1. Назначение и область применения

1.1. Положение об обработке персональных данных» в ООО «Медицинский центр ЕвроМед» (далее – Оператор) предназначено для организации процесса обработки персональных данных в соответствии с требованиями нормативных правовых актов Российской Федерации.
1.2. Положение является локальным нормативным актом Оператора. Требования Положения обязательны для выполнения всеми работниками, которые допущены к обработке персональных данных.
1.3. Положение определяет политику Оператора в отношении обработки персональных данных, права, обязанности и ответственность должностных лиц Оператора.

2. Термины и определения
ИНН Идентификационный номер налогоплательщика
ИСПДн Информационная система персональных данных
ПДн Персональные данные
ФСБ Федеральная служба безопасности
ФСТЭК Федеральная служба по техническому и экспортному контролю
ФЗ Федеральный закон

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Информация — сведения (сообщения, данные) независимо от формы их представления.
Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта или других лиц либо иным образом затрагивающих права и свободы работника или других лиц.
Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.
Материальный носитель персональных данных (далее материальный носитель) – материальный объект, используемый для закрепления и хранения информации. В целях настоящего Положения под материальным носителем понимается бумажный документ, диск, дискета, флэш-карта и т.п.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
Оператор – Организация, юридическое лицо, осуществляющее обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Работники - лица, состоящие с Оператором в трудовых отношениях на основании трудового договора или в гражданско-правовых отношениях на основании договора гражданско-правового характера.
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных субъекта в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.
Цель обработки персональных данных – конкретный конечный результат действий, совершенных с персональными данными, вытекающий из требований законодательства и направленный, в том числе на создание необходимых правовых условий для достижения оптимального согласования интересов сторон.

3. Общие положения
3.1. Положение разработано в целях обеспечения требований законодательства в области персональных данных, сохранения неприкосновенности частной и личной тайн, защиты от несанкционированного доступа и разглашения персональных данных, обрабатываемых в структуре Оператора.
3.2. Положение подлежит изменению, дополнению в случае появления новых нормативных правовых актов и специальных нормативных документов по защите персональных данных.
3.3. Все приложения являются неотъемлемой частью настоящего Положения.
3.4. Все работники Оператора, допущенные к обработке ПДн, должны быть ознакомлены с настоящим Положением под роспись.

4. Нормативные ссылки
Настоящее Положение разработано в соответствии с нормативными правовыми актами РФ:
1) Конституцией Российской Федерации.
2) Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных».
3) Федеральным законом от 27.07.2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации».
4) Трудовым кодексом Российской Федерации.
5) Гражданским кодексом Российской Федерации.
6) Указом Президента РФ от 06.03.1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера».
7) Постановлением Правительства Российской Федерации от 15.09.2008г. №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
8) Постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

5. Принципы обработки персональных данных

5.1. Обработка персональных данных в Операторе осуществляется с соблюдением принципов и правил, установленных законодательством РФ.
5.2. До начала обработки персональных данных в Операторе определяются категории субъектов персональных данных, состав обрабатываемых персональных данных и конкретные цели их обработки, которые утверждаются Приказом Генерального директора в виде перечня обрабатываемых персональных данных.
5.3. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
5.4. Не допускается обработка персональных данных, которые не отвечают целям обработки. Содержание и состав обрабатываемых персональных данных в Операторе соответствуют заявленным целям обработки.
5.5. При обработке персональных данных обеспечивается точность, достаточность, а в необходимых случаях актуальность персональных данных.
5.6. Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки персональных данных.

6. Субъекты персональных данных и цели обработки персональных данных
6.1. Субъектами персональных данных, обработка которых осуществляется Оператором, являются: ◦ работники ◦ соискатели ◦ родственники работников ◦ уволенные работники ◦ контрагенты ◦ представители контрагентов
6.2. Под персональными данными субъектов ПДн понимается любая информация о субъекте ПДн, которая определенно указывает на него, в т.ч.: • фио • год рождения • инн
6.3. Целями обработки персональных данных являются ◦ Кадровый и бухгалтерский учет
6.4. Соотнесение целей и персональных данных производится по следующим правилам № п.п. Цель обработки Перечень ПДн Период обработки Действия с ПДн .

