Политика конфиденциальности

1.1. Настоящий документ (далее — Политика) является систематизированным изложением целей, принципов, способов и условий обработки персональных данных, сведений о реализуемых требованиях к порядку обработки и защите персональных данных в муниципальном учреждении «Централизованная библиотечная система» городского округа Лыткарино (далее — Учреждение).

1.2. Политика основана на требованиях Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», иных нормативно-правовых актах РФ, устанавливающих порядок обработки и защиты персональных данных. Политика является публичным документом.

2.1. Основные понятия, используемые в Политике:

• персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;
• обработка персональных данных — действие (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокировку, уничтожение персональных данных.

2.2. В рамках настоящей Политики под обрабатываемыми персональными данными понимаются:

• персональные данные, предоставляемые получателями государственных услуг, обращающимися в Учреждение;
• персональные данные работников Учреждения или кандидатов на замещение вакантных должностей.

3.1. Целями обработки ПДн в Учреждении являются:

• обеспечение реализации конституционных прав граждан РФ на труд;
• оказание услуг гражданам, обращающимся в Учреждение;
• выполнение функций налогового агента в части предоставления стандартных налоговых вычетов (в отношении членов семей работников Учреждения);
• исполнение обязательств в рамках гражданско-правовых договоров (в отношении лиц, выполняющих работы, оказывающих услуги в рамках гражданско-правовых договоров с Учреждением).

4.1. Осуществление обработки ПДн на законной и справедливой основе.

4.2. Ограничение обработки ПДн достижением конкретных, заранее определенных и законных целей, указанных в разделе 3 настоящего документа. Не допускается обработка ПДн, несовместимая с целями сбора персональных данных.

4.3. Недопущение объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.

4.4. Обработка только тех ПДн, которые отвечают целям их обработки.

4.5. Соответствие содержания и объема обрабатываемых ПДн заявленным целям обработки.

4.6. Недопустимость избыточности обрабатываемых ПДн по отношению к заявленным целям их обработки.

4.7. Обеспечение точности ПДн, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки ПДн.

4.8. Обеспечение принятия необходимых мер по удалению или уточнению неполных или неточных данных.

4.9. Осуществление хранения ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, которым является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5.1. Учреждение обрабатывает ПДн следующими способами:

• неавтоматизированная обработка ПДн (на бумажных носителях);
• автоматизированная обработка (в информационной системе персональных данных — далее ИСПДн, с использованием и без использования средств автоматизации), в том числе с передачей и без передачи по сети Интернет;
• смешанная обработка ПДн.

5.2. Учреждение может самостоятельно выбирать способы обработки ПДн в зависимости от целей такой обработки и собственных материально-технических возможностей.

6.1. Обработка ПДн осуществляется с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

6.2. Обработка ПДн допускается в случаях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

6.3. Учреждение вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (в том числе контракта) либо путем принятия соответствующего акта (далее — поручение оператора).

6.4. В случае, если Учреждение поручает обработку ПДн другому лицу, ответственность перед субъектом ПДн за действия указанного лица несет Учреждение. Лицо, осуществляющее обработку ПДн по поручению Учреждения, несет ответственность перед Учреждением.

7.1. Учреждение и иные лица, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено Федеральным законом.

8.1. Субъект ПДн принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

8.2. Согласие на обработку ПДн должно быть конкретным, информированным и сознательным.

8.3. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не предусмотрено Федеральным законом.

8.4. В случае получения согласия на обработку ПДн от представителя субъекта ПДн полномочия данного представителя на дачу согласия от имени субъекта ПДн проверяются Учреждением.

8.5. Согласие на обработку ПДн может быть отозвано субъектом ПДн.

8.6. В случае отзыва субъектом ПДн согласия на обработку ПДн Учреждение вправе продолжить обработку персональных данных без согласия субъекта ПДн при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

8.7. В случаях, предусмотренных федеральным законом, обработка ПДн осуществляется только с согласия в письменной форме субъекта ПДн. Равнозначным содержащему собственноручную подпись субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.

8.8. Персональные данные могут быть получены Учреждением от лица, не являющегося субъектом ПДн, при условии предоставления Учреждению подтверждения наличия оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

9.1. При обработке ПДн Учреждение обеспечивает необходимые условия для беспрепятственной реализации субъектом ПДн своих прав.

9.2. Субъект ПДн имеет право на доступ к своим персональным данным.

9.3. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, содержащей:

• подтверждение факта обработки ПДн Учреждением;
• правовые основания и цели обработки ПДн;
• цели и применяемые Учреждением способы обработки ПДн;
• наименование и место нахождения Учреждения, сведения о лицах (за исключением работников Учреждения), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• сроки обработки ПДн, в том числе сроки их хранения;
• порядок осуществления субъектом ПДн прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Учреждения, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральными законами.

9.4. Право субъекта ПДн на доступ к своим персональным данным может быть ограничено в случаях, прямо предусмотренных Федеральными законами.

9.5. Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

9.6. Если субъект ПДн считает, что Учреждение осуществляет обработку его ПДн с нарушением требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы, субъект ПДн вправе обжаловать действия или бездействие Учреждения в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке.

10.1. Учреждение при обработке ПДн выполняет свои обязанности как оператора ПДн, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

10.2. Учреждение принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативно-правовыми актами.

10.3. Учреждение самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативно-правовыми актами, если иное не предусмотрено Федеральными законами.

10.4. Учреждение обеспечивает неограниченный доступ к настоящему документу (Политике), к сведениям о реализуемых требованиях к защите ПДн путем размещения на официальном сайте Учреждения по адресу: cbslyt.ru.

11.1. Учреждение при обработке ПДн обеспечивает принятие необходимых правовых, организационных и технических мер для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

11.2. В целях защиты персональных данных Учреждение реализует требования к защите персональных данных при их обработке в информационных системах персональных данных, установленные Правительством РФ.

11.3. Обеспечение безопасности ПДн достигается Учреждением, в частности:

• определением угроз безопасности ПДн при их обработке в ИСПДн Учреждения;
• применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн Учреждения, необходимых для выполнения требований к защите ПДн, использование которых обеспечивает установленные Правительством РФ уровни защищенности ПДн;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценкой эффективности принимаемых Учреждением мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн Учреждения;
• учетом машинных носителей ПДн Учреждения;
• обнаружением фактов несанкционированного доступа к ПДн и принятием мер;
• восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• разграничением прав доступа к ПДн, обрабатываемым в ИСПДн Учреждения;
• контролем за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн Учреждения.

11.4. Сведения о предпринимаемых Учреждением мерах для защиты персональных данных являются информацией ограниченного доступа.

12.1. Учреждение имеет право вносить изменения в настоящую Политику.

12.2. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции.