1.1. Положение по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных в администрации Артемовского городского округа (далее – Положение) разработано в соответствии с Федеральным законом Российской Федерации от 27.07.2006 N 152-ФЗ "О персональных данных" (далее – Федеральный закон N 152-ФЗ), постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", постановлением Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", постановлением Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" и в целях определения политики в отношении обработки персональных данных в администрации Артемовского городского округа.

1.2. Настоящее Положение определяет:

правовое основание обработки персональных данных в администрации Артемовского городского округа (далее – Администрация);

принципы обработки персональных данных в Администрации;

оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона N 152-ФЗ;

основные условия проведения обработки персональных данных;

правила рассмотрения запросов субъектов персональных данных или их представителей;

правила обработки и защиты персональных данных;

правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом N 152-ФЗ, принятыми в соответствии с Федеральным законом N 152-ФЗ нормативными правовыми актами Администрации;

соотношение вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона N 152-ФЗ, и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом N 152-ФЗ.

1.3. В настоящем Положении используются термины и определения в соответствии с Федеральным законом N 152-ФЗ.

1.4. Субъектами персональных данных в Администрации являются:

физическое лицо, состоящее с Администрацией в отношениях, регулируемых трудовым законодательством, в том числе претендующее на замещение вакантных должностей, включенных в кадровый резерв;

физическое лицо, обращающееся в Администрацию в связи с предоставлением государственных (муниципальных) услуг, исполнением государственных (муниципальных) функций.

1.5. Объектами системы безопасности персональных данных в Администрации являются:

информационные ресурсы с ограниченным доступом, содержащие персональные данные;

процессы обработки персональных данных в информационной системе персональных данных (далее – ИСПДн) Администрации, информационные технологии, регламенты и процедуры сбора, обработки, хранения и передачи информации, персонал разработчиков и пользователей системы и ее обслуживающий персонал;

информационная инфраструктура, включающая системы обработки и анализа информации, технические и программные средства ее обработки, передачи и отображения, в том числе каналы информационного обмена и телекоммуникации, системы и средства защиты информации, объекты и помещения, в которых расположены технические средства обработки персональных данных.

1.6. Администрация в пределах своих полномочий, установленных в соответствии с нормативными правовыми актами, имеет право создавать информационные системы (в том числе ИСПДн), информационные ресурсы для обеспечения органов Администрации информацией, необходимой для обеспечения их деятельности.

1.7. Для каждой создаваемой информационной системы определяются цели обработки персональных данных, перечень обрабатываемых персональных данных.

1.8. Настоящее Положение подлежит размещению на официальном сайте Артемовского городского округа в целях исполнения требования части 2 статьи 18.1 Федерального закона N 152-ФЗ.

2.1. Определение законности целей обработки персональных данных в Администрации является правовым основанием обработки персональных данных в Администрации.

2.2. Обработка персональных данных в Администрации осуществляется в целях реализации трудовых отношений, а также в связи с оказанием государственных и муниципальных услуг, осуществлением государственных и муниципальных функций, возложенных на Администрацию.

2.3. Цели обработки персональных данных в Администрации соответствуют:

федеральным законам, а также иным подзаконным актам и документам органов государственной власти, которые требуют обработки персональных данных;

перечням задач или функций органов Администрации, указанным в положениях об органах Администрации.

2.4. Цели обработки персональных данных определяют:

содержание и объем обрабатываемых персональных данных;

категории субъектов, персональные данные которых обрабатываются;

сроки их обработки и хранения;

порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований.

4.1. Оценкой вреда, который может быть причинен субъектам персональных данных в случае нарушения правил обработки и защиты персональных данных, является определение юридических или иным образом затрагивающих права и законные интересы последствий в отношении субъекта персональных данных, которые могут возникнуть в случае нарушения правил обработки и защиты персональных данных.

4.2. К юридическим последствиям относятся случаи возникновения, изменения или прекращения личных либо имущественных прав граждан или иным образом затрагивающие его права, свободы и законные интересы.

4.3. При обработке персональных данных должны определяться и документально оформляться все возможные юридические или иным образом затрагивающие права и законные интересы последствия в отношении субъекта персональных данных, которые могут возникнуть в случае нарушения правил обработки и защиты персональных данных при выполнении заявленных в рамках перечня задач или функций органов Администрации, указанных в положениях органов Администрации, с учетом особых правил и способов обработки персональных данных.

