Политика в отношении обработки ПДн
Приложение №1
к приказу Контрольно-счетной
палаты Вологодской области
от 21 октября 2022 г. № 84
Политика Контрольно-счетной палаты Вологодской области в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика Контрольно-счетной палаты Вологодской области (далее – КСП области, Оператор) в отношении обработки персональных данных (далее - Политика) разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее - Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика действует в отношении всех персональных данных, которые обрабатывает КСП области (далее – Оператор).
1.3. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора.
1.5. Понятия, связанные с обработкой персональных данных, используются в том значении, в котором они приведены в статье 3 Закона о персональных данных.
1.6. Основные права и обязанности Оператора.
1.6.1. Оператор имеет право:
1) самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;
2) поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных;
3) в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных или иных Федеральных законах.
1.6.2. Оператор обязан:
1) организовывать и осуществлять обработку персональных данных в соответствии с требованиями Закона о персональных данных;
2) отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
3) сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
1.7. Основные права субъекта персональных данных.
1.7.1. Субъект персональных данных имеет право:
1) получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами;
2) требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
3) обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействия Оператора при обработке его персональных данных.
1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.
1.9. Ответственность за нарушение требований законодательства Российской Федерации и нормативных актов КСП области в сфере обработки и защиты персональных данных определяется в соответствии с законодательством Российской Федерации.
2. Цели обработки персональных данных
2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
2.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
2.3. Обработка Оператором персональных данных осуществляется в следующих целях:
- обеспечения задач кадровой работы, в том числе кадрового учета, делопроизводства, содействия в осуществлении служебной (трудовой) деятельности, формирования кадрового резерва, обучения и должностного роста, учета результатов исполнения должностных обязанностей, обеспечения личной безопасности субъектов персональных данных, обеспечения установленных законодательством Российской Федерации условий труда, гарантий и компенсаций, осуществления гражданско-правовых, договорных отношений, реализации полномочий КСП области, ведения бухгалтерского учета, осуществления пропускного режима, а также в целях противодействия коррупции.
2.4. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
3. Правовые основания обработки персональных данных
3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:
- Конституция Российской Федерации;
- Гражданский кодекс Российской Федерации;
- Трудовой кодекс Российской Федерации;
- Налоговый кодекс Российской Федерации;
- Федеральный закон от 27.07.2004 N 79-ФЗ «О государственной гражданской службе Российской Федерации»;
- Федеральный закон от 06.12.2011 N 402-ФЗ «О бухгалтерском учете»;
- Федеральный закон от 15.12.2001 N 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
- Федеральный закон от 01.04.1996 N 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
- Указом Президента Российской Федерации от 1 февраля 2005 г. №112 «О конкурсе на замещение вакантной должности государственной гражданской службы Российской Федерации»;
- Закон области от 12.07.2011 №2574-ОЗ «О Контрольно-счетной палате Вологодской области»;
- Закон Вологодской области от 05.07.1996 N 87-ОЗ «О пенсии за выслугу лет лицам, замещавшим государственные должности Вологодской области и должности государственной гражданской службы Вологодской области»;
- Постановлением Губернатора Вологодской области от 04.03.2014 №55 «Об утверждении Положения о кадровом резерве на государственной гражданской службе Вологодской области»
- иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.
3.2. Правовым основанием обработки персональных данных также являются:
- договоры и государственные контракты, заключаемые между Оператором и субъектами персональных данных;
- согласие субъектов персональных данных на обработку их персональных данных.
4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
4.1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, предусмотренным в разд. 2 настоящей Политики. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
4.2. Оператор может обрабатывать персональные данные следующих категорий субъектов персональных данных:
4.2.1. граждане, претендующие на замещение должностей государственной гражданской службы и включение в кадровый резерв Оператора:
- фамилия, имя, отчество (при наличии);
- пол;
- гражданство;
- дата и место рождения;
- контактные данные;
- сведения об образовании, опыте работы, квалификации;
- иные персональные данные, сообщаемые кандидатами в анкете и иных документах, представляемых для участия в конкурсе на вакантные должности и включение в кадровый резерв или в кадровом отборе.
4.2.2. Работники и бывшие работники Оператора (лица, замещающие (замещавшие) государственные должности и должности государственной гражданской службы в КСП области, а также лица, замещающие (замещавшие) в КСП области должности, не отнесенные к должностям государственной гражданской службы):
- фамилия, имя, отчество (при наличии);
- пол;
- гражданство;
- дата и место рождения;
- изображение (фотография);
- паспортные данные;
- адрес регистрации по месту жительства;
- адрес фактического проживания;
- контактные данные;
- индивидуальный номер налогоплательщика;
- страховой номер индивидуального лицевого счета (СНИЛС);
- сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
- семейное положение, наличие детей, родственные связи;
- сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий;
- данные о регистрации и расторжении брака;
- сведения о воинском учете;
- сведения о судимости;
- сведения о состоянии здоровья;
- сведения о доходах, расходах и имуществе, представляемые лицами, включенными в перечень лиц, обязанных предоставлять данные сведения в КСП области, на себя, а также на членов своей семьи;
- сведения о классных чинах и прохождении аттестации;
- сведения о расчетном счете в кредитно-финансовой организации;
- иные персональные данные, предоставляемые работниками в соответствии с требованиями законодательства о государственной гражданской службе, трудового и пенсионного законодательства.
