Политика в отношении обработки персональных данных

 
УТВЕРЖДЕНО
 
приказом Директора
АНО ДО «СШ «Апрель»
 
от «___» ____________ 2025 г. № ______

ПОЛИТИКА

в отношении обработки персональных данных

АНО ДО «СШ «Апрель»

ИНФОРМАЦИЯ О ДОКУМЕНТЕ

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1.  Настоящая Политика АНО ДО «СШ «Апрель» в отношении обработки персональных данных (далее – Политика) разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) и принятыми в соответствии с ним нормативными правовыми актами в области персональных данных, и устанавливает основные принципы и правила обработки персональных данных в АНО ДО «СШ «Апрель» (далее – Организация, Оператор).

1.2.  Политика разработана и утверждена в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных Оператором, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3.  Действие Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению (обновлению, изменению), извлечению, использованию, передаче (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению персональных данных
(далее – ПДн).

1.4.  Политика определяет категории субъектов персональных данных и цели обработки Организацией как оператором персональных данных применительно к каждой категории субъектов персональных данных, порядок и условия обработки персональных данных, включая порядок передачи персональных данных третьим лицам, порядок доступа к персональным данным, порядок организации внутреннего контроля и ответственность за нарушения при обработке персональных данных, а также типовые формы документов, используемых Организацией в отношении персональных данных.

1.5.  Политика является локальным нормативным документом постоянного действия. Положения и требования настоящего документа являются обязательными для исполнения всеми работниками Организации.

1.6.  Локальные акты и другие документы, регламентирующие обработку персональных данных в Организации, разрабатываются с учетом положений Политики. Контроль за исполнением требований Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора (далее –Ответственный за обработку персональных данных).

2. ОПРЕДЕЛЕНИЯ ТЕРМИНОВ

3. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА

3.1.  Оператор имеет право:

3.1.1. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;

3.1.2. поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных;

3.1.3. в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе № 152-ФЗ.

3.2.  Оператор обязан:

3.2.1. организовывать обработку персональных данных в соответствии с требованиями Закона № 152-ФЗ;

3.2.2. отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;

3.2.3. сообщать в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;

3.2.4. в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) персональных данных.

4. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Субъект персональных данных имеет право:

4.1.1. Свободно, своей волей и в своем интересе предоставлять свои персональные данные и давать согласие на их обработку.

4.1.2.  Отзывать свое согласие на обработку персональных данных, написав заявление в свободной форме, адресованное Оператору. Отправить заявление можно в электронной форме либо почтовой корреспонденцией.

4.1.3. Получать информацию, касающуюся обработки своих персональных данных, написав заявление в свободной форме, адресованное Оператору, в том числе содержащую:

• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Оператором способы обработки персональных данных;
• наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании законодательства Российской Федерации;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных Законом № 152-ФЗ;
• информацию о наличии / об отсутствии трансграничной передачи данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
• информацию о способах исполнения Оператором обязанностей, установленных статьей 18.1 Закона №152-ФЗ;
• иные сведения, предусмотренные законодательством Российской Федерации.

4.1.4. Требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, написав заявление в свободной форме, адресованное Оператору.

4.1.5. Требовать прекращения обработки своих персональных данных, написав заявление в свободной форме, адресованное Оператору.

4.1.6. Требовать прекращения обработки своих персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи.

4.1.7. Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;

4.1.8. На защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

4.1.9. Субъект персональных данных может реализовать свои права, перечисленные выше, путем:

• направления письменного запроса Оператору по адресу: 143362, Московская область, г. Апрелевка, Апрелевская ул., стр. 91а;
• направления письменного запроса Оператору по электронной почте info@april-sport.ru. Такой запрос может быть направлен на электронную почту Оператора в форме электронного документа, подписанного согласно законодательства Российской Федерации об электронной подписи.

