Политика в отношении обработки персональных данных

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с письменного согласия субъекта персональных данных или, на которые, в соответствии с федеральными законами, не распространяется требование соблюдения конфиденциальности. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных. 4 Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники. Обработка персональных данных без использования средств автоматизации (неавтоматизированная) – обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственного участии человека. Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их раскрытия третьим лицам и не распространять их без согласия на то субъекта персональных данных, если иное не предусмотрено федеральным законом. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных). Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. 3. Принцип обработки персональных данных Обработка персональных данных в Университете осуществляется на основе следующих принципов: обработка персональных данных осуществляется на законной и справедливой основе; обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей; не допускается обработка персональных данных, несовместимая с целями сбора персональных данных; не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместных между собой; обработке подлежат только те персональные данные, которые отвечают целям их обработки; запрещается обработка персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни; 5 содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки; при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки; университет принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных; хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных; обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом. 4. Обработка персональных данных 4.1 Обработка персональных данных осуществляется с соблюдением принципов и правил, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». 4.1.1 Университет как оператор, осуществляющий обработку персональных данных в пределах компетенции, установленной действующим законодательством, определяет, в соответствии со спецификой деятельности, перечни персональных данных и руководствуется ими. Перечни персональных данных должны соответствовать целям их сбора, и содержать минимально необходимый для этого набор персональных данных. Расширительное толкование перечней не допускается. Данные перечни устанавливают объем сведений, используемых в интересах Оператора. Указанные перечни являются исчерпывающими и утверждаются ректором. К категориям обрабатываемых персональных данных относятся: фамилия, имя, отчество; год, месяц, дата рождения; пол; место рождения; гражданство; национальность; знание иностранного языка; номер миграционной карты; номер и данные визы; сроки проживания (для проживающих, в общежитии); паспортные данные (в том числе заграничного паспорта), при отсутствии паспорта данные иного документа, подтверждающего личность; адрес; семейное положение, состав семьи; образование; профессия; социальное положение; доходы; имущественное положение; номера лицевых счетов, банковские реквизиты; категория доступа к секретной информации; данные трудовой книжки; номера телефонов; фотоизображение; видео изображение; сведения медицинского характера; сведения о наличие/отсутствии судимостей; сведения об отпусках и временной нетрудоспособности; сведения о результатах вступительных испытаний; сведения о повышении квалификации / переквалификации, сведения о профессиональной переподготовке, сведения о наградах (поощрениях) почетных званиях; сведения о социальных гарантиях; данные ИНН, номер страхового 6 свидетельства государственного пенсионного страхования; сведения полиса обязательного медицинского страхования; сведения о месте работы и занимаемой должности; сведения об образовании (о предыдущем образовании, форме обучения, об образовательной программе обучения, сведения из договора на получение образовательных услуг, об успеваемости); сведения об участии в олимпиадах и иных мероприятиях; сведения о научно-исследовательской, инновационной и другой научной деятельности; сведения об интересах, увлечениях; сведения об успеваемости; сведения о воинской обязанности; номер группы; номер комнаты в студенческом общежитии. 4.1.2 Персональные данные, находящиеся в ведении Оператора, относятся к конфиденциальной информации и охраняются независимо от воли субъекта персональных данных. Исключение составляют персональные данные, находящиеся в общедоступных базах персональных данных. Работа с персональными данными должна осуществляться только в целях, по перечням и в сроки, которые необходимы для выполнения задач Оператора персональных данных, установленных действующим законодательством, лицензией и (или) договором. Работа с персональными данными должна производиться с соблюдением мер обеспечения их конфиденциальности и охраны, предотвращающих нанесение вреда субъекту персональных данных. Режим конфиденциальности персональных данных снимается в случаях: обезличивания персональных данных; истечения семидесятипятилетнего срока хранения персональных данных, если иное не предусмотрено требованиями субъекта персональных данных или действующим законодательством. Конкретные сроки хранения документов, содержащих персональные данные, личных дел сотрудников и обучающихся устанавливаются номенклатурой дел университета и согласовываются с контролирующей организацией. Персональные данные не должны храниться дольше, чем это необходимо для выполнения целей их сбора или чем это предусмотрено лицензией. Сроки хранения могут продлеваться только в интересах субъекта персональных данных или если это предусмотрено действующим законодательством. По истечении срока хранения, достижении целей сбора персональных данных, истечении срока действия лицензии, они подлежат уничтожению. В случае принятия в установленном порядке решения о необходимости сохранения персональных данных после истечения срока хранения, достижения установленных целей их сбора или истечения срока действия лицензии держатель обязан обеспечивать соответствующий режим хранения персональных данных и извещать об этом субъекта данных, если его местожительство известно. Определенные персональные данные (личные дела, метрические книги, хозяйственные книги и др.), после минования практической надобности в них, могут оставаться на постоянном хранении, приобретая статус исторического памятника. 