Политика в отношении обработки и защиты персональных данных
I. Общие положения.
1.1. Настоящая Политика в отношении обработки и защиты персональных данных (далее — Политика) разработана в целях обеспечения защиты персональных данных, обрабатываемых в информационных системах персональных данных Государственного автономного профессионального образовательного учреждения Республики Бурятия «Бурятский республиканский хореографический колледж имени Л.П. Сахьяновой и П.Т. Абашеева» (ГАПОУ РБ «БРХК им. Л.П. Сахьяновой и П.Т. Абашеева») (далее — Колледж), от несанкционированного доступа, неправомерного использования, раскрытия или утраты.
1.2. Действие настоящей Политики распространяется на все структурные подразделения Колледжа.
1.3. Настоящая Политика определяет порядок обработки, хранения и защиты персональных данных обучающихся, абитуриентов, выпускников и их родителей (законных представителей).
1.4. Политика разработана в соответствии с:
Конституцией Российской Федерации;
Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
иными нормативными правовыми актами Российской Федерации.
1.5. Настоящая Политика утверждается директором Колледжа и является обязательной для исполнения всеми работниками Колледжа.
1.6. Колледж является оператором персональных данных.
1.7. В настоящей Политике используются следующие основные понятия:
1.7.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
1.7.2. Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.7.3. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
1.7.4. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
1.7.5. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
1.7.6. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных.
1.7.7. Обезличивание персональных данных — действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных.
1.7.8. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
1.7.9. Конфиденциальность персональных данных — обязательное для соблюдения требование не раскрывать персональные данные третьим лицам без согласия субъекта персональных данных или наличия иного законного основания.
1.7.10. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства.
1.7.11. Общедоступные персональные данные — персональные данные, доступ к которым предоставлен неограниченному кругу лиц с согласия субъекта либо в соответствии с законодательством Российской Федерации.
II. Понятие и содержание персональных данных.
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
2.2. К субъектам персональных данных, персональные данные которых обрабатываются Колледжем, относятся:
обучающиеся;
абитуриенты;
выпускники;
родители (законные представители) обучающихся.
2.3. Колледж является оператором персональных данных и самостоятельно либо совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели и содержание обработки персональных данных.
2.4. Колледж вправе поручить обработку персональных данных третьим лицам при условии соблюдения требований законодательства Российской Федерации и на основании заключённых договоров, содержащих условия о конфиденциальности и обеспечении безопасности персональных данных.
2.5. Персональные данные относятся к конфиденциальной информации, за исключением случаев, предусмотренных законодательством Российской Федерации.
2.6. Обеспечение конфиденциальности персональных данных не требуется:
в случае их обезличивания;
в отношении общедоступных персональных данных;
в иных случаях, предусмотренных законодательством Российской Федерации.
III. Порядок получения и обработки персональных данных.
3.1. Обработка персональных данных осуществляется Колледжем в соответствии с законодательством Российской Федерации на законной и справедливой основе.
3.2. Персональные данные получаются непосредственно от субъектов персональных данных либо их законных представителей на основании их согласия, за исключением случаев, предусмотренных законодательством Российской Федерации.
3.3. Обработка персональных данных без согласия субъекта допускается в случаях, предусмотренных законодательством Российской Федерации, в том числе:
при обработке общедоступных персональных данных;
при исполнении обязанностей, возложенных на Колледж законодательством Российской Федерации;
при необходимости защиты жизни и здоровья субъекта персональных данных;
в иных случаях, установленных федеральными законами.
3.4. Обработка персональных данных осуществляется исключительно в целях, определённых настоящей Политикой, а также согласиями субъектов персональных данных.
3.5. Не допускается принятие решений, порождающих юридические последствия для субъекта персональных данных, на основании исключительно автоматизированной обработки его персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.
3.6. Обработка персональных данных прекращается при достижении целей обработки либо при утрате необходимости в их достижении, если иное не предусмотрено законодательством Российской Федерации.
3.7. Персональные данные подлежат уничтожению либо обезличиванию при достижении целей обработки или в случае отзыва субъектом согласия на обработку персональных данных, если иное не предусмотрено законодательством Российской Федерации.
3.8. Обработка персональных данных может осуществляться как с использованием средств автоматизации, так и без их использования.
3.9. Персональные данные могут храниться на бумажных и электронных носителях, в том числе в информационных системах персональных данных, с соблюдением требований к их защите.
3.10. Доступ к персональным данным предоставляется работникам Колледжа в пределах их должностных обязанностей на основании локальных нормативных актов и распорядительных документов.
3.11. Колледж принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения.
3.12. Трансграничная передача персональных данных
3.12.1. Трансграничная передача персональных данных осуществляется в соответствии с требованиями законодательства Российской Федерации.
3.12.2. До начала трансграничной передачи Колледж обязан убедиться в том, что иностранным государством обеспечивается адекватная защита прав субъектов персональных данных.
3.12.3. Передача персональных данных в иностранные государства, не обеспечивающие адекватной защиты прав субъектов персональных данных, допускается в случаях:
при наличии письменного согласия субъекта персональных данных;
при исполнении договора, стороной которого является субъект персональных данных;
при необходимости защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных;
в иных случаях, предусмотренных законодательством Российской Федерации и международными договорами Российской Федерации.
