Приложение к постановлению Администрации города от 24.05.2013 № 140-п

Положение об обработке персональных данных в Администрации города Челябинска

I. Общие положения
1. Настоящее Положение об обработке персональных данных в Администрации города Челябинска (далее — Положение) разработано в соответствии с Федеральным законом от 2 марта 2007 года № 25-ФЗ «О муниципальной службе Российской Федерации», Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных», Указом Президента Российской Федерации от 30 мая 2005 года № 609 «Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела», постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», постановлением Правительства Российской Федерации от 21 марта 2012 года № 211 «Об утверждении Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами», постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и регулирует отношения, связанные с обработкой персональных данных, осуществляемых в Администрации города Челябинска, ее отраслевых (функциональных) и территориальных (районных) органах (далее — Администрация города).
2. Под сферу действия настоящего Положения попадают отношения, связанные с обработкой персональных данных с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.
3. Настоящее Положение устанавливает процедуры, направленные на выявление и предотвращение нарушений действующего законодательства Российской Федерации в сфере персональных данных, а также определяющие для каждой цели обработки персональных данных, содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований.
4. Действие настоящего Положения не распространяется на отношения, возникающие при обработке персональных данных, на которые не распространяется действие Федерального закона от 27 июля 2006 года № 152 ФЗ «О персональных данных».

II. Принципы обработки персональных данных
5. Обработка персональных данных должна осуществляться на законной и справедливой основе.
6. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
7. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
8. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
9. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
10. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению, неполных или неточных данных.
11. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

III. Условия обработки персональных данных
12. Обработка персональных данных осуществляется с согласия субъекта персональных данных.
13. Оператором персональных данных является отраслевой (функциональный) и территориальный (районный) орган Администрации города, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
14. Операторы и работники Администрации города, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Типовые формы обязательств лиц, осуществляющих обработку персональных данных, о неразглашении сведений, содержащих персональные данные, утверждаются правовыми актами Администрации города.
15. Обработка персональных данных в Администрации города осуществляется в рамках реализации полномочий органа местного самоуправления на территории города Челябинска в целях:
— реализации норм законодательства о муниципальной службе и противодействии коррупции;
— контроля над эффективным и целевым расходованием средств бюджета города Челябинска;
— финансовой поддержки социально-ориентированным общественным организациям и субъектам малого и среднего предпринимательства;
— предоставления муниципальных услуг;
— обеспечения размещения муниципальных заказов;
— обеспечения прав граждан на социальную помощь;
— реализации жилищной политики (обеспечение граждан, нуждающихся в улучшении жилищных условий, жилыми помещениями);
— обеспечения образовательного процесса в учреждениях образования города (проведение конкурсов, олимпиад, государственной итоговой аттестации, дистанционного обучения);
— организации и проведения культурно-массовых мероприятий;
— защиты законных прав и интересов жителей города;
— подготовки документов для наград и поощрений жителей города;
— обеспечения прав граждан на обращение в органы местного самоуправления;
— реализация прав граждан на получение информации о деятельности Администрации города, а также справок, копий правовых актов, иных документов Администрации города;
— исполнения договоров и соглашений, стороной которых является субъект персональных данных;
— реализации трудовых отношений, ведения бухгалтерского учета и отчетности в Администрации города;
— реализации кадровой политики в Администрации города, подготовки и ведения кадрового резерва, резерва руководящих кадров руководителей муниципальных предприятий и учреждений;
— защиты государственной тайны, работы со сведениями, составляющими государственную тайну;
— исполнения отдельных переданных государственных полномочий в сфере охраны окружающей среды;
— государственной регистрации актов гражданского состояния и совершения других юридически значимых действий в рамках переданных органам местного самоуправления отдельных государственных полномочий;
— в иных случаях, предусмотренных федеральным законодательством.
16. Оператором может осуществляться обработка персональных данных, доступ к которым имеет неограниченный круг лиц, в случаях предусмотренных федеральным законодательством с согласия субъекта персональных данных, а также по его просьбе. В целях информационного обеспечения населения в Администрации города могут создаваться общедоступные источники персональных данных.
17. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.
18. Оператор с согласия субъекта персональных данных вправе поручить обработку персональных данных другому лицу на основании заключаемого муниципального контракта в порядке и случаях, определяемых федеральным законодательством.
Типовые формы согласия субъекта персональных данных на передачу его персональных данных другому лицу утверждаются правовыми актами Администрации города.
19. Перечни лиц, ответственных за организацию обработки персональных данных, утверждаются правовыми актами Администрации города.
Лицо, ответственное за организацию обработки персональных данных, в частности, обязано:
— доводить до сведения работников Администрации города положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
— осуществлять внутренний контроль за соблюдением операторами, а также работниками Администрации города, в должностные обязанности которых входит обработка персональных данных, законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
— осуществлять контроль за приемом и обработкой обращений и запросов субъектов персональных данных или их представителей.
Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных утверждаются правовыми актами Администрации города в установленном порядке.
20. Перечни персональных данных, обрабатываемых в Администрации города, перечни должностей, ответственных за проведение мероприятий по обеспечению обрабатываемых персональных данных, а также перечни должностей, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к ним, утверждаются правовыми актами Администрации города.
21. При принятии решений, затрагивающих интересы субъектов персональных данных, запрещается основываться на персональных данных, полученных исключительно в результате автоматизированной обработки или с использованием электронных носителей.
22. Не допускается использование оскорбляющих чувства граждан или унижающих человеческое достоинство способов обозначения принадлежности персональных данных.
23. В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо федеральными законами.
Порядок и условия уничтожения персональных данных утверждаются правовыми актами Администрации города в установленном порядке.
24. Обработка специальных категорий персональных данных может производиться Администрацией города в случаях и порядке, предусмотренных федеральным законодательством.