4.1.10. В запросе к Оператору субъект персональных данных указывает следующую информацию:

• ФИО;
• паспортные данные;
• сведения, подтверждающие взаимоотношения между Оператором и субъектом;
• иные сведения, подтверждающие факт обработки персональных данных Оператором;
• подпись.

4.2.  Действия по обработке запросов субъектов персональных данных при выполнении АНО ДО «СШ «Апрель» обязательств, согласно требованиям ст. 14, 20 и 21 Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных», описаны в Регламенте реагирования на обращения и запросы по вопросам обработки персональных данных в АНО ДО «СШ «Апрель».

5. ОБЪЕМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. В АНО ДО «СШ «Апрель» не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

5.2. Цели обработки персональных данных происходят в том числе из анализа правовых актов, регламентирующих деятельность Оператора, целей фактически осуществляемой Оператором деятельности, а также деятельности, которая предусмотрена учредительными документами Оператора, и конкретных бизнес-процессов Оператора в конкретных информационных системах персональных данных (по структурным подразделениям Оператора и их процедурам в отношении определенных категорий субъектов персональных данных).

5.3. В Организации обрабатываются персональные данные следующих категорий субъектов:

• Работники;
• Родственники работников;
• Уволенные работники;
• Контрагенты, Представители контрагентов;
• Клиенты, Представители клиентов.

5.4.  Правовыми основаниями обработки персональных данных для достижения вышеуказанных целей субъектов персональных данных, являются федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью АНО ДО «СШ «Апрель», в том числе, но не ограничиваясь:

5.5.  Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

5.6.  Обработка персональных данных допускается в следующих случаях:

• обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
• обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
• обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
• осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.

5.7.  Категории и перечень обрабатываемых персональных данных:

6. НАЗНАЧЕНИЕ ОТВЕТСТВЕННОГО ЛИЦА ЗА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1.  Для организации обработки персональных данных приказом генерального директора назначается Ответственный за обработку персональных данных, который руководствуется в своей работе законодательством РФ в области персональных данных и настоящей Политикой.

6.2.  Ответственный за обработку персональных данных обязан:

• организовывать принятие правовых, организационных и технических мер для обеспечения защиты персональных данных, обрабатываемых Оператором, от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий;
• осуществлять внутренний контроль за соблюдением работниками Оператора, имеющими право осуществлять обработку персональных данных, требований законодательства РФ в области персональных данных, в том числе требований к защите персональных данных;
• доводить до сведения работников Оператора, имеющих право осуществлять обработку персональных данных, положения законодательства РФ в области персональных данных, локальные акты по вопросам обработки персональных данных, требования к защите персональных данных;
• организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей, а также осуществлять контроль за приемом и обработкой таких обращений и запросов Оператором;
• принимать необходимые меры по восстановлению нарушенных прав субъектов персональных данных.

6.3.  Ответственный за обработку персональных данных вправе:

6.3.1. Иметь доступ к информации, касающейся обработки персональных данных Оператором и включающей:

• цели обработки персональных данных;
• категории обрабатываемых персональных данных;
• категории субъектов персональных данных, персональные данные которых обрабатываются;
• правовые основания обработки персональных данных;
• перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;
• описание мер, предусмотренных статьями 18.1 и 19 Федерального закона «О персональных данных», в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
• дату начала обработки персональных данных;
• срок или условия прекращения обработки персональных данных;
• сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;
• сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, установленными постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

6.3.2. Привлекать к реализации мер, направленных на обеспечение безопасности персональных данных, обрабатываемых Оператором, иных работников Оператора с возложением на них соответствующих обязанностей и закреплением ответственности.

6.4.  Ответственный за обработку персональных данных несет ответственность за ненадлежащее выполнение функций по организации обработки персональных данных оператором в соответствии с законодательством РФ в области персональных данных.

7. КОНФИДЕНЦИАЛЬНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1.  Доступ к персональным данным ограничивается в соответствии с законодательством Российской Федерации.

