Лицо, ответственное за организацию обработки и защиту персональных данных, при исполнении возлагаемых на него функций вправе:

• делегировать функции, предусмотренные для лица, ответственного за организацию обработки и защиту персональных данных, положениями Законодательства РФ, Политики, иных ЛНА Оператора, лицам, обязанным исполнять указания/поручения по реализации указанных функций в порядке, установленном ЛНА Оператора;
• направлять указания и поручения по вопросам обработки и защиты персональных данных в порядке, предусмотренном ЛНА Оператора, в адрес подразделений и Работников Оператора, осуществляющих обработку персональных данных и/или имеющих доступ к персональным данным. Исполнение таких указаний и поручений является обязательным для всех подразделений и Работников Оператора.

В целях соблюдения требований Законодательства РФ, прав Субъектов ПД лицом, ответственным за организацию обработки и защиту персональных данных, осуществляется контроль соответствия обработки персональных данных в процессах Оператора, в рамках которых осуществляется обработка персональных данных, положениям Законодательства РФ, ЛНА Оператора.

1. Юридический отдел:

• осуществляет мониторинг законодательства и доведение до сведения заинтересованных подразделений информации об изменении правовых норм;
• обеспечивает правовую защиту интересов Оператора при рассмотрении административных дел, а также гражданско-правовых, трудовых и иных споров по вопросам обработки и защиты персональных данных.

1. Владельцы процессов и ИС

Владельцы процессов и ИС обеспечивают разработку и функционирование процессов и ИС, в которых осуществляется обработка персональных данных, в соответствии с положениями Законодательства РФ, ЛНА Оператора по вопросам обработки и защиты персональных данных.

1. Организация процесса управления обработкой персональных данных
2. Обрабатывая персональные данные, Оператор руководствуется принципами, а также требованиями к порядку и условиям обработки персональных данных, установленным положениями Законодательства РФ, Политики, иных ЛНА Оператора.
3. Осуществление сбора (получения) и дальнейшие действия (операции) по обработке персональных данных производятся при соблюдении прав и законных интересов Субъектов ПД в рамках утвержденных процессов и/или ЛНА Оператора, определяющих, в частности:

• правовые основания (условия) и источники сбора (получения) персональных данных;
• цели обработки персональных данных, категории и перечень обрабатываемых персональных данных, категории Субъектов ПД;
• сроки обработки и хранения персональных данных;
• обязанности Владельцев процессов и ИС, этапы/операции (действия) и способы обработки персональных данных;
• порядок доступа Работников Оператора к персональным данным и их обработке;
• порядок передачи персональных данных Третьим лицам/ иным лицам (если применимо, в том числе государственным органам и/или учреждениям, государственным внебюджетным фондам, муниципальным органам);
• порядок уточнения (обновления, изменения) персональных данных;
• порядок архивного хранения персональных данных;
• порядок прекращения обработки и уничтожения персональных данных.

Указанные процессы и/или ЛНА Оператора не могут противоречить положениям Законодательства РФ и Политики. В случае противоречия между процессами и/или ЛНА Оператора и положениями Законодательства РФ и/или Политики указанные процессы и/или ЛНА Оператора должны быть приведены в соответствие с положениями Политики и Законодательства РФ.

1. Оператор определяет перечень лиц, осуществляющих обработку персональных данных. Доступ к обрабатываемым персональным данным предоставляется только тем Работникам Оператора, которым он необходим для выполнения ими конкретных функций в рамках исполнения должностных обязанностей. В должностные инструкции Работников Оператора и/или в трудовые договоры включаются обязанности по обеспечению конфиденциальности и безопасности персональных данных и меры ответственности за их невыполнение. До начала обработки персональных данных Работники Оператора, в трудовые функции и обязанности которых входит осуществление обработки персональных данных, ознакомляются под подпись с положениями законодательства РФ о персональных данных, в том числе с требованиями к защите персональных данных, а также с требованиями ЛНА Оператора, регламентирующих вопросы обработки и защиты персональных данных.
2. В части обработки персональных данных Работников Оператора Оператор, в том числе, руководствуется специальными требованиями /2.4/.
3. При обработке персональных данных Оператором обеспечивается своевременное уточнение (обновление, изменение) персональных данных Субъекта ПД, которое осуществляется, в частности, в случае подтверждения факта неточности персональных данных на основании:

• обращения к Оператору Субъекта ПД, его Представителя (обладающего полномочиями на представление интересов Субъекта ПД), Надзорного органа с документами, подтверждающими факт неточности и изменение персональных данных;
• установления Оператором расхождений между ранее полученными персональными данными Субъекта ПД и персональными данными, предоставляемыми Субъектом ПД, его Представителем, (обладающим полномочиями на представление интересов Субъекта ПД), Надзорным органом наряду с подтверждающими документами.

1. Получение Оператором персональных данных от Третьего лица/иных лиц (если применимо) и/или передача (предоставление, доступ) персональных Третьему лицу/ иному лицу (если применимо), а также поручение обработки персональных данных Третьему лицу/ иному лицу (если применимо) допускается с согласия Субъекта ПД, в том числе предоставленного Третьему лицу, или при наличии иных оснований, предусмотренных Законодательством РФ. Получение Оператором персональных данных от Третьего лица/иного лица (если применимо) и/или передача (предоставление, доступ) персональных данных Третьему лицу/иному лицу (если применимо), а также поручение обработки персональных данных Третьему лицу/иному лицу (если применимо) осуществляется на основании соответствующего договора с Третьим лицом/иным лицом (если применимо), включающего в себя условия обработки персональных данных, требования к обеспечению конфиденциальности и безопасности персональных данных при их обработке и иные требования в соответствии с /2.1/.

