политики, предоставляются гражданам или их представителям в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» при обращении либо при получении запроса от граждан или от их представителей. Шаблон Заявления на запрос сведений представлен в Приложении 2 настоящего документа.
Оформленное Заявление предоставляется сотруднику, осуществляющему сбор персональных данных граждан в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК».
Ответственный за работу с гражданами, проверяет представленное Заявление и готовит запрашиваемую Гражданами информацию, в виде ответного письма за подписью руководства СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» в срок не более 30 дней, в другом случае, в течение указанного срока, готовит мотивированный отказ.
Граждане вправе повторно обратиться в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» или направить повторный запрос в целях получения запрошенных сведений, и ознакомления с такими персональными данными не ранее чем через 30 дней после первоначального обращения или по факту получения ответа на первоначальное обращение, в том числе, если запрошенные сведения, а также обрабатываемые персональные данные были предоставлены для ознакомления гражданам не в полном объеме. Повторный запрос должен содержать обоснование направления повторного запроса.
СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» вправе отказать гражданам в выполнении повторного запроса, в случае несоответствия перечисленным выше условиям.
Право гражданина на доступ к его персональным данным, обрабатываемым СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК», может быть ограничено в соответствии с федеральными законами.
3.6 Передача персональных данных граждан третьим лицам
СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» вправе передать персональные данные субъекта третьему лицу, при этом соблюдаются следующие требования:
* передача персональных данных третьему лицу обоснована, в частности федеральными законами (например, Постановлением Правительства РФ от 14 февраля 2009 г. № 112 «Об утверждении правил перевозок пассажиров и багажа автомобильным транспортом и городским наземным электрическим транспортом»)
* передача персональных данных третьим лицам осуществляется при согласии гражданина, если иное не предусмотрено федеральным законом;
* лицо (оператор), которому осуществляется передача персональных данных, соблюдает принципы и правила обработки персональных данных, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных»;
* в соглашениях СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» с третьими лицами определены перечень действий (операций) с персональными данными, которые будут совершаться третьим лицом, и цели обработки;
* в соглашениях СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» с третьими лицами установлена обязанность третьих лиц соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке.
4 ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий.
Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе специальные технологии. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.
Обмен персональными данными при их обработке в информационных системах осуществляется по каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и путем применения технических средств.
Размещение информационных систем, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными, организация режима обеспечения безопасности в этих помещениях обеспечивает сохранность носителей персональных данных и средств защиты информации, а также исключает возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц.
При обработке персональных данных в информационной системе обеспечивается:
* проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;
* своевременное обнаружение фактов или попыток несанкционированного доступа к персональным данным;
* недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
* возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
* постоянный контроль обеспечения уровня защищенности персональных данных.
Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:
* определение угроз безопасности персональных данных при их обработке, формирование на их основе частной модели угроз;
* разработку на основе частной модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем;
* проверку готовности средств защиты информации к использованию с составлением заключений о возможности их эксплуатации;
* установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;
* обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
* учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;
* учет лиц, допущенных к работе с персональными данными в информационной системе;
* контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
* разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений;
* описание системы защиты персональных данных.
Лица, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения служебных (трудовых) обязанностей, допускаются к соответствующим персональным данным на основании списка, утвержденного СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК».
5 ОСОБЕННОСТИ НЕАВТОМАТИЗИРОВАННОЙ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Неавтоматизированная обработка персональных данных в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» заключается в работе с бумажными носителями информации, которые содержат сведения, составляющие персональные данные (далее – бумажные носители персональных данных).
К бумажным носителям персональных данных относятся заявления и письменные обращения на бумажных носителях, получаемые от граждан СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК».
В СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» установлены следующие требования к хранению бумажных носителей:
* срок хранения для бумажных носителей персональных данных, устанавливается согласно внутренним документам СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК», в зависимости от состава персональных данных;
* бумажные носители персональных данных хранятся в специализированных шкафах или сейфах, при этом, соответствующим приказом руководства СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК», для каждого структурного подразделения, в рамках которого происходит обработка бумажных носителей персональных данных, назначается ответственный сотрудник;
* запрещено хранение бумажных носителей персональных данных в местах, доступных для ознакомления посторонними лицами;
* сотрудникам СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК», выполняющим обработку персональных данных с использованием бумажных носителей запрещено хранить их на своем рабочем месте.
В СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» установлены следующие требования к уничтожению бумажных носителей персональных данных:
* уничтожение бумажных носителей персональных данных производиться при помощи технических средств (уничтожителей бумаги), исключающих возможность полного или частичного восстановления данных носителей;
* ответственным за уничтожение бумажных носителей персональных данных соответствующим приказом Руководства СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» назначается сотрудник, отвечающий за хранение данных носителей персональных данных;
* уничтожение бумажных носителей персональных данных оформляется актом.
Не допускается фиксация на одном бумажном носителе персональных данных, цели обработки которых заведомо несовместимы. В случае обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных используется отдельный материальный носитель.
Уточнение персональных данных при осуществлении их неавтоматизированной обработки в производится путем изготовления нового бумажного носителя персональных данных с уточненными персональными данными.
Неавтоматизированная обработка персональных данных в СПБ ГКУ «ОРГАНИЗАТОР ПЕРЕВОЗОК» осуществляется таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (бумажных носителей персональных данных) и установить сотрудников, осуществляющих неавтоматизированную обработку персональных данных, либо имеющих к ним доступ.
При хранении бумажных носителей персональных данных соблюдаются условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.
ПРИЛОЖЕНИЕ. Шаблон согласия на обработку персональных данных
Комментарии закрыты.
