Политика конфиденциальности

ПОЛИТИКА В ОБЛАСТИ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

Настоящая Политика в отношении обработки персональных данных (далее – Политика) разработана на основании:

• Конституции Российской Федерации;
• Гражданского кодекса Российской Федерации;
• в соответствии с требованиями:

• Федерального закона от 01 апреля 1996 г. № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
• Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федерального закона Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
• Федерального закона Российской Федерации от 29 декабря 2012 № 273–ФЗ «Об образовании в Российской Федерации»;
• Постановления Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановления Правительства Российской Федерации от 21 марта 2012 г. № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»;
• Постановления Правительства Российской Федерации от 01 ноября 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Правовым основанием обработки персональных данных также являются:

• Устав;
• Согласие субъекта персональных данных на обработку персональных данных.

Цель настоящей Политики – обеспечение прав граждан при обработке их персональных данных, и принятие мер от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных субъектов.

Персональные данные могут обрабатываться только для целей, непосредственно связанных с деятельностью Образовательной организации, в частности для:

1. предоставления образовательных услуг;
2. организации обучения с применением электронного обучения, дистанционных образовательных технологий;
3. оказания информационно-консультационных услуг в сфере образования;
4. принятия решения поступающим на обучение;
5. проведения семинаров, тренингов и конкурсов;
6. ведения сайта Образовательной организации;
7. автоматизации работы библиотеки;
8. проведения мониторинга деятельности Образовательной организации;
9. заключения иных гражданско-правовых договоров, не противоречащих Уставу Образовательной организации.

Образовательная организация (далее – Оператор) собирает данные только в объеме, необходимом для достижения вышеназванных целей.

Передача третьим лицам персональных данных допускается с целью оказания образовательных услуг. В случае передачи персональных данных, Оператор несет полную ответственность за их нераспространение в дальнейшем. Режим конфиденциальности персональных данных снимается в случаях обезличивания или включения их в общедоступные источники персональных данных, если иное не определено законом.

Работники, в обязанность которых входит обработка персональных данных субъекта, обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом, а также настоящей Политикой.

Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и карается в соответствии с законодательством.

Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.

Настоящая Политика утверждается руководителем Образовательной организации и является обязательной для исполнения всеми работниками, имеющими доступ к персональным данным субъекта. Для целей настоящей Политики Оператором персональных данных является Образовательная организация.

Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее размещения на сайте, если иное не предусмотрено новой редакцией Политики.

Действующая редакция хранится в месте нахождения Оператора по адресу: 198095, г. Санкт-Петербург, ул. Маршала Говорова, д. 35, корп. 4, лит. И, офис. 427, электронная версия Политики – на сайте по адресу: https://alfatrud.ru/.

---

2. Термины и принятые сокращения

Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

---

3. Понятие и состав персональных данных

Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (далее – субъекту). К персональным данным субъекта, которые обрабатывает Оператор, относятся:

1. фамилия, имя, отчество;
2. адрес места жительства;
3. данные документа, удостоверяющего личность (паспорт, вид на жительство, паспорт иностранного гражданина, удостоверение беженца и иные документы, удостоверяющие личность);
4. контактный телефон;
5. адрес электронной почты;
6. данные СНИЛС и ИНН;
7. данные о трудовой деятельности субъекта (наименование организации работодателя, место нахождения организации работодателя, занимаемая должность, стаж работы);
8. документы, подтверждающие уровень образования и (или) квалификации и приложений к ним, копии водительских удостоверений, в том числе на право управления самоходной техникой;
9. фотографическая карточка содержащая изображение субъекта, видеозапись, отображающая и содержащая информацию о пространственно-временных параметрах изображений субъекта;
10. медицинские справки, для возможности прохождения практических занятий и допуска к сдаче квалификационного экзамена (по направляем обучения, где есть ограничения по здоровью);
11. иная необходимая информация, которую субъект добровольно сообщает о себе для получения услуг предоставляемых образовательной организацией, если ее обработка не запрещена законом.

---

4. Условия и основные принципы обработки, передачи и хранения персональных данных

Оператор ведет обработку персональных данных субъекта с использованием средств автоматизации (автоматизированная обработка), и без использования таких средств (неавтоматизированная обработка).

Обработка персональных данных должна осуществляться на основе принципов:

1. законности целей и способов обработки персональных данных и добросовестности;
2. соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям организации;
3. соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
4. достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
5. недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных;
6. уничтожения персональных данных после достижения целей обработки или в случае утраты необходимости в их достижении;
7. личной ответственности работников организации за сохранность и конфиденциальность персональных данных, а также носителей этой информации.

