Политика в отношении обработки и защиты персональных данных в Государственном Совете Республики Татарстан и его Аппарате

Политика в отношении обработки и защиты персональных данных
в Государственном Совете Республики Татарстан и его Аппарате

1. Общие положения

1.1. Настоящая Политика в отношении обработки и защиты персональных данных в Государственном Совете Республики Татарстан и его Аппарате (далее – Политика) разработана в соответствии с пунктом 2 части 1 статьи 18¹ Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – Федеральный закон «О персональных данных») в целях выполнения требований законодательства Российской Федерации в области обработки персональных данных, раскрывает основные категории персональных данных, обрабатываемых оператором, цели, способы и принципы обработки, права и обязанности оператора при обработке, права субъектов персональных данных.

1.2. Обработка и защита персональных данных в Государственном Совете Республики Татарстан и его Аппарате (далее также – Государственный Совет и Аппарат Государственного Совета) осуществляется с соблюдением принципов и условий, предусмотренных законодательством Российской Федерации в области персональных данных и настоящей Политикой.

1.3. Политика является общедоступной и подлежит размещению на официальном сайте Государственного Совета в информационно-телекоммуникационной сети «Интернет».

1.4. Аппарат Государственного Совета является оператором (далее – оператор), организующим и осуществляющим в соответствии с Федеральным законом «О персональных данных» обработку персональных данных.

1.5. Понятия и термины, используемые в настоящей Политике, применяются в значениях, определенных Федеральным законом «О персональных данных».

2. Правовые основания обработки персональных данных

Правовыми основаниями обработки персональных данных в Государственном Совете Республики Татарстан и его Аппарате являются:

Конституция Российской Федерации;

Конституция Республики Татарстан;

Трудовой кодекс Российской Федерации;

Налоговый кодекс Российской Федерации;

Гражданский кодекс Российской Федерации;

Федеральный закон от 27 июля 2004 года № 79-ФЗ «О государственной гражданской службе Российской Федерации»;

Федеральный закон от 21 декабря 2021 года № 414-ФЗ «Об общих принципах организации публичной власти в субъектах Российской Федерации»;

Федеральный закон от 25 декабря 2008 года № 273-ФЗ «О противодействии коррупции»;

Федеральный закон от 2 мая 2006 года № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;

Указ Президента Российской Федерации от 30 мая 2005 года № 609 «Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела»;

постановление Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

постановление Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

постановление Правительства Российской Федерации от 21 марта 2012 года № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»;

Закон Республики Татарстан от 16 января 2003 года № 3-ЗРТ «О государственной гражданской службе Республики Татарстан»;

Закон Республики Татарстан от 18 марта 2004 года № 15-ЗРТ «О статусе депутата Государственного Совета Республики Татарстан»;

Регламент Государственного Совета Республики Татарстан, утвержденный постановлением Государственного Совета Республики Татарстан от 26 февраля 2004 года № 2632;

Положение об Аппарате Государственного Совета Республики Татарстан, утвержденное постановлением Президиума Государственного Совета
от 24 ноября 2010 года № 1260-IV ГС;

Положение о почетном знаке Государственного Совета Республики Татарстан «За вклад в развитие парламентаризма», утвержденное постановлением Государственного Совета Республики Татарстан от 16 апреля 2015 года № 551-V ГС;

Положение о Благодарственном письме Председателя Государственного Совета Республики Татарстан, утвержденное постановлением Президиума Государственного Совета Республики Татарстан от 9 июля 2020 года № 483-VI ГС;

иные нормативные правовые акты Российской Федерации и нормативные правовые акты органов государственной власти Республики Татарстан;

согласия субъектов персональных данных на обработку персональных данных.

3. Принципы и цели обработки персональных данных

3.1. Обработка персональных данных в Государственном Совете и его Аппарате осуществляется на основе следующих принципов:

обработка персональных данных должна осуществляться на законной и справедливой основе;

обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей;

не допускается обработка персональных данных, не совместимая с целями сбора персональных данных;

не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;

обработке подлежат только персональные данные, которые отвечают целям их обработки;

содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки;

обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;

при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных;

оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;

хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;

обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, а также в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.

3.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки в рамках компетенций оператора.

3.3. Обработка персональных данных в Государственном Совете и его Аппарате осуществляется в целях:

осуществления депутатской деятельности и обеспечения деятельности Государственного Совета;

реализации служебных (трудовых) отношений в Аппарате Государственного Совета, в том числе в целях содействия государственным гражданским служащим Аппарата Государственного Совета  (далее – государственные служащие) в прохождении государственной гражданской службы; в целях содействия в выполнении работы работниками Аппарата Государственного Совета, замещающими должности, не являющиеся должностями государственной гражданской службы; в целях содействия в поступлении на государственную гражданскую службу гражданам, претендующим на замещение должностей государственной гражданской службы в Аппарате Государственного Совета; в целях содействия в трудоустройстве гражданам при приеме на работу в Аппарат Государственного Совета на должность, не являющуюся должностью государственной гражданской службы;

формирования кадрового резерва государственных служащих в Аппарате Государственного Совета;

обучения и должностного роста, учета результатов исполнения государственными служащими должностных обязанностей;

содействия работникам Аппарата Государственного Совета, замещающим должности, не являющиеся должностями государственной гражданской службы, в получении образования и продвижении по службе, осуществления контроля количества и качества выполняемой работы;

обеспечения личной безопасности депутатов, государственных служащих и членов их семей, а также работников Аппарата Государственного Совета, замещающих должности, не являющиеся должностями государственной гражданской службы;

обеспечения государственным служащим, работникам Аппарата Государственного Совета, замещающим должности, не являющиеся должностями государственной гражданской службы, установленных законодательством Российской Федерации условий труда, социальных льгот, гарантий и компенсаций, сохранности принадлежащего им имущества;

соблюдения законодательства о государственной гражданской службе и трудового законодательства, а также законодательства о противодействии коррупции;

рассмотрения обращений граждан Российской Федерации в соответствии с законодательством Российской Федерации;

формирования внутренних информационных систем, ресурсов, справочников, баз данных, которые могут являться общедоступными источниками персональных данных;

награждения и представления к награждению наградами и поощрениями Государственного Совета;

заключения и исполнения контрактов (договоров) и ведения расчетов с физическими лицами;

аккредитации журналистов при Государственном Совете;

обеспечения пропускного режима в здании Государственного Совета.

4. Объем и категории обрабатываемых персональных данных,
категории субъектов персональных данных

4.1. В зависимости от целей, предусмотренных в разделе 4 настоящей Политики, в Государственном Совете и его Аппарате обрабатываются персональные данные следующих категорий субъектов персональных данных:

депутатов Государственного Совета;

государственных служащих Аппарата Государственного Совета;

помощников депутатов Государственного Совета;

лиц, претендующих на замещение вакантных должностей в Аппарате Государственного Совета;

лиц, представляемых к награждению или поощрению, материалы по которым представлены в Государственный Совет;

граждан, направивших обращения в Государственный Совет;

представителей средств массовой информации;

членов Молодежного парламента при Государ­ственном Совете;

лиц, назначение (избрание), согласование на должность, освобождение от должности которых осуществляются Государственным Советом;

членов экспертных советов при комитетах Государ­ственного Совета;

помощников сенатора Российской Федерации, представителя от Государственного Совета;

иных физических лиц, персональные данные которых представлены в Государственный Совет.

4.2. В рамках своих полномочий оператор обрабатывает следующие персональные данные: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, адрес, имущественное положение, контактный телефон, семейное положение, образование, профессия, доходы, индивидуальный номер налогоплательщика (ИНН), номер страхового свидетельства государственного пенсионного страхования (СНИЛС), номер полиса обязательного (добровольного) медицинского страхования, сведения о документах, удостоверяющих личность, иная информация, относящаяся прямо или косвенно к субъекту персональных данных.

4.3. Перечень обрабатываемых персональных данных по категориям персональных данных утверждается распоряжением по Аппарату Государственного Совета.