4.4. Определение юридических последствий необходимо для недопущения нарушения и обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также определения соотношения вреда, который может быть причинен субъектам персональных данных в случае нарушения требований по обработке и обеспечению безопасности персональных данных и принимаемых мер.

5.1. Сбор персональных данных.

В Администрации применяются следующие способы получения персональных данных субъектов персональных данных:

заполнение субъектом персональных данных соответствующих форм;

получение персональных данных от третьих лиц;

получение данных на основании запроса (приложение 1);

сбор данных из общедоступных источников.

При сборе персональных данных Администрация обязана предоставить субъекту персональных данных по его просьбе информацию, предусмотренную настоящим Положением.

Если предоставление персональных данных является обязательным в соответствии с Федеральным законом N 152-ФЗ, Администрация обязана разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные (приложение 2).

Если персональные данные получены не от субъекта персональных данных, Администрация до начала обработки таких персональных данных обязана предоставить субъекту персональных данных уведомление об обработке персональных данных (приложение 3).

При сборе персональных данных Администрация обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 Федерального закона N 152-ФЗ.

5.2. Систематизация, накопление, уточнение и использование персональных данных.

Систематизация, накопление, уточнение, использование персональных данных могут осуществляться любыми законными способами в соответствии с правилами, инструкциями, руководствами, регламентами и иными документами, определяющими технологический процесс обработки информации.

В Администрации могут быть установлены особенности учета персональных данных в ИСПДн, в том числе использование различных способов обозначения принадлежности персональных данных, содержащихся в соответствующей ИСПДн, конкретному субъекту персональных данных.

Права и свободы человека и гражданина не могут быть ограничены по мотивам, связанным с использованием различных способов обработки персональных данных или обозначения принадлежности персональных данных, содержащихся в ИСПДн, конкретному субъекту персональных данных.

Не допускается использование оскорбляющих чувства граждан или унижающих человеческое достоинство способов обозначения принадлежности персональных данных, содержащихся в ИСПДн, конкретному субъекту персональных данных.

Уточнение персональных данных должно производиться только на основании законно полученной в установленном порядке информации. При необходимости уточнения персональных данных субъект персональных данных уведомляется об этом письменно (приложение 4).

Использование персональных данных должно осуществляться исключительно в заявленных целях. Использование персональных данных в заранее не определенных и не оформленных установленным образом целях категорически не допускается.

5.3. Запись и извлечение персональных данных.

Запись персональных данных в ИСПДн Администрации может осуществляться с любых носителей информации или из других ИСПДн.

Извлечение персональных данных из ИСПДн может осуществляться с целью:

вывода персональных данных на бумажный или иной носитель информации, не предназначенный для его обработки средствами вычислительной техники;

вывода персональных данных на носители информации, предназначенные для их обработки средствами вычислительной техники.

При извлечении персональных данных должен проводиться учет носителей информации.

При осуществлении записи и извлечения персональных данных должны соблюдаться условия обработки персональных данных, конфиденциальность персональных данных и иные требования, указанные в настоящем Положении.

5.4. Передача персональных данных.

Передача персональных данных в Администрации должна осуществляться с соблюдением настоящего Положения и действующего законодательства Российской Федерации.

В Администрации приняты следующие способы передачи персональных данных субъектов персональных данных:

передача персональных данных на электронных и бумажных носителях информации нарочным способом;

передача персональных данных на электронных и бумажных носителях посредством почтовой связи;

передача персональных данных по каналам связи.

Перед осуществлением передачи персональных данных проверяется основание на осуществление такой передачи и наличие согласия на передачу персональных данных с согласия субъекта персональных данных на их обработку или наличие иных законных оснований.

Передача персональных данных должна осуществляться на основании:

договора с третьей стороной, которой осуществляется передача персональных данных;

запроса, полученного от третьей стороны, которой осуществляется передача персональных данных;

исполнения возложенных законодательством Российской Федерации на Администрацию функций, полномочий и обязанностей.

Передача персональных данных без согласия или иных законных оснований категорически запрещается.

5.5. Хранение персональных данных.

