ПОЛИТИКА ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ НА ИНТЕРНЕТ-САЙТЕ
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящий документ (далее – Политика) определяет порядок обработки персональных данных имеры по обеспечению их безопасности на сайте Образовательного портала для работников дорожного хозяйства ФАУ «РОСДОРНИИ» (далее –Оператор), расположенного в сети Интернет по адресу:
https://rosdorspk.ru/,
https://edu.rosdorspk.ru/ (далее – Сайт).
1.2. Настоящая Политика разработана на основании п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а также Рекомендаций по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
1.3. Во исполнение требований ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на Сайте Оператора по адресу:
https://www.rosdorspk.ru/policy.
1.4. Настоящая Политика применяется только к Сайту. Оператор не контролирует и не несет ответственности за сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на Сайте.
2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
2.1. Автоматизированная обработка персональных данных (ПДн) – обработка персональных данных с помощью средств вычислительной техники;
2.2. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
2.3. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
2.4. Обезличивание персональных данных – действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному Пользователю или иному субъекту персональных данных;
2.5. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
2.6. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
2.7. Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому Пользователю Сайта;
2.8. Пользователи сайта – физические и юридические лица, от имени которых действуют их представители, имеющие доступ и использующие Сайт посредством Интернет, и предоставившие Оператору свои персональные данные при регистрации (создании учетной записи), заполнении форм обратной связи, подписок или на получение справочной информации;
2.9. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
2.10. Распространение персональных данных – любые действия, направленные на раскрытие персональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
2.11. Сервисы Сайта – интерактивные (диалоговые) программные компоненты на страницах Сайта, используемые для интеграции с информационными системами и предоставляющие пользователям Сайта определенные возможности по доступу к информации Сайта;
2.12. Субъект персональных данных – физическое лицо, к которому относятся персональные данные;
2.13. Уничтожение персональных данных – любые действия, в результате которых персональные данные уничтожаются безвозвратно с невозможностью дальнейшего восстановления содержания персональных данных в информационной системе персональных данных и (или) уничтожаются материальные носители персональных данных;
2.14. Файлы cookie – данные, которые передаются в процессе использования Сайта с помощью установленного на устройстве субъекта персональных данных программного обеспечения, в т.ч. ip-адрес, информация о браузере (или иной программе, с помощью которой осуществляется доступ к Сайту), технические характеристики оборудования и программного обеспечения, используемых субъектом персональных данных, дата и время доступа к Сайту и иная подобная информация.
3. ПРАВА И ОБЯЗАННОСТИ
3.1. Оператор обязан:
- обрабатывать персональные данные исключительно в целях, указанных в Политике, в порядке, установленном действующим законодательством Российской Федерации, и принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами;
- не распространять персональные данные без согласия Пользователя, если иное не предусмотрено действующим законодательством Российской Федерации;
- осуществлять обработку персональных данных с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
- организовывать защиту персональных данных в соответствии с требованиями законодательства Российской Федерации;
- рассматривать обращения Пользователя (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;
- предоставлять Пользователю (его законному представителю) возможность безвозмездного доступа к его персональным данным;
- принимать меры по уточнению, блокированию, уничтожению персональных данных Пользователя в случаях, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
3.2. Оператор имеет право:
- самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» или другими федеральными законами;
- поручить обработку персональных данных другому лицу с согласия Пользователя, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных;
- в случае отзыва Пользователем согласия на обработку персональных данных продолжить обработку персональных данных без согласия Пользователя при наличии оснований, указанных в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных»;
- получать от Пользователя достоверные информацию и/или документы, содержащие персональные данные Пользователя, для целей обработки, указанных в п. 5.3 Политики;
- требовать от Пользователя своевременного уточнения предоставленных персональных данных.
3.3. Пользователь обязан:
- обеспечивать достоверность предоставляемых Оператору персональных данных, необходимых для целей обработки, предусмотренных в п. 5.3 Политики;
- предоставлять Оператору при необходимости сведения для уточнения (обновления, изменения) предоставленных персональных данных.
3.4. Пользователь имеет право:
- на полную информацию, касающуюся обработки его персональных данных Оператором, за исключением случаев, предусмотренных законодательством Российской Федерации;
- на уточнение его персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- на отзыв согласия на обработку персональных данных;
- на принятие предусмотренных законом мер по защите своих прав;
- на обжалование в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерных действий или бездействия Оператора при обработке его персональных данных.
4. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
Оператор обрабатывает следующие персональные данные Пользователей сайта:
- фамилия, имя, отчество (при наличии), включая сведения о прежних ФИО и основания их изменения;
- дата рождения;
- пол;
- адрес регистрации (места жительства);
- сведения о гражданстве;
- паспортные данные (вид, серия, номер, орган, выдавший документ, дата выдачи);
- страховой номер индивидуального лицевого счета (СНИЛС);
- контактные данные (номера телефонов, адрес электронной почты);
- сведения о трудовой деятельности (место работы, должность);
- сведения об образовании (уровень образования, наименование образовательной организации, реквизиты документов об образовании, квалификация, направление подготовки/специальность);
- сведения о наличии ученой степени и ученого звания;
- данные, автоматически передаваемые в процессе использования Сайта (IP-адрес, данные файлов cookie, информация о браузере, технические характеристики устройства, дата и время доступа, адреса запрашиваемых страниц).
Состав обрабатываемых данных определяется целью, для которой Пользователь предоставляет их через формы регистрации и обратной связи с Оператором.
5. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
5.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
5.3. Обработка Оператором персональных данных осуществляется в следующих целях:
- обеспечение исполнения требований законодательства Российской Федерации в сфере образования, в том числе утверждающих порядок организации и осуществления образовательной деятельности по дополнительным профессиональным программам, включая: формирование, ведение и хранение личного дела Субъекта ПДн; подготовку и выдачу документов об образовании и (или) о квалификации; передачу сведений в федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении»;
- оказание образовательных услуг по дополнительным профессиональным программам, включая: идентификацию личности Субъекта ПДн; организацию и сопровождение образовательного процесса; учет результатов обучения и проведение оценки знаний;
- осуществление коммуникации с Субъектом ПДн – обработка заявок с Сайта; консультирование по программам обучения; информирование о предстоящих мероприятиях, изменениях в расписании или условиях обучения; направление информационных рассылок и специальных предложений (при наличии Согласия Субъекта ПДн).
- аналитика работы сайта – улучшение функционирования Сайта; оптимизация интерфейса на основе технических данных и файлов cookie.
6. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Оператор обрабатывает персональные данные в соответствии со следующими нормативными и правовыми актами:
- ст. ст. 23-24 Конституции Российской Федерации;
- Гражданский кодекс Российской Федерации;
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
- Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федеральный закон Российской Федерации от 25.07.2011 № 261-ФЗ «О внесении изменений в Федеральный закон "О персональных данных"»;
- Федеральный закон от 21.07.2014 № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях»;
- Указ Президента РФ от 06.03.1997 № 188 «Об утверждении перечня сведений конфиденциального характера»;
- Постановление Правительства Российской Федерации от 21.03.2012 № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»;
- Указ Президента Российской Федерации от 17.03.2008 № 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена»;
- Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Приказ Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;
- Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Федеральный закон от 06.03.2022 № 39-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации»;
- Постановление Правительства РФ от 10.11.2022 № 2024 «О внесении изменений в некоторые акты Правительства Российской Федерации и признании утратившими силу постановления Правительства Российской Федерации от 8 января 2009 г. № 5 и отдельных положений некоторых актов Правительства Российской Федерации».
6.2. Правовым основанием обработки персональных данных также являются:
- Согласие Пользователя на обработку персональных данных;
- Договоры на оказание образовательных услуг, заключаемые между Оператором и Субъектом ПДн.
7. ХРАНЕНИЕ, УНИЧТОЖЕНИЕ И ОБЕЗЛИЧИВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
7.2. Если иное не предусмотрено федеральным законом, обрабатываемые персональные данные подлежат уничтожению либо обезличиванию в следующих случаях:
- в случае истечения срока хранения персональных данных, определяемого в соответствии с законодательством Российской Федерации, локальными актами Оператора, а также договорами и соглашениями, заключаемыми между Оператором и субъектами персональных данных;
- по достижении целей их обработки или в случае утраты необходимости в их достижении в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных;
- в случае отзыва субъектом персональных данных согласия на обработку его персональных данных в срок, не превышающий 30 дней с даты поступления указанного отзыва;
- в случае вынесения предписания уполномоченного органа по защите прав субъектов персональных данных или решения суда;
7.3. В соответствии с частью 6 статьи 21 Закона № 152-ФЗ, в случае отсутствия возможности уничтожения персональных данных в течение установленного срока, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование и обеспечивает уничтожение персональных данных в срок не более чем 6 месяцев, если иной срок не установлен федеральными законами.
