Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящее Положение об обработке персональных данных (далее — Положение) определяет цели, содержание и порядок обработки персональных данных, а также меры, направленные на их защиту в рамках деятельности индивидуального предпринимателя (далее — ИП).
1.2. Цель настоящего Положения — регламентировать порядок обработки персональных данных, обеспечив соблюдение законных прав и свобод человека и гражданина при их обработке, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Основанием для разработки настоящего Положения являются Конституция Р Ф, Трудовой кодекс РФ, иные действующие нормативно-правовые акты РФ.
1.4. Настоящее Положение утверждается индивидуальным предпринимателем и вводится в действие приказом ИП.
1.5. Положение распространяется на обработку персональных данных следующих категорий субъектов:

— работников ИП (при наличии);

— поступающих на обучение;

— обучающихся;

— их законных представителей;

— лиц, ранее состоявших в договорных отношениях с ИП;

— иностранных граждан, участвующих в образовательном процессе.

1.6. Состав персональных данных, подлежащих обработке для каждой категории субъектов, определяется в соответствии с законодательством РФ.

1.7. В процессе образовательной и трудовой деятельности обрабатываются следующие персональные данные (в том числе их копии или выписки):

— паспорт (иной документ, удостоверяющий личность);

— анкеты, заявления, резюме;

— приказы по личному составу;

— приказы о зачислении, отчислении, окончании обучения;

— страховое свидетельство государственного пенсионного страхования (СНИЛС);

— полис обязательного медицинского страхования (ОМС);

— свидетельство о постановке на учет в налоговом органе (ИНН);

— личные дела, карточки, трудовые книжки, трудовые договоры;

— основания к приказам по личному составу, заявления;

— материалы по повышению квалификации и переподготовке;

— документы об образовании, о квалификации или наличии специальных знаний;

— иные документы, содержащие персональные данные, необходимые для реализации образовательных программ и договорных обязательств.

2. Основные требования по обработке персональных данных

2.1. Обработка персональных данных должна осуществляться индивидуальным предпринимателем (далее — ИП) исключительно в целях:

— соблюдения законодательства РФ;

— оказания образовательных услуг;

— содействия субъекту персональных данных в обучении и профессиональном продвижении;

— обеспечения безопасности участников образовательного процесса;

— выполнения договорных обязательств.

2.2. При определении объема и содержания обрабатываемых персональных данных ИП должен руководствоваться федеральным законодательством.

2.3. При принятии решений, затрагивающих интересы субъекта персональных данных, ИП не вправе основываться на данных, полученных исключительно в результате автоматизированной обработки без возможности их подтверждения из иных источников.

2.4. Согласие на обработку персональных данных должно быть:

— конкретным, то есть четко определяющим цели обработки;

— информированным, предполагающим разъяснение всех последствий;

— добровольным, предоставленным без принуждения;

— письменным, оформленным в виде отдельного документа или части договора.

2.5. Субъект персональных данных самостоятельно решает вопрос о предоставлении своих данных и дает согласие на их обработку свободно, своей волей и в своих интересах. Оформление согласия должно соответствовать требованиям федерального законодательства.

2.6. Согласие на обработку персональных данных может быть отозвано субъектом в любое время. При этом ИП обязан:

— прекратить обработку и уничтожить персональные данные в течение 3 рабочих дней с момента поступления отзыва, если иное не предусмотрено законодательством;

— уведомить субъекта о последствиях отзыва, включая возможное прекращение оказания услуг.

2.6.1. Однако, ИП вправе продолжить обработку данных без согласия субъекта, если:

— обработка осуществляется на основании трудового, образовательного или иного договора;

— обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта;

— обработка предусмотрена федеральным законодательством.

2.7. Согласие на обработку персональных данных не требуется в следующих случаях:

— обработка осуществляется на основании требований Трудового кодекса РФ, ФЗ № 152-ФЗ «О персональных данных» или иных федеральных законов;

— обработка необходима для исполнения договора, одной из сторон которого является субъект данных;

— обработка проводится в статистических или научных целях при условии обезличивания данных;

— обработка требуется для защиты жизни и здоровья субъекта, если получение его согласия невозможно;

— в иных случаях, предусмотренных федеральным законодательством.

2.8 Обязанности И П при обработке персональных данных.

2.8.1. ИП обязан:

2.8.1.1. Блокировать персональные данные с момента обращения субъекта или его законного представителя, либо с момента получения запроса от уполномоченного органа, если выявлены недостоверные данные или неправомерные действия.

2.8.1.2. Уточнить данные и снять блокировку при подтверждении их корректности на основании документов, предоставленных субъектом.

2.8.1.3. Устранить нарушения в срок, не превышающий 3 рабочих дней с момента их выявления.

2.8.1.4. Уничтожить данные, если устранение нарушений невозможно, и уведомить субъекта или его представителя об уничтожении.

2.8.1.5. Прекратить обработку и уничтожить данные в случае отзыва согласия на обработку или достижения целей обработки, если иное не предусмотрено законодательством.

2.8.1.6. Принять меры по защите данных от несанкционированного доступа, утраты, изменения, распространения и иных неправомерных действий.

2.9. Порядок подачи жалоб и обжалования.

2.9.1. В случае нарушения прав субъекта персональных данных ИП обязан предоставить механизм подачи жалоб.

2.9.2. Субъект данных имеет право обжаловать действия (или бездействие) ИП в Роскомнадзоре или в судебном порядке.

2.9.3. ИП обязан уведомить субъекта о праве на обжалование и предоставить контакты уполномоченного органа для защиты прав.

3. Сбор персональных данных

3.1. ИП получает персональные данные непосредственно от субъекта персональных данных. Получение данных от третьих лиц допускается только при наличии письменного согласия субъекта.

3.2. При запросе персональных данных (при заключении договора на обучение, оказание услуг и в иных случаях) субъект персональных данных должен быть предупрежден о:

— целях обработки;

— предполагаемых источниках и способах получения данных;

— характере подлежащих получению персональных данных;

— юридических последствиях отказа от предоставления данных или отказа дать согласие на их обработку.

3.3. Субъект персональных данных обязан предоставлять ИП достоверные сведения о себе. ИП вправе проверять достоверность данных, сверяя их с предоставленными документами. Предоставление ложной информации может повлечь последствия, предусмотренные законодательством Российской Федерации.

3.4. Перечень предоставляемых и заполняемых документов определяется федеральными законами и нормативно-правовыми актами.

3.5. ИП не вправе требовать от субъекта персональных данных документы, не предусмотренные Трудовым кодексом РФ, иными федеральными законами, указами Президента Р Ф и постановлениями Правительства Р Ф.

3.6. При изменении персональных данных субъект обязан письменно уведомить ИП в срок, не превышающий 14 календарных дней с момента изменений.

3.7. В случае необходимости ИП вправе запросить дополнительные сведения для выполнения договорных обязательств. Субъект персональных данных обязан предоставить требуемые сведения и, при необходимости, документы, подтверждающие их достоверность.

3.8. ИП не вправе требовать от субъекта персональных данных предоставления информации:

— о его расовой или национальной принадлежности;

— политических взглядах;

— религиозных или философских убеждениях;

— частной и интимной жизни;

— членстве в общественных объединениях или профсоюзах. Исключения возможны только в случаях, прямо предусмотренных федеральным законодательством.

4. Учет и хранение документов, содержащих персональные данные

4.1. Персональные данные являются сведениями, составляющими конфиденциальную информацию. Режим конфиденциальности в отношении персональных данных снимается:

— в случае их обезличивания;

— по истечении 75 лет срока их хранения;

— в других случаях, предусмотренных федеральным законодательством.

4.2. Документы, содержащие персональные данные, хранятся в индивидуальных папках, а также в электронных базах данных и информационных системах персональных данных (далее — ИСПДн), используемых ИП.

4.3. Персональные данные могут быть получены, обработаны и переданы на хранение как на бумажных носителях, так и в электронном виде, с соблюдением требований законодательства о защите персональных данных.

4.4. ИП, осуществляющий обработку персональных данных, обязан соблюдать требования законодательства о защите персональных данных и обеспечивать их конфиденциальность. Разглашение персональных данных без согласия субъекта запрещено, за исключением случаев, предусмотренных законом.

4.5. Документы, содержащие персональные данные на бумажных носителях, хранятся в закрытых шкафах или сейфах, доступ к которым имеет только ИП или уполномоченное лицо. Электронные данные хранятся на защищенных устройствах с использованием паролей и иных средств защиты информации.

4.6. Работа с документами, содержащими персональные данные, должна быть организована таким образом, чтобы исключить доступ к ним посторонних лиц. При оставлении рабочего места документы убираются в запираемые шкафы, а электронные устройства блокируются.

4.7. Безопасность персональных данных в электронных системах обеспечивается с помощью антивирусного программного обеспечения, шифрования данных и контроля доступа, в соответствии с требованиями федерального законодательства.

4.8. По истечении срока хранения персональных данных документы, содержащие персональные данные, проходят подготовку к дальнейшему хранению или уничтожению, если их дальнейшее использование не требуется.

4.9. После достижения целей обработки персональных данных ИП обязан уничтожить или обезличить персональные данные в соответствии с законодательством Российской Федерации. Уничтожение должно производиться таким образом, чтобы исключить возможность их восстановления.

4.10. Уничтожение или обезличивание персональных данных производится способом, исключающим их дальнейшую обработку, с сохранением возможности обработки иных данных, содержащихся на материальном носителе (удаление, вымарывание).

5. Передача персональных данных

5.1. Передача персональных данных включает распространение, доступ, предоставление.

5.2. Распространение персональных данных допускается в случаях, если они являются общедоступными или обезличенными, а также если это предусмотрено федеральным законом. В остальных случаях передача осуществляется только с письменного согласия субъекта персональных данных.