Хранение персональных данных в Администрации допускается только в форме документов – зафиксированной на материальном носителе информации (содержащей персональные данные) с реквизитами, позволяющими ее идентифицировать и определить субъекта персональных данных. При этом предусматриваются следующие виды документов:

изобразительный документ – документ, содержащий информацию, выраженную посредством изображения какого-либо объекта;

фотодокумент – изобразительный документ, созданный фотографическим способом;

текстовый документ – документ, содержащий речевую информацию, зафиксированную любым типом письма или любой системой звукозаписи;

письменный документ – текстовый документ, информация которого зафиксирована любым типом письма;

рукописный документ – письменный документ, при создании которого знаки письма наносят от руки;

машинописный документ – письменный документ, при создании которого знаки письма наносят техническими средствами;

документ на машинном носителе – документ, созданный с использованием носителей и способов записи, обеспечивающих обработку его информации электронно-вычислительной машиной.

Хранение персональных данных в ИСПДн и вне таких систем Администрации осуществляется только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения.

Определение сроков хранения осуществляется в соответствии с требованиями архивного законодательства Российской Федерации, в том числе в соответствии с перечнями типовых архивных документов с указанием сроков их хранения.

При использовании документов, содержащих персональные данные, в различных целях определение сроков обработки, в том числе хранения таких документов, устанавливается по максимальному сроку.

Включение в состав Архивного фонда Российской Федерации документов, содержащих персональные данные, осуществляется на основании экспертизы ценности документов.

На документы, включенные в состав Архивного фонда Российской Федерации, действие настоящего Положения не распространяется.

Сроки временного хранения документов, включенных в состав Архивного фонда Российской Федерации, до их поступления в муниципальный архив устанавливаются в соответствии с требованиями архивного законодательства Российской Федерации.

Документы Архивного фонда Российской Федерации, находящиеся в собственности Администрации, по истечении сроков их временного хранения передаются на постоянное хранение в муниципальный архив.

5.6. Блокирование персональных данных.

Блокированием персональных данных называется временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Блокирование персональных данных конкретного субъекта персональных данных должно осуществляться во всех ИСПДн Администрации, включая архивы баз данных, содержащих такие персональные данные.

Блокирование персональных данных в Администрации осуществляется:

в случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя (приложение 5), либо уполномоченного органа по защите прав субъектов персональных данных с момента такого обращения или получения указанного запроса на период проверки;

в случае отсутствия возможности уничтожения персональных данных в установленные сроки до их уничтожения.

При необходимости Администрация направляет уведомление о блокировании персональных данных субъектам персональных данных в письменном виде (приложение 6).

После устранения выявленной неправомерной обработки персональных данных Администрация осуществляет снятие блокирования персональных данных. При необходимости Администрация направляет уведомление об устранении допущенных нарушений в письменном виде (приложения 7, 8).

5.7. Обезличивание персональных данных.

Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

Требования и методы по обезличиванию персональных данных, обрабатываемых в ИСПДн, установлены приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 05.09.2013 N 996 "Об утверждении требований и методов по обезличиванию персональных данных".

Под обезличиванием персональных данных понимаются действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обезличивание персональных данных должно обеспечивать не только защиту от несанкционированного использования, но и возможность их обработки.

Решение о необходимости проведения обезличивания персональных данных принимается руководителем органа Администрации.

Работники органов Администрации, непосредственно осуществляющие обработку персональных данных, готовят предложения по обезличиванию персональных данных, обоснование такой необходимости и способ обезличивания, осуществляют обезличивание выбранным способом.

5.8. Уничтожение персональных данных.

Уничтожение персональных данных – это действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Уничтожение персональных данных в Администрации производится только в следующих случаях:

персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;

в случае выявления неправомерной обработки персональных данных, если обеспечить правомерность обработки персональных данных невозможно;

в случае отзыва субъектом персональных данных согласия на обработку его персональных данных (приложение 9).

При уничтожении персональных данных необходимо:

убедиться в необходимости уничтожения персональных данных;

убедиться в том, что уничтожаются те персональные данные, которые предназначены для уничтожения;

уничтожить персональные данные подходящим способом в соответствии с настоящим Положением или способом, указанным в соответствующем требовании или распорядительном документе;

проверить необходимость уведомления об уничтожении персональных данных;

при необходимости, уведомить об уничтожении персональных данных требуемых лиц в письменном виде (приложения 10, 11).