Передача персональных данных государственным органам власти и учреждениям, муниципальным органам власти, государственным внебюджетным фондам, а также получение персональных данных от государственных органов власти и учреждений, муниципальных органов власти, государственных внебюджетных фондов допускается в отсутствие согласия Субъекта ПД на обработку его персональных данных в порядке и в случаях, предусмотренных Законодательством РФ.

1. Трансграничная передача персональных данных не осуществляется.
2. Обработка персональных данных прекращается при достижении целей такой обработки, а также по истечении срока, предусмотренного Законодательством РФ, договором или согласием Субъекта ПД на обработку его персональных данных. В случае отзыва Субъектом ПД согласия на обработку его персональных данных и/или требования о прекращении обработки персональных данных Оператор вправе продолжить обработку персональных данных без согласия Субъекта ПД при условии наличия оснований (условий обработки персональных данных), предусмотренных /2.1/.
3. В случае отсутствия у Оператора правовых оснований на обработку персональных данных (условий обработки персональных данных) Оператор в порядке, установленном /2.1/, производит уничтожение персональных данных. Уничтожение производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание персональных данных в ИС и/или в результате которых уничтожаются Материальные носители персональных данных. По результатам проведенного уничтожения составляется акт об уничтожении персональных данных и формируется запись в журнале регистрации событий в ИС, в соответствии с требованиями положений Законодательства РФ.
4. Порядок рассмотрения обращений и/или запросов Субъектов ПД
5. В целях соблюдения прав и законных интересов Субъектов ПД, требований к срокам обработки обращений и/или запросов, обеспечения качества и полноты принятия мер в отношении законного требования Субъекта ПД и для предоставления необходимой информации по его обращению и/или запросу осуществляется прием и обработка обращений Субъектов ПД, а также контроль обеспечения такого приема и обработки.
6. При рассмотрении обращений и/или запросов Субъектов ПД Оператор руководствуется положениями Законодательства РФ, согласно которым запрос и/или обращение, направляемый и/или направляемое Субъектом ПД, должен/должно содержать информацию, предусмотренную /2.1/.
7. Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов от Субъектов ПД производится Оператором в объеме и сроки, предусмотренные Законодательством РФ. Установленный Законодательством РФ срок ответа Субъекту ПД на обращение и/или запрос о предоставлении информации, касающейся обработки его персональных данных, может быть продлен на основании установленных /2.1/ ограничений с направлением в адрес Субъекта ПД мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.
8. Оператор, получив обращение и/или запрос Субъекта ПД и убедившись в его законности, предоставляет Субъекту ПД и/или его Представителю, обладающему полномочиями на представление интересов Субъекта ПД, сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Оператором сведения не могут содержать персональные данные, принадлежащие другим Субъектам ПД, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
9. Оператор вправе отказать Субъекту ПД в удовлетворении требований, указанных в обращении и/или запросе, путем направления Субъекту ПД или его Представителю мотивированного отказа, если у Оператора в соответствии с Законодательством РФ имеются законные основания отказать в выполнении/удовлетворении поступивших требований.
10. Меры обеспечения конфиденциальности и безопасности персональных данных
11. Для обеспечения конфиденциальности и безопасности персональных данных Субъектов ПД, защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных в соответствии с /2.1/ Оператором принимаются необходимые правовые, организационные и технические меры. В частности, принимаются следующие меры:

• определяются актуальные угрозы безопасности персональных данных, обрабатываемых в ИС, и применяются соответствующие организационные и технические меры защиты персональных данных;
• для нейтрализации актуальных угроз безопасности персональных данных применяются средства защиты информации;
• проводится оценка эффективности принимаемых/реализованных мер защиты и обеспечения безопасности персональных данных, в том числе до ввода информационных систем в эксплуатацию;
• обеспечиваются пропускной режим и управление доступом к персональным данным, техническим средствам, используемым при обработке персональных данных, средствам защиты информации, средствам обеспечения функционирования информационных систем, а также пропускной режим и управление доступом в помещения и сооружения, в которых установлены указанные средства;
• обеспечиваются регистрация и учет действий, совершаемых с персональными данными в ИС;
• осуществляется организация учета технических средств, входящих в состав ИС, а также машинных носителей;
• определяется и при необходимости актуализируется перечень лиц (Работников Оператора), которым для выполнения трудовых обязанностей необходим доступ к персональным данным, обработка которых производится в ИС, а также обеспечивается предоставление доступа к обрабатываемым персональным данным тем Работникам Оператора, которым необходим указанный доступ в связи с выполнением ими трудовых обязанностей;
• обеспечивается автоматическая регистрация событий безопасности, связанных с изменением прав доступа к персональным данным;
• обеспечивается доступ к содержанию событий безопасности ограниченному кругу лиц, в частности, реализуется размещение ИС Оператора внутри защищенного периметра, расположенного в пределах контролируемой зоны;
• реализуются меры, направленные на предупреждение и обнаружение фактов несанкционированного доступа к персональным данным, и принятие мер, в том числе мер по предупреждению, обнаружению и ликвидации последствий компьютерных атак на ИС и по реагированию на компьютерные инциденты в них;
• обеспечивается восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• осуществляется эксплуатация разрешенного к использованию программного обеспечения и/или его компонентов, а также обеспечивается контроль за его установкой и обновлением;
• осуществляется выявление инцидентов и реагирование на них, реализуются меры по устранению инцидентов в случае их появления;
• реализуется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности ИС.

Помимо этого, проводится оценка вреда, который может быть причинен Субъектам ПД в случае нарушения /2.1/, а также соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных /2.1/.