Общие положения
Настоящее Положение разработано в соответствии с Трудовым кодексом Российской Федерации, Кодексом Российской Федерации об административных правонарушениях, а также:
Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федеральным законом от 27 июля 2004 г. № 79-ФЗ «О государственной гражданской службе Российской Федерации»;
Федеральным законом от 25 декабря 2008 г. № 273-ФЗ «О противодействии коррупции»;
Федеральным законом от 7 июля 2003 г. № 126-ФЗ «О связи»;
постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
постановлением Правительства Российской Федерации от 6 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
постановлением Правительства Российской Федерации от 21 марта 2012 г. № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»;
методическим документом «Методика оценки угроз безопасности информации», утвержденным ФСТЭК России 5 февраля 2021 г., и др.
Обработка персональных данных в ФГБУ «Институт стандартизации» (далее — Институт) осуществляется с соблюдением принципов, условий и правил, предусмотренных законодательством Российской Федерации в области персональных данных и настоящим Положением.
В настоящем Положении применяются понятия, термины и определения, установленные законодательством Российской Федерации в области персональных данных.
Данные оператора персональных данных
Наименование оператора: Российский институт стандартизации (ФГБУ «Институт стандартизации»).
Регион регистрации: г. Москва.
Адрес местонахождения оператора: 117418, г. Москва, ВН.ТЕР.Г. Муниципальный округ Черемушки, пр-кт Нахимовский, д. 31к 2.
Почтовый адрес оператора: 117418, г. Москва, ВН.ТЕР.Г. Муниципальный округ Черемушки, пр-кт Нахимовский, д. 31к 2.
Контактная информация оператора: телефон 8 800 101 92 72, факс 8 800 101 92 72.
Адрес электронной почты: gost@gostinfo.ru.
Регион обработки персональных данных: г. Москва.
Термины и определения
В настоящем Положении используются следующие термины и определения согласно Федеральному закону от 27 июля 2006 г. № 152-ФЗ (ред. от 6 февраля 2023 г.) «О персональных данных»:
автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
обезличивание персональных данных — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному субъекту персональных данных;
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Принципы обработки персональных данных
Обработка персональных данных осуществляется на законной и справедливой основе согласно Федеральному закону от 27 июля 2006 г. № 152-ФЗ (ред. от 6 февраля 2023 г.) «О персональных данных».
Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей.
Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
Обработке подлежат только персональные данные, которые отвечают целям их обработки.
Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки.
При обработке персональных данных обеспечиваются точность персональных данных, их достаточность и актуальность по отношению к целям обработки персональных данных.
Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, до достижения целей обработки персональных данных, в соответствии со сроком хранения персональных данных, установленным соответствующим нормативным актом, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
Условия обработки персональных данных
Обработка персональных данных осуществляется согласно положениям Федерального закона от 27 июля 2006 г. № 152-ФЗ (ред. от 6 февраля 2023 г.) «О персональных данных».
Обработка персональных данных Институтом допускается в следующих случаях:
с согласия субъекта персональных данных на обработку его персональных данных;
для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях», либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 вышеупомянутого Федерального закона, при условии обязательного обезличивания персональных данных.
Конфиденциальность персональных данных
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Обязанности оператора персональных данных при сборе и обработке персональных данных
При сборе персональных данных оператор обязан предоставить субъекту персональных данных информацию о сроках, целях и задачах сбора персональных данных, об операторе персональных данных, а также иную информацию, которую субъект персональных данных имеет право запросить в установленном порядке.
При обработке персональных данных оператор обязан сообщить в порядке, предусмотренном статьей Федерального закона от 27 июля 2006 г. № 152-ФЗ (ред. от 6 февраля 2023 г.) «О персональных данных», субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также безвозмездно предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя.
Оператор обязан сообщать в уполномоченный орган по защите прав субъектов персональных данных необходимую информацию по запросу этого органа.
Категории персональных данных. Категории субъектов, персональные данные которых обрабатываются. Перечень действий с персональными данными. Способы обработки персональных данных.
Цель обработки данных №1: Ведение кадрового и бухгалтерского учета
Категории персональных данных. Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; доходы; пол; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании.
Категории субъектов, персональные данные которых обрабатываются: работники; соискатели; родственники работников; уволенные работники.
Перечень действий: сбор; запись; систематизация; накопление; хранение; извлечение; использование; удаление; уничтожение.
Способы обработки: смешанная.