7. Права и обязанности Оператора при обработке персональных данных
7.1. Оператор обязуется:
7.1.1 Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, связанных с обработкой персональных данных, предусмотренных законодательством РФ. К таким мерам, принимаемым Оператором, относятся: • назначение в структуре Оператора работника, ответственного за организацию обработки персональных данных; • издание документов, определяющих политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений; • применение правовых, организационных и технических мер по обеспечению безопасности персональных данных; • осуществление внутреннего контроля и/или аудита соответствия обработки персональных данных действующему законодательству РФ, принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора; • ознакомление субъектов персональных данных с требованиями 152-ФЗ «О персональных данных» в отношении трансграничной передачи персональных данных. • оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства РФ, соотношение указанного вреда и принимаемых в структуре Оператора мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством РФ; • ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных.
7.1.2. Разрабатывать, утверждать и обеспечивать неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.
7.1.3. Предоставлять документы и локальные акты, разработанные в соответствии с обязанностями оператора, по запросу уполномоченного органа по защите прав субъектов персональных данных.
7.1.4. Осуществлять обработку персональных данных субъектов с соблюдением принципов и правил, предусмотренных законодательством РФ, а именно обрабатывать персональные данные на следующих основаниях: Обработка может осуществляться на основании письменного согласия клиента В случае отсутствия оснований для обработки персональных данных субъектов, в т.ч. при получении обращения об отзыве согласия на обработку персональных данных, оператор прекратить обработку персональных данных, если иное не предусмотрено законодательством.
7.1.5. В случаях, предусмотренных федеральными законами РФ, осуществлять обработку персональных данных субъекта с письменного согласия субъекта персональных данных. Форма согласия на обработку приведена в приложении 1.
7.1.6. Получать письменное согласие субъекта персональных данных в случае включения в общедоступные источники персональных данных (в том числе справочники, адресные книги) сведений о субъекте персональных данных: фамилии, имени, отчества, даты рождения, сведений о профессии и иных персональных данных, представленных субъектом. Форма согласия на внесение персональных данных в общедоступные источники приведена в приложении 2.
7.1.7. Сообщать субъекту персональных данных или его законному представителю по его запросу информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных. Форма ответа приведена в приложении 3.
7.1.8. Безвозмездно предоставить возможность ознакомления с персональными данными субъекта или его законного представителя в сроки, предусмотренные нормативными правовыми актами.
7.1.9. В случае отказа в предоставлении субъекту персональных данных информации о наличии персональных данных, дать в письменной форме мотивированный ответ в течение 30 дней со дня обращения или получения запроса.
7.1.10. Внести изменения в соответствующие персональные данные в течение 30 дней с момента получения от субъекта или его законного представителя сведений, подтверждающих, что персональные данные являются неполными, устаревшими, недостоверными. О внесенных изменениях и предпринятых мерах необходимо уведомить субъекта персональных данных и третьих лиц, которым персональные данные этого субъекта были переданы приложение 4.
7.1.11. В случае достижения цели обработки персональных данных прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий 30 дней с момента достижения цели обработки персональных данных, если иное не предусмотрено договором между Оператором и субъектом персональным данным. Обязанность по уничтожению ПДн возлагается непосредственно на работника, которому был предоставлен доступ к обработке ПДн (в ИСПДн или без использования средств автоматизации).
7.1.12. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных (а также внесения персональных данных в общедоступные источники) прекратить обработку персональных данных (исключить персональные данные из общедоступных источников) и уничтожить персональные данные в срок, не превышающий 30 дней с момента поступления указанного отзыва, если иное не предусмотрено договором между Оператором и субъектом персональных данных, либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных.
7.1.13. Сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию в течение 30 дней с даты получения такого запроса.
7.2. Оператор имеет право:
7.2.2. Поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом от 27.07.2006 г. №152-ФЗ «О персональных данных». В поручении на обработку должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных.