При уничтожении персональных данных применяются следующие способы:

измельчение в бумагорезательной (бумагоуничтожительной) машине – для документов, исполненных на бумаге;

стирание персональных данных – для сохранения возможности обработки иных данных, зафиксированных на материальном носителе, содержавшем персональные данные;

физическое уничтожение (разрушение) носителей информации – для носителей информации на оптических дисках;

физическое уничтожение частей носителей информации – разрушение или сильная деформация – для носителей информации на жестком магнитном диске (уничтожению подлежат внутренние диски и микросхемы); SSD-дисках, USB- и Flash-носителях (уничтожению подлежат модули и микросхемы долговременной памяти);

стирание с помощью сертифицированных средств уничтожения информации – для записей в базах данных и отдельных документов на машинном носителе.

При уничтожении персональных данных необходимо учитывать их наличие в архивных базах данных и производить уничтожение во всех копиях базы данных, если иное не установлено действующим законодательством Российской Федерации.

При необходимости уничтожения части персональных данных допускается уничтожать материальный носитель одним из указанных в настоящем Положении способов с предварительным копированием сведений, не подлежащих уничтожению, способом, исключающим одновременное копирование персональных данных, подлежащие уничтожению.

Ответственным за обеспечение безопасности информации в органе Администрации осуществляется систематический контроль и выделение документов, содержащих персональные данные, подлежащие уничтожению.

Вопрос об уничтожении выделенных документов, содержащих персональные данные, рассматривается на заседании комиссии по уничтожению персональных данных в Администрации, состав которой утверждается распоряжением Администрации.

Уничтожение персональных данных производится только в присутствии лица, ответственного за организацию обработки персональных данных в Администрации.

По факту уничтожения персональных данных составляется акт уничтожения персональных данных, который подписывается лицами, производившими уничтожение. Форма акта утверждается распоряжением Администрации.

Хранение актов уничтожения персональных данных осуществляется в течение срока исковой давности, если иное не установлено нормативными правовыми актами Российской Федерации.

6.1. Круг субъектов, персональные данные которых подлежат обработке в ИСПДн Администрации, определяется с целью обработки персональных данных в каждой информационной системе персональных данных.

6.2. Субъект персональных данных имеет право на получение при обращении информации, касающейся обработки его персональных данных (приложения 12, 13, 14), в том числе содержащей следующие сведения:

правовое основание и цель обработки персональных данных;

способы обработки персональных данных;

сведения о лицах (за исключением работников Администрации), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Администрацией или на основании Федерального закона N 152-ФЗ;

обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения;

сроки обработки персональных данных, в том числе сроки их хранения;

порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом N 152-ФЗ;

информацию об осуществленной или о предполагаемой трансграничной передаче данных.

6.3. Право субъекта персональных данных на доступ к своим персональным данным может быть ограничено в соответствии с Федеральным законом N 152-ФЗ в случае, если:

обработка персональных данных, включая персональные данные, полученные в результате оперативно-разыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;

обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

6.4. Если субъект персональных данных считает, что Администрация осуществляет обработку его персональных данных с нарушением требований Федерального закона N 152-ФЗ или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Администрации в уполномоченном органе по защите прав субъектов персональных данных или в судебном порядке.

6.5. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

6.6. Администрация освобождается от обязанности предоставить субъекту персональных данных сведения, предусмотренные 6.2 настоящего Положения, в случаях, если:

субъект персональных данных уведомлен об осуществлении обработки его персональных данных Администрацией;

персональные данные получены Администрацией на основании Федерального закона N 152-ФЗ или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;

персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника.

Администрация осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных;

предоставление субъекту персональных данных сведений нарушает права и законные интересы третьих лиц.

7.1. При поступлении обращения субъекта орган Администрации, в адрес которого поступило обращение, должен зарегистрировать его в Журнале учета обращений субъектов персональных данных (приложение 15).

7.2. Орган Администрации обязан сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя либо в течение 30 дней с даты получения запроса субъекта персональных данных или его законного представителя.

7.3. В случае отказа в предоставлении субъекту персональных данных или его законному представителю при обращении либо при получении запроса субъекта персональных данных или его законного представителя информации о наличии персональных данных о соответствующем субъекте персональных данных, а также таких персональных данных орган Администрации обязан дать в письменной форме мотивированный ответ в срок, не превышающий 30 дней со дня обращения субъекта персональных данных или его законного представителя либо с даты получения запроса субъекта персональных данных или его законного представителя.

7.4. Орган Администрации обязан безвозмездно предоставить субъекту персональных данных или его законному представителю возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет орган Администрации, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах орган Администрации обязан уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы.

7.5. Администрация обязана сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение 30 дней с даты получения такого запроса.

8.1. Обработка персональных данных осуществляется после получения согласия субъекта персональных данных (приложение 16), за исключением случаев, предусмотренных Федеральным законом N 152-ФЗ.

Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона N 152-ФЗ.

8.2. Оператором ИСПДн Администрации, организующим и осуществляющим обработку персональных данных, а также определяющим цели и содержание обработки персональных данных, является Администрация. Обязанности оператора возлагаются на органы Администрации, осуществляющие деятельность по эксплуатации ИСПДн.

8.3. Оператор при обработке персональных данных принимает все необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

8.4. Для разработки и осуществления мероприятий по обеспечению безопасности персональных данных при их обработке в ИСПДн оператором назначается должностное лицо, ответственное за организацию обработки персональных данных в Администрации.

В каждом органе Администрации назначается должностное лицо, ответственное за обеспечение безопасности персональных данных. Данные должностные лица взаимодействуют по вопросам организации защиты персональных данных в ИСПДн с отделом профилактики терроризма и информационной безопасности Администрации (далее – отдел информационной безопасности).

8.5. Руководители органов Администрации, в чьем ведении находится ИСПДн, определяют должностных лиц, допущенных к обработке персональных данных, и представляют списки данных лиц в отдел информационной безопасности.

8.6. Должностные лица, допущенные к обработке персональных данных, в обязательном порядке под подпись знакомятся с настоящим Положением и подписывают обязательство о неразглашении информации, содержащей персональные данные (приложение 17).

8.7. Оператором и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных. Оператор или иное получившее доступ к персональным данным лицо обязано не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.

8.8. В случае если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.

10.1. Обработка персональных данных в ИСПДн с использованием средств автоматизации осуществляется в соответствии с требованиями, утвержденными постановлением Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".

10.2. Оператор ИСПДн определяет тип угроз безопасности персональных данных, актуальных для ИСПДн, с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Федерального закона N 152-ФЗ, и в соответствии с нормативными правовыми актами, принятыми во исполнение части 5 статьи 19 Федерального закона N 152-ФЗ.

10.3. Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

10.4. Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.

10.5. Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.

10.6. Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

10.7. Оператор ИСПДн на основании типа угроз определяет уровень защищенности персональных данных в зависимости от категории обрабатываемых данных и их количества.

При обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности персональных данных.

10.8. Необходимость обеспечения 1-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся работниками оператора.

10.9. Необходимость обеспечения 2-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает общедоступные персональные данные;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных работниками оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся работниками оператора;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает биометрические персональные данные;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные более чем 100000 субъектов персональных данных, не являющихся работниками оператора;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся работниками оператора;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся работниками оператора.

10.10. Необходимость обеспечения 3-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные работников оператора или общедоступные персональные данные менее чем 100000 субъектов персональных данных, не являющихся работниками оператора;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных работников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся работниками оператора;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных работников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся работниками оператора;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся работниками оператора.

10.11. Необходимость обеспечения 4-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает общедоступные персональные данные;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных работников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся работниками оператора.

10.12. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

обеспечение сохранности носителей персональных данных;

утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

10.13. Не допускается обработка персональных данных в ИСПДн с использованием средств автоматизации при отсутствии:

утвержденных организационно-технических документов о порядке эксплуатации информационных систем персональных данных, включающих в себя акт классификации ИСПДн, инструкции пользователя, администратора по организации антивирусной защиты, парольной защиты автоматизированных систем, и других нормативных и методических документов;

настроенных средств защиты от несанкционированного доступа, средств антивирусной защиты, резервного копирования информации и других программных и технических средств в соответствии с требованиями безопасности информации;

охраны и организации режима допуска в помещения, предназначенные для обработки персональных данных.

11.1. Обработка персональных данных без использования средств автоматизации (в виде документов на бумажных носителях и в электронном виде (файлы, базы банных) на электронных носителях информации) осуществляется в соответствии с постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации".

11.2. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных были:

определены места хранения персональных данных (материальных носителей) и установлен перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ;

обеспечено раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;

соблюдены условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

11.3. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее – типовые формы), должны соблюдаться следующие условия:

типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели неавтоматизированной обработки персональных данных, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;

типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на неавтоматизированную обработку персональных данных, – при необходимости получения письменного согласия на обработку персональных данных;

типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;

типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо несовместимы.

11.4. Используемые внешние электронные носители информации с персональными данными учитываются в журнале учета, выдачи и уничтожения машинных носителей информации, предназначенных для обработки и хранения информации ограниченного доступа, не относящейся к государственной тайне, персональных данных в Администрации.

11.5. Все документы, содержащие персональные данные, должны храниться в служебных помещениях в недоступных для посторонних лиц местах, надежно запираемых и опечатываемых шкафах (сейфах). При этом должны быть созданы условия, обеспечивающие их сохранность.

12.1. При исключительно автоматизированной обработке персональных данных должны выполняться правила обработки персональных данных средствами автоматизации в соответствии с разделом 10 настоящего Положения.

12.2. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

12.3. В остальных случаях принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, запрещается.

12.4. При исключительно автоматизированной обработке персональных данных необходимо:

разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных;

разъяснить возможные юридические последствия такого решения;

предоставить возможность заявить возражение против такого решения;

рассмотреть возражение;

уведомить субъекта персональных данных о результатах рассмотрения такого возражения в течение 30 дней со дня получения возражения.

14.1. Администрация вправе поручить обработку персональных данных третьему лицу (поручение оператора):

с согласия субъекта персональных данных и если иное не предусмотрено Федеральным законом N 152-ФЗ;

на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта.

Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Положением.

14.2. В поручении оператора:

должен быть определен перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных;

должны быть определены цели обработки персональных данных;

должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных;

должна быть установлена обязанность такого лица обеспечивать безопасность персональных данных при их обработке;

должны быть указаны требования к защите обрабатываемых персональных данных в соответствии с настоящим Положением и техническим заданием на создание системы защиты персональных данных;

устанавливается ответственность такого лица перед Администрацией в случаях нарушений установленных требований и законодательства Российской Федерации в области персональных данных;

при необходимости получения согласий на обработку персональных данных от субъектов персональных данных должен быть предусмотрен порядок сбора и передачи в Администрацию таких согласий субъектов персональных данных.

14.3. В случае если Администрация поручает обработку персональных данных третьему лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Администрация.

14.4. В случае необходимости получения согласия на обработку персональных данных от субъекта персональных данных, обязанность получения таких согласий возлагается на Администрацию.

15.1. Обезличенные персональные данные могут обрабатываться с использованием и без использования средств автоматизации.

15.2. При обработке обезличенных персональных данных с использованием средств автоматизации необходимо соблюдение:

парольной политики;

антивирусной политики;

правил работы со съемными носителями;

правил резервного копирования;

правил доступа в помещения, где расположены элементы информационных систем.

15.3. При обработке обезличенных персональных данных без использования средств автоматизации необходимо соблюдение:

правил хранения бумажных носителей;

правил доступа к ним и в помещения, где они хранятся.

16.1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, если:

субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

персональные данные сделаны общедоступными субъектом персональных данных;

обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;

обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации, государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан.

16.2. Обработка персональных данных о судимости может осуществляться Администрацией в пределах полномочий, предоставленных Администрации в соответствии с законодательством Российской Федерации.

16.3. Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных пунктами 16.1 и 16.2 настоящего Положения, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка, если иное не установлено Федеральным законом N 152-ФЗ.

17.1. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются для установления личности субъекта персональных данных, могут обрабатываться в Администрации только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных пунктом 17.2 настоящего Положения.

17.2. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию.

18.1. Общедоступные персональные данные физических лиц, полученные из сторонних общедоступных источников персональных данных, в Администрации обрабатываются в исключительных случаях в сроки, не превышающие сроки, необходимые для их использования. При этом совместно с такими данными должны собираться реквизиты их источника и подтверждение согласия субъекта персональных данных на включение такой информации в общедоступные источники персональных данных, так как в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на Администрацию. По достижении целей обработки общедоступных персональных данных они подлежат немедленному уничтожению.

18.2. В целях информационного обеспечения в Администрации могут создаваться общедоступные источники персональных данных, в том числе справочники, адресные книги. В общедоступные источники персональных данных с письменного согласия субъекта персональных данных (приложение 18), могут включаться его фамилия, имя, отчество, дата рождения, служебный номер телефона, занимаемая должность, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных.

18.3. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.

19.1. С целью защиты субъектов персональных данных Администрации от возможного нанесения им материального, физического, морального или иного ущерба посредством случайного или преднамеренного воздействия на персональные данные, их носители, на процессы обработки и передачи в Администрации создается система безопасности персональных данных, включающая в себя организационные меры и средства защиты информации, а также используемые в информационной системе информационные технологии.

