В соответствии с требованиями Федерального закона № 152-ФЗ от 27.07.2006 г. в ЧУЗ «РЖД-Медицина» г. Белогорск» разработана концепция и политика информационной безопасности, утвержденные приказом главного врача № 171 от 31.12.16г.

Настоящая Политика конфиденциальности персональной информации (далее — Политика) действует в отношении всей информации, которая размещена на сайте чузбелогорск.рф которую администрация Сайта может получить о пользователе во время посещения м Сайта, либо использования сервисов, программных продуктов, предоставляемых Сайтом. Использование Сайта означает безоговорочное согласие пользователя с настоящей Политикой и указанными в ней условиями обработки его персональной информации; в случае несогласия с этими условиями пользователь должен воздержаться от использования Сервисов.

1. ОПРЕДЕЛЕНИЕ ТЕРМИНОВ

1.1. В настоящей Политике конфиденциальности используются следующие термины:

1.1.1. «Администрация сайта» – уполномоченные сотрудники на управления сайтом, действующие от имени ЧУЗ «РЖД-Медицина» г. Белогорск», которые организуют и (или) осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

1.1.2. Оператор персональных данных (далее - Оператор) - применительно к условиям настоящей Политики конфиденциальности - ЧУЗ «РЖД-Медицина» г. Белогорск»;

1.1.3. «Персональные данные» - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

1.1.4. «Обработка персональных данных» - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.1.5. «Конфиденциальность персональных данных» - обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

1.1.6. «Пользователь Сайта (далее ‑ Пользователь) – лицо, имеющее доступ к Сайту, посредством сети Интернет и использующее Сайт .

1.1.7. «Cookies» — небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.

1.1.8. «IP-адрес» — уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP.

2. ОБЩИЕ ПОЛОЖЕНИЯ

2.1. Использование Пользователем Сайта означает согласие с настоящей Политикой и условиями обработки персональных данных Пользователя.

2.2. В случае несогласия с условиями Политики Пользователь должен прекратить использование Сайта.

2.3. Настоящая Политика применяется только к настоящему Сайту.

2.4. Администрация Сайта не контролирует и не несет ответственность за сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на Сайте.

2.4. Администрация сайта не проверяет достоверность персональных данных, предоставляемых Пользователем Сайта . Однако Сайт исходит из того, что пользователь предоставляет достоверную и достаточную персональную информацию по вопросам, предлагаемым в форме регистрации, и поддерживает эту информацию в актуальном состоянии.

3. ПРЕДМЕТ ПОЛИТИКИ КОНФИДЕНЦИАЛЬНОСТИ

3.1. Настоящая Политика устанавливает обязательства Администрации сайта по неразглашению и обеспечению режима защиты конфиденциальности персональных данных, которые Пользователь предоставляет по запросу Администрации сайта при регистрации на Сайте в процессе пользования сайта.

3.2. Персональные данные, разрешённые к обработке в рамках настоящей Политики, предоставляются Пользователем путём заполнения регистрационной формы на Сайте путем заполнения обратной связи с Пользователем и включают в себя следующую информацию:

3.2.1. фамилию, имя, отчество Пользователя;

3.2.2. контактный телефон Пользователя;

3.2.3. адрес электронной почты (e-mail);

3.2.4. место жительство Пользователя.

3.3. Отключение cookies может повлечь невозможность доступа к страницам Сайта, требующим авторизации.

3.3.1. Оператор осуществляет сбор статистики об IP-адресах своих посетителей. данная информация используется с целью выявления и решения технических проблем.

4. ЦЕЛИ СБОРА ПЕРСОНАЛЬНОЙ ИНФОРМАЦИИ ПОЛЬЗОВАТЕЛЯ

4.1. Оператор собирает и хранит только ту персональную информацию, которая необходима для Предоставления сервисов или исполнения соглашений с Пользователем, за исключением случаев, когда законодательством РФ предусмотрено обязательное хранение персональной информации в течение определенного законом срока связи с Пользователем, в том числе направление уведомлений, запросов и информации, касающихся использования, предоставления Сервисов, оказания услуг, а также обработка запросов и заявок от Пользователя и исполнения соглашений с Пользователем.

4.1.2. Персональную информацию Пользователя Администрация сайта может использовать в целях:

4.1.1. Установления обратной связи с Пользователем, в том числе направление уведомлений, запросов и информации, касающихся использования Сайта.

4.1.6. Создания учетной записи на Сайте, если Пользователь дал согласие на создание учетной записи.