4.4. Оператор не осуществляет обработку биометрических персональных данных, специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, и не производит трансграничную передачу персональных данных на территорию иностранного государства.

5. Основные права и обязанности оператора и субъектов персональных данных

5.1. Субъекты персональных данных имеют право:

получать информацию, касающуюся обработки их персональных данных в Государственном Совете и его Аппарате, в том числе и об источниках их получения;

требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

обжаловать неправомерные действия или бездействия оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;

отзывать согласие на обработку персональных данных;

на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

5.2. Субъекты персональных данных обязаны:

сообщать достоверную информацию о себе и представлять документы, содержащие персональные данные, состав которых установлен законодательством Российской Федерации и локальными нормативными актами Государственного Совета в объеме, необходимом для цели обработки;

сообщать оператору об уточнении (обновлении, изменении) своих персональных данных.

5.3. Оператор имеет право:

поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;

в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона «О персональных данных»;

отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным частями 4 и 5 статьи 14 Федерального закона «О персональных данных»;

осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных, указанных в части 2 статьи 22 Федерального закона «О персональных данных»;

определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Федеральным законом «О персональных данных» или другими федеральными законами.

5.4. Оператор обязан:

соблюдать конфиденциальность персональных данных - не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;

предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 Федерального закона «О персональных данных»;

при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 Федерального закона «О персональных данных»;

разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные;

предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных;

в случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении при получении запроса субъекта персональных данных или его представителя дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона «О персональных данных» или иного федерального закона, являющегося основанием для такого отказа;

принимать необходимые и достаточные меры для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.

6. Порядок и условия обработки персональных данных

6.1. Обработка персональных данных осуществляется с согласия субъектов персональных данных, если иное не предусмотрено законодательством Российской Федерации.

6.2. Обработка персональных данных осуществляется как с использованием информационных систем, так и без использования средств автоматизации.

6.3. К обработке персональных данных допускаются только те работники Аппарата Государственного Совета, в должностные обязанности которых входит обработка персональных данных.

6.4. Лицо, ответственное за организацию обработки персональных данных, при организации доступа к персональным данным обязано ознакомить субъекта персональных данных с требованиями федерального законодательства и правовых актов Государственного Совета к обработке персональных данных и обеспечению безопасности персональных данных.

6.5. Лицам, допущенным к обработке персональных данных, предоставляется доступ только к персональным данным, необходимым для выполнения их служебных обязанностей в пределах возложенных соответствующих задач и функций.

6.6. Каждое лицо, допущенное к обработке персональных данных, использует индивидуальный идентификатор и пароль, которые не имеет права передавать другим лицам.

6.7. Обработка персональных данных осуществляется путем:

1) получения оригиналов необходимых документов;

2) копирования оригиналов документов;

3) внесения сведений в учетные формы (на бумажных и электронных носителях);

4) формирования персональных данных в ходе работы с персональными данными;

5) внесения персональных данных в информационные системы Государственного Совета;

6) получения персональных данных непосредственно от субъектов персональных данных, а также путем получения их от иных источников при условии соблюдения части 8 статьи 9 Федерального закона «О персональных данных».

6.8. Передача (распространение, предоставление, доступ) и использование персональных данных субъектов персональных данных осуществляются лишь в случаях и в порядке, предусмотренных законодательством Российской Федерации.

6.9. Передача персональных данных третьим лицам (в том числе трансграничная передача) допускается с письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, установленных законодательством Российской Федерации.

Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, установленных статьей 10.1 Федерального закона «О персональных данных».

6.10. Защита персональных данных от несанкционированного доступа, неправомерного использования или утраты обеспечивается оператором в порядке, устанавливаемом законодательством Российской Федерации.

6.11. Сроки обработки и хранения персональных данных в Государственном Совете определяются в соответствии с трудовым законодательством Российской Федерации, законодательством Российской Федерации о государственной гражданской службе и об архивном деле в Российской Федерации и номенклатурой дел Государственного Совета.

6.12. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных или иного стороннего лица, не дольше, чем этого требуют цели их обработки. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.

6.13. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.

7. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных на доступ к персональным данным

7.1. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование с момента такого обращения или получения указанного запроса на период проверки.

7.2. В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение и снять блокирование персональных данных.

7.3. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае если обеспечить правомерность обработки персональных данных невозможно, оператор в установленный Федеральным законом «О персональных данных» срок обязан уничтожить такие персональные данные или обеспечить их уничтожение.

7.4. В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение и уничтожить персональные данные или обеспечить их уничтожение, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами.

7.5. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки, а в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, - уничтожить персональные данные или обеспечить их уничтожение, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами.

7.6. Уничтожение персональных данных осуществляется в порядке, устанавливаемом инструкцией по делопроизводству в Государственном Совете и его Аппарате, утверждаемой распоряжением Председателя Государственного Совета.

7.7. Запросы субъектов персональных данных или их представителей на получение информации, касающейся обработки персональных данных субъектов персональных данных, рассматриваются теми работниками Аппарата Государственного Совета, в должностные обязанности которых входит обработка персональных данных.

8. Организация защиты персональных данных

8.1. С целью обеспечения безопасности персональных данных при их обработке Государственный Совет и его Аппарат принимают необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, от несанкционированного уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

8.2. Под безопасностью информации понимают состояние защищенности информации, при котором обеспечены ее конфиденциальность, доступность и целостность.

8.3. Задачами системы защиты персональных данных являются исключение или минимизация ущерба от возможной реализации случайных или злонамеренных воздействий на персональные данные, а также прогнозирование и предотвращение таких воздействий.

8.4. Отдел информационно-технологического обеспечения деятельности Государственного Совета Республики Татарстан Управления делами Аппарата Государственного Совета, ответственный в рамках своей компетенции за обеспечение функционирования автоматизированных информационных систем, должен принимать все необходимые меры по защите обрабатываемых персональных данных в автоматизированных информационных системах.

8.5. К правовым мерам защиты персональных данных относится принятие локальных правовых актов в Государственном Совете и его Аппарате в соответствии с федеральными законами в области защиты персональных данных и принятыми во их исполнение нормативными документами, закрепляющих права и обязанности субъектов информационных отношений в процессе обработки персональных данных, а также устанавливающих ответственность за нарушение этих правил.

8.6. К организационным мерам защиты персональных данных относятся в том числе:

назначение в Государственном Совете ответственных за обеспечение безопасности информации;

разработка и поддержание в актуальном состоянии организационно-распорядительных документов, регламентирующих порядок обработки персональных данных, создания и функционирования системы защиты персональных данных;

информирование лиц, осуществляющих обработку персональных данных, о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки;

осуществление внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных и безопасности персональных данных в Государственном Совете, требованиям законодательства Российской Федерации и иных нормативных правовых актов о персональных данных, в том числе требованиям к защите персональных данных;

обучение, периодическое повышение квалификации сотрудников, ответственных за организацию обработки и обеспечение безопасности информации, сотрудников, непосредственно выполняющих мероприятия по обеспечению безопасности персональных данных.

8.7. К техническим мерам защиты относится использование программно-аппаратных средств, выполняющих самостоятельно или в комплексе с другими средствами функции защиты персональных данных, и методов защиты, в том числе:

использование программной или программно-технической защиты от несанкционированного доступа к информационным ресурсам автоматизированных рабочих мест, на которых обрабатываются персональные данные;

использование средств защиты от вредоносного программного обеспечения;

обеспечение раздельной фиксации на материальных носителях персональных данных, имеющих различную цель обработки, или их раздельной обработки;

обеспечение раздельного хранения персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

8.8. Оператором применяются сертифицированные средства защиты информации, соответствующие требованиям, установленным уполномоченными органами в области технической защиты информации.

9. Ответственность за нарушение требований законодательства Российской Федерации в области персональных данных

9.1. Лица, осуществляющие обработку персональных данных в Государственном Совете и его Аппарате, несут ответственность за ненадлежащее выполнение возложенных функций по организации обработки персональных данных в соответствии с законодательством Российской Федерации и иными нормативными правовыми актами в области персональных данных.