Политика в отношении обработки персональных данных

Политика в отношении обработки персональных данных, обрабатываемых в администрации Юрьев-Польского муниципального округа Владимирской области

Раздел 1. Общие положения

Политика в отношении обработки информации разработана в соответствии с действующим законодательством Российской Федерации в области защиты информации ограниченного доступа и целями, задачами, принципами обеспечения безопасности информации ограниченного доступа в Администрации Юрьев-Польского муниципального округа Владимирской области (далее – Администрация).

Целью Политики в отношении информации, обрабатываемой в администрации Юрьев-Польского муниципального округа Владимирской области (далее – Политика), является обеспечение безопасности объектов защиты Администрации от всех видов угроз, внешних и внутренних, умышленных и непреднамеренных, минимизация ущерба от возможной реализации угроз безопасности информации ограниченного доступа.

Политика устанавливает ответственность руководства, а также определяет подход организации к управлению информационной безопасностью.

Требования Политики распространяются на всех муниципальных служащих Администрации, а также всех прочих лиц (подрядчики, разработчики информационных систем, ремонтные организации и т.п.).

Настоящая Политика определяет основные цели, принципы, порядок и условия обработки информации ограниченного доступа муниципального служащего и граждан, с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также устанавливает ответственность должностных лиц учреждения, имеющих доступ к информации ограниченного доступа, за невыполнение требований норм, регулирующих обработку и защиту информации ограниченного доступа.

Настоящая Политика разработана в соответствии со следующими нормативными правовыми актами:

1. Конституцией Российской Федерации;
2. Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
3. Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
4. Трудовым кодексом Российской Федерации (глава 14);
5. Федеральным законом от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;
6. Федеральным законом от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг»;
7. Федеральным законом от 31.07.2020 № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации»;
8. Приказом ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений»;
9. иными нормативными правовыми актами Российской Федерации в области защиты информации.

Раздел 2. Цели обработки информации ограниченного доступа

Администрация осуществляет обработку информации ограниченного доступа в соответствии с Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Администрация осуществляет обработку персональных данных в следующих целях:

1. Осуществление полномочий органов местного самоуправления по решению вопросов местного значения и реализации отдельных государственных полномочий;
2. Ведение кадрового делопроизводства, оформление трудовых отношений с муниципальными служащими и работниками;
3. Оказание материальной помощи;
4. Оказание муниципальных услуг в соответствии с Федеральным законом № 210-ФЗ;
5. Рассмотрение обращений граждан в соответствии с Федеральным законом № 59-ФЗ;
6. Организация закупок товаров, работ, услуг для обеспечения муниципальных нужд;
7. Участие лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
8. Обработка персональных данных с целью составления списков кандидатов в присяжные заседатели;
9. Осуществление муниципального контроля в соответствии с Федеральным законом № 248-ФЗ;
10. Обеспечение соблюдения законодательства РФ об обороне;
11. Публикация на официальном сайте;
12. Иные цели, определяемые в соответствии с законодательством Российской Федерации.

В Администрации обрабатываются следующие категории персональных данных граждан: иные и специальные категории персональных данных граждан, позволяющих идентифицировать субъекта персональных данных и получить о нём дополнительную информацию, в целях осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

Раздел 3. Принципы и условия обработки информации ограниченного доступа

Обработка информации ограниченного доступа в Администрации осуществляется на основе принципов:

1. законности и справедливости целей и способов обработки информации ограниченного доступа;
2. соответствия целей обработки персональных данных целям, заранее определённым и заявленным при сборе персональных данных;
3. соответствия объёма и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
4. достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
5. недопустимости объединения созданных для несовместимых между собой целей баз данных, содержащих персональные данные;
6. хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки;
7. уничтожения персональных данных по достижении целей их обработки или в случае утраты необходимости в их достижении.

Обработка персональных данных осуществляется с письменного согласия субъекта персональных данных на обработку его персональных данных, за исключением случаев, предусмотренных частью 2 статьи 6 Федерального закона Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных».

Если получение согласия субъекта персональных данных невозможно, то обработка персональных данных осуществляется только если она необходима для защиты жизни и здоровья или иных жизненно важных интересов субъекта персональных данных.

Доступ к обрабатываемой информации ограниченного доступа предоставляется только тем служащим Администрации, которым он необходим в связи с исполнением ими своих должностных обязанностей, с соблюдением принципов персональной ответственности.