4.1.7. Уведомления Пользователя Сайта об условии доступа к отдельным видам информации, публикуемой Сайтом, об изменении работы сайта, и т.д.

4.1.8. Предоставления Пользователю эффективной клиентской и технической поддержки при возникновении проблем связанных с использованием Сайта.

5. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНОЙ ИНФОРМАЦИИ ПОЛЬЗОВАТЕЛЕЙ И ЕЕ ПЕРЕДАЧИ ТРЕТЬИМ ЛИЦАМ

5.1. Оператор хранит персональную информацию Пользователей в соответствии с внутренними регламентами конкретных сервисов.

5.2. Согласие Пользователя на обработку его персональных данных считается полученным Оператором и/или Администратором Сайта с момента простановки Пользователем «галочки» о согласии с условиями настоящей Политики, расположенной под формой обратной связи с Пользователем, либо под формой регистрации на Сайте (если Сайт предусматривает возможность регистрации). При наличии технической возможности и при условии предоставления Пользователем своего контактного мобильного номера телефона, Оператор и/или Администрация Сайта в целях подтверждения согласия Пользователя на обработку его ПД, могут использовать систему СМС-оповещения и контроля, подразумевающую отправку контрольного кода на мобильный номер Пользователя, который последний в целях подтверждения своего согласия на обработку ПД должен ввести в специальном контрольном поле, расположенном под формой обратной связи или открывающемся на Сайте в виде специального диалогового окна.

5.3. В отношении персональной информации Пользователя сохраняется ее конфиденциальность, кроме случаев добровольного предоставления Пользователем информации о себе для общего доступа неограниченному кругу лиц.

5.4. Оператор вправе передать персональную информацию Пользователя третьим лицам в следующих случаях:

5.4.1. Пользователь выразил согласие на такие действия.

5.4.2. Передача необходима для использования Пользователем определенного

сервиса либо для исполнения определенного соглашения с Пользователем.

5.4.3. Передача предусмотрена российским законодательством в рамках установленной законодательством процедуры.

5.4.4. В случае смены собственника Сайта к приобретателю переходят все обязательства по

соблюдению условий настоящей Политики применительно к полученной им персональной

информации.

5.5. Обработка персональных данных Пользователя осуществляется без ограничения срока любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств. Обработка персональных данных Пользователей осуществляется в соответствии с требованиями Закона.

5.6. При утрате или разглашении персональных данных Администрация Сайта информирует Пользователя об утрате или разглашении персональных данных.

5.7. Оператор и Администрация Сайта принимает необходимые организационные и технические меры для защиты персональной информации Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.

6. ОБЯЗАТЕЛЬСТВА СТОРОН

6.1. Пользователь обязан:

6.1.1. Предоставить информацию о персональных данных, необходимую для пользования Сайтом, а также использованием сервисов и услуг, оказываемых с использованием Сайта.

6.1.2. Обновлять, дополнять предоставленную информацию о персональных данных в случае изменения данной информации.

6.2. Оператор и Администрация Сайта обязаны:

6.2.1. Использовать полученную информацию исключительно для целей, указанных в настоящей Политике.

6.2.2. Обеспечить хранение конфиденциальной информации в тайне, не разглашать без предварительного письменного разрешения Пользователя, а также не осуществлять, обмен, опубликование либо разглашение иными возможными способами переданных персональных данных Пользователя, за исключением способов, предусмотренных настоящей Политикой.

6.2.3. Осуществить блокирование персональных данных, относящихся к соответствующему Пользователю, с момента обращения или запроса Пользователя или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных на период проверки в случае выявления недостоверных персональных данных или неправомерных действий.

7. ОТВЕТСТВЕННОСТЬ СТОРОН

7.1. Оператор, не исполнивший свои обязательства, несет ответственность за убытки, понесенные Пользователем в связи с неправомерным использованием персональных данных, в соответствии с законодательством Российской Федерации.

7.2. В случае утраты или разглашения конфиденциальной информации Оператор и Администрация Сайта не несет ответственности, если данная конфиденциальная информация:

7.2.1. Стала публичным достоянием до ее утраты или разглашения.

7.2.2. Была получена от третьей стороны до момента ее получения Оператором.

7.2.3. Была разглашена с согласия Пользователя.

8. РАЗРЕШЕНИЕ СПОРОВ

8.1. До обращения в суд с иском по спорам, возникающим из отношений между Пользователем Сайта и Оператором и/или Администрацией Сайта, обязательным является предъявление претензии (письменного предложения о добровольном урегулировании спора).

8.2. При не достижении соглашения спор будет передан на рассмотрение в суд в соответствии с действующим законодательством Российской Федерации.

8.4. К настоящей Политике и отношениям между Пользователем и Оператором и/или Администрацией Сайта применяется действующее законодательство Российской Федерации.

9. ДОПОЛНИТЕЛЬНЫЕ УСЛОВИЯ

9.1. Оператор оставляет за собой право вносить изменения в Политику без дополнительных уведомлений. Нововведения вступают в силу с момента их опубликования. Пользователи могут отслеживать изменения в Политике самостоятельно.

9.2. Все предложения или вопросы по настоящей Политике следует сообщать Администрации сайта по следующим контактным данным: e-mail: Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.; Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.

9.3. Действующая Политика размещена на странице по адресу: чузбелогорск.рф

Утверждено приказом

Главный врач НУЗ

«Отделенческая больница

на ст. Белогорск ОАО «РЖД»

от «31» декабря 2016г. № 171

1. ОБЩИЕ ПОЛОЖЕНИЯ.

1.1. Настоящее Положение устанавливает порядок получения, учета, обработки, накопления и хранения документов, содержащих сведения, отнесенные к персональным данным работников предприятия. Под работниками подразумеваются лица, заключившие трудовой договор с учреждением.

1.2. Цель настоящего Положения - защита персональных данных работников учреждения от несанкционированного доступа и разглашения. Персональные данные всегда являются конфиденциальной, строго охраняемой информацией.

1.3. Основанием для разработки настоящего Положения являются Конституция РФ, Трудовой кодекс РФ, другие действующие нормативно-правовые акты РФ.

1.4. Настоящее Положение и изменения к нему утверждаются руководителем учреждения и вводятся приказом по учреждению. Все работники учреждения должны быть ознакомлены под роспись с данным Положением и изменениями к нему.

2. ПОНЯТИЕ И СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ.

2.1. Под персональными данными работников понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника, а также сведения о фактах, событиях и обстоятельствах жизни работника, позволяющие идентифицировать его личность.

2.2. Состав персональных данных работника:

- анкета;

- автобиография;

- образование;

- сведения о трудовом и общем стаже;

- сведения о предыдущем месте работы;

- сведения о составе семьи;

- паспортные данные;

- сведения о воинском учете;

- сведения о заработной плате сотрудника;

- сведения о социальных льготах;

- специальность;

- занимаемая должность;

- размер заработной платы;

- наличие судимостей;

- адрес места жительства;

- домашний телефон;

- содержание трудового договора;

- содержание декларации, подаваемой в налоговую инспекцию;

- подлинники и копии приказов по личному составу;

- личные дела и трудовые книжки сотрудников;

- основания к приказам по личному составу;

-дела, содержащие материалы по повышению квалификации и переподготовке сотрудников, их аттестации, служебным расследованиям;

- копии отчетов, направляемые в органы статистики;

- копии документов об образовании;

-результаты медицинского обследования на предмет годности к осуществлению трудовых обязанностей;

- фотографии и иные сведения, относящиеся к персональным данным работника;

- рекомендации, характеристики и т.п.

2.3. Данные документы являются конфиденциальными. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении 75 лет срока хранения, если иное не определено законом.

3. ОБЯЗАННОСТИ РАБОТОДАТЕЛЯ.

3.1. В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

3.1.1. Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

3.1.2. При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами.

3.1.3. Все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

3.1.4. Работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции РФ работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

3.1.5. Работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом.

3.1.6. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

3.1.7. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном федеральным законом.

3.1.8. Работники и их представители должны быть ознакомлены под роспись с документами предприятия, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

3.1.9. Работники не должны отказываться от своих прав на сохранение и защиту тайны.

4. ОБЯЗАННОСТИ РАБОТНИКА.

Работник обязан:

4.1. Передавать работодателю или его представителю комплекс достоверных документированных персональных данных, перечень которых установлен Трудовым кодексом РФ.

4.2. Своевременно в разумный срок, не превышающий 5 дней, сообщать работодателю об изменении своих персональных данных.

5. ПРАВА РАБОТНИКА.

Работник имеет право:

5.1. На полную информацию о своих персональных данных и обработке этих данных.

5.2. На свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные сотрудника, за исключением случаев, предусмотренных законодательством РФ.

5.3. На доступ к медицинским данным с помощью медицинского специалиста по своему выбору.

5.4. Требовать об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований, определенных трудовым законодательством. При отказе работодателя исключить или исправить персональные данные сотрудника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера сотрудник имеет право дополнить заявлением, выражающим его собственную точку зрения.

5.5. Требовать об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные сотрудника, обо всех произведенных в них исключениях, исправлениях или дополнениях.

5.6. Обжаловать в суд любые неправомерные действия или бездействие работодателя при обработке и защите его персональных данных.

5.7. Определять своих представителей для защиты своих персональных данных.

6. СБОР, ОБРАБОТКА И ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ.

6.1. Обработка персональных данных работника - это получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.

6.2. Все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.

6.3. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

6.4. Работник предоставляет работодателю достоверные сведения о себе. Работодатель проверяет достоверность сведений, сверяя данные, предоставленные работником, с имеющимися у работника документами. Предоставление работником подложных документов или ложных сведений при поступлении на работу является основанием для расторжения трудового договора.

6.5. При поступлении на работу работник заполняет анкету и автобиографию.

6.5.1. Анкета представляет собой перечень вопросов о персональных данных работника.

6.5.2. Анкета заполняется работником самостоятельно. При заполнении анкеты работник должен заполнять все ее графы, на все вопросы давать полные ответы, не допускать исправлений или зачеркиваний, прочерков, помарок в строгом соответствии с записями, которые содержатся в его личных документах.

6.5.3. Автобиография - документ, содержащий описание в хронологической последовательности основных этапов жизни и деятельности принимаемого работника.

6.5.4. Автобиография составляется в произвольной форме, без помарок и исправлений.

6.5.5. Анкета и автобиография работника должны храниться в личном деле работника. В личном деле также хранятся иные документы персонального учета, относящиеся к персональным данным работника.

6.5.6. Личное дело работника оформляется после издания приказа о приеме на работу.

6.5.7. Все документы личного дела подшиваются в обложку образца, установленного на предприятии. На ней указываются фамилия, имя, отчество работника, номер личного дела.

6.5.8. К каждому личному делу прилагаются две цветные фотографии работника размером 3х4.

6.5.9. Все документы, поступающие в личное дело, располагаются в хронологическом порядке. Листы документов, подшитых в личное дело, нумеруются.

6.5.10. Личное дело ведется на протяжении всей трудовой деятельности работника. Изменения, вносимые в личное дело, должны быть подтверждены соответствующими документами.

7. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ.

7.1. При передаче персональных данных работника работодатель должен соблюдать следующие требования:

- не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом;

- не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

- предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать конфиденциальность. Данное положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами;

- разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;

- не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

- передавать персональные данные работника представителям работников в порядке, установленном Трудовым кодексом РФ, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

8. ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ СОТРУДНИКА.

8.1. Внутренний доступ (доступ внутри учреждения).

Право доступа к персональным данным сотрудника имеют:

- руководитель предприятия;

- руководитель сектора по управлению персоналом;

- руководители структурных подразделений по направлению деятельности (доступ к личным данным только работников своего подразделения) по согласованию с руководителем учреждения;

- при переводе из одного структурного подразделения в другое, доступ к персональным данным сотрудника может иметь руководитель нового подразделения по согласованию с руководителем учреждения;

- сотрудники бухгалтерии - к тем данным, которые необходимы для выполнения конкретных функций;

- сам работник, носитель данных.

8.2. Внешний доступ.

Персональные данные вне организации могут представляться в государственные и негосударственные функциональные структуры:

- налоговые инспекции;

- правоохранительные органы;

- органы статистики;

- страховые агентства;

- военкоматы;

- органы социального страхования;

- пенсионные фонды;

- подразделения муниципальных органов управления.

8.3. Другие организации.

Сведения о работнике (в том числе уволенном) могут быть предоставлены другой организации только с письменного запроса на бланке организации с приложением копии заявления работника.

8.4. Родственники и члены семей.

Персональные данные работника могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого работника.

9. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ.

9.1. В целях обеспечения сохранности и конфиденциальности персональных данных работников организации все операции по оформлению, формированию, ведению и хранению данной информации должны выполняться только работниками отдела кадров, осуществляющими данную работу в соответствии со своими служебными обязанностями, зафиксированными в их должностных инструкциях.

9.2. Ответы на письменные запросы других организаций и учреждений в пределах их компетенции и предоставленных полномочий даются в письменной форме на бланке предприятия и в том объеме, который позволяет не разглашать излишний объем персональных сведений о работниках предприятиях.

9.3. Передача информации, содержащей сведения о персональных данных работников организации, по телефону, факсу, электронной почте без письменного согласия работника запрещается.

9.4. Личные дела и документы, содержащие персональные данные работников, хранятся в запирающихся шкафах (сейфах), обеспечивающих защиту от несанкционированного доступа.

9.5. Персональные компьютеры, в которых содержатся персональные данные, должны быть защищены паролями доступа.

10. ОТВЕТСТВЕННОСТЬ ЗА РАЗГЛАШЕНИЕ ИНФОРМАЦИИ, СВЯЗАННОЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ РАБОТНИКА.

10.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

УТВЕРЖДЕНО

приказом ОАО «РЖД»

от « 20» июля 2016 г. № 60

1. ОБЩИЕ ПОЛОЖЕНИЯ

Настоящее Положение, разработанное в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Гражданским кодексом Российской Федерации, федеральными законами «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных», «О персональных данных», «Об информации, информационных технологиях и о защите информации», иными нормативными правовыми актами Российской Федерации и нормативными документами ОАО «РЖД», определяет цели, принципы, условия и правила обработки персональных данных работников, меры по обеспечению режима их защиты, права и обязанности субъектов персональных данных, а также права, обязанности и ответственность лиц, осуществляющих обработку персональных данных.

Настоящее Положение распространяется на подразделения аппарата управления, филиалы и структурные подразделения ОАО «РЖД».

ОАО «РЖД» является оператором, самостоятельно или совместно с другими лицами организующим и (или) осуществляющим обработку персональных данных работников и других субъектов персональных данных в целях:

-    обеспечения соблюдения законов и иных нормативных правовых актов Российской Федерации;

-    обеспечения выполнения трудовых договоров с работниками;

-    содействия работникам в обучении и продвижении по службе;

-    обеспечения личной безопасности работников;

-    контроля количества и качества выполняемой работы и обеспечения сохранности имущества ОАО «РЖД»;

-    обеспечения транспортной безопасности;

-    обеспечения пропуска субъектов персональных данных на объекты ОАО «РЖД»;

-    выполнения социальных обязательств, а также в других целях, предусмотренных уставом и нормативными документами ОАО «РЖД».

Действие настоящего Положения не распространяется на отношения, возникающие при:

-    хранении, комплектовании, учете и использовании сведений, содержащих персональные данные, архивных документов ОАО «РЖД» (документов, законченных делопроизводством и переданных на хранение в соответствующий архив ОАО «РЖД») в соответствии с законодательством об архивном деле в Российской Федерации;

-    обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

Руководители подразделений аппарата управления, филиалов и структурных подразделений ОАО «РЖД» несут персональную ответственность за обработку и обеспечение режима защиты персональных данных, выполнение работниками требований законодательства Российской Федерации и нормативных документов ОАО «РЖД» в области обработки и защиты персональных данных.

2. ОСНОВНЫЕ ПОНЯТИЯ

В настоящем Положении используются следующие понятия:

-    работник - физическое лицо, вступившее в трудовые отношения с ОАО «РЖД»;

-    персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

-    субъекты персональных данных - работники, их близкие родственники, кандидаты для приема на работу (соискатели), пенсионеры, состоящие на учете в ОАО «РЖД», и их официальные представители, а также иные лица, чьи персональные данные стали известны в силу предоставления им со стороны ОАО «РЖД» социальных льгот, гарантий и компенсаций;

-    подразделения ОАО «РЖД» - подразделения аппарата управления, филиалы и структурные подразделения ОАО «РЖД»;

-    ответственный за организацию обработки персональных данных в подразделении - уполномоченное лицо, назначаемое руководителем подразделения;

-    уполномоченные работники - работники ОАО «РЖД», имеющие допуск к персональным данным субъектов персональных данных;

-    персональные данные ограниченного доступа - персональные данные субъектов персональных данных, подлежащие защите в установленном законодательством Российской Федерации порядке;

-    специальные категории персональных данных - персональные данные субъектов персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни и судимости;

-    биометрические персональные данные - сведения, характеризующие физиологические и биологические особенности субъекта персональных данных, которые используются оператором для установления личности субъекта персональных данных;

-    информационная система ОАО «РЖД» - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;

-    обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

-    автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

-    неавтоматизированная обработка персональных данных - обработка персональных данных, осуществляемая при непосредственном участии человека без использования средств вычислительной техники;

-    передача персональных данных - любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств, представляющих собой доступ, распространение, предоставление персональных данных;

-    распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

-    блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

-    уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) в результате которых уничтожаются материальные носители;

-    трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу;

-    конфиденциальность персональных данных - обязательное для соблюдения ОАО «РЖД» требование не раскрывать третьим лицам персональные данные и не допускать их распространение без согласия субъектов персональных данных или наличия иного законного основания;

-    безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных;

-    защита персональных данных - деятельность ОАО «РЖД», включающая принятие правовых, организационных и технических мер, направленных на обеспечение защиты от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных;

-    режим защиты персональных данных - нормативно установленные правила, определяющие ограничения доступа к персональным данным, порядок передачи и условия их хранения.

3. СОСТАВ И КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБАТЫВАЕМЫХ В ПОДРАЗДЕЛЕНИЯХ ОАО «РЖД»

Состав персональных данных, обрабатываемых в подразделениях ОАО «РЖД»:

-    фамилия, имя, отчество (в том числе предыдущие фамилии, имена и (или) отчества в случае их изменения);

-    число, месяц, год рождения;

-    место рождения;

-    сведения о гражданстве (подданстве), в том числе предыдущие гражданства, иные гражданства;

-    вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование органа, выдавшего его;

-    адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;

-    номера рабочих, домашних и мобильных телефонов или сведения о других способах связи;

-    реквизиты свидетельства обязательного пенсионного страхования;

-    идентификационный номер налогоплательщика;

-    реквизиты полиса обязательного медицинского страхования;

-    реквизиты свидетельства о браке;

-    сведения о семейном положении, составе семьи и близких родственниках, обрабатываемые в соответствии с законодательством Российской Федерации;

-    сведения о трудовой деятельности;

-    сведения о воинском учете и реквизиты документов воинского учета;

-    сведения об образовании (когда и какие образовательные, научные и иные организации окончил, номера документов об образовании, направление подготовки или специальность по документу об образовании, квалификация);

-    сведения об ученой степени;

-    сведения о владении иностранными языками, включая уровень владения;

-    фотография работника;

-    сведения, содержащиеся в трудовом договоре, дополнительных соглашениях к трудовому договору;

-    сведения о пребывании за границей;

-    сведения о наличии или отсутствии судимости - только кандидатов для приема на работу (соискателей) - в случаях, определенных федеральными законами;

-    сведения об оформленных допусках к государственной тайне;

-    сведения о государственных наградах, иных наградах и знаках отличия;

-    сведения о профессиональной переподготовке и (или) повышении квалификации;

-    результаты медицинского обследования работника на предмет годности к выполнению трудовых обязанностей;

-    сведения о ежегодных оплачиваемых отпусках, отпусках работников, совмещающих работу с обучением (учебных отпусках) и отпусках без сохранения заработной платы;

-    сведения о заработной плате, реквизиты банковского счета для перечисления заработной платы и социальных выплат;

-    другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в пункте 3 настоящего Положения.

Категории персональных данных, обрабатываемых в подразделениях ОАО «РЖД»:

-    персональные данные, включенные с письменного согласия субъекта персональных данных в общедоступные источники персональных данных (корпоративные справочники, адресные книги):

а) фамилия, имя, отчество;

б) место работы;

в) занимаемая должность;

г) номера стационарных и мобильных рабочих телефонов;

д) адреса корпоративной электронной почты;

е) фотография работника;

-    персональные данные ограниченного доступа - персональные данные, перечисленные в пункте 7 настоящего Положения, за исключением персональных данных, перечисленных в подпункте 1 настоящего пункта;

-    специальные категории персональных данных, касающиеся состояния здоровья работников (обрабатываются в соответствии с требованиями федеральных законов «О персональных данных» и «Об основах охраны здоровья граждан в Российской Федерации»);

-    иные специальные категории персональных данных и биометрические персональные данные (обрабатываются в соответствии с требованиями законодательства Российской Федерации).

Документы, содержащие персональные данные:

-    анкета, автобиография, которые заполняются при приеме на работу;

-    копия документа, удостоверяющего личность;

-    личная карточка работника (форма № Т-2);

-    трудовая книжка или ее копия;

-    копии свидетельств о заключении брака, рождении детей;

-    документы воинского учета;

-    справки о доходах с предыдущего места работы;

-    копии документов об образовании;

-    копии документов обязательного пенсионного страхования;

-    трудовой договор;

-    подлинники и копии приказов по личному составу;

-    материалы по повышению квалификации и переподготовке, аттестации, служебным расследованиям;

-    копии отчетов, направляемые в органы статистики;

-    другие документы, содержащие персональные данные.

4. ПРИНЦИПЫ, УСЛОВИЯ И ПРАВИЛА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Принципы обработки персональных данных:

- обработка персональных данных должна осуществляться на законной и справедливой основе;

- обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, не совместимая с целями сбора персональных данных;

- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;

-    обработке подлежат только те персональные данные, которые отвечают целям их обработки;

-    содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;

-    при обработке персональных данных должны быть обеспечены их точность и достаточность, а в необходимых случаях и актуальность сведений, предоставляемых субъектом персональных данных, по отношению к целям обработки;

-    хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных.

Условия обработки персональных данных:

-    обработка персональных данных осуществляется с согласия субъектов персональных данных, если иное не предусмотрено федеральными законами. Получение согласия осуществляется в соответствии с Порядком обработки и обеспечения режима защиты персональных данных работников ОАО «РЖД» (далее - Порядок обработки персональных данных);

-    обработка персональных данных необходима для:

а) выполнения возложенных на ОАО «РЖД» законодательством Российской Федерации и уставом ОАО «РЖД» функций, полномочий и обязанностей;

б) осуществления правосудия, исполнения судебных актов, актов других органов и должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

в) исполнения договора в рамках трудовых и (или) гражданско-правовых отношений, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

г) защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение его согласия невозможно;

д) осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

- обрабатываются персональные данные, подлежащие опубликованию или обязательному раскрытию в соответствии с федеральными законами.

Персональные данные обрабатываются подразделениями ОАО «РЖД» следующими способами:

- неавтоматизированная обработка;

- автоматизированная обработка.

Обработка персональных данных осуществляется путем:

- получения оригиналов необходимых документов, предоставляемых субъектами персональных данных;

- получения заверенных в установленном порядке копий документов, содержащих персональные данные, или копирования оригиналов документов;

- формирования персональных данных в ходе кадровой работы;

- получения информации, содержащей персональные данные, в устной и письменной форме непосредственно от субъектов персональных данных;

- получения персональных данных в ответ на запросы, направляемые ОАО «РЖД» в органы государственной власти, государственные внебюджетные фонды, иные государственные органы, органы местного самоуправления, коммерческие и некоммерческие организации, физическим лицам в случаях и порядке, предусмотренных законодательством Российской Федерации;

- получения персональных данных из общедоступных источников;

- ôиксации (регистрации) персональных данных в журналах, книгах, реестрах и других учетных формах;

- внесения персональных данных в информационные системы ОАО «РЖД»;

- использования иных средств и способов фиксации персональных данных, получаемых в рамках осуществляемой ОАО «РЖД» деятельности.

ОАО «РЖД» вправе поручить обработку персональных данных другому лицу на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством Российской Федерации в области обработки и защиты персональных данных и настоящим Положением.

Передача персональных данных третьим лицам, в том числе трансграничная передача, допускается только с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, предусмотренных федеральными законами.

Персональные данные передаются третьим лицам в соответствии с Порядком обработки персональных данных.

Персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Сроки обработки, хранения и порядок уничтожения персональных данных на материальных носителях, а также в информационных системах ОАО «РЖД» определяются Порядком обработки персональных данных.

5. МЕРЫ ПО ОБЕСПЕЧЕНИЮ РЕЖИМА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

Подразделения ОАО «РЖД» обеспечивают режим защиты персональных данных при их обработке в соответствии с законодательством Российской Федерации и нормативными документами ОАО «РЖД» на основании принимаемых ими правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

Режим защиты персональных данных обеспечивает предотвращение нарушения конфиденциальности, целостности и доступности персональных данных при их обработке.

Защита персональных данных в подразделениях ОАО «РЖД» предусматривает ограничение доступа к ним.

Доступ к персональным данным субъектов персональных данных разрешается в соответствии с Порядком обработки персональных данных только уполномоченным работникам, которым эти персональные данные необходимы для выполнения должностных обязанностей.

Подразделения ОАО «РЖД» обеспечивают безопасность персональных данных при их обработке в соответствии с федеральными законами, указами Президента Российской Федерации, постановлениями Правительства Российской Федерации, приказами ФСТЭК России, ФСБ России, Роскомнадзора, Порядком обработки персональных данных и другими нормативными документами ОАО «РЖД».

Обеспечение безопасности персональных данных достигается путем:

- определения угроз безопасности персональных данных при их обработке;

- применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке;

- проведения проверки соответствия законодательству Российской Федерации в области обработки и защиты персональных данных применяемых мер защиты информации и оценки их эффективности;

- учета машинных носителей персональных данных в установленном ОАО «РЖД» порядке;

- обнаружения фактов несанкционированного доступа к персональным данным и принятия соответствующих мер;

- восстановления персональных данных, измененных или уничтоженных вследствие несанкционированного доступа к ним;

- установления правил доступа к персональным данным, обрабатываемым в информационной системе, а также обеспечения регистрации и учета всех действий, совершаемых с персональными данными в информационной системе ОАО «РЖД», в установленном ОАО «РЖД» порядке;

- внутреннего контроля за соблюдением подразделениями ОАО «РЖД» при обработке персональных данных законодательства Российской Федерации и нормативных документов ОАО «РЖД».

Меры защиты персональных данных при их автоматизированной обработке устанавливаются в соответствии со специальными требованиями к технической защите информации, определенными ФСТЭК России, а также в соответствии с нормативными документами ОАО «РЖД» в области обеспечения информационной безопасности.

При автоматизированной обработке персональных данных для каждой информационной системы организационные и (или) технические меры определяются с учетом уровней защищенности персональных данных, актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационной системе ОАО «РЖД».

6. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

Субъекты персональных данных имеют право на:

- полную информацию о своих персональных данных, обрабатываемых подразделениями ОАО «РЖД»;

- доступ к своим персональным данным, включая право на получение копии любой записи, содержащей персональные данные, за исключением случаев, предусмотренных федеральными законами;

- уточнение своих персональных данных, их блокирование или уничтожение в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

- дополнение своих персональных данных оценочного характера заявлением, выражающим собственную точку зрения;

- извещение всех лиц, которым ранее были сообщены их неверные или неполные персональные данные, обо всех произведенных в них исправлениях или дополнениях;

- отзыв согласия на обработку своих персональных данных;

- обжалование в соответствии с законодательством Российской Федерации действий ОАО «РЖД» при обработке персональных данных или его бездействия;

- осуществление иных прав, предусмотренных законодательством Российской Федерации.

Субъекты персональных данных обязаны:

- предоставить ОАО «РЖД» свои персональные данные в соответствии с законодательством Российской Федерации и настоящим Положением;

- своевременно информировать ОАО «РЖД» об изменениях своих персональных данных;

- обеспечить конфиденциальность персональных данных других субъектов персональных данных в соответствии с требованиями законодательства Российской Федерации, Кодекса деловой этики и других нормативных документов ОАО «РЖД».

7. ОБЯЗАННОСТИ ОАО «РЖД»

ОАО «РЖД» обязано принимать следующие необходимые и достаточные меры для выполнения обязанностей оператора, предусмотренных законодательством Российской Федерации:

- назначать ответственного за организацию обработки персональных данных;

- издавать документы, определяющие политику ОАО «РЖД» в отношении обработки персональных данных, нормативные документы по вопросам обработки персональных данных, а также нормативные документы, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации и устранение последствий таких нарушений;

-    применять правовые, организационные и технические меры для защиты персональных данных субъектов персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий;

- разъяснять субъектам персональных данных юридические последствия отказа предоставить их персональные данные, если предоставление персональных данных является обязательным в соответствии с законодательством Российской Федерации;

- блокировать неправомерно обрабатываемые персональные данные, прекращать обработку персональных данных в соответствии с законодательством Российской Федерации;

- уведомлять субъектов персональных данных об устранении допущенных нарушений при обработке их персональных данных;

- представлять субъектам персональных данных по их просьбе или их представителям информацию, касающуюся обработки их персональных данных, в порядке, установленном законодательством Российской Федерации и нормативными документами ОАО «РЖД»;

- осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных законодательству Российской Федерации о персональных данных, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;

- проводить оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства Российской Федерации о персональных данных, соотношения указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством Российской Федерации в области обработки и защиты персональных данных.

8. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ

Лица, виновные в нарушении законодательства Российской Федерации и нормативных документов ОАО «РЖД» в области обработки и защиты персональных данных, несут дисциплинарную, гражданско-правовую, административную и уголовную ответственность.

Моральный вред, причиненный субъектам персональных данных вследствие нарушения их прав, правил обработки персональных данных, а также требований к защите персональных данных, установленных законодательством Российской Федерации и нормативными документами ОАО «РЖД» в области обработки и защиты персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации.