Политика в отношении обработки персональных данных

Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее - Политика) определяет политику Государственного бюджетного учреждения «Многофункциональный центр предоставления государственных и муниципальных услуг в Республике Татарстан» (далее - Оператор) в отношении обработки и обеспечения безопасности персональных данных.

1.2. Настоящая Политика разработана во исполнение требований Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».

1.3. Целью настоящей политики является установление основных принципов и подходов к обработке и обеспечению защиты персональных данных, обрабатываемых Оператором.

1.4. Политика является публичным документом.

1.5. Политика обязательна для ознакомления и исполнения всеми лицами, допущенными к обработке персональных данных.

2. Основные термины и определения

2.1. В локальных нормативных актах Оператора, регламентирующих вопросы обработки персональных данных используются следующие термины и определения:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• Информация — сведения (сообщения, данные) независимо от формы их представления;
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемые с использованием средств автоматизации иди без использования, таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных);
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3. Цели обработки персональных данных

3.1. Оператор обрабатывает персональные данные исключительно в следующих целях: Предоставления государственных и муниципальных услуг, согласно заключенным соглашениям с Федеральными органами исполнительной власти, органами государственных внебюджетных фондов, органами государственной власти субъектов Российской Федерации, органами местного самоуправления; Регистрация, подтверждение или удаление учетной записи субъекта персональных данных в Федеральной государственной информационной системе «Единая система идентификации и аутентификации»; Оказание платных услуг; Оказание бесплатной юридической помощи; Ведение воинского учета; Ведение кадровой работы и бухгалтерского учета; Начисление заработной платы; предоставление субъектам персональных данных услуг Удостоверяющих центров, банков, страховых организаций на основании заключенных агентских договоров; исполнения условий трудового договора и осуществления прав и обязанностей в соответствии с трудовым законодательством РФ; исполнение обязательств по договорам гражданско-правого характера, предоставление услуги по печати на бумажном носителе сертификата о профилактических прививках против коронавирусной инфекции (COVID-19) или медицинских противопоказаниях к вакцинации и (или) перенесенном заболевании, вызванном новой коронавирусной инфекцией (COVID-19), приём и обработка заявлений о признании гражданина банкротом, в том числе внесение сведений о гражданине в Единый федеральный реестр сведений о банкротстве.

4. Правовые основания обработки персональных данных

Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг»; Постановление Правительства РФ от 22.12.2012 № 1376 «Об утверждении Правил организации деятельности многофункциональных центров предоставления государственных и муниципальных услуг»; Постановление КМ РТ от 21 июня 2012 г. № 539 «Об утверждении Примерного перечня государственных, муниципальных и иных услуг, оказываемых на базе многофункциональных центров предоставления государственных и муниципальных услуг Республики Татарстан»; Приказ Министерства цифрового развития государственного управления, информационных технологий и связи Республики Татарстан от 6 апреля 2021г. № п/96 «Об утверждении Порядка оказания государственным бюджетным учреждением «Многофункциональный центр предоставления государственных и муниципальных услуг в Республике Татарстан» платных услуг»; Приказ директора ГБУ МФЦ от 15.06.2022 № П/148 «Об утверждении Положения по предоставлению платных услуг, Перечня платных услуг, предоставляемых физическим и юридическим лицам государственным бюджетным учреждением «Многофункциональный центр предоставления государственных и муниципальных услуг в Республике Татарстан», цен на платные услуги, назначении ответственных лиц и признании утратившим силу приказов». Агентские договора (от 22.08.2016, 26.12.2017, 15.03.2019, 19.07.2019, 25.12.2019, 29.12.2020, 05.03.2021, 07.06.2022); Федеральный закон от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»; Постановление Правительства РФ от 27.09.2011 № 797 «О взаимодействии между многофункциональными центрами предоставления государственных и муниципальных услуг и федеральными органами исполнительной власти, органами государственных внебюджетных фондов, органами государственной власти субъектов Российской Федерации, органами местного самоуправления»; Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации»; Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»; Трудовой Кодекс Российской Федерации; Гражданский кодекс Российской Федерации; Налоговый кодекс Российской Федерации; Конституция Российской Федерации; Устав государственного бюджетного учреждения «Многофункциональный центр предоставления государственных и муниципальных услуг в Республике Татарстан» Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»; Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»; Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»; Федеральный закон от 21.11.2011 № 324-ФЗ «О бесплатной юридической помощи в Российской Федерации»; Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»; Приказ Министерства связи и массовых коммуникаций Российской Федерации от 20.08.2017 № 436 «Об утверждении порядка формирования и ведения реестров выданных аккредитованными удостоверяющими центрами квалифицированных сертификатов ключей проверки электронной подписи, а также предоставления информации из таких реестров»; Приказ Министерства связи и массовых коммуникаций Российской Федерации от 28.06.2017 № 331 «Об утверждении требований к порядку реализации функций аккредитованного удостоверяющего центра и исполнения его обязанностей»; Постановление Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете»; Постановление Правительства РФ от 16.04.2003 № 225 «О трудовых книжках»; Постановление Минтруда РФ от 10.10.2003 № 69 «Об утверждении инструкции по заполнению трудовых книжек»; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»; Федеральный закон РФ от 01.04.1996г. № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»; Федеральный закон от 22.10.2004 N 125-ФЗ «Об архивном деле в Российской Федерации»; Федеральный закон от 26.10.2002 № 127-ФЗ «О несостоятельности (банкротстве)»; Трудовой договор; Согласие на обработку персональных данных; Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения;

5. Объем и перечень субъектов, персональных данных которых обрабатывает Оператор

5.1 Оператором обрабатываются персональные данные следующих категорий субъектов:

• работники оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников - в объеме до 2000 шт. персональных данных в течении 1 года, в соответствии с трудовым законодательством РФ;
• Лица, персональные данные которых обрабатываются Оператором в связи с предоставлением Оператором государственных и муниципальных услуг объемом до 10000000 персональных данных в течении 1 года, уничтожаются по достижении цели по обработке персональных данных;
• Иные лица, связанные с исполнением Оператором функций, возложенных на Оператора объемом до 100000 персональных данных в течении 1 года, уничтожаются по достижении цели по обработке персональных данных;

6. Перечень действий с персональными данными и способы их обработки

6.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

6.2. Оператор осуществляет обработку персональных данных следующими способами:

• Неавтоматизированная, обработка персональных данных;
• Автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• Смешанная обработка персональных данных.

7. Основные принципы обработки персональных данных

7.1. Обработка персональных данных Оператором осуществляется на основе принципов:

• Законности целей и способов обработки персональных данных;
• Соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям Оператора;
• Соответствия составе и объема обрабатываемых персональных данных, а также способов обработки персональных данных заявленным целям обработки;
• Точности и достаточности, а в необходимых случаях и актуальности персональных данных по отношению к заявленным целям их обработки;
• Уничтожения персональных данных по достижении целей обработки способом, исключающим возможность их восстановления;
• Недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

7.2. Работники Оператора, допущенные к обработке персональных данных, обязаны:

• Знать и неукоснительно выполнять положения:
  а) Законодательства Российской Федерации в области персональных данных;
  б) Настоящей Политики;
  в) Локальных актов по вопросам обработки персональных данных;
• Обрабатывать персональные данные только в рамках выполнения своих должностных обязанностей;
• Не разглашать персональные данные, обрабатываемые Оператором;
• Сообщать о действиях других лиц, которые могут привести к нарушению положений настоящей Политики;
• Сообщать об известных фактах нарушения требований настоящей Политики ответственному за организацию обработки персональных данных Оператором.

7.3. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается выполнением согласованных мероприятий, направленных на предотвращение (нейтрализацию) и устранение угроз безопасности персональных данных, минимизацию возможного ущерба, а также мероприятий по восстановлению данных и работы информационных систем персональных данных в случае реализации угроз.

8. Права Оператора

8.1. Оператор вправе:

• Отстаивать свои интересы в суде;
• Предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.);
• Отказывать в предоставлении персональных данных в случаях предусмотренных законодательством;
• Использовать персональные данные субъекта без его согласия, в случаях предусмотренных законодательством.

9. Права субъектов персональных данных

9.1. Субъект персональных данных имеет право:

• Требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
• Требовать перечень своих персональных данных, обрабатываемых Оператором и источник их получения;
• Получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения;
• Требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях;
• Обжаловать в уполномоченный орган по защите нрав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке его персональных данных;
• На защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

10. Меры, направленные на обеспечение безопасности персональных данных

10.1. Оператор персональных данных обрабатывает и хранит данные в базах данных, находящиеся на территории Республики Татарстан по адресам расположения отделов и филиалов.

10.2. Оператор предпринимает необходимые организационные и технические меры для обеспечения безопасности персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.

10.3. В целях координации действий по обеспечению безопасности персональных данных Оператор назначает ответственное лицо за обеспечение безопасности персональных данных.

10.4. Обеспечение безопасности персональных данных достигается, в частности, следующими способами:

• Документальным оформлением требований к безопасности обрабатываемых персональных данных;
• Изданием нормативных правовых документов по организации - защиты персональных данных;
• Назначением ответственного за организацию обработки персональных данных;
• Распределением ответственности по вопросам защиты персональных данных между сотрудниками Оператора;
• Установлением персональной ответственности сотрудников Оператора за обеспечением безопасности обрабатываемых персональных данных;
• Осуществлением, внутреннего контроля соответствия обработки персональных данных согласно законодательству Российской Федерацииж;
• Своевременным выявлением угроз безопасности персональных данных и принятием соответствующих мер защиты;
• Приданием мероприятиям защиты информации характера обязательных элементов производственного процесса Оператора, а требованиям по их исполнению элементов производственной дисциплины;
• Ознакомлением сотрудников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами в отношении обработки персональных данных и (или) обучением указанных сотрудников;
• Резервным копированием информационных ресурсов;
• Применением программных продуктов, отвечающих требованиям защиты персональных данных;
• Выявлением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер;
• Восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• Установлением правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных;
• Своевременным применением критических обновлений общесистемного и прикладного программного обеспечения;
• Применением межсетевых защитных (фильтрующих) экранов;
• Использованием антивирусных программных средств;
• Установлением индивидуальных паролей доступа сотрудников Оператора в информационные системы персональных данных;
• Оборудованием помещений системами безопасности.

11. Заключительные положения

11.1. Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных документов по обработке и защите персональных данных. При внесении изменений в актуальной редакции указывается дата последнего обновления.

11.2. Контроль исполнения требований настоящей Политики осуществляется ответственным лицом за обеспечение безопасности персональных данных Оператора.