Принципы и условия обработки персональных данных

Принципы (ст․ 5 ФЗ-152)

• Законность и справедливость;
• Ограничение обработки целями, заранее определенными и заявленными при сборе;
• Недопустимость обработки, несовместимой с целями сбора;
• Точность, достаточность и актуальность данных;
• Хранение в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки (введены строгие сроки хранения по категориям данных)․

Условия законности обработки (ст․ 6 ФЗ-152)

Обработка в администрации района допускается при наличии хотя бы одного основания:

1. Согласие субъекта (в новой строгой форме)․
2. Исполнение закона, нормативного правового акта (например, прием на госслужбу, выплата пособий)․
3. Исполнение договора, стороной которого является субъект․
4. Защита жизни, здоровья или иных жизненно важных интересов субъекта (невозможно получение согласия)․
5. Реализация прав и законных интересов оператора (только если не нарушаются права субъекта)․
6. Обработка данных, сделанных общедоступными субъектом․

Категории обрабатываемых данных и категории субъектов

Администрация района обрабатывает данные следующих категорий субъектов:

• Граждане, обращающиеся за предоставлением государственных/муниципальных услуг;
• Государственные гражданские служащие и работники администрации;
• Кандидаты на замещение вакантных должностей;
• Участники публичных слушаний, заседаний советов, конкурсных комиссий;
• Представители СМИ, аккредитованные в администрации․

Категории персональных данных (примерный реестр):

Порядок получения и оформления согласия (Новые требования с )

Это самый критичный блок для обновления Положения․ С 1 сентября 2025 года согласие должно соответствовать ст․ 9 ФЗ-152 (новая редакция):

Обязательные реквизиты формы согласия:

1. Наименование и адрес оператора: Администрация * района, ул․ , д․ , тел․ *․
2. Цели обработки (конкретные для каждого процесса: «для предоставления услуги․․․», «для рассылки новостей․․․»)․
3. Состав персональных данных (перечень полей: ФИО, телефон, e-mail, СНИЛС и т․д․);
4. Срок действия согласия (календарная дата или событие: «до отзыва», «до прекращения отношений»)․ Бессрочное согласие недопустимо․
5. Перечень действий (операций) с данными (сбор, хранение, передача в СМЭВ, уничтожение)․
6. Информация о передаче третьим лицам (наименования получателей: МФЦ, Пенсионный фонд, банки-казначейства, операторы СМЭВ)․
7. Право субъекта на отзыв и порядок его реализации․
8. Подпись субъекта (рукописная или ЭП/ЭОС) и дата․

Важно: Использование предустановленных галочек (pre-ticked boxes) на сайте администрации или в информационных системах запрещено․ Согласие должно быть активным действием (клик по кнопке «Даю согласие» после прочтения текста)․

Организационно-технические меры защиты (Ст․ 19 ФЗ-152, Постановление № 1119)

Положение должно закреплять меры по уровню защищенности (УЗ 1–4), определяемым по результатам оценки вреда․

Организационные меры:

• Назначение Ответственного за обработку ПДн (приказ № * от *): ФИО *, тел․ , e-mail ․
• Разработка и утверждение модели угроз, перечня мер защиты, инструкций по инцидентам․
• Разграничение доступа: роли «Оператор», «Администратор БД», «Кадровый специалист», «Специалист приемной»․
• Учет носителей ПДн (журналы учета ), инвентаризация ИСПДн․
• Обучение персонала (раз в год, протокол обучения № )․
• Контроль за соблюдением режима (внутренние аудиты раз в полугодие)․

Технические меры (СЗИ):

• Средства идентификации и аутентификации (пароли по ГОСТ, ЭП, МФА)․
• Средства антивирусной защиты (сертифицированные ФСТЭК/ФСБ)․
• Средства контроля целостности (контрольные суммы файлов БД)․
• Средства учета событий (логирование доступа к БД ПДн, хранение логов не менее 3 лет)․
• Резервное копирование (по регламенту, хранение копий в защищенном контуре)․
• Защита от утечки (DLP-системы для УЗ 1-2, контроль печати/пересылки почты);
• Шифрование при передаче по открытым каналам (ТLS 1․2+, ГОСТ TLS)․