19.2. Система безопасности персональных данных Администрации обеспечивает решение следующих задач:

своевременное выявление, оценка и прогнозирование источников угроз безопасности персональных данных, причин и условий, способствующих нанесению ущерба заинтересованным субъектам персональных данных, нарушению нормального функционирования ИСПДн Администрации;

создание механизма оперативного реагирования на угрозы безопасности персональных данных;

создание условий для минимизации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния и ликвидация последствий нарушения безопасности персональных данных;

защиту от вмешательства в процесс функционирования ИСПДн Администрации посторонних лиц;

разграничение доступа пользователей к информационным, аппаратным, программным и иным ресурсам Администрации, то есть защиту от несанкционированного доступа;

обеспечение аутентификации пользователей, участвующих в информационном обмене (подтверждение подлинности отправителя и получателя информации);

защиту от несанкционированной модификации используемых в ИСПДн Администрации программных средств, а также защиту системы от внедрения несанкционированных программ, включая компьютерные вирусы;

защиту персональных данных от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи.

19.3. В рамках реализации системы безопасности персональных данных в Администрации проводятся следующие мероприятия:

строгий учет всех подлежащих защите ресурсов ИСПДн Администрации (информации, задач, документов, каналов связи, серверов, автоматизированных рабочих мест);

регистрация действий персонала, осуществляющего обслуживание и модификацию программных и технических средств ИСПДн;

разработка организационно-распорядительных документов по вопросам обеспечения безопасности информации;

подготовка должностных лиц (работников), ответственных за организацию и осуществление практических мероприятий по обеспечению безопасности персональных данных и процессов их обработки;

наделение каждого работника (пользователя) минимально необходимыми для выполнения им своих функциональных обязанностей полномочиями по доступу к ИСПДн Администрации;

соблюдение всеми пользователями ИСПДн Администрации требований организационно-распорядительных документов по вопросам обеспечения безопасности информации;

несение персональной ответственности за свои действия каждого работника, имеющего доступ к ИСПДн Администрации, в рамках своих функциональных обязанностей;

поддержание необходимого уровня защищенности элементов ИСПДн Администрации;

применение физических и технических (программно-аппаратных) средств защиты ресурсов системы и непрерывная административная поддержка их использования;

контроль за соблюдением пользователями ИСПДн Администрации требований по обеспечению безопасности информации;

защита интересов Администрации при взаимодействии с внешними организациями (связанном с обменом персональными данными) от противоправных действий, как со стороны этих организаций, так и от несанкционированных действий обслуживающего персонала и третьих лиц.

20.1. Контроль и надзор за соблюдением правил по обработке и защите персональных данных в Администрации состоит из следующих направлений:

внутренний контроль и надзор за соблюдением правил по обработке и защите персональных данных;

внешний контроль и надзор за соблюдением правил по обработке и защите персональных данных.

20.2. Внутренний контроль и надзор за соблюдением правил по обработке и защите персональных данных в Администрации состоит из:

контроля и надзора за исполнением правил по обработке и защите персональных данных;

оценки соотношения вреда, который может быть причинен субъектам персональных данных в случае нарушения требований по обработке и обеспечению безопасности персональных данных и принимаемых мер.

20.3. Внешний контроль и надзор за выполнением требований законодательства в области персональных данных осуществляется федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере информационных технологий и связи; федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, – в пределах их полномочий.

20.4. Внешний контроль и надзор за выполнением требований законодательства в области персональных данных осуществляется в соответствии с действующим законодательством Российской Федерации в области защиты прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля, подзаконных нормативных актов Правительства Российской Федерации, ведомственных нормативных актов и административных регламентов.

20.5. Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям Федерального закона N 152-ФЗ, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.

20.6. Уполномоченный орган по защите прав субъектов персональных данных имеет право:

запрашивать у Администрации информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию;

осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных Администрации, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий;

требовать от Администрации уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства в области персональных данных;

обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде;

направлять в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, необходимые сведения, применительно к сфере их деятельности;

направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью;

привлекать к административной ответственности лиц, виновных в нарушении Федерального закона N 152-ФЗ.

20.7. В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.

20.8. Решения уполномоченного органа по защите прав субъектов персональных данных могут быть обжалованы в судебном порядке.