Уничтожение документов, содержащих информацию ограниченного доступа, осуществляется по истечении сроков их хранения, которые регламентируются Перечнем типовых архивных документов, образующихся в научно-технической и производственной деятельности организаций, с указанием сроков хранения, утверждённым Приказом Росархива от 28.12.2021 №142 «Об утверждении Перечня типовых архивных документов, образующихся в научно-технической и производственной деятельности организаций, с указанием сроков хранения», и другими нормативными правовыми актами.

Раздел 4. Обработка информации ограниченного доступа

Обладателем информации ограниченного доступа является Администрация.

Обладатель информации, если иное не предусмотрено федеральными законами:

1. разрешает или ограничивает доступ к информации, определяет порядок такого доступа;
2. передаёт информацию третьим лицам на установленном законом основании;
3. защищает информацию установленными законом способами, защищает свои права в случае незаконного получения информации или её незаконного использования иными лицами.

Обладатель информации обязан:

1. соблюдать права и интересы иных лиц;
2. принимать меры по защите информации ограниченного доступа;
3. ограничивать доступ к информации, если такая обязанность установлена федеральными законами.

Обладатель информации обеспечивает:

1. сопровождение и эксплуатацию информационных систем, используемых в администрации (далее - ИС);
2. безопасность персональных данных, содержащихся в ИС, в соответствии с законодательством Российской Федерации;
3. защиту информации, содержащейся в ИС, от неправомерных доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий в соответствии с установленными законодательством Российской Федерации требованиями.

Передача информации ограниченного доступа другим третьим лицам возможна после получения согласия субъекта персональных данных в установленных законодательством случаях на основании заключённых договоров или соглашений об информационном обмене.

Передача информации ограниченного доступа осуществляется с использованием автоматизированных информационных систем по защищённым каналам связи либо посредством доставки адресату на материальном носителе с соблюдением требований к учету и хранению таких носителей.

Администрации имеет право поручать обработку данных третьим лицам на основании договора. При этом чётко определяются перечень данных, перечень действий (операций) с ними, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность.

Раздел 5. Локализация и трансграничная передача персональных данных

При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Администрация обязана обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

Трансграничная передача персональных данных осуществляется Администрацией в соответствии со статьёй 12 Федерального закона № 152-ФЗ «О персональных данных» с учётом требований о локализации и только:

1. в иностранные государства, обеспечивающие адекватную защиту прав субъектов персональных данных (перечень утверждается Роскомнадзором);

2. при наличии письменного согласия субъекта персональных данных на трансграничную передачу его персональных данных;

3. в иных случаях, предусмотренных международными договорами Российской Федерации или федеральными законами.

Раздел 6. Права субъектов персональных данных

Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных, в том числе содержащих:

1. подтверждение факта обработки персональных данных оператором;
2. правовые основания и цели обработки персональных данных;
3. цели и применяемые оператором способы обработки персональных данных;
4. наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
5. обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения;
6. сроки обработки персональных данных, в том числе сроки их хранения;
7. порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
8. информацию об осуществлённой или о предполагаемой трансграничной передаче данных;
9. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу.

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Раздел 7. Обеспечение безопасности персональных данных

Важнейшим условием реализации целей деятельности Администрации является обеспечение необходимого и достаточного уровня безопасности ИС, соблюдения конфиденциальности, целостности и доступности обрабатываемой информации ограниченного доступа и сохранности носителей сведений, содержащих информацию ограниченного доступа, на всех этапах работы с ними.

Созданные в Администрации условия и режим защиты информации ограниченного доступа позволяют обеспечить защиту обрабатываемой информации ограниченного доступа.

В Администрации в соответствии с действующим законодательством Российской Федерации разработан и введён в действие комплекс организационно-распорядительных, функциональных и планирующих документов, регламентирующих и обеспечивающих безопасность обрабатываемой информации ограниченного доступа:

1. правила обработки;
2. порядок доступа в помещения, в которых ведётся обработка информации ограниченного доступа;
3. частные инструкции и пр.;
4. разработан перечень ресурсов, подлежащих защите, выделены информационные системы и проведена их классификация;
5. назначен ответственный за организацию обработки информации, не составляющей государственную тайну, определены его обязанности и разработаны инструкции по обеспечению безопасности информации;
6. определён круг лиц, имеющих право обработки информации ограниченного доступа, разработаны инструкции пользователям;
7. определены требования к персоналу, степень их ответственности за обеспечение безопасности информации ограниченного доступа.

