Положение о защите, хранении, обработке и передаче персональных данных

1. Общие положения

1.1. Настоящее Положение разработано на основании Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных", Федерального закона от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации" и определяет порядок защиты, хранения, обработки и передачи персональных данных обучающихся специализированного структурного образовательного подразделения «Учебный центр пожарной безопасности и охраны труда» (далее – Учебный центр) АО «НПО «ПУЛЬС» (далее - Организация).

1.2. В соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" под персональными данными обучающихся (далее - "персональные данные") понимается любая информация, относящаяся к определенному или определяемому на основании такой информации обучающемуся, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация.

1.3. Организация в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" является оператором, организующим и (или) осуществляющим обработку персональных данных, а также определяющим цели и содержание обработки персональных данных.

1.4. Работники, уполномоченные на обработку персональных данных, обеспечивают обработку персональных данных в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных", Федерального закона от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации", других нормативных правовых актов Российской Федерации и несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты этих персональных данных.

1.5. Перечень лиц, уполномоченных на получение, обработку, хранение, передачу и любое другое использование персональных данных обучающихся Учебного центра в Организации, утверждается приказом руководителя Организации.

1.6. При получении, обработке, хранении и передаче персональных данных лица, уполномоченные на получение, обработку, хранение, передачу и любое другое использование персональных данных, обязаны соблюдать следующие требования:

а) обработка персональных данных осуществляется в целях обеспечения соблюдения Конституции Российской Федерации, федеральных законов и иных нормативных правовых актов Российской Федерации, содействия обучающимся в прохождении обучения;

б) персональные данные следует получать лично у обучающихся. В случае возникновения необходимости получения персональных данных у третьей стороны следует известить об этом обучающихся заранее, получить их письменное согласие и сообщить обучающимся о целях, предполагаемых источниках и способах получения персональных данных;

в) запрещается получать, обрабатывать и приобщать к личному делу обучающихся не установленные Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных", Федеральным законом от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации" персональные данные об их политических, религиозных и иных убеждениях, частной жизни, членстве в общественных объединениях, в том числе в профессиональных союзах;

г) при принятии решений, затрагивающих интересы обучающихся, запрещается основываться на персональных данных, полученных исключительно в результате их автоматизированной обработки или с использованием электронных носителей;

д) защита персональных данных от неправомерного их использования или утраты обеспечивается за счет средств Организации в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных", Федеральным законом от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации" и иными нормативными правовыми актами Российской Федерации;

е) передача персональных данных третьей стороне не допускается без письменного согласия обучающихся, за исключением случаев, установленных федеральными законами;

ж) обучающиеся и их представители должны быть ознакомлены с документами Организации, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях в этой области;

з) обучающиеся не должны отказываться от своих прав на сохранение и защиту тайны;

и) Организация, работники, обучающиеся и их представители должны совместно вырабатывать меры защиты персональных данных.

1.7. Персональные данные, которые обрабатываются в информационных системах, подлежат защите от несанкционированного доступа и копирования. Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.

2. Получение, обработка, хранение персональных данных

2.1. В Организации устанавливается следующий порядок получения персональных данных:

2.1.1. Организация не имеет права получать и обрабатывать персональные данные обучающегося о его расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни.

2.1.2. В случаях, непосредственно связанных с вопросами образования, в соответствии со ст. 24 Конституции Российской Федерации Организация вправе получать и обрабатывать данные о частной жизни обучающегося только с его письменного согласия.

2.2. Обработка персональных данных возможна только с согласия обучающихся либо без их согласия в следующих случаях:

- персональные данные являются общедоступными;

- персональные данные относятся к состоянию здоровья обучающегося, их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия невозможно;

- по требованию полномочных государственных органов - в случаях, предусмотренных федеральным законом.

2.3. Организация вправе обрабатывать персональные данные обучающихся только с их письменного согласия.