7.4. Срок обработки персональных данных, обрабатываемых Оператором, определяется следующим образом:
- для персональных данных, связанных с исполнением договоров – на весь срок действия таких договоров, кроме случаев, когда более длительный срок обработки персональных данных установлен действующим законодательством Российской Федерации;
- для персональных данных, связанных с выполнением обязательных требований по хранению данных, – в течение срока, установленного внутренними локальными актами Оператора и действующим законодательством Российской Федерации;
- для персональных данных, обрабатываемых на основании Согласия Субъекта, – в течение срока, на который было дано согласие на обработку персональных данных;
- для персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом – в течение срока, установленного соответствующими законами;
- для персональных данных, собираемых Оператором в статистических целях – бессрочно, при условии обезличивания данных.
В остальных случаях Оператор обрабатывает персональные данные до момента достижения цели, с которой связана обработка персональных данных.
7.5. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных и при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию. Уничтожение части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе.
7.6. Уничтожение персональных данных Субъекта ПДн осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа Оператора персональных данных.
7.7. Порядок документальной фиксации уничтожения персональных данных Субъекта ПДн определяется Оператором самостоятельно в соответствии с нормами локальных актов Оператора.
8. КОНФИДЕНЦИАЛЬНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Информация, относящаяся к персональным данным, ставшая известной Оператору, является конфиденциальной информацией и охраняется законом.
8.2. Работники Оператора и иные лица, получившие доступ к обрабатываемым персональным данным, подписали обязательство о неразглашении конфиденциальной информации, а также предупреждены о возможной дисциплинарной, административной, гражданско-правовой и уголовной ответственности в случае нарушения норм и требований действующего законодательства Российской Федерации в области обработки персональных данных.
8.3. Оператор не передает персональные данные третьим лицам, за исключением заявленных в настоящей Политике случаев.
8.4. Трансграничная передача персональных данных не осуществляется.
9. МЕРЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Для обеспечения безопасности обрабатываемых персональных данных Оператор принимает необходимые правовые, организационные, технические меры защиты персональных данных от неправомерного и (или) несанкционированного доступа к ним, а также от иных неправомерных действий в отношении персональных данных.
9.2. В целях обеспечения безопасности обрабатываемых персональных данных к мерам защиты, указанным в п. 7.1 Политики, в частности, относятся:
- назначение лица, ответственного за организацию обработки персональных данных, и лица, ответственного за обеспечение безопасности данных;
- разработка и утверждение локальных актов по вопросам обработки и защиты персональных данных, в частности, настоящей Политики;
- оценка вреда, который может быть причинен Субъектам ПДн в случае нарушения требований законодательства о персональных данных, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством о персональных данных;
- соблюдение условий, исключающих несанкционированный доступ к материальным носителям персональных данных и обеспечивающих сохранность персональных данных;
- обеспечение сохранности носителей персональных данных;
- ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами Оператора по вопросам обработки и защиты персональных данных, обучение работников Оператора;
- организация надлежащего порядка работы с персональными данными, осуществляемой с использованием средств автоматизации (в том числе, использование программного обеспечения, разграничение доступа к компьютерам, локальной сети, информационным системам, обрабатывающим персональные данные, установление порядка уничтожения персональных данных в информационных системах);
- организация надлежащего порядка работы с персональными данными, осуществляемой без использования средств автоматизации (в том числе, организация надлежащего хранения документов, содержащих персональные данные, установление порядка уничтожения/обезличивания персональных данных, обрабатываемых без средств автоматизации);
- организация доступа работников Оператора к информации, содержащей персональные данные Субъектов ПДн, в соответствии с их трудовыми обязанностями;
- осуществление внутреннего контроля и аудита соответствия обработки персональных данных федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике, в отношении обработки персональных данных, внутренним локальным актам Оператора.
10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Оператор имеет право вносить изменения в настоящую Политику в одностороннем порядке. Новая редакция Политики вступает в силу с момента ее размещения на Сайте
https://www.rosdorspk.ru/policy.