Политика обработки персональных данных

1. НАЗНАЧЕНИЕ И ОБЛАСТЬ ПРИМЕНЕНИЯ

1.1. Назначение

Политика обработки персональных данных в государственном бюджетном учреждении дополнительного профессионального образования Санкт-Петербургской академии постдипломного педагогического образования имени К. Д. Ушинского (далее – Политика) определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в государственном бюджетном учреждении дополнительного профессионального образования Санкт-Петербургской академии постдипломного педагогического образования имени К. Д. Ушинского (далее – СПб АППО, оператор) с целью выполнения требований законодательства Российской Федерации в области защиты персональных данных. Настоящая Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон № 152-ФЗ), другими федеральными законами и нормативными правовыми актами, определяющими случаи и особенности обработки персональных данных. Политика подлежит опубликованию на официальном сайте СПб АППО в информационно-телекоммуникационной сети «Интернет» (https://spbappo.ru/)

1.2. Цель Политики

Целью Политики является обеспечение защиты прав и свобод субъектов персональных данных при обработке СПб АППО их персональных данных.

1.3. Основные понятия

В Политике используются следующие основные понятия:

персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); персональные данные, разрешенные субъектом персональных данных для распространения – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом № 152-ФЗ;
передача персональных данных третьим лицам – распространение, предоставление, доступ к сведениям, относящимся к прямо или косвенно определенному или определяемому физическому лицу;
субъект персональных данных – физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных;
оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных;
автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
конфиденциальность информации – обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных;
уровень защищенности персональных данных – комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

2. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных.

Правовым основанием для обработки персональных данных являются:

Конституция Российской Федерации;
Гражданский кодекс Российской Федерации;
Налоговый кодекс Российской Федерации;
Трудовой кодекс Российской Федерации;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»;
Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования»;
Федеральный закон от 15.12.2001 № 166-ФЗ «О государственном пенсионном обеспечении в Российской Федерации»;
Федеральный закон от 17.12.2001 № 173-ФЗ «О трудовых пенсиях в Российской Федерации»;
Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;
настоящая Политика;
локальные нормативные акты СПб АППО;
договоры, заключаемые между СПб АППО и субъектом персональных данных;
согласие субъекта персональных данных на обработку персональных данных.

3. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ, ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Категории субъектов персональных данных, чьи персональные данные обрабатываются СПб АППО:

кандидаты на замещение вакантных должностей;
работники и бывшие работники СПб АППО, их близкие родственники;
контрагенты СПб АППО и их представители;
участники проводимых СПб АППО или с его непосредственным участием познавательных, образовательных и научных мероприятий;
обучающиеся, выпускники, лица, отчисленные из СПб АППО и их представители (при необходимости);
физические лица, выразившие согласие на обработку оператором их персональных данных.

Перечень обрабатываемых персональных данных СПб АППО определяется локальным нормативным актом. Информация о состоянии здоровья субъекта персональных данных, ограничивается сведениями, которые относятся к вопросу о возможности выполнения трудовой функции, возможности прохождения обучения.

Перечень информационных систем, с указанием обрабатываемых ими персональных данных, способы, сроки их обработки и хранения определяются локальными нормативными актами СПб АППО.

4. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Обработка персональных данных осуществляется СПб АППО в целях:

исполнения требований законодательства Российской Федерации;
осуществления деятельности в соответствии с уставом и выданными оператору лицензиями;
заключения с субъектами персональных данных договоров и их дальнейшего исполнения;
проведения оператором акций, опросов, исследований;
предоставления субъектам персональных данных информации об оказываемых оператором услугах;
ведения воинского учета;
ведения кадровой работы и организации учета работников оператора;
регулирования трудовых и иных, непосредственно связанных с ними отношений;
привлечения и отбора кандидатов на работу;
формирования статистической отчетности, в том числе для предоставления в налоговую инспекцию;
размещение сведений о преподавательском составе на официальном сайте;
осуществления оператором административно-хозяйственной деятельности;
достижения целей, возложенных на СПб АППО, функций, полномочий и обязанностей.

5. ПОРЯДОК, ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Порядок обработки персональных данных

Обработка персональных данных в СПб АППО осуществляется в соответствии с требованиями законодательства Российской Федерации и локальных нормативных актов СПб АППО работниками структурных подразделений СПб АППО или иных организаций (если обработка персональных данных осуществляется другим лицом, действующим по поручению СПб АППО).