7.2.  Доступ к обрабатываемым персональным данным предоставляется только тем работникам Организации, которым он необходим в связи с исполнением ими своих должностных обязанностей. Также, работники обязаны подписать соглашение о неразглашении персональных данных.

7.3.  Работники Организации, получившие доступ к персональным данным, принимают на себя обязательства по обеспечению конфиденциальности и безопасности обрабатываемых персональных данных, путем ознакомления и подписания Соглашения о неразглашении персональных данных.

7.4.  Организация не раскрывает третьим лицам и не распространяет персональные данные без согласия на это субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

8. ТРЕБОВАНИЯ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, РЕАЛИЗУЕМЫЕ ОРГАНИЗАЦИЕЙ

8.1. Обеспечение безопасности персональных данных при их обработке Организацией осуществляется в соответствии с законодательством Российской Федерации и требованиями уполномоченного органа государственной власти по защите прав субъектов персональных данных, федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, и федерального органа исполнительной власти, уполномоченного в области технической защиты информации.

8.2. Организация предпринимает необходимые организационные и технические меры для защиты персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.

8.3.  Меры защиты, реализуемые Организацией при обработке персональных данных, включают:

• принятие локальных актов и иных документов в области обработки и защиты персональных данных;
• назначение работника, ответственного за организацию обработки персональных данных (далее – лицо, ответственное за организацию обработки персональных данных);
• назначение работника, ответственного за обеспечение безопасности персональных данных в информационных системах Организации (далее – администратор безопасности информации);
• назначение работника, ответственного за администрирование информационных систем персональных данных;
• организацию обучения и проведение методической работы с работниками, осуществляющими обработку персональных данных;
• создание необходимых условий для работы с материальными носителями и информационными системами, в которых обрабатываются персональные данные, которые описаны в документе «Положение о порядке организации и обеспечении безопасности персональных данных в АНО ДО «СШ «Апрель»;
• организацию учета информационных систем, в которых обрабатываются персональные данные, материальных носителей персональных данных и их хранение надлежащим образом, путем ведения Журнала учета материальных носителей, предназначенных для обработки персональных данных и Реестра информационных систем персональных данных АНО ДО «СШ «Апрель»;
• обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации и раздельное их хранение в случае, если обработка введется в разных целях;
• систематическую оценку угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• оценку причинения вреда и (или) нанесения ущерба субъектам персональных данных в случае нарушения законодательства о персональных данных;
• определение необходимого уровня защищенности персональных данных, обрабатываемых в информационных системах Организации, в соответствии с Постановлением Правительства РФ от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• разграничение доступа к информационным системам персональных данных, материальным носителям (документам), съемным (машинным) носителям персональных данных, согласно документам «Приказ Об организации работ по обработке персональных данных», Приложение 5 «Перечень должностей и лиц, уполномоченных на получение, обработку, хранение, передачу и любое другое использование персональных данных», «Матрица доступа пользователей к информационным ресурсам, информационным системам АНО ДО «СШ «Апрель»;
• осуществление внутреннего контроля за соблюдением законодательства Российской Федерации и локальных актов Организации при обработке персональных данных.

8.4.  В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Организация обязано с момента выявления такого инцидента уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор):

1) в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном на взаимодействие Организацией с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;

2) в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

8.5.  Отправка уведомления о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных осуществляется посредством заполнения формы на сайте https://pd.rkn.gov.ru/incidents/form/.

8.6.  В уведомлении указываются следующие сведения:

1) Сведения об Операторе:

• Наименование Оператора;
• ИНН;
• Адрес Оператора;
• Адрес электронной почты для отправки информации об уведомлении;

2) Сведения об инциденте:

• Дата и время выявления инцидента;
• Предполагаемые причины, повлекшие нарушение прав субъектов персональных данных;
• Характеристики персональных данных;
• Предполагаемый вред, нанесенный правам субъектов персональных данных;
• Дополнительные сведения;