IV. Права, обязанности и ответственность субъекта персональных данных и Оператора при обработке персональных данных.
4.1. Права субъекта персональных данных
4.1.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, включая сведения об Операторе, правовых основаниях и целях обработки, а также перечне обрабатываемых персональных данных.
4.1.2. Субъект персональных данных имеет право на доступ к своим персональным данным, включая получение копий записей, содержащих его персональные данные.
4.1.3. Субъект персональных данных вправе требовать уточнения, блокирования или уничтожения персональных данных в случае их неполноты, устаревания, неточности, незаконного получения либо ненадобности для заявленных целей обработки.
4.1.4. Субъект персональных данных имеет право обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных либо в судебном порядке.
4.1.5. Субъект персональных данных имеет право на защиту своих прав и законных интересов, включая право на возмещение убытков и компенсацию морального вреда в судебном порядке.
4.2. Обязанности Оператора при обработке персональных данных
4.2.1. Оператор обязан обеспечивать возможность ознакомления субъекта персональных данных или его законного представителя с его персональными данными.
4.2.2. В случае подтверждения неполноты, неточности или незаконности обработки персональных данных Оператор обязан внести необходимые изменения, либо осуществить их блокирование или уничтожение в порядке, установленном законодательством Российской Федерации.
4.2.3. Оператор обязан уведомить субъекта персональных данных или его законного представителя о внесённых изменениях либо предпринятых мерах по обработке его персональных данных, если это предусмотрено законодательством Российской Федерации.
4.2.4. В случае выявления неправомерной обработки персональных данных Оператор обязан принять меры по устранению нарушений и прекращению неправомерной обработки.
4.2.5. В случае отзыва согласия на обработку персональных данных Оператор прекращает их обработку и обеспечивает уничтожение персональных данных, если иное не предусмотрено законодательством Российской Федерации.
4.3. Передача персональных данных
4.3.1. Передача персональных данных третьим лицам осуществляется Оператором только с согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.
4.3.2. Передача персональных данных осуществляется в объеме, необходимом для достижения целей обработки персональных данных.
4.3.3. Порядок передачи персональных данных третьим лицам определяется внутренними локальными нормативными актами Колледжа.
4.4. Ответственность
4.4.1. Лица, виновные в нарушении законодательства Российской Федерации в области обработки и защиты персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.
V. Ответственность за нарушение требований обработки персональных данных
5.1. Оператор и лица, получившие доступ к персональным данным, несут ответственность за нарушение требований законодательства Российской Федерации в области персональных данных в соответствии с законодательством Российской Федерации.
5.2. Лица, виновные в нарушении требований законодательства Российской Федерации о персональных данных, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность в порядке, установленном законодательством Российской Федерации.
5.3. Ответственность за организацию обработки и обеспечение безопасности персональных данных возлагается на работников Колледжа в соответствии с приказами директора Колледжа и иными локальными нормативными актами.
VI. Основные принципы обеспечения защиты персональных данных

Система защиты персональных данных в Колледже строится на следующих основных принципах:
6.1. Законность
Обработка и защита персональных данных осуществляются в соответствии с законодательством Российской Федерации.
6.2. Системность
Защита персональных данных обеспечивается как единая система взаимосвязанных организационных и технических мер с учетом всех возможных угроз безопасности.
6.3. Комплексность
Обеспечение безопасности персональных данных достигается путем применения совокупности организационных, правовых и технических мер защиты.
6.4. Непрерывность защиты
Защита персональных данных осуществляется непрерывно на всех этапах их обработки и функционирования информационных систем персональных данных.
6.5. Своевременность
Меры по защите персональных данных принимаются на всех этапах создания и эксплуатации информационных систем персональных данных.
6.6. Минимизация доступа
Доступ к персональным данным предоставляется работникам Колледжа только в объеме, необходимом для выполнения их должностных обязанностей.
6.7. Персональная ответственность
Каждое лицо, допущенное к обработке персональных данных, несет ответственность за соблюдение требований законодательства Российской Федерации и локальных нормативных актов Колледжа.
6.8. Конфиденциальность
Обеспечивается недопущение несанкционированного доступа, раскрытия, изменения или уничтожения персональных данных.
6.9. Контроль
В Колледже осуществляется контроль за соблюдением требований по обработке и защите персональных данных.
VII. Меры обеспечения защиты персональных данных
Колледж применяет необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
7.1. Правовые меры
Колледж обеспечивает соблюдение требований законодательства Российской Федерации в области персональных данных, а также разрабатывает и утверждает локальные нормативные акты, регулирующие обработку и защиту персональных данных.
7.2. Организационные меры
К организационным мерам относятся:
назначение лиц, ответственных за организацию обработки и защиту персональных данных;
определение перечня лиц, имеющих доступ к персональным данным;
регламентация порядка доступа к персональным данным;
обучение работников требованиям законодательства Российской Федерации в области персональных данных;
контроль за соблюдением установленного режима обработки персональных данных.
7.3. Физические меры
Физическая защита персональных данных обеспечивается путем ограничения доступа посторонних лиц в помещения, где осуществляется обработка и хранение персональных данных, а также применением мер охраны и контроля доступа.
7.4. Технические меры
Техническая защита персональных данных включает использование средств защиты информации, обеспечивающих:
разграничение доступа к информационным системам персональных данных;
регистрацию и учет действий пользователей;
контроль целостности информации;
предотвращение несанкционированного доступа к персональным данным.