4.2.3. Лица, состоящие в родстве (свойстве) с субъектами персональных данных, указанными в пп. 4.2.1 и 4.2.2.:
- фамилия, имя, отчество (при наличии);
- степень родства;
- год рождения;
- иные персональные данные, предоставляемые работниками в соответствии с требованиями законодательства о государственной гражданской службе и трудового законодательства.
4.2.4 Контрагенты Оператора (физические лица - представители/работники контрагентов Оператора и юридические лица):
- фамилия, имя, отчество;
- дата и место рождения;
- паспортные данные;
- адрес регистрации по месту жительства;
- контактные данные;
- замещаемая должность;
- индивидуальный номер налогоплательщика;
- номер расчетного счета;
- иные персональные данные, предоставляемые контрагентами (физическими лицами), необходимые для заключения и исполнения договоров и государственных контрактов.
4.2.5. граждане, обратившиеся в КСП области в соответствии с Федеральным законом от 2 мая 2006 г. N 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации».
- фамилия, имя, отчество (при наличии);
- адрес для корреспонденции;
- адрес электронной почты (при наличии);
- иные персональные данные, указанные в обращении, а также ставшие известными в ходе личного приема или в процессе рассмотрения поступившего обращения.
Передача (распространение, предоставление) и использование персональных данных граждан осуществляются в случаях и в порядке, предусмотренных законодательством Российской Федерации.
4.2.6. Иные субъекты, персональные данные которых обрабатываются Оператором в целях реализации полномочий по осуществлению внешнего государственного финансового контроля
- фамилия, имя, отчество (при наличии);
- паспортные данные;
- контактные данные;
- замещаемая должность;
- иные персональные данные, которые отвечают указанной цели обработки персональных данных.
4.3. Обработка Оператором биометрических персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) осуществляется в соответствии с законодательством Российской Федерации.
4.4. Оператором не осуществляется обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.
5. Порядок, условия и сроки обработки персональных данных
5.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.
5.1.1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных Федеральным законом «О персональных данных» и настоящей Политикой. Обработка персональных данных допускается в следующих случаях:
- обработка осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
- обработка необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством на Оператора функций, полномочий и обязанностей;
- обработка осуществляется в связи с участием представителей Оператора в судопроизводстве;
- обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве.
- обработка персональных данных необходима для исполнения договора (контракта), стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора (контракта) по инициативе субъекта персональных данных или договора (контракта), по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
- обработка данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
- обработка персональных данных необходима для осуществления прав и законных интересов Оператора либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
- осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
5.2. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
5.3. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку персональных данных.
5.4. К обработке персональных данных допускаются работники Оператора, перечень должностей которых закреплен приказами КСП области.
5.5. Обработка персональных данных осуществляется путем:
- получения оригиналов необходимых документов;
- копирования оригиналов документов;
- внесения сведений в учетные формы (на бумажных и электронных носителях);
- формирования персональных данных в ходе кадровой работы;
- внесения персональных данных в информационные системы КСП области, используемые в целях кадровой работы.
Сбор (получение), запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных непосредственно от субъектов персональных данных.
5.6. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
5.7. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Пенсионный фонд Российской Федерации, Фонд социального страхования и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
5.8. При сборе персональных данных Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, доступ, блокирование, удаление, уничтожение персональных данных.
5.9. Сроки обработки персональных данных в КСП области определяются в соответствии с Федеральным законом «О персональных данных».
5.10. Обработка персональных данных субъектов персональных данных, указанных в пункте 4.2.2. настоящей Политики, осуществляется в течение всего периода прохождения ими гражданской службы или их работы.
6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным
6.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю при обращении либо при получении запроса субъекта персональных данных или его представителя.
В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Запрос должен содержать:
- номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
- подпись субъекта персональных данных или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
Оператор предоставляет сведения субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение или запрос, если иное не указано в обращении или запросе. Сведения представляются в течение десяти рабочих дней с момента обращения либо получения Оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
6.2. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
6.3. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
6.4. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.
6.5. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
- оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
- иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
6.6. Документы, содержащие персональные данные, сроки хранения которых истекли, подлежат уничтожению в соответствии с законодательством Российской Федерации.
6.7. Персональные данные подлежат уничтожению способом, исключающим дальнейшую обработку этих персональных данных, с сохранением возможности обработки иных данных, зафиксированных на материальном носителе, если это допускается форматом материального носителя.