Обработка персональных данных в СПб АППО включает в себя следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Обработка персональных данных субъектов персональных данных осуществляется на бумажных носителях и с использованием средств автоматизации (с использованием средств вычислительной техники) путем:

получения оригиналов необходимых документов;
копирования оригиналов документов;
внесения сведений в учетные формы на бумажных и электронных носителях;
формирования персональных данных в ходе кадровой работы;
внесения персональных данных в информационные системы.

Сбор, запись, систематизация, накопление, уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных от субъектов персональных данных.

При обращении или запросу субъекта персональных данных, либо его представителя, а также по запросу уполномоченного органа по защите прав субъектов персональных данных, СПб АППО инициирует блокировку неправомерно обрабатываемых персональных данных этого субъекта с момента обращения или получения запроса на период проверки. При выявлении неправомерной обработки персональных данных СПб АППО или лицо, действующее по поручению СПб АППО, в срок не превышающий 3 (Трех) рабочих дней с даты выявления, прекращает неправомерную обработку персональных данных или обеспечивает прекращение неправомерной обработки. В случае, если обеспечить правомерность обработки персональных данных невозможно в срок, не превышающий 10 (Десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, такие персональные данные уничтожаются или обеспечивается их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению СПб АППО).

На основании сведений, представленных субъектом персональных данных или его представителем, либо уполномоченного органа по защите прав субъектов персональных данных, или иных необходимых документов СПб АППО уточняет или обеспечивает уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению СПб АППО) персональных данных в течение 7 (Семи) рабочих дней, со дня предоставления таких сведений.

По запросу субъекта персональных данных или его представителя СПб АППО сообщает информацию о наличии персональных данных, относящихся к субъекту. По запросу субъекта персональных данных или его представителя СПб АППО обеспечивает ознакомление субъекта персональных данных или его представителя с запрошенными персональными данными в течение 10 (Десяти) рабочих дней с даты получения запроса.

В случае отзыва субъектом персональных данных своего согласия на обработку персональных данных СПб АППО прекращает их обработку и обеспечивает прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению СПб АППО), в срок не превышающий 30 (Тридцати) дней с даты поступления отзыва. При отсутствии возможности уничтожения персональных данных в течение 30 (Тридцати) дней, СПб АППО осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению СПб АППО) и обеспечивает уничтожение персональных данных в срок не более чем 6 (Шесть) месяцев, если иной срок не установлен федеральными законами.

По достижении цели обработки персональных данных в СПб АППО, обработка персональных данных прекращается и эти персональные данные уничтожаются, за исключением случаев, при которых персональные данные должны храниться длительное время в силу требований нормативных правовых актов. Уничтожение персональных данных осуществляется в соответствии с требованиями приказа Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 28.10.2022 № 179 «Об утверждении требований к подтверждению уничтожения персональных данных».

5.2. Принципы обработки персональных данных

Обработка персональных данных осуществляется СПб АППО в соответствии со следующими принципами:

на законной и справедливой основе;
ограничивается достижением конкретных, заранее определенных целей;
обработка персональных данных, несовместимая с целями сбора персональных данных не допускается;
объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой не допускается;
обработке подлежат только персональные данные, которые отвечают целям их обработки;
содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки;
обрабатываемые персональные данные не избыточны по отношению к заявленным целям их обработки;
при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных;
СПб АППО принимает необходимые меры, либо обеспечивает их принятие, по удалению или уточнению неполных/неточных данных;
хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5.3. Условия обработки персональных данных

Обработка персональных данных осуществляется в случае получения согласия, предоставляемого субъектом персональных данных. Решение о предоставлении персональных данных, субъект персональных данных, дает свободно и своей волей.

Доступ к персональным данным имеют работники СПб АППО, которым это необходимо для исполнения должностных обязанностей. Перечень лиц, имеющих доступ к персональным данным, утверждается приказом СПб АППО, при этом указанные лица имеют право получать только те персональные данные, которые необходимы для выполнения конкретных функций.

Помещения, в которых обрабатываются персональные данные оборудуются замковыми устройствами.

Прием посетителей осуществляется способами, исключающими несанкционированный доступ к персональным данным.

Работники СПб АППО, получившие доступ к персональным данным, не раскрывают третьим лицам и не распространяют персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Трансграничная передача персональных данных осуществляется, только по письменному запросу субъекта персональных данных.

Передача персональных данных субъекта персональных данных, работниками СПб АППО, осуществляющими обработку персональных данных, выполняется с соблюдением следующих требований:

не сообщать персональные данные субъекта персональных данных третьей стороне без письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в случаях, установленных Федеральным законом № 152-ФЗ;
не сообщать персональные данные субъекта персональных данных в коммерческих целях без его письменного согласия;
предупредить лиц, получающих персональные данные субъекта персональных данных о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что правило соблюдено. Лица, получающие персональные данные субъекта персональных данных, обязаны соблюдать режим конфиденциальности;
передавать персональные данные субъекта персональных данных представителям субъекта персональных данных в порядке, установленном законодательства Российской Федерации, и ограничивать эту информацию только теми персональными данными субъекта персональных данных, которые необходимы для выполнения указанными представителями их функций;
передача СПб АППО персональных данных третьим лицам допускается в случаях, установленных Федеральным законом № 152-ФЗ;
работникам СПб АППО, осуществляющим обработку персональных данных, не допускается отвечать на вопросы, связанные с передачей персональных данных по телефону, факсу, электронной почте.

6. ПРАВА И ОБЯЗАННОСТИ

Обязанности СПб АППО в качестве оператора персональных данных:

организовывать обработку персональных данных в соответствии с требованиями Федерального закона № 152-ФЗ;
самостоятельно определять состав и перечень мер, необходимых и достаточных для выполнения своих обязанностей;
информировать субъекта персональных данных о начале обработки его персональных данных, если персональные данные получены не от субъекта персональных, за исключением следующих случаев:
- субъект персональных данных уведомлен об осуществлении обработки его персональных данных;
- обработки персональных данных, полученных из общедоступных источников;
- обработки персональных данных, полученных на основании федерального закона или исполнения договора, выгодоприобретателем которого является субъект персональных данных;
- информирование субъекта персональных данных ведет к нарушению прав или законных интересов третьих лиц.
обеспечивать размещение баз персональных данных на территории Российской Федерации;
обеспечивать защиту обрабатываемых персональных данных;
получать персональные данные только у субъекта персональных данных, либо у представителя. В случаях получения персональных данных у третьих лиц, делать это только с письменного согласия субъекта персональных данных;
своевременно реагировать на обращения и запросы субъектов персональных данных, и их представителей:
- сообщать субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими данными;
- в случае отказа, при обращении субъекта персональных данных или его представителя, в предоставлении субъекту персональных данных его персональных данных или информации о наличии в СПб АППО его персональных данных, давать в письменной форме мотивированный ответ, содержащий ссылку на положения федерального закона, являющиеся основанием для такого отказа;
- безвозмездно предоставлять субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных, а также по требованию субъекта персональных данных или его представителя вносить r них необходимые изменения и уничтожать, если они не являются необходимыми для заявленной цели обработки, и принимать разумные меры для уведомления третьих лиц об изменениях в персональных данных, которым, персональные данные этого субъекта были переданы;
- сообщать в уполномоченный орган по защите прав субъекта персональных данных по запросу этого органа необходимую информацию в течение 10 (Десяти) рабочих дней с даты получения такого запроса;
- устранять нарушения законодательства, допущенные при обработке персональных данных;
- устранять, блокировать и уничтожать персональные данные в случаях, предусмотренных частями 2-6 статьи 21 Федерального закона № 152-ФЗ.

Права СПб АППО в качестве оператора персональных данных:

принимать локальные нормативные акты в развитие настоящей Политики;
предлагать субъекту персональных данных оформить письменное согласие на обработку/передачу его персональных данных;
отказывать в предоставлении персональных данных в случаях, предусмотренных частью 6 и 8 статьи 14 и частью 2 статьи 20 Федерального закона № 152-ФЗ;
проводить внутренний контроль и (или) аудит соответствия требованиям законодательства Российской Федерации по защите персональных данных. Политике, локальным актам СПб АППО;
привлекать к дисциплинарной ответственности работников СПб АППО, к должностным обязанностям которых относится обработка персональных данных, за нарушение требований защиты персональных данных;
передавать персональные данные государственным органам, органам следствия и дознания, иным уполномоченным органам по основаниям, предусмотренным законодательством Российской Федерации.

Права субъекта персональных данных:

получать информацию, касающуюся обработки его персональных данных в СПб АППО, в том числе об источниках их получения;
отозвать свое согласие на обработку персональных данных;
требовать уточнения, блокирования или уничтожения своих персональных данных в случае, если персональные данные являются неполными, устаревшими, незаконно полученными или не являются необходимыми для заявленной цели обработки;
требовать извещения всех лиц, которым ранее были сообщены недостоверные или неполные его персональные данные;
обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия СПб АППО в качестве оператора персональных данных;
на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

7. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

При обработке персональных данных СПб АППО принимает необходимые правовые, организационные и технические меры и обеспечивает их принятие (если обработка персональных данных осуществляется другим лицом, действующим по поручению СПб АППО) для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных.

В СПб АППО назначается лицо, ответственное за организацию обработки и защиту персональных данных.