IV. Порядок получения согласия субъекта персональных данных
25. Согласие субъекта персональных данных на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных, полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает его законный представитель.
В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают его наследники, если такое согласие не было дано субъектом персональных данных при его жизни.
Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, устанавливается Правительством Российской Федерации.
26. Типовые формы согласия на обработку персональных данных утверждаются правовыми актами Администрации города в установленном порядке и должны содержать:
— фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
— фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
— наименование и адрес оператора, получающего согласие субъекта персональных данных;
— цель обработки персональных данных;
— перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
— наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
— перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
— срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
— подпись субъекта персональных данных.
27. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, которые предусмотрены федеральным законодательством.
28. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в порядке и случаях, предусмотренных федеральным законодательством. Типовые формы отзыва согласия на обработку персональных данных утверждаются правовыми актами Администрации города в установленном порядке.
29. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо федеральными законами.
30. В случае отказа субъекта персональных данных от дачи согласия на обработку персональных данных работником Администрации города, принимающим заявление, должны быть разъяснены юридические последствия отказа. Типовые формы отказа субъекта персональных данных могут утверждаться правовыми актами Администрации города в установленном порядке.

V. Права субъекта персональных данных
31. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
— подтверждение факта обработки персональных данных оператором;
— правовые основания и цели обработки персональных данных;
— цели и применяемые оператором способы обработки персональных данных;
— наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
— обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
— сроки обработки персональных данных, в том числе сроки их хранения;
— порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
— информацию об осуществленной или о предполагаемой трансграничной передаче данных;
— наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
— иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами.
32. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено федеральными законами.
33. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
34. Сведения, указанные в пункте 31 настоящего Положения, должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
35. Сведения, указанные в пункте 31 настоящего Положения, предоставляются субъекту персональных данных или его представителю оператором при обращении либо при получении запроса субъекта персональных данных или его представителя.
Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя.
Правила рассмотрения запросов субъектов персональных данных или их представителей утверждаются нормативными правовыми актами Администрации города.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
36. В случае если сведения, указанные в пункте 31 настоящего Положения, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 31 настоящего Положения, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
37. Субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 31 настоящего Положения, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в пункте 36 настоящего Положения, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в пункте 35 настоящего Положения, должен содержать обоснование направления повторного запроса.
Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 36 и 37 настоящего Положения. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на операторе.
38. В случае если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных федеральным законодательством, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
— наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
— цель обработки персональных данных и ее правовое основание;
— предполагаемые пользователи персональных данных;
— установленные федеральным законодательством и настоящим Положением права субъекта персональных данных;
— источник получения персональных данных.
39. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения.
В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные.
Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
40. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки.
В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
41. В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
42. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных — также указанный орган.
43. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, он вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

VI. Меры по обеспечению безопасности персональных данных при их обработке
44. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
45. Порядок доступа в помещения Администрации города, в которых ведется обработка персональных данных, определяется правовым актом Администрации города.
46. Требования к защите персональных данных при их обработке в информационных системах в Администрации города, включающие в себя определение угроз безопасности, перечень организационных и технических мер по их защите, а также правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, с обеспечением регистрации и учета всех действий определяются нормативным правовым актом Администрации города.
47. Перечни информационных систем персональных данных утверждаются правовыми актами Администрации города.
48. Ответственные за обеспечение безопасности персональных данных при их обработке в информационных системах утверждаются правовыми актами Администрации города.
49. В должностные обязанности лиц, ответственных за обеспечение безопасности персональных данных при их обработке в информационных системах должно входить:
— определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
— применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
— применение прошедших в установленном порядке процедур оценки соответствия средств защиты информации;
— оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
— учет машинных носителей персональных данных;
— обнаружение фактов несанкционированного доступа к персональным данным и принятием соответствующих мер;
— восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
— контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных.

VII. Порядок обработки персональных данных без использования средств автоматизации
50. Порядок обработки персональных данных, осуществляемых без средств автоматизации, утверждается нормативными правовыми актами Администрации города.

Заместитель Главы Администрации города, руководитель аппарата Администрации города
Е.А. ШИНИН.