Порядок обработки персональных данных в (стр. 2 )

13.3.4.  Работники (а так же лица связанные с Банком договорными отношениями), осуществляющие обработку ПДн без использования средств автоматизации, до начала обработки должны быть проинформированы о факте обработке ими ПДн, о категориях ПДн, об особенностях и правилах обработки ПДн, изложенных в настоящем Положении.

13.3.5.  В типовых формах, в которые предполагается внесение ПДн, должна содержаться следующая информация:

-  цель обработки ПДн, наименование и адрес Банка, источник получения ПДн, срок обработки ПДн, перечень действий с ПДн, которые будут совершаться в процессе их обработки;

-  поле для проставления субъектом ПДн отметки о согласии на обработку ПДн без использования средств автоматизации;

13.3.6.  Типовая форма должна заполняться на каждого субъекта в отдельности.

13.3.7.  Шаблон дополнения для типовой формы приведен в

13.3.8.  При несовместимости целей обработки ПДн, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку ПДн должны быть приняты меры по обеспечению раздельной обработки ПДн, в частности:

-  при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других ПДн осуществляется копирование ПДн, подлежащих распространению или использованию, способом, исключающим одновременное копирование ПДн, не подлежащих распространению и использованию, и используется (распространяется) копия ПДн;

-  при необходимости уничтожения или блокирования части ПДн уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование ПДн, подлежащих уничтожению или блокированию.

13.3.9.  При необходимости ведения журналов (реестров, книг), содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных на территорию, на которой находится Банк, или в иных аналогичных целях, должны соблюдаться следующие условия:

13.3.10.  необходимость ведения такого журнала должна быть предусмотрена Приказом по Банку, содержащим сведения о цели обработки, способах фиксации и составе информации, запрашиваемой у субъектов ПДн, перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответственных за ведение и сохранность журнала (реестра, книги), сроки обработки ПДн, а так же порядке пропуска субъекта ПДн на территорию Банка;

13.3.11.  копирование содержащейся в таких журналах (реестрах, книгах) информации не допускается;

13.3.12.  ПДн каждого субъекта ПДн могут заноситься в такой журнал (книгу, реестр) не более одного раза в каждом случае пропуска субъекта ПДн на территорию Банка.

13.3.13.  Уточнение ПДн при осуществлении их обработки без использования средств автоматизации производится путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными ПДн.

13.3.14.  Материальные носители ПДн, по достижении целей обработки содержащихся на них ПДн, подлежат уничтожению, если иное не предусмотрено законодательством РФ (полное физическое и не восстановимое уничтожение ПДн).

13.3.15.  При необходимости уничтожение части ПДн на материальным носителем с сохранением возможности обработки иных данных, зафиксированных на материальном носителе, уничтожение ПДн может производиться способом, исключающим дальнейшую обработку этих персональных данных (удаление, вымарывание).

13.3.16.  Для защиты материальных носителей информации ПДн соблюдается ряд мер организационно-технического характера:

-  учет посетителей;

-  технические средства охраны, сигнализации;

-  охрана территории, зданий, помещений, транспортных средств;

-  хранение носителей ПДн в запираемых шкафах/сейфах;

-  ограничение доступа к ПДн, в соответствии с должностными обязанностями.

13.3.17.  Носители ПДн не должны оставаться без присмотра. При покидании рабочего места лица, ответственные за носители ПДн, должны убирать носители в сейф или шкаф, закрывающийся на ключ.

13.4.  Доступ к ПДн

13.4.1.  Сотрудникам Банка предоставляется доступ к работе с ПДн исключительно в пределах и объеме, необходимых для выполнения ими своих должностных обязанностей

13.4.2.  Доступ сотрудников к ПДн осуществляется в соответствии с Реестром доступа к ПДн в соответствии с должностью (Приложение В).

13.4.3.  Реестр доступа согласуется с руководителями соответствующих структурных подразделений и утверждается Председателем Правления Банка.

13.4.4.  Реестр доступа к ПДн поддерживается в актуальном состоянии.

13.4.5.  Временный или разовый допуск к работе с ПДн в связи со служебной необходимостью может быть получен сотрудником Банка по согласованию с Ответственным за безопасность ПДн, руководителем его подразделения и Владельцем ИСПДн (при необходимости), путем подачи заявки на доступ с указанием цели и срока доступа и категорий ПДн, к которым запрашивается доступ.

13.4.6.  Доступ к ПДн может быть прекращен или ограничен в случае нарушения требований настоящего Положения, либо в случае изменения должностных обязанностей или увольнения сотрудника Банка.

13.4.7.  Предоставление и прекращение доступа пользователям к ПДн осуществляется специалистами отдела автоматизации.

13.4.8.  Все сотрудники Банка, которым стали известны ПДн, обрабатывающиеся в Банке, должны обеспечивать их конфиденциальность.

13.4.9.  Все сотрудники, допущенные к работе с ПДн, а также связанные с эксплуатацией и техническим сопровождением ИСПДн, должны быть ознакомлены с требованиями настоящего Положения.

13.4.10.  Сотрудники Банка, допущенные к работе с ПДн, проходят обучение по направлению обеспечения безопасности ПДн. Ответственность за организацию обучения возлагается на Ответственного за безопасность персональных данных.

13.4.11.  Трудовые договора (или должностные инструкции) сотрудников, допущенных к работе с ПДн, должны содержать раздел, описывающий персональную ответственность за нарушение требований по защите ПДн, включая нарушение свойств целостности, конфиденциальности, доступности и установленного порядка обработки ПДн.

13.5.  Учет съемных электронных носителей ПДн

13.5.1.  В Банке проводиться учет съемных электронных носителей ПДн. К съемным электронным носителям ПДн относятся следующие типы носителей, содержащие ПДн:

-  съемные носители информации серверов;

-  съемные носители информации АРМ;

-  ленты с резервными копиями;

-  внешние запоминающие устройства (дискеты, флеш-накопители и т. п.).

13.5.2.  Форма учета защищаемых носителей приведена в

13.6.  Тестирование функций системы защиты ПДн

13.6.1.  В соответствии с «Положением о методах и способах защиты информации в информационных системах персональных данных», утвержденным Приказом ФСТЭК от 5 февраля 2010 г. № 58, должно проводиться периодическое тестирование функций системы защиты ПДн.

13.6.2.  Порядок тестирования функций системы защиты определен документом «Порядок контроля защищенности ПДн».

13.6.3.  Ответственность за тестирование функций системы защиты ПДн возлагается на Ответственного за безопасность ПДн.

14.  Взаимодействие с государственными органами

14.1.  Банк обязан уведомить уполномоченный орган по защите прав субъектов ПДн[1] об обработке ПДн субъектов ПДн, согласно статье 22 Федерального закона от 01.01.01 года «О персональных данных».

14.2.  Порядок взаимодействия Банк с уполномоченным органом по защите прав субъектов персональных данных определен в «Положении о порядке взаимодействия с уполномоченным органом по защите прав субъектов персональных данных .

15.  Контроль за выполнением требований положения

15.1.  Формирование внутреннего контроля процесса обработки ПДн в Банке осуществляется в целях изучения и оценки фактического состояния защищенности ПДн, своевременного реагирования на нарушения установленного порядка их обработки, а также в целях совершенствования этого порядка и обеспечения его соблюдения.

15.2.  Мероприятия по осуществлению внутреннего контроля обработки и обеспечения безопасности ПДн направлены на решение следующих задач:

-  обеспечение соблюдения сотрудниками Банка требований настоящего Положения и нормативных правовых актов, регулирующих защиту персональных данных;

-  оценка компетентности персонала, задействованного в обработке ПДн;

-  обеспечение работоспособности и эффективности технических средств ИСПДн и средств защиты ПДн, их соответствия требованиям уполномоченных органов исполнительной власти по вопросам безопасности ПДн;

-  выявление нарушений установленного порядка обработки ПДн и своевременное предотвращение негативных последствий таких нарушений;

-  принятие корректирующих мер, направленных на устранение выявленных нарушений, как в порядке обработки ПДн, так и в работе технических средств ИСПДн;

-  разработка рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ПДн по результатам контрольных мероприятий;

-  осуществление контроля за исполнением рекомендаций и указаний по устранению нарушений.

15.3.  Ответственный за безопасность ПДн на периодической основе организует проведение внутреннего контроля соблюдения порядка обработки и обеспечения безопасности ПДн.

15.4.  Проведение контрольных мероприятий по обеспечению безопасности ПДн в Банке осуществляется в соответствии с «Положением о порядке контроля защищенности персональных данных в .

16.  Права и обязанности

16.1.  Ответственный за безопасность ПДн

16.1.1.  В обязанности Ответственного за безопасность ПДн входит:

-  обеспечение соответствия порядка обработки и обеспечения безопасности ПДн в ИСПДн требованиям по конфиденциальности, целостности и доступности ПДн, предъявляемым к конкретной ИСПДн, и общим требованиям по безопасности ПДн, установленным федеральным законодательством;

-  тестирование системы защиты ПДн;

-  установка, конфигурирование и администрирование аппаратных и программных СЗИ комплекса ИСПДн;

-  учет и хранение отчуждаемых носителей ПДн;

-  периодические проверки журналов безопасности;

-  периодическая проверка электронных журналов ИСПДн.

-  анализ защищенности ИСПДн;

-  организация процесса обучения сотрудников по направлению обеспечения безопасности ПДн;

-  мониторинг порядка обработки ПДн;

-  участие в проведении внутреннего контроля и служебных расследованиях фактов нарушения установленного порядка обработки и обеспечения безопасности ПДн.

-  доводить до сведения работников Банка положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных.

16.1.2.  Ответственный за обеспечение безопасности ПДн обладает следующими полномочиями:

-  проводить плановые и внеплановые контрольные мероприятия в целях контроля, изучения и оценки фактического состояния защищенности ПДн;

-  запрашивать необходимую информацию у очевидцев и подозреваемых лиц при проведении разбирательств по фактам нарушения установленного порядка обработки и обеспечения безопасности ПДн.

16.2.  Юридическое Управление

16.2.1.  В обязанности сотрудников Юридического управления входит:

-  обработка обращений субъектов ПДн;

-  ведение Журнала учета обращений субъектов ПДн;

-  обработка запросов уполномоченного органа по защите прав субъектов ПДн;

-  ведение Журнала учета запросов уполномоченного органа по защите прав субъектов ПДн;

-  ведение и хранение Журнала учета проверок уполномоченным органом по защите прав субъектов ПДн.

16.2.2.  Сотрудники Юридического управления обладают следующими полномочиями:

-  запрашивать необходимую информацию у Отдела автоматизации;

-  давать Отделу автоматизации распоряжения касательно блокирования, уточнения, уничтожения ПДн;

-  оценивать правомерность полученных запросов уполномоченного органа по защите прав субъектов ПДн;

-  созывать комиссию для решения вопросов по возражениям субъектов ПДн против принятия решений на основе исключительно автоматизированной обработки персональных данных.

16.3.  Отдел автоматизации

16.3.1.  В обязанности сотрудников Отдела автоматизации входит выполнение следующих задач в части поддержания установленного порядка обработки персональных данных:

-  уточнение ПДн в случаях, определенных настоящим Положением и Положением о порядке обработки обращений субъектов персональных данных;

-  блокирование ПДн в случаях, определенных настоящим Положением и Положением о порядке обработки обращений субъектов персональных данных;

-  уничтожение ПДн в случаях, определенных настоящим Положением и Положением о порядке обработки обращений субъектов персональных данных.

-  Резервирование/восстановление технических средств ИСПДн;

-  Совместное с Ответственным за обеспечение безопасности ПДн резервирование/восстановление средств защиты ПДн.

16.4.  Владелец ИСПДн

16.4.1.  В обязанности Владельца ИСПДн входит выполнение следующих задач в части поддержания установленного порядка обработки персональных данных:

-  Принятие решения о необходимости предоставления доступа к ИСПДн;

-  Составление Реестра доступа к ИСПДн;

-  Обеспечение защиты ПДн совместно с Ответственным за обеспечение безопасности ПДн;

-  Индицирование процедур уточнения, блокирования, уничтожения и восстановления ПДн

17.  Ответственность за нарушения при обработке персональных данных

17.1.  Руководство Банка несет ответственность за обеспечение конфиденциальности, целостности и доступности ПДн, а также соблюдение прав и свобод субъектов ПДн в отношении их ПДн, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.

17.2.  Сотрудники Банка несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности ПДн, установленных настоящим Положением, в соответствии с законодательством Российской Федерации.

17.3.  Сотрудник Банка может быть привлечен к ответственности в случаях: 

-  умышленного или неосторожного раскрытия ПДн;

-  утраты материальных носителей ПДн;

-  нарушения требований настоящего Положения и других нормативных документов Банка в части вопросов доступа и работы с ПДн.

17.4.  В случаях нарушения установленного порядка обработки и обеспечения безопасности ПДн, несанкционированного доступа к ПДн, раскрытия ПДн и нанесения Банку, клиентам, сотрудникам и посетителям материального или иного ущерба, виновные лица предусмотренную законодательством Российской Федерации ответственность.

Согласие на обработку ПДн

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

(Физическое лицо)

Я,__________________________________________________________________________,

(Фамилия, Имя, Отчество полностью)

________________________________серия ________________№ ____________________

(вид документа, удостоверяющий личность)

выдан______________________________________________________________________,

проживающий(ая) по адресу:___________________________________________________

_________________________________________________________, настоящим даю свое согласие на обработку , по адресу _____________________________

____________________________________________________________________________ (далее - Банк) (включая получение от меня и/или от любых третьих лиц, с учетом требований действующего законодательства Российской Федерации) моих персональных данных и подтверждаю, что, даю такое согласие свободно, по своей воле и в своем интересе.

Согласие дается мною для целей заключения с Банком любых договоров и их дальнейшего исполнения, принятия решений или совершения иных действий, порождающих юридические последствия в отношении меня или других лиц, предоставления мне информации об оказываемых Банком услугах и распространяется на следующую информацию: мои фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, и любая иная информация, относящаяся к моей личности, доступная либо известная в любой конкретный момент времени Банку (далее - «Персональные данные»).

Настоящее согласие дается до истечения сроков хранения соответствующей информации или документов, содержащих вышеуказанную информацию, определяемых в соответствии с законодательством Российской Федерации, после чего может быть отозвано путем направления мною соответствующего письменного уведомления Банку не менее чем за 3 (три) месяца до момента отзыва согласия.

Настоящее согласие распространяется на сбор, систематизацию, накопление, хранение, запись на электронные носители и их хранение, уточнение, обновление, изменение, использование (в том числе передача в случаях прямо предусмотренных целями обработки и действующим законодательством), обезличивание, блокирование, уничтожение и иные способы обработки.

Обработка Персональных данных осуществляется Банком с использованием и без использования средств автоматизации.

Настоящим я признаю и подтверждаю, что в случае необходимости предоставления Персональных данных для достижения указанных выше целей третьему лицу (в том числе не кредитной и не банковской организации), а равно как при привлечении третьих лиц к оказанию услуг в указанных целях, передачи Банком принадлежащих ему функций и полномочий иному лицу, Банк вправе в необходимом объеме раскрывать для совершения вышеуказанных действий информацию обо мне лично (включая мои Персональные данные) таким третьим лицам, их агентам и иным уполномоченным ими лицам, а также предоставлять таким лицам соответствующие документы, содержащие такую информацию. Также настоящим признаю и подтверждаю, что настоящее согласие считается данным мною любым третьим лицам, указанным выше, с учетом соответствующих изменений, и любые такие третьи лица имеют право на обработку Персональных данных на основании настоящего согласия.

Дата: Подпись:

«____»_______________20__г. _______________/__________________/

Уведомление субъекта об обработке ПДн

	Субъекту персональных данных: (ФИО)
	Адрес:
УВЕДОМЛЕНИЕ об обработке персональных данных
Оператор персональных данных: находящийся по адресу: ______________________________________________________
руководствуясь:
	(правовое основание обработки персональных данных)
с целью:
	(цель обработки персональных данных)
осуществляет обработку Ваших персональных данных, включая:
(перечисление персональных данных, находящихся в обработке:ФИО, адрес, телефон…)
полученные:
	(источник получения персональных данных)
Обработка вышеуказанных персональных данных осуществляется путем:
(перечень действий с персональными данными,
общее описание используемых оператором способов обработки персональных данных)
К персональным данным имеют или могут получить доступ следующие лица:
(перечень организаций и третьих лиц)
Обработка указанных персональных данных будет являться основанием для:
(решения, принимаемые на основании обработки; возможные юридические последствия обработки)
Трансграничная передача данных:
Дата начала обработки персональных данных:
Срок обработки, хранения или условие прекращения обработки персональных данных:
(должность)	(подпись)	(Ф. И.О.)
«__» _____________ 201_ г.

Реестр доступа к ПДн

№ п\п	Вид ПДн (из перечня)	Должность	Цель доступа	Права доступа	Срок доступа	Примечания

Форма журнала учета материальных носителей

№	Тип материального носителя	Наименование модели	Инвентарный номер	Владелец информации	Ответственное лицо	Дата поступления носителя

Форма журнала учета средств защиты информации

№	Тип СЗИ	Наименование СЗИ	Индекс или условное наименование* (для сертифицированных СЗИ)	Регистрационный номер* (для сертифицированных СЗИ)	ИСПДн, в которой(ых) применяется СЗИ	Наличие и место хранения документации
1
2
3
4
5
6
7
8
9
10
11

Приложение е. Акт об уничтожении ПДн

Утверждаю

__________________________

__________________________

«__» ________________20___г

Акт №_______

об уничтожении персональных данных

№ п/п	Дата	Место и форма хранения ПДн	Тип носителя ПДн и его регистрационный номер/уничтожаемые ПДн

Всего уничтожено носителей: (прописью)_______________________________

Уничтожение произведено путем: ___________________________________________________________________________________________

________________________________________________________________________________________________________________________

Ответственный за уничтожение: (ФИО, должность):____________________________________________________________________________

Дата: ______________________________________

Подпись:___________________________________

Положения типового договора между Банком и обработчиком персональных данных

ТЕРМИНЫ

1.1 В настоящем Договоре используется следующие термины, если иное не следует из контекста:

“персональные данные” - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

“обработка персональных данных” (“обработка”) - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

«Суб-договор» и «заключение суб-договора» - процесс, когда Стороны договариваются с третьей стороной о выполнении обязательств в соответствии с настоящим Договором, а «суб-контрактор» означает сторону, с которой заключен «суб-договор»; и

«Технические и организационные меры обеспечения безопасности» - меры предпринимаемые для защиты персональных данных от случайного или незаконного уничтожения или случайной утраты, неавторизованной модификации, неправомерного раскрытия или доступа, а также от всех иных незаконных форм обработки;

РАЗДЕЛ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПДН

Обязанности, связанные с безопасностью

1.1  Обработчик обязан совершать какие-либо свои действия в отношении персональных данных, которые он обрабатывает от имени Банка, исключительно в соответствии с указаниями Банка.

1.2  Обработчик обязан принимать надлежащие технические и организационные меры по обеспечению безопасности в соответствии с требованиями законодательства в части защиты персональных данных.

Конфиденциальность

2.1  Обработчик соглашается с тем, что он обязан обрабатывать персональные данные от имени Банка, соблюдая конфиденциальность обработки. В частности, Обработчик соглашается с тем, что, если он не получил письменного согласия от Банка, он не будет раскрывать персональные данные, переданные Обработчику Банка/для Банка/от имени Банка третьим лицам.

2.2  Обработчик не должен использовать персональные данные, переданные ему Банком, кроме как в соответствии с существом услуг, оказываемых им Банку.

Заключение «суб-договора»

3.1  Обработчик не должен заключать «суб-договор» по исполнению своих обязательств, налагаемых настоящим Договором, без предварительного письменного согласия Банка.

3.2  В том случае, если Обработчик с согласия Банка заключает «суб-договор», он обязан заключать этот договор в письменной форме, а сам договор должен содержать все те обязательства в отношении безопасности обработки, которые накладываются на Обработчика в соответствии с настоящим Договором.

3.3  Если «суб-контрактор» не в состоянии выполнять свои обязательства, вытекающие из «суб-договора», Обработчик несет полную ответственность перед Банком за выполнение обязательств, накладываемых на него настоящим Договором.

Порядок действий с персональными данными после прекращения действия договора

4.1  В течение [ ] дней со дня окончания действия настоящего Договора Обработчик обязан по указанию Банка :

·  вернуть все персональные данные, переданные для обработки Обработчику Банком, или

·  по указанию Банка уничтожить все персональные данные, если это не запрещено законодательством, или

·  выполнить все дополнительные соглашения между Сторонами в части возвращения или уничтожения данных.

Инструкция по обращению с ПДн

Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Под обработкой персональных данных подразумеваются действия с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Обработка персональных данных осуществляется на основании утвержденного Перечня персональных данных, обрабатываемых в (далее Перечень), в который внесены цели обработки, категории субъектов, список обрабатываемых персональных данных, период хранения данных, способ обработки и форма и место хранения. Обработка и хранение персональных данных, не внесенных в перечень, запрещена.

Обработка персональных данных должна осуществляться в соответствии со следующими правилами:

·  Запрещается оставлять материальные носители с персональными данными без присмотра в незапертом помещении.

·  Сотрудникам, допущенным к работе с персональными данными, запрещается сообщать их устно или письменно кому бы то ни было, если это не вызвано служебной необходимостью.

·  Передача персональных данных допускается только в случаях, установленных Федеральными законами Российской Федерации «О персональных данных», «О порядке рассмотрения обращений граждан Российской Федерации», действующими инструкциями по работе со служебными документами и обращениями граждан, а также по письменному поручению (резолюции) вышестоящих должностных лиц.

·  Запрещается передача персональных данных по телефону, факсу, электронной почте за исключением случаев, установленных законодательством и действующими инструкциями по работе со служебными документами и обращениями граждан. Ответы на запросы граждан и организаций даются в том объеме, который позволяет не разглашать в ответах конфиденциальные данные, за исключением данных, содержащихся в материалах заявителя или опубликованных в общедоступных источниках)

Сотрудники, допущенные к работе с персональными данными, несут персональную ответственность за соблюдение конфиденциальности персональных данных, внесенных в Перечень персональных данных.

В случаях нарушения установленного порядка обработки и обеспечения безопасности ПДн, виновные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

[1]Роскомнадзор

* Перечень индексов, условных наименований и регистрационных номеров определяется ФСТЭК России и ФСБ России в пределах их полномочий.