8. Права и обязанности субъектов персональных данных
8.12. Субъекты ПДн имеют право:
8.12.1. Получать информацию о своих персональных данных, содержащую: • подтверждение факта обработки персональных данных Оператором; • правовые основания и цели обработки персональных данных; • цели и применяемые Оператором способы обработки персональных данных; • наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона; • обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом; • сроки обработки персональных данных, в том числе сроки их хранения; • порядок осуществления субъектом персональных данных прав, предусмотренных законодательством РФ; • информацию об осуществленной или о предполагаемой трансграничной передаче данных; • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу; • иные сведения, предусмотренные законодательством РФ. Форма направляемого к Оператору запроса об обрабатываемых персональных данных (запроса о наличии персональных данных, на ознакомление с персональными данными) представлена в приложении 5. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором(номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Субъект вправе направить повторный запрос в целях получения информации касающейся обработки его персональных данных не ранее чем через 30 дней после первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого является субъект персональных данных.
8.12.2. Требовать уточнения персональных данных, их блокирования в случае, если персональные данные являются неполными, устаревшими, неточными.
8.12.3. Примечание: Форма направляемого запроса об исключении из обработки или исправлении неверных персональных данных представлена в приложении 6.
8.12.4. Отозвать согласие на обработку персональных данных (согласие на включение персональных данных в общедоступные источники).
8.12.5. Форма заявления на отзыв согласия на обработку ПДн приведена в приложении 7.
8.12.6. Требовать извещения всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных исключениях, исправлениях или дополнениях в указанных сведениях.
8.12.7. Обжаловать в суде любые неправомерные действия или бездействие Оператора при обработке и защите его персональных данных.

9. Порядок сбора и обработки персональных данных в структуре Оператора
9.12. В структуре Оператора установлен следующий порядок сбора и обработки персональных данных работников:
9.1.1. При заключении трудового договора работник предоставляет Оператору в соответствии со ст. 65 ТК РФ достоверные сведения о себе и копии документов: • паспорт или иной документ, удостоверяющий личность; • трудовую книжку, за исключением случаев, когда трудовой договор заключается впервые или работник поступает на работу на условиях совместительства; • индивидуальный номер налогоплательщика (ИНН); • страховой номер индивидуального лицевого счета пенсионного свидетельства (СНИЛС); • документы воинского учета - для военнообязанных и лиц, подлежащих призыву на военную службу; • документ об образовании, о квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки. • справку о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям, выданную в порядке и по форме, которые устанавливаются федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере внутренних дел, - при поступлении на работу, связанную с деятельностью, к осуществлению которой в соответствии с Трудовым Кодексом, иным федеральным законом не допускаются лица, имеющие или имевшие судимость, подвергающиеся или подвергавшиеся уголовному преследованию;
9.1.2. При заключении гражданско-правового договора с физическим лицом предоставляются сведения документа, удостоверяющего личность, ИНН, банковские реквизиты, СНИЛС, технический паспорт на транспортное средство, свидетельство о собственности, др.)
9.1.3. В отдельных случаях Трудовым кодексом, иными федеральными законами, указами Президента Российской Федерации и постановлениями Правительства Российской Федерации может предусматриваться необходимость предъявления при заключении трудового договора дополнительных документов.
9.1.4. Запрещается требовать от лица, поступающего на работу, документы помимо предусмотренных Трудовым кодексом, иными федеральными законами, указами Президента Российской Федерации и постановлениями Правительства Российской Федерации.
9.1.5. В структуре Оператора установлен следующий порядок сбора и обработки персональных данных Вкладчиков (физ. лиц)/Участников по договорам НПО:
9.1.6. Оператор осуществляет сбор, обработку, хранение и учет документов по негосударственному пенсионному обеспечению (НПО), содержащих персональные данные Вкладчиков (физ. лиц)/Участников.

10. Порядок передачи персональных данных
10.1. Передача документов, содержащих персональные данные, может осуществляться по требованию следственных, судебных, налоговых органов и уполномоченного федерального органа в установленных законодательством Российской Федерации случаях.
10.2. Передача персональных данных третьему лицу может осуществляться при наличии заключенного с Оператором договора, в котором должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных.
10.3. Передача документов, содержащих персональные данные работников, третьему лицу на основании заключенного договора и в случае отсутствия заключенного договора между Оператором и третьим лицом может осуществляться только с письменного согласия работников.
10.4. Документы, содержащие персональные данные, передаются через организации-контрагентов, специализирующихся на почтовых рассылках, а также организацию федеральной почтовой связи.
10.5. Электронные документы, содержащие ПДн, передаются на учтенных носителях информации и/или по телекоммуникационным каналам связи при использовании средств криптографической защиты информации.

11. Доступ к персональным данным
11.1. Конфиденциальность персональных данных:
11.1.1. Доступ к персональным данным ограничивается в соответствии с федеральными законами и настоящим Положением.
11.1.2. Оператор не вправе разглашать полученные им в результате своей профессиональной деятельности сведения о субъектах персональных данных.

11.1.3. Персональные данные работников и субъектов, не являющихся сотрудниками оператора, относятся к сведениям конфиденциального характера.
11.2. Предоставление доступа к ПДн работникам Оператора:
11.2.1. Доступ к персональным данным, подлежащим обработке с использованием и/или без использования средств автоматизации, разрешен только уполномоченным работникам в соответствии с Перечнем подразделений и должностных лиц, допущенных к работе с персональными данными Оператора. При этом указанным лицам предоставляется доступ только к персональным данным, необходимым для выполнения служебных обязанностей.
11.2.2. Изменение Перечня подразделений и должностных лиц, допущенных к работе с персональными данными, утверждается Приказом Генерального директора Оператора. Информация для изменения Перечня предоставляется руководителями подразделений, сотрудникам которых необходим доступ к ПДн для выполнения должностных обязанностей.
11.2.3. Работники Оператора, получившие доступ к ПДн, принимают обязательства по обеспечению конфиденциальности обрабатываемых персональных данных, которые определены: • трудовым договором; • обязательством о неразглашении конфиденциальной информации; • должностными инструкциями в части обеспечения безопасности персональных данных.
11.2.4. Для каждого должностного лица в структуре Оператора устанавливаются допуск к ПДн в зависимости от субъектов ПДн, способов обработки ПДн и уровня полномочий при обработке персональных данных.
11.3. Предоставление доступа к ПДн органам государственным власти:
11.3.1. Доступ к персональным данным, обрабатываемым в инфраструктуре Оператора, предоставляется на основании и во исполнение нормативных правовых актов.
11.3.2. Доступ к персональным данным, обрабатываемым в инфраструктуре Оператора, предоставляется в следующих случаях, предусмотренных федеральными законами: • в целях предупреждения угрозы жизни и здоровью субъекта персональных данных; • в целях защиты основ конституционного строя, нравственности, прав и законных интересов других лиц; • в целях обеспечения обороны страны и безопасности государства, в том числе при поступлении официальных запросов в соответствии с положениями Федерального закона от 12.08.1995 № 144-ФЗ «Об оперативно-розыскной деятельности».
11.4. Предоставление доступа к ПДн субъектам:
11.4.1. Предоставление доступа к персональным данным субъекта осуществляется на основании письменного запроса на доступ к обрабатываемым персональным данным (на ознакомление с персональными данными или получение сведений о наличии персональных данных).
11.4.2. Для получения информации субъект ПДн направляет обращение (запрос) Оператору (обособленному подразделению Оператора).
11.4.3. В случае предоставления информации по запросу, Оператор направляет ответ по адресу субъекта ПДн, указанному в письменном запросе и/или в подразделение Оператора, принявшее запрос.
11.4.4. В случае отказа в предоставлении субъекту ПДн доступа к персональным данным, Оператор направляет мотивированный ответ в письменной форме, содержащий ссылку на положение ч. 6 ст. 14 Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, по адресу субъекта ПДн, указанному в письменном запросе и/или в подразделение Оператора, принявшее запрос.
11.4.5. Обращения (запросы) на предоставление доступа к обрабатываемым персональным данным, с отметкой о предоставлении информации по запросу или отказе в предоставлении информации по запросу фиксируется в соответствующем журнале учета обращений субъектов персональных данных Оператора. Форма приведена в приложении 10.
11.5. Предоставление доступа к ПДн внешним организациям (третьим лицам):
11.5.1. Внешние организации для получения доступа к персональным данным субъектов обязаны предоставить в Оператор в письменной форме запроса, подписанный руководителем организации и заверенный печатью и/или личной подписью. Форма обращения приведена в приложении 8.
11.5.2. Обращения (запросы) третьих лиц направляются в Центральный аппарат Оператора для подготовки письменного ответа.
11.5.3. Оператор предоставляет персональные данные третьим лицам только после получения письменного согласия субъекта, если иное не предусмотрено федеральным законом.
11.5.4. В случае предоставления информации по запросу, Оператор направляет ответ по адресу, указанному в письменном запросе. Форма уведомления приведена в приложении 9.
11.5.5. В случае отказа в предоставлении третьим лицам доступа к персональным данным субъекта ПДн, Оператор направляет мотивированный ответ в письменной форме, содержащий ссылку на ст. 15 Федерального закона от 07.05.1998 г. № 75-ФЗ «О негосударственных пенсионных фондах» или иного федерального закона, являющееся основанием для такого отказа, по адресу, указанному в письменном запросе и/или в подразделение Оператора, принявшее запрос.
11.5.6. Обращения (запросы) на предоставление доступа к обрабатываемым персональным данным, с отметкой о предоставлении информации по запросу или отказе в предоставлении информации по запросу фиксируется в соответствующем Журнале учета обращений субъектов персональных данных Оператора.
11.5.7. Персональные данные работников Оператора могут быть предоставлены третьим лицам только с письменного согласия работника.

