Персональные данные
Утверждена приказом АНО «ОСООЦ «Витязь» от 01.09.2022 г. № 223
ПОЛИТИКА
автономной некоммерческой организации «Областной санаторный оздоровительно-образовательный центр «Витязь»
в отношении обработки персональных данных.
Общие положения
Настоящая Политика автономной некоммерческой организации «Областной санаторный оздоровительно-образовательный центр «Витязь» (АНО «ОСООЦ «Витязь») в отношении обработки персональных данных (далее — Политика) разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» в АНО «ОСООЦ «Витязь» (далее – Организация).
Политика определяет цели, принципы обработки и реализуемые требования к защите персональных данных в Организации.
Сведения о персональных данных относятся к числу конфиденциальных и составляют охраняемую законом тайну.
Основные понятия
В настоящей Политике используются следующие основные понятия:
субъект персональных данных — физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.
персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
конфиденциальность персональных данных — обязанность оператора и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Принципы и цели обработки персональных данных
Организация в своей деятельности по обработке персональных данных руководствуется следующими принципами:
Обработка персональных данных осуществляется на законной и справедливой основе.
Цели обработки персональных данных соответствуют полномочиям Организации.
Содержание и объем обрабатываемых персональных данных соответствуют целям обработки персональных данных.
Достоверность персональных данных, их актуальность и достаточность для целей обработки, недопустимость обработки избыточных по отношению к целям сбора персональных данных.
Ограничение обработки персональных данных при достижении конкретных и законных целей, запрет обработки персональных данных, несовместимых с целями сбора персональных данных.
Запрет объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
Осуществление хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем это требуют цели обработки персональных данных, если срок хранения персональных данных не установлен действующим законодательством.
Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижению целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено действующим законодательством.
Целями обработки персональных данных граждан, обратившихся в Организацию для трудоустройства, отдыха и оздоровления, как взрослых, так и детей с их полномочными представителями является:
заключение трудовых и иных договоров;
начисление и выплата заработной платы;
ведение личных карточек сотрудников Организации;
регистрация и обработка сведений о профессиональной служебной деятельности работников Организации;
предоставление сведений в Управление пенсионного фонда Российской Федерации, инспекцию Федеральной налоговой службы Российской Федерации;
регистрация сведений, необходимых для надлежащего оказания услуг по организации отдыха и оздоровления детей, а также иных услуг, не противоречащих Уставной деятельности Организации;
предоставление услуг по профессиональному обучению вожатых.
Категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований указываются в Положении о персональных данных.
Перечень мер по обеспечению безопасности персональных данных при их обработке
Организация при обработке персональных данных принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий в отношении них. Обеспечение безопасности персональных данных достигается, в частности, следующими способами:
Назначение ответственных за организацию обработки персональных данных.
Утверждение руководителем Организации локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений
Осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, требованиям к защите персональных данных.
Ознакомление работников Организации, непосредственно осуществляющих обработку персональных данных, с требованиями законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных, локальными актами в отношении обработки персональных данных, и обучением указанных сотрудников.
Выполнение требований, установленных Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.
Учет машинных носителей персональных данных.
Выявление фактов несанкционированного доступа к персональным данным и принятием мер.
Восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
Установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых в информационной системе персональных данных.
Сотрудники Организации, виновные в нарушении порядка обращения с персональными данными, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.
Передача персональных данных
При передаче персональных данных субъекта Организация должна соблюдать следующие требования:
Не сообщать персональные данные субъекта третьей стороне
без письменного согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральным законом;
Обработка персональных данных субъектов в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только с его предварительного согласия;
Предупредить лиц, получивших персональные данные субъекта, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получившие персональные данные субъекта, обязаны соблюдать режим конфиденциальности. Данные Правила не распространяются на обмен персональными данными субъектов в порядке, установленном федеральными законами;
Организация вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Лицо, осуществляющее обработку персональных данных по поручению Организации, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом о персональных данных. В поручении Организации должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии с Федеральным законом о персональных данных. Разрешать доступ к персональным данным субъектов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретной функции.
Заключительные положения
Настоящая Политика утверждается директором Организации.
Политика обязательна для соблюдения и подлежит доведению до всех сотрудников Организации. Контроль за соблюдением Политики осуществляет ответственное лицо, назначенное приказом директора Организации.