Положение о хранении и защите персональных данных

Работодатель / организация​ № Номер документа​ от Дата документа

Утверждение и введение: Реквизиты утверждения и введения​.

Процессы и субъекты: Информационные процессы и категории субъектов​. Обработка ограничивается заранее определёнными законными целями. Избыточные данные не собираются; доступ предоставляется только в необходимом объёме. Срок хранения определяется целью и применимыми обязанностями, а не единым сроком для всех данных. Реестр целей и сроков: Для каждой цели фиксируются основание обработки, категории субъектов и данных, операции, место хранения, срок и событие прекращения. До запуска нового процесса ответственный проверяет его законность; использование уже собранных данных для несовместимой цели запрещено.

Дополнения по фактическим условиям: Реестр целей: по каждой цели данные, субъекты, основание, операции, сроки хранения и прекращения​ Ответственный: Ответственный за обработку: ФИО и должность​.

Порядок доступа и его прекращения: Доступ предоставляется по заявке руководителя для конкретной функции после согласования ответственным. Пользователь получает только необходимые права, знакомится с обязанностью конфиденциальности и использует персональную учётную запись. Передача паролей и использование чужих записей запрещены. При переводе права пересматриваются, при увольнении или прекращении поручения доступ отзывается без промедления. Выгрузки и копирование разрешаются только для установленной цели.

Дополнения по фактическим условиям: Роли, объём доступа и порядок предоставления/отзыва​ Бумажные носители: Документы хранятся в запираемых шкафах или помещениях с ограниченным доступом. Разные цели и категории хранения разделяются. Выдача регистрируется, возврат контролируется; копии не оставляются на общедоступных столах и принтерах. Передача выполняется способом, исключающим ознакомление посторонних. Места и хранители: Места хранения, ответственные, учёт выдачи бумажных носителей​. ИСПДн и базы: ИСПДн, базы и места размещения​. Технические меры: Ответственный определяет угрозы и применимые требования защиты; реализуются разграничение доступа, регистрация действий, защита от вредоносного ПО, обновления, резервное копирование и проверка восстановления. Носители учитываются, удалённый доступ ограничивается и контролируется. При выводе оборудования данные удаляются до передачи третьим лицам. Конкретные системы и меры: Угрозы, уровень защищённости, меры, резервирование и журналирование​. Трансграничная передача в рамках этого порядка не осуществляется. Изменение требует предварительной правовой проверки и актуализации документов.

Обращение регистрируется в день поступления и передаётся ответственному. Проверяются личность, полномочия представителя и связь запроса с данными; избыточные удостоверяющие документы не запрашиваются. Ответственный определяет применимый срок и контролирует ответ, уточнение, блокирование или прекращение обработки. Отказ мотивируется со ссылкой на законное основание и направляется безопасным каналом.

Дополнения по фактическим условиям: Контакт и порядок регистрации обращений, проверки личности, ответа и контроля сроков​ При проверке обращения неправомерно обрабатываемые данные блокируются; неточные данные блокируются при соблюдении условий закона и уточняются после подтверждения. Прекращение, уничтожение и ответы выполняются в сроки, предусмотренные статьёй 21 Федерального закона № 152-ФЗ, с учётом законных оснований продолжения обработки. Порядок уничтожения и подтверждения: До уничтожения сверяются цель, срок, обязательное хранение и наличие законного основания продолжения обработки. Бумага уничтожается до невозможности прочтения; электронные данные удаляются из рабочих систем и учитываются в цикле удаления резервных копий. При восстановлении копии повторно применяются ранее принятые решения об удалении. Исполнитель фиксирует состав, основание, способ, дату и подтверждение уничтожения; при технической невозможности своевременного уничтожения применяется установленный законом порядок блокирования. Дополнения по фактическим условиям: Способы, исполнители, подтверждение уничтожения и основания продления хранения​

Работник немедленно сообщает ответственному о потере носителя, ошибочной отправке, постороннем доступе и иных признаках нарушения. Ответственный ограничивает дальнейший доступ, сохраняет журналы и доказательства, оценивает объём и последствия и организует расследование. Сроки уведомлений исчисляются от выявления инцидента, а не завершения расследования. Контакт для срочного сообщения и замещающее лицо определяются при утверждении положения. Дополнения по фактическим условиям: Канал немедленного оповещения и ответственные за инциденты​ При установлении неправомерной или случайной передачи данных, повлекшей нарушение прав субъектов, оператор уведомляет уполномоченный орган в течение 24 часов об инциденте и в течение 72 часов о результатах внутреннего расследования согласно части 3.1 статьи 21 Федерального закона № 152-ФЗ. Внутренний контроль охватывает реестр целей, актуальность доступов, сроки хранения, исполнение поручений, обращения и меры защиты. Работники проходят ознакомление и обучение по своей роли. Нарушения фиксируются с ответственными и сроками; устранение проверяется. Изменения процессов, угроз и законодательства служат основанием для актуализации положения. Дополнения по фактическим условиям: Порядок внутреннего контроля и обучения​ Публичная политика предоставляется отдельно; внутренние сведения о защите раскрываются только в объёме, требуемом законом.

Должность подписанта​ ______________ / ФИО руководителя​ /