Оператор должен сообщить субъекту о целях, предполагаемых источниках и способах получения ПД, характере подлежащих получению ПД, перечне действий с ПД, сроке, в течение которого действует согласие и порядке его отзыва, а также о последствиях отказа субъекта дать письменное согласие на их получение.

Документы, содержащие ПД, создаются путем:

1. копирования оригиналов документов (паспорт, вид на жительство, документ об образовании, свидетельство ИНН, СНИЛС и др.);
2. внесения сведений в учетные формы;
3. получения у субъекта копий необходимых документов (трудовая книжка и др.).

Обработка персональных данных осуществляется:

1. с согласия субъекта персональных данных на обработку его персональных данных;
2. в случаях, когда обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации функций, полномочий и обязанностей;
3. в случаях, когда осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных).

---

5. Сведения о третьих лицах, участвующих в обработке персональных данных

В целях соблюдения законодательства Российской Федерации, для достижения целей обработки, а также в интересах и с согласия субъектов персональных данных Оператор в ходе своей деятельности предоставляет персональные данные следующим организациям:

1. Министерству науки и высшего образования Российской Федерации;
2. Министерству просвещения Российской Федерации;
3. Федеральной налоговой службе Российской Федерации;
4. Пенсионному фонду Российской Федерации;
5. Фонду социального страхования Российской Федерации;
6. Федеральной службе государственной статистики Российской Федерации;
7. Правоохранительным органам (в случаях, установленных законодательством);
8. Кредитным организациям (с согласия субъекта);
9. Лицензирующим и/или контролирующим органам государственной власти и местного самоуправления;
10. Государственной инспекции труда, Гостехнадзору, Ростехнадзору, Роспортебнадзору, Пожарному надзору;
11. Министерству труда и социальной защиты Российской Федерации.

Лица, которым в установленном Федеральным законом № 152-ФЗ порядке переданы сведения, составляющие персональные данные субъекта, несут дисциплинарную, административную или уголовную ответственность за разглашение в соответствии с законодательством Российской Федерации.

Оператор не поручает обработку персональных данных другим лицам на основании договора.

---

6. Обязанности организации-оператора

В целях обеспечения прав и свобод человека и гражданина организации при обработке персональных данных субъекта обязано соблюдать следующие общие требования:

1. обработка персональных данных субъекта может осуществляться исключительно в целях оказания законных услуг субъектам;
2. персональные данные субъекта следует получать у него самого. Если персональные данные субъекта возможно получить только у третьей стороны, то субъект должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работники Российской Федерации должны сообщить субъектам о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа субъекта дать письменное согласие на их получение;
3. организация не имеет права получать и обрабатывать персональные данные о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, за исключением случаев, предусмотренных законом. В частности, вправе обрабатывать указанные персональные данные субъекта только с его письменного согласия;
4. предоставлять субъекту или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя;
5. хранение и защита персональных данных субъекта от неправомерного их использования или утраты обеспечивается учреждением, за счет его средств в порядке, установленном действующим законодательством Российской Федерации;
6. в случае выявления недостоверных персональных данных или неправомерных действий с ними оператора при обращении или по запросу субъекта либо уполномоченного органа по защите прав субъектов персональных данных организация обязана осуществить блокирование персональных данных на период проверки;
7. в случае подтверждения факта недостоверности персональных данных оператор на основании документов, представленных субъектом либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные и снять их блокирование;
8. в случае достижения цели обработки персональных данных, организация обязана незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней, и уведомить об этом субъекта, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
9. в случае отзыва субъектом согласия на обработку своих персональных данных организация обязана прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий трех рабочих дней, если иное не предусмотрено соглашением между организацией и субъектом. Об уничтожении персональных данных организация обязана уведомить субъекта.

---

7. Права субъекта

• Право на доступ к информации о самом себе.
• Право на определение форм и способов обработки персональных данных.
• Право на отзыв согласия на обработку персональных данных.
• Право ограничивать способы и формы обработки персональных данных, запрет на распространение персональных данных без его согласия.
• Право требовать изменение, уточнение, уничтожение информации о самом себе.
• Право обжаловать неправомерные действия или бездействия по обработке персональных данных и требовать соответствующей компенсации в суде.
• Право на дополнение персональных данных оценочного характера заявлением, выражающим его собственную точку зрения.
• Право определять представителей для защиты своих персональных данных.
• Право требовать от организации уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта, обо всех произведенных в них изменениях или исключениях из них.

---

8. Доступ к персональным данным субъекта

Персональные данные субъекта могут быть предоставлены третьим лицам в соответствии с пунктом 1.5 настоящей политики.

Доступ субъекта к своим персональным данным предоставляется при обращении либо при получении запроса субъекта. Оператор обязан сообщить субъекту информацию о наличии персональных данных о нем, а также предоставить возможность ознакомления с ними в течение тридцати рабочих дней с момента обращения или получения запроса.

Запрос должен содержать номер основного документа, удостоверяющего личность Субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.

Субъект имеет право на получение при обращении или при отправлении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

1. подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
2. способы обработки персональных данных, применяемые учреждением;
3. сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
4. перечень обрабатываемых персональных данных и источник их получения;
5. сроки обработки персональных данных, в том числе сроки их хранения;
6. сведения о том, какие юридические последствия для субъекта может повлечь за собой обработка его персональных данных.

Сведения о наличии персональных данных должны быть предоставлены субъекту в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.

Право субъекта на доступ к своим персональным данным ограничивается в случае, если предоставление персональных данных нарушает конституционные права и свободы других лиц.

---

9. Меры по обеспечению безопасности защиты персональных данных

Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

Типы угроз регламентируются в Постановлении Правительства Российской Федерации от 01 ноября 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится Оператором с учетом оценки возможного вреда, проведенной во исполнение и в соответствии с нормативными правовыми актами законодательства РФ в сфере защиты персональных данных.

Риск угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.

Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с законодательством РФ.

Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.

В соответствии с требованиями нормативных документов Оператором создана система защиты персональных данных (СЗПД), состоящая из подсистем правовой, организационной и технической защиты.

Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПД.

Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе с работниками, партнерами и сторонними лицами, защиты информации в открытой печати, публикаторской и рекламной деятельности, аналитической работы.

Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПД.

Выбор средств защиты информации для системы защиты персональных данных осуществляется Оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение части 4 статьи 19 Федерального закона "О персональных данных".

Основными мерами защиты ПД, используемыми Оператором, являются:

1. назначение лица ответственного за обработку ПД, которое осуществляет организацию обработки ПД, обучение и инструктаж, внутренний контроль за соблюдением учреждением и его работниками требований к защите ПД;
2. определение актуальных угроз безопасности ПД при их обработке и разработка мер и мероприятий по защите ПД;
3. разработка Политики в отношении обработки персональных данных;
4. установление правил доступа к ПД, а также обеспечения регистрации учета всех действий, совершаемых с ПД;
5. установление индивидуальных паролей доступа работников в информационную систему в соответствии с их производственными обязанностями;
6. применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
7. сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами;
8. сертифицированное программное средство защиты информации от несанкционированного доступа;
9. сертифицированные межсетевой экран и средство обнаружения вторжения;
10. соблюдение условий, обеспечивающих сохранность ПД и исключающие несанкционированный к ним доступ;
11. обнаружение фактов несанкционированного доступа к персональным данным и принятия мер;
12. восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
13. обучение работников Оператора непосредственно осуществляющих обработку персональных данных, положениям законодательства Российской Федерации о персональных данных, в том числе требованиям к защите персональных данных, документами, определяющими Политику Оператора в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных;
14. осуществление внутреннего контроля и аудита.

---

10. Ответственность за разглашение персональных данных

Организация-оператор несет ответственность за персональную информацию, которая находится в его распоряжении и закрепляет персональную ответственность работников за соблюдением, установленных в организации принципов уважения приватности.

Каждый работник Образовательной организации, получающий для работы доступ к материальным носителям персональным данных, несет ответственность за сохранность носителя и конфиденциальность информации.

Оператор обязуется поддерживать систему приема, регистрации и контроля рассмотрения жалоб субъектов, доступную с помощью телефонной, телеграфной или почтовой связи.

Любое лицо может обратиться к работнику Образовательной организации с жалобой на нарушение данной Политики. Жалобы и заявления по поводу соблюдения требований обработки данных рассматриваются в течение тридцати рабочих дней с момента поступления.

Работники Образовательной организации обязаны на должном уровне обеспечивать рассмотрение запросов, заявлений и жалоб субъектов, а также содействовать исполнению требований компетентных органов. Лица, виновные в нарушении требований настоящей Политики, привлекаются к установленной законодательством Российской Федерации ответственности.

Лица, виновные в нарушении требований законодательства о персональных данных, несут предусмотренную законодательством Российской Федерации ответственность.

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных законом, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.