2.4. Письменное согласие обучающегося на обработку своих персональных данных должно включать в себя:

- фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

- наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;

- цель обработки персональных данных;

- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

- срок, в течение которого действует согласие, а также порядок его отзыва.

2.5. Согласие обучающегося не требуется в следующих случаях:

- обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определенного полномочия Организации;

- обработка персональных данных в целях исполнения договора на обучение;

- обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов обучающегося, если получение его согласия невозможно.

2.6. Организация обеспечивает безопасное хранение персональных данных, в т.ч.:

2.6.1. Хранение, комплектование, учет и использование содержащих персональные данные документов организуется в форме обособленного архива Организации. Такой архив ведется в электронном виде и на бумажных носителях.

2.6.2. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

2.6.3. Хранимые персональные данные подлежат защите от несанкционированного доступа и копирования. Безопасность персональных данных при их хранении обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.

2.6.4. При хранении персональных данных Организация обеспечивает:

а) проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;

б) своевременное обнаружение фактов несанкционированного доступа к персональным данным;

в) недопущение воздействия на технические средства автоматизированной обработки персональных данных или на бумажные документы, в результате которого может быть нарушено их функционирование;

г) возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

д) постоянный контроль за обеспечением уровня защищенности персональных данных.

3. Передача персональных данных

3.1. Персональные данные передаются с соблюдением следующих требований:

- запрещается сообщать персональные данные третьей стороне без письменного согласия обучающегося, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью обучающегося, а также в других случаях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" и Федеральным законом от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации";

- не сообщать персональные данные в коммерческих целях без письменного согласия субъекта таких данных;

- предупредить лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" и Федеральным законом от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации";

- осуществлять передачу персональных данных в пределах Организации в соответствии с локальным нормативным актом, с которым обучающийся должен быть ознакомлен под роспись;

- разрешать доступ к персональным данным только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций;

- не запрашивать информацию о состоянии здоровья обучающегося, за исключением тех сведений, которые относятся к вопросу о возможности получения образования;

- передавать персональные данные обучающегося представителям обучающихся в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" и Федеральным законом от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации", и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функций.

4. Доступ к персональным данным

4.1. Право доступа к персональным данным имеют:

- руководитель Организации;

- работники бухгалтерии;

- руководитель структурного подразделения по направлению деятельности (доступ к персональным данным только работников своего подразделения).

4.2. Права обучающихся в целях обеспечения защиты персональных данных на:

- полную информацию об их персональных данных и обработке этих данных;

- свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные, за исключением случаев, предусмотренных федеральным законом;

- определение своих представителей для защиты своих персональных данных;

- доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;

- требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" и Федерального закона от 29.12.2012 № 273-ФЗ "Об образовании в Российской Федерации". При отказе Организации исключить или исправить персональные данные обучающийся имеет право заявить в письменной форме Организации о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера обучающийся имеет право дополнить заявлением, выражающим его собственную точку зрения;

- требование об извещении Организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях;

- обжалование в суд любых неправомерных действий или бездействия Организации при обработке и защите его персональных данных.

4.3. Копировать и делать выписки персональных данных разрешается исключительно в служебных целях с письменного разрешения руководителя структурного подразделения.

5. Ответственность за нарушение норм, регулирующих обработку персональных данных

5.1. Лица, виновные в нарушении порядка обращения с персональными данными, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

5.2. Руководитель Организации за нарушение порядка обращения с персональными данными несет административную ответственность в соответствии с Кодексом Российской Федерации об административных правонарушениях, а также возмещает ущерб, причиненный неправомерным использованием информации, содержащей персональные данные о субъекте персональных данных.

5.3. Работники Организации, допустившие разглашение персональных данных обучающегося, могут быть уволены по инициативе работодателя по пп. "в" ч. 6 ст. 81 Трудового кодекса Российской Федерации. Увольнение не исключает иных форм ответственности, предусмотренной действующим законодательством.