Цель обработки данных № 2: Обеспечение соблюдения налогового законодательства Российской Федерации.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; доходы; пол; адрес места жительства; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; профессия; должность.
Категории субъектов, персональные данные которых обрабатываются: работники.
Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); уничтожение.
Способы обработки: смешанная.
Цель обработки данных № 3: Подготовка, заключение и исполнение гражданско-правового договора.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; адрес электронной почты; адрес места жительства; номер телефона; ИНН; данные документа, удостоверяющего личность; номер расчетного счета.
Категории субъектов, персональные данные которых обрабатываются: контрагенты; представители контрагентов; клиенты.
Перечень действий: сбор; накопление; хранение; использование; передача (предоставление, доступ); уничтожение.
Способы обработки: смешанная.
Цель обработки данных № 4: Подбор персонала (соискателей) на вакантные должности оператора.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; данные документа, удостоверяющего личность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); сведения об образовании.
Категории субъектов, персональные данные которых обрабатываются: соискатели.
Перечень действий: сбор; систематизация; накопление; хранение; использование; уничтожение.
Способы обработки: смешанная.
Цель обработки данных № 5: Обеспечение соблюдения законодательства Российской Федерации в сфере образования
Категории персональных данных. Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; пол; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; гражданство; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер лицевого счета; профессия; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании.
Категории субъектов, персональные данные которых обрабатываются: работники; уволенные работники; учащиеся; законные представители.
Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); удаление; уничтожение; распространение.
Способы обработки: смешанная.
Цель обработки данных № 6: Обеспечение соблюдения пенсионного законодательства Российской Федерации.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; дата рождения; место рождения; доходы; пол; адрес места жительства; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации).
Категории субъектов, персональные данные которых обрабатываются: работники.
Перечень действий: сбор; систематизация; хранение; уточнение (обновление, изменение); извлечение; передача (предоставление, доступ); уничтожение.
Способы обработки: смешанная.
Цель обработки данных № 7: Обеспечение пропускного режима на территорию оператора.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона.
Категории субъектов, персональные данные которых обрабатываются: контрагенты; представители контрагентов; клиенты; выгодоприобретатели по договорам; учащиеся; законные представители.
Перечень действий: сбор; запись; систематизация; накопление; хранение; удаление; уничтожение.
Способы обработки: неавтоматизированная.
Цель обработки данных № 8: Обеспечение соблюдения законодательства Российской Федерации об обороне.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; адрес места жительства; СНИЛС; гражданство; данные документа, удостоверяющего личность; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете.
Категории субъектов, персональные данные которых обрабатываются: работники; уволенные работники.
Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; передача (предоставление, доступ); удаление; уничтожение.
Способы обработки: смешанная.
Цель обработки данных № 9: Добровольное медицинское страхование.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; дата рождения; место рождения; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС.
Категории субъектов, персональные данные которых обрабатываются: работники.
Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; удаление; уничтожение.
Способы обработки: смешанная.
Цель обработки данных № 10. Обеспечение работников учреждения – членов профсоюза и их близких родственников дополнительными социальными гарантиями и компенсациями.
Категории персональных данных. Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; данные документа, удостоверяющего личность.
Категории субъектов, персональные данные которых обрабатываются: работники, сыновья, дочери, отцы, матери работников.
Перечень действий: сбор, запись, систематизация, накопление, хранение, извлечение, использование, обезличивание, уничтожение.
Способ обработки: смешанный.
Меры по обеспечению безопасности персональных данных при их обработке
При обработке персональных данных принимаются необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Обеспечение безопасности персональных данных достигается, в частности:
1) определением угроз безопасности персональных данных при их обработке в информационной системе персональных данных;
2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных;
5) учетом машинных носителей персональных данных;
6) принятием мер с целью обнаружения фактов несанкционированного доступа к персональным данным и в том числе мер по обнаружению,
7) принятием мер с целью восстановления персональных данных в случае их модификации или уничтожения вследствие несанкционированного доступа к ним;
8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
9) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
Угрозы безопасности персональных данных
Под угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных.
Под уровнем защищенности персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
Взаимодействие с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности
Обеспечивается взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.
Указанная в первом абзаце настоящей статьи информация (за исключением информации, составляющей государственную тайну) передается федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, в уполномоченный орган по защите прав субъектов персональных данных.
Порядок передачи информации, указанной во втором абзаце настоящей статьи, устанавливается совместно федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и уполномоченным органом по защите прав субъектов персональных данных.