ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
6.1. Оператор вправе:
6.1.1. Отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным подпунктами 4.1.2., 4.1.3. настоящего Положения. Такой отказ должен быть мотивированным.
6.2. Оператор обязан:
6.2.1. При сборе персональных данных предоставить субъекту персональных данных по его просьбе информацию, предусмотренную подпунктом 4.1.1. настоящего Положения.
6.2.2. Разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные, если предоставление персональных данных является обязательным в соответствии с ФЗ № 152 «О персональных данных».
6.2.3. Если персональные данные получены не от субъекта персональных данных, до начала обработки таких персональных данных предоставить субъекту персональных данных следующую информацию:
- наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
- цель обработки персональных данных и ее правовое основание;
- предполагаемые пользователи персональных данных;
- установленные настоящим Положением права субъекта персональных данных;
- источник получения персональных данных.
Оператор освобождается от обязанности предоставить субъекту персональных данных указанную информацию в случаях, если:
- субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором;
|
|
|
- персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого является субъект персональных данных;
- персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника;
- предоставление субъекту персональных данных указанной информации нарушает права и законные интересы третьих лиц.
6.2.4. Сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.
6.2.5. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя, дать в письменной форме мотивированный ответ в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя, либо с даты получения запроса субъекта персональных данных или его представителя.
|
|
|
6.2.6. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по договору с оператором) с момента такого обращения или получения указанного запроса на период проверки.
6.2.7. В случае подтверждения факта неточности персональных данных, на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по договору с оператором) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
|
|
|
6.2.8. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по договору с оператором, в срок, не превышающий трех рабочих дней с даты этого выявления, прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по договору с оператором.
6.2.9. В случае, если обеспечить правомерность обработки персональных данных невозможно, в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожить такие персональные данные или обеспечить их уничтожение.
6.2.10. Уведомить субъекта персональных данных или его представителя об устранении допущенных нарушений или об уничтожении персональных данных, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также уведомить указанный орган.
|
|
|
6.2.11. В случае достижения цели обработки персональных данных прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по договору с оператором) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по договору с оператором) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных.
6.2.12. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по договору с оператором) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по договору с оператором) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных.
6.2.13. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в подпунктах 5.2.9, 5.2.11., 5.2.12. настоящего Положения, оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по договору с оператором) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
6.2.14. Назначить лицо, ответственное за организацию обработки персональных данных, которое обязано:
1) осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
2) доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
3) организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
Указанное лицо непосредственно получает указания от директора предприятия и подотчетно ему.
6.2.15. Принимать необходимые правовые, организационные и технические меры по обеспечению безопасности персональных данных.
6.2.16. Осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных ФЗ №152 «О персональных данных» и настоящим Положением.
6.2.17. Обеспечить неограниченный доступ к настоящему Положению, к сведениям о реализуемых требованиях к защите персональных данных на предприятии путем опубликования указанных документов в сети Интернет на официальном сайте МАУК Центр русской культуры (www.dktura72.ru), а также путем предоставления данных документов на основании письменных запросов заинтересованных лиц.
7. ПОРЯДОК, УСЛОВИЯ И СПОСОБЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Оператор осуществляет обработку персональных данных, исходя из следующих принципов:
- обработка персональных данных должна осуществляться на законной и справедливой основе;
- обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- обработке подлежат только персональные данные, которые отвечают целям их обработки;
- содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
- при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;
- хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, либо договором, стороной которого является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
7.2. Обработка персональных данных допускается в случаях, предусмотренных ФЗ «О персональных данных.
7.3. Получение персональных данных осуществляется оператором лично у каждого субъекта персональных данных, либо у его представителя, имеющего соответствующие полномочия.
7.5. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
7.6. Согласие на обработку персональных данных.
7.6.1. Субъект персональных данных дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
7.6.2. В случаях, предусмотренных ФЗ № 152 «О персональных данных», обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного электронной подписью.
7.6.3. Форма согласия на обработку персональных данных субъекта утверждается приказом Учреждения.
7.6.4. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
7.6.5. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
7.7. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается.
7.8. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных.
7.9. Оператор осуществляет неавтоматизированную и автоматизированную обработку персональных данных.
7.10. Неавтоматизированную и автоматизированную обработку персональных данных, включая доступ к соответствующим персональным данным, осуществляют работники оператора согласно перечню должностей, указанных в приложении к настоящему Положению.
7.11. Неавтоматизированная обработка персональных данных.
7.11.1. Обработка персональных данных, содержащихся в информационной системе либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации, если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
7.11.2. При неавтоматизированной обработке должны соблюдаться следующие требования:
1) Персональные данные при их обработке должны обособляться от иной информации, в частности путем фиксации на отдельных материальных носителях, в специальных разделах или на полях форм (бланков). Не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.
2) Работники оператора должны быть проинформированы о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, об особенностях и правилах такой обработки.
7.12. Автоматизированная обработка персональных данных.
7.12.1. При автоматизированной обработке должно быть обеспечено:
1) проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;
2) своевременное обнаружение фактов несанкционированного доступа к персональным данным;
3) недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
4) возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
5) постоянный контроль за обеспечением уровня защищенности персональных данных.
7.12.2. Перечень информационных систем, в которых оператор осуществляет обработку персональных данных, определен в п.4 настоящего положения.
Дата добавления: 2018-02-28; просмотров: 212; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!