Проведено ознакомление муниципальных служащих, осуществляющих обработку информации ограниченного доступа, с положениями законодательства Российской Федерации по обеспечению безопасности информации и требованиями к защите информации, документами, определяющими политику оператора в отношении обработки информации ограниченного доступа, локальными актами по вопросам обработки информации ограниченного доступа. Проводится периодическое обучение указанных муниципальных служащих правилам обработки информации ограниченного доступа, в том числе персональных данных.

Предприняты необходимые и достаточные технические меры для обеспечения безопасности информации ограниченного доступа от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий:

1. введена система разграничения доступа;
2. установлена защита от несанкционированного доступа к автоматизированным рабочим местам, информационным сетям и базам;
3. установлена защита от вредоносного программно-математического воздействия;
4. осуществляется регулярное резервное копирование информации и баз данных;
5. передача информации по сети общего пользования «Интернет» осуществляется с использованием средств криптографической защиты информации.

Администрация обеспечивает проведение аттестации ИС по требованиям безопасности информации в соответствии с Приказом ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений».

Раздел 8. Порядок реагирования на инциденты информационной безопасности

При выявлении инцидента информационной безопасности работник Администрации обязан незамедлительно сообщить об этом ответственному за организацию обработки информации, не составляющей гостайну.

Ответственный за организацию обработки информации, не составляющей гостайну обязан:

1. Обеспечить локализацию инцидента и пресечение несанкционированных действий;
2. Провести внутреннее расследование с документированием всех действий в журнале учёта инцидентов;
3. Направить уведомление в Роскомнадзор не позднее 72 часов после обнаружения инцидента с указанием характера инцидента, объёма пострадавших данных и принятых мер;
4. В случае необходимости привлечь сторонние организации в качестве экспертов в сфере информационной безопасности;
5. По результатам расследования разработать и реализовать меры по предотвращению подобных инцидентов в будущем.

Раздел 9. Уведомление Роскомнадзора об обработке персональных данных

До начала обработки персональных данных Администрация обязана уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о намерении осуществлять обработку персональных данных (ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

Уведомление направляется в порядке, установленном Роскомнадзором, и содержит сведения, предусмотренные статьёй 22 Федерального закона № 152-ФЗ.

Сведения об операторе вносятся Роскомнадзором в реестр операторов, осуществляющих обработку персональных данных.

Раздел 10. Ответственность

Руководство Администрации осуществляет общее управление безопасностью информации ограниченного доступа и обеспечивает необходимые условия для:

1. реализации мероприятий по оценке рисков безопасности информации;
2. поддержания, мониторинга, анализа и непрерывного улучшения системы защиты информации ограниченного доступа;
3. регулярного обучения служащих Администрации в сфере информационной безопасности.

Служащие Администрации несут персональную ответственность за соблюдение требований документов по защите информации ограниченного доступа и обязаны сообщать обо всех выявленных нарушениях в области информационной безопасности ответственному за безопасность информации ограниченного доступа.

В трудовых договорах и должностных инструкциях служащих устанавливается ответственность за сохранность служебной документации и конфиденциальность информации, ставшей известной в силу выполнения своих обязанностей.

Ответственность должностных лиц Администрации, имеющих доступ к информации ограниченного доступа, за невыполнение требований норм, регулирующих обработку и защиту информации ограниченного доступа, определяется в соответствии с законодательством Российской Федерации и внутренними документами Администрации.

Раздел 11. Заключительные положения

Настоящая Политика является общедоступной и подлежит размещению на официальном сайте Юрьев-Польского муниципального округа Владимирской области или иным образом обеспечивается неограниченный доступ к данной Политике.

Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных документов по обработке и защите информации ограниченного доступа, но не реже одного раза в три года.

Внесение изменений в настоящую Политику может проводиться по результатам:

1. анализа инцидентов информационной безопасности;
2. оценки актуальности, достаточности и эффективности используемых мер обеспечения безопасности информации ограниченного доступа;
3. проведения внутренних аудитов информационной безопасности;
4. ежегодного контроля эффективности системы защиты информации ограниченного доступа;
5. повторной аттестации ИС по требованиям безопасности информации.

Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию защиты информации, не составляющей гостайну Администрации.