5.3. В целях информационного обеспечения ИП может создавать общедоступные источники (сайты, справочники, электронные документы), содержащие персональные данные. Включение данных в такие источники осуществляется с согласия субъекта персональных данных или на основании федерального закона.

5.4. Право доступа к персональным данным в рамках деятельности ИП имеют:

— индивидуальный предприниматель — ко всем персональным данным, обрабатываемым в рамках его деятельности;

— специалисты, привлеченные для выполнения договорных обязательств — к персональным данным обучающихся и клиентов, в объеме, необходимом для выполнения своих обязанностей;

— субъект персональных данных — к своим персональным данным;

— иные лица — только с письменного разрешения индивидуального предпринимателя.

5.5. Копирование и выписки персональных данных разрешаются исключительно в служебных целях с письменного разрешения ИП на основании мотивированного запроса.

5.6. При предоставлении персональных данных и доступа к ним третьим лицам ИП соблюдает следующие требования:

5.6.1. Персональные данные не сообщаются третьей стороне без письменного согласия субъекта, за исключением случаев, предусмотренных федеральным законодательством или для предупреждения угрозы жизни и здоровью субъекта;

5.6.2. ИП предупреждает лиц, получающих персональные данные, о том, что они могут использоваться только в целях, для которых предоставлены, и требует подтверждения соблюдения этого правила.

5.7. Лица, получающие персональные данные, вправе получать только те сведения, которые необходимы для выполнения конкретной задачи, и обязаны соблюдать режим конфиденциальности.

5.8. Основанием для передачи персональных данных третьим лицам является письменный запрос, содержащий:

— состав запрашиваемых сведений;

— обоснование необходимости работы с этими сведениями;

— ссылку на законодательную норму, на основании которой осуществляется запрос;

— форму передачи данных (ознакомление, копирование) и вид передачи (электронный или бумажный);

— сведения о лице, уполномоченном на получение данных (ФИО, паспортные данные);

— обязательство соблюдать режим конфиденциальности.

5.9. В письменном согласии субъекта на передачу данных должно быть указано:

— кому передаются данные;

— какие именно данные подлежат передаче;

— какие действия разрешены с данными (ознакомление, копирование);

— для каких целей осуществляется передача.

5.10. ИП предоставляет персональные данные субъекту или его представителю на основании запроса, содержащего:

— номер документа, удостоверяющего личность;

— дату выдачи и наименование органа, выдавшего документ;

— подтверждение участия субъекта в договорных отношениях с ИП (номер договора, дата);

— подпись субъекта или его представителя. Запрос может быть направлен в форме электронного документа, подписанного электронной подписью, в соответствии с законодательством РФ.

5.11. Решение о передаче персональных данных третьим лицам принимает индивидуальный предприниматель.

5.12. Запрещается передавать персональные данные по телефону, факсу или электронной почте без применения средств шифрования и защиты информации.

6. Права и обязанности субъекта персональных данных

6.1. Субъекты персональных данных должны быть ознакомлены с настоящим Положением под подпись. Законные представители субъектов персональных данных знакомятся с Положением под подпись при обращении к индивидуальному предпринимателю от имени доверителя.

6.2. В целях защиты персональных данных, обрабатываемых индивидуальным предпринимателем, субъект персональных данных имеет право:

— на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные;

— требовать уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для обработки персональных данных;

— дополнить персональные данные оценочного характера заявлением, выражающим его собственную точку зрения;

— определять своих представителей для защиты своих персональных данных;

— на сохранение и защиту своей личной и семейной тайны;

— требовать уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исправлениях, исключениях или дополнениях;

— обжаловать неправомерные действия или бездействие ИП при обработке и защите персональных данных.

6.3. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе:

— подтверждение факта обработки персональных данных индивидуальным предпринимателем;

— правовые основания и цели обработки персональных данных;

— цели и применяемые способы обработки персональных данных;

— обрабатываемые персональные данные, относящиеся к соответствующему субъекту, и источник их получения, если иной порядок не предусмотрен федеральным законодательством;

— сроки обработки персональных данных, включая сроки их хранения;

— порядок реализации субъектом персональных данных своих прав, предусмотренных законодательством;

— иные сведения, предусмотренные федеральным законодательством.

6.4. Субъект персональных данных обязан:

— предоставлять индивидуальному предпринимателю достоверные персональные данные, состав которых установлен законодательством РФ;

— своевременно уведомлять ИП об изменении своих персональных данных.

6.5. В целях защиты частной жизни, личной и семейной тайны субъекты персональных данных не должны отказываться от своего права на обработку персональных данных только с их согласия, поскольку это может повлечь причинение морального или материального вреда.

7. Заключительные положения

7.1. Правила принимаются на неопределенный срок.

7.2. Все изменения и дополнения, вносимые в настоящие Правила, оформляются в письменной форме в соответствии действующим законодательством Российской Федерации.

7.3. После принятия Правил (или изменений и дополнений отдельных пунктов и разделов) в новой редакции предыдущая редакция автоматически утрачивает силу.