Порядок реализации прав субъектов персональных данных

Администрация района обязана обеспечить реализацию прав (ст․ 14, 15, 18, 21 ФЗ-152):

Порядок обращения субъекта

Обращение направляется:

• Лично / через представителя (с доверенностью );
• Почтовым отправлением на адрес: район, ул․ , д․ ;
• Через ЕПГУ/РПГУ (личный кабинет);
• На официальный сайт администрации (форма обратной связи / раздел «Защита ПДн»);
• На e-mail ответственного: @․ru․

Сроки рассмотрения

• Уточнение / блокирование / уничтожение — не позднее 10 рабочих дней (ранее 30 дней, сокращено поправками 2025 г․ для операторов госсектора)․
• Предоставление информации о обрабатываемых данных — 30 календарных дней․
• Отзыв согласия — обработка прекращается в течение 3 рабочих дней с момента получения отзыва․

Основания для отказа

Отказ допускается только если: данные не обрабатываются; обращение не соответствует закону (анонимное, неверные реквизиты); запрос противоречит закону (например, требование удаления данных, хранение которых обязательно по закону — кадровые документы, реестры услуг)․

Межведомственное взаимодействие и передача данных третьим лицам

Передача данных в СМЭВ, ГИС, иным органам власти осуществляется:

1. На основании Федерального закона № 210-ФЗ (предоставление госуслуг)․
2. На основании соглашений о взаимодействии (указаны реквизиты соглашений № * от *)․
3. С использованием защищенных каналов связи (КСЗ, СМЭВ 3, ВПН ГОСТ)․
4. При передаче в иностранные государства — только при наличии адекватной защиты (ст․ 12 ФЗ-152) или согласия субъекта․

Запрещается передача данных коммерческим организациям для маркетинга без отдельного явного согласия субъекта․

Локализация баз данных (Ст․ 18 ФЗ-152)

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ осуществляется с использованием баз данных, расположенных на территории РФ․

• Серверы ИСПДн администрации размещены в ЦОД по адресу: * (маскирован)․
• Использование облачных сервисов (SaaS) допускается только при размещении «железа» в РФ и сертификации ФСТЭК (соответствие УЗ)․
• Исключение: обработка данных, сделанных общедоступными субъектом, или в рамках международных договоров․

Уведомление Роскомнадзора

В соответствии со ст․ 22 ФЗ-152, администрация района (как оператор) уведомляет Роскомнадзор о начале обработки ПДн․

• Уведомление подано в электронном виде через личный кабинет оператора на pdn․rkn․gov․ru․
• Номер уведомления в реестре: № (дата регистрации: )․
• При изменении сведений (новые цели, категории данных, ИСПДн) — обновление уведомления в течение 10 рабочих дней․
• Исключения из уведомления (п․ 2 ст․ 22): обработка по трудовому договору, данные из общедоступных источников, данные для издания СМИ․

Учет инцидентов безопасности (Утечки ПДн)

Положение регламентирует алгоритм действий при обнаружении инцидента (утечки, несанкционированного доступа, потери носителя):

1. Обнаружение: сотрудник сообщает ответственному за ПДн (тел․ ) и администратору безопасности ИС․
2. Локализация: отключение скомпрометированного сегмента, смена паролей, изъятие носителя․
3. Оценка: комиссия (председатель , члены *) в течение 24 часов определяет масштаб, категории данных, число субъектов․
4. Уведомление Роскомнадзора: в течение 24 часов с момента подтверждения инцидента (форма по Приказу Роскомнадзора)․
5. Уведомление субъектов: в течение 3 календарных дней (если утечка создает угрозу их правам)․ Способ: почта, ЕПГУ, публикация на сайте (анонимизированно)․
6. Расследование и устранение причин: отчет за * дней, корректировка модели угроз и мер защиты․

Уничтожение и обезличивание персональных данных

Производиться по истечении сроков хранения или достижении цели обработки (приказ ответственного № )․

• Бумажные носители: шредер класса безопасности P-4 и выше (акт уничтожения № )․
• Электронные носители (HDD, SSD, флеш): программное затирание по ГОСТ Р 50739-95 (не менее 2 циклов) или физическое уничтожение (пресс, дегауссирование)․ Акт № ․
• Обезличивание: удаление прямых идентификаторов (ФИО, СНИЛС, паспорт) и косвенных (адрес , телефон *) с невозможностью восстановления без доп․ информации․ Протоколируется в журнале обезличивания․