4.2 Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает свое согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его законным представителем в любой позволяющей подтвердить факт 7 его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются Университетом. 4.3 В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащим собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя: фамилию, имя, отчество (при наличии), адрес субъекта персональных данных, серия и номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; фамилию, имя, отчество (при наличии) представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); наименование или фамилию, имя, отчество (при наличии), адрес оператора, получающего согласие персональных данных; цель обработки персональных данных; перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; наименование или фамилию, имя, отчество (при наличии), адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; срок, в течение которого действует согласие субъекта персональных данных, а также способы его отзыва, если иное не установлено федеральным законом; подпись субъекта персональных данных. 4.4 Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Университет вправе продолжить обработку персональных данных без согласия субъекта персональных данных при выполнении альтернативных условий обработки персональных данных. 4.5 Университет обрабатывает персональные данные в целях ведения образовательной и административно-хозяйственной деятельности; выполнения требований трудового законодательства Российской Федерации; ведения бухгалтерского и кадрового учета, исполнение возложенных законодательством Российской Федерации функции, полномочий и обязанностей; обеспечения повышения качества подготовки абитуриентов к поступлению, улучшение их профессиональной ориентации, обеспечение комплектования контингента абитуриентов; содействия в оптимальном выборе образовательных программ; обеспечения соблюдения правил приема в соответствии с законодательством и 8 нормативными документами университета, гласности и открытости деятельности приемной комиссии, передачи в федеральные (государственные) информационные системы, включая информационные системы Минобрнауки России и Рособрнадзора, ФИС ГИА и приема, ФИС ГНА, ФИС ФРДО, ГС Контингент, Суперсервис «Поступай в вуз онлайн», ГИС СЦОС и другие; обеспечения личной безопасности в период обучения, осуществления деятельности в соответствии с Уставом ВГУИТ; оказания услуг временного проживания в общежитиях ВГУИТ; пользования различного вида льготами; организации научно-исследовательской и инновационной деятельности; содействия и анализа дальнейшего трудоустройства, а также исполнения договорных обязательств. Обработка персональных данных допускается в следующих случаях: обработка персональных данных необходима для достижения целей, предусмотренных законодательством Российской Федерации для осуществления и выполнения возложенных на оператора функций, полномочий и обязанностей; обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем; обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно; обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных; обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»; осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных, либо по его просьбе (далее - персональные данные, сделанные общедоступными субъектом персональных данных); осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации. 4.6 Университет может включать персональные данные субъектов в общедоступные источники персональных данных, при этом университет берет письменное согласие субъекта на обработку его персональных данных. 4.7 Университет не осуществляет обработку специальных категорий персональных данных, касающихся расовой принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни. 4.8 Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность 9 (биометрические персональные данные) и которые используются для установления личности субъекта персональных данных, Университетом не обрабатываются. 4.9 Университет осуществляет трансграничную передачу персональных данных субъекта персональных данных с его согласия. 4.10 Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации Университетом не осуществляется. 4.11 Принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, не осуществляется. 4.12 Университет вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора). При этом Университет в договоре обязывает лицо, осуществляющее обработку персональных данных по поручению Университета, соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных». 4.13 Лицо, осуществляющее обработку персональных данных по поручению Университета, соблюдает принципы и правила обработки персональных данных, предусмотренные настоящей Политикой. В поручении Университета определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также указаны требования к защите обрабатываемых персональных данных. 4.14 В случае если Университет поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Университет. Лицо, осуществляющее обработку персональных данных по поручению Университета, несет ответственность перед Университетом. 4.15 Университет обязуется и обязывает иные лица, получившие доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.