12. Порядок хранения и уничтожения персональных данных, обрабатываемых без использования средств автоматизации
13.
13.1. Обработка персональных данных без использования средств автоматизации осуществляется работниками Оператора, в соответствии с Перечнем подразделений и должностных лиц, допущенных к работе с персональными данными.
13.2. В инфраструктуре Оператора установлен порядок хранения, передачи материальных носителей персональных данных:
13.2.1. Раздельное хранение материальных носителей персональных данных, обработка которых осуществляется в различных целях, обеспечивается в соответствии с Перечнем мест хранения материальных носителей персональных данных.
13.2.2. Хранение материальных носителей ПДн осуществляется в соответствии со следующими правилами: • персональные данные, содержащиеся на бумажных носителях, хранятся в запираемом шкафу или в сейфе; • ключи от запираемых шкафов выдаются только уполномоченным лицам Оператора, которые осуществляют обработку и хранение ПДн.
10.12. Обработка и хранение персональных данных осуществляется в течение сроков, предусмотренных договором с субъектом персональных данных, Приказом Минкультуры РФ от 25.08.2010 № 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения».
10.12.1. Сроки хранения персональных данных, обрабатываемых в ИСПДн Оператора, соответствуют срокам хранения персональных данных, содержащихся на материальных носителях.
10.12.2. Регистрация и учет электронных носителей персональных данных ведется в журнале учета материальных носителей. Форма журнала приведена в приложении 11.
10.12.3. Учет электронных носителей ПДн, поступивших из внешних организаций, осуществляется в случае более чем однократного использования носителя. В случае использования носителя для переноса ПДн в ИСПДн электронный носитель уничтожается после переноса информации. О чем делается соответствующая запись в акте уничтожения. Форма акта приведена в приложении 12.
10.13. Персональные данные должны быть уничтожены после достижения целей обработки ПДн или после получения отзыва согласия субъекта ПДн на обработку персональных данных в сроки, установленные нормативными правовыми актами.
10.14. Уничтожение персональных данных должно производиться путем физического уничтожения бумажных материальных носителей.
10.15. По факту уничтожения данных на электронных носителях персональных данных составляется акт. Форма акта уничтожения приведена в приложении 13.
10.16. При необходимости обезличивания части персональных данных, если это допускается материальным носителем, производится удаление (вымарывание) данных, исключающее дальнейшую обработку этих персональных данных.

11. Взаимодействие с регулирующими органами
11.12. При получении правомерного запроса уполномоченного органа по защите прав субъектов ПДн Оператор обязано представить мотивированный ответ в течение 30 дней с даты получения запроса.
11.13. В случае существенного изменения условий обработки ПДн Оператор обязан уведомить об этом уполномоченный орган по защите субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений.

12. Ответственность
12.12. Оператор несет ответственность за использование персональных данных в целях причинения имущественного и морального вреда субъектам персональных данных, затруднения реализации их прав и свобод. Недопустимо ограничение прав субъектов персональных данных на основе использования информации об их социальном происхождении, о расовой, национальной принадлежности.
12.13. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
12.14. Руководители структурных подразделений Оператора несут ответственность за доведение до работников настоящего Положения (под роспись) и обеспечение его соблюдения в подразделениях.
12.15. В случае нарушения порядка обработки и обеспечения безопасности персональных данных работники Оператора несут предусмотренную законодательством РФ ответственность.
12.16. В инфраструктуре Оператора назначается лицо, ответственное за организацию обработки персональных данных, в обязанности которого входит: • осуществление внутреннего контроля за соблюдением Оператором и его работниками законодательства РФ о персональных данных, в том числе требований к защите персональных данных; • доведение до сведения работников Оператора положений законодательства РФ о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных; • организация приема и обработки обращений и запросов субъектов персональных данных или их представителей и (или) осуществление контроля за приемом и обработкой таких обращений и запросов.
12.17. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от исполнительного органа Оператора и подотчетно ему. Обязанности лица устанавливаются приказом Генерального директора.

13. Порядок внесения изменений
13.12. Все изменения Положения отражаются в Листе изменений.
13.13. Измененное Положение утверждается в установленном порядке.

Приказ об утверждении организационно-распорядительной документации
Положение об обработке ПДн МЦ Доктрина