Контроль за соблюдением Положения и ответственность

Виды контроля:

• Внутренний: ежеквартальные проверки ответственным за ПДн, ежегодный аудит службой безопасности / правовым отделом․
• Внешний: проверки Роскомнадзора (плановые/внеплановые), прокуратуры, Счетной палаты․

Ответственность за нарушение Положения:

1. Дисциплинарная: замечание, выговор, увольнение (ТК РФ, ст․ 192, 286 УК РФ за разглашение)․
2. Административная (КоАП РФ):
   • Ст․ 13․11 — нарушение закона о ПДн (должностные лица: 20 000 – 50 000 руб․; юрлица: 60 000 – 100 000 руб․; за повторное — до 500 000 руб․ или приостановка деятельности)․
   • Ст․ 13․11․1 — неисполнение требований субъекта (до 50 000 руб․)․
   • Ст․ 13․11․2 — нарушение правил локализации (до 6 000 000 руб․)․
3. Гражданско-правовая: возмещение ущерба и морального вреда (ст․ 151, 1064 ГК РФ)․
4. Уголовная (УК РФ): ст․ 137 (незаконные сбор/распространение сведений о частной жизни), ст․ 272 (несанкционированный доступ к информации), ст․ 273 (создание вредоносных программ)․

Приложения к Положению (обязательный комплект)

К Положению должны быть приложены и утверждены отдельными приказами главы администрации:

1. Перечень ИСПДн (реестр информационных систем) с указанием УЗ (1–4)․
2. Модель угроз для каждой ИСПДн (утв․ приказом № *)․
3. Перечень мер защиты информации (организационных и технических) по каждой ИСПДн․
4. Инструкция по учету носителей ПДн (журналы, формы актов)․
5. Инструкция по действиям персонала при инцидентах безопасности (утечка, вирус, потеря ключа ЭП)․
6. Формы согласий (пакет для каждого вида услуги/процесса: прием на службу, прием обращений, запись на прием и т․д․)․
7. Политика в отношении обработки ПДн (для публикации на сайте администрации — ст․ 18․1 ФЗ-152)․
8. Реестр категорий субъектов и категорий ПДн (матрица данных)․
9. График обучения персонала и программа курса․

Порядок вступления в силу и контроля актуальности

1. Положение вступает в силу с момента подписания приказом главы администрации района № * от * 2026 г․
2. Действует бессрочно до отмены или новой редакции․
3. Пересмотр Положения осуществляется не реже одного раза в год (к 01 марта текущего года), а также при:
   • изменении законодательства;
   • внедрении новых ИСПДн или изменении существующих;
   • выявлении нарушений при проверках/инцидентах;
   • смене ответственного за ПДн․
4. О внесенных изменениях доводится до сведения сотрудников под роспись в журнале ознакомления № * в течение 3 рабочих дней․

Актуализация Положения о работе с персональными данными к , это не просто формальность, а необходимость для легальной работы администрации района․ Главные фокусы внимания в текущей редакции:

• Приведение форм согласия в строгое соответствие ст․ 9 ФЗ-152 (конкретность целей, сроков, перечня операций)․
• Обеспечение локализации БД на территории РФ․
• Сокращение сроков реакции на запросы субъектов (10 рабочих дней)․
• Жесткий регламент уведомления Роскомнадзора и субъектов об утечках (24 часа / 3 дня)․
• Наличие полного пакета приложений (Модель угроз, Перечень СЗИ, Инструкции)․

Рекомендуется провести внеплановую проверку соответствия текущих бизнес-процессов (прием граждан, кадровый учет, ЕПГУ, сайт) требованиям данного Положения и устранить выявленные разрывы до следующей проверки контролирующих органов․

Документ подготовлен на основе законодательства, действующего на ․ Для внедрения в конкретную администрацию необходимо заменить все маскированные значения (*) на реальные реквизиты органа власти, ФИО ответственных лиц, адреса, номера приказов и уведомлений․