20.9. Контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

21.1. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям в Администрации организуется проведение периодических проверок условий обработки персональных данных.

Проверки осуществляются должностным лицом, ответственным за организацию обработки персональных данных в Администрации, на основании утвержденного Плана внутренних проверок условий обработки персональных данных в Администрации.

21.2. При осуществлении внутреннего контроля соответствия обработки персональных данных установленным требованиям в Администрации производится проверка:

соблюдения принципов обработки персональных данных;

соответствия нормативных правовых актов Администрации в области персональных данных действующему законодательству Российской Федерации;

выполнения работниками Администрации требований и правил обработки персональных данных в ИСПДн Администрации;

перечней персональных данных, используемых для решения задач и функций органами Администрации;

необходимости обработки персональных данных в ИСПДн Администрации;

актуальности информации о законности целей обработки персональных данных и оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения требований по обработке и обеспечению безопасности персональных данных;

правильности осуществления сбора, систематизации, записи, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), обезличивания, блокирования, удаления, уничтожения персональных данных в каждой ИСПДн Администрации;

актуальности перечня должностей работников Администрации, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным;

соблюдения прав субъектов персональных данных, чьи персональные данные обрабатываются в информационных системах персональных данных Администрации;

соблюдения обязанностей Администрации, предусмотренных действующим законодательством в области персональных данных;

порядка взаимодействия с субъектами персональных данных, чьи персональные данные обрабатываются в ИСПДн Администрации, в том числе соблюдения сроков, предусмотренных действующим законодательством в области персональных данных, соблюдения требований по уведомлениям, порядка разъяснения субъектам персональных данных необходимой информации, порядка реагирования на обращения субъектов персональных данных, порядка действий при достижении целей обработки персональных данных и отзыве согласий субъектами персональных данных;

наличия необходимых согласий субъектов персональных данных, чьи персональные данные обрабатываются в ИСПДн Администрации;

актуальности сведений, содержащихся в уведомлении Администрации, об обработке персональных данных;

актуальности перечня информационных систем персональных данных в Администрации;

знаний и соблюдения работниками Администрации положений действующего законодательства Российской Федерации, нормативных правовых актов Администрации в области обработки и обеспечения безопасности персональных данных;

знаний и соблюдения работниками Администрации инструкций, руководств и иных эксплуатационных документов на применяемые средства автоматизации, в том числе программное обеспечение, и средства защиты информации;

соблюдения работниками Администрации конфиденциальности персональных данных;

актуальности нормативных правовых актов Администрации в области обеспечения безопасности персональных данных;

соблюдения работниками Администрации требований по обеспечению безопасности персональных данных;

наличия нормативных правовых актов Администрации, технической и эксплуатационной документации технических и программных средств информационных систем персональных данных Администрации;

иных вопросов.

21.3. По результатам проведенной проверки оформляется акт внутренней проверки состояния защиты персональных данных в Администрации.

22.1. Во время осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям в Администрации производится оценка соотношения вреда, который может быть причинен субъектам персональных данных в случае нарушения правил обработки и защиты персональных данных, и принимаемых мер по обработке и обеспечению безопасности персональных данных в Администрации.

22.2. При оценке соотношения вреда, который может быть причинен субъектам персональных данных в случае нарушения требований по обработке и обеспечению безопасности персональных данных, для каждой ИСПДн Администрации производится экспертное сравнение заявленной Администрацией оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения правил обработки и защиты персональных данных, и применяемых Администрацией мер, направленных на обеспечение выполнения обязанностей, предусмотренных действующим законодательством в области персональных данных и изложенных в настоящем Положении.

22.3. По итогам сравнений принимается решение о достаточности применяемых Администрацией мер, направленных на обеспечение выполнения обязанностей, предусмотренных действующим законодательством в области персональных данных, и возможности или необходимости принятия дополнительных мер или изменения установленного в Администрации порядка обработки и обеспечения безопасности персональных данных.

22.4. Оценка соотношения вреда, который может быть причинен субъектам персональных данных в случае нарушения требований по обработке и обеспечению безопасности персональных данных, и принимаемых мер по обработке и обеспечению безопасности персональных данных в Администрации, оформляется в виде отдельного документа.

22.5. По результатам принятых решений лицом, ответственным за организацию обработки персональных данных в Администрации, организуется работа по их реализации.

23.1. Работники органов Администрации, допущенные к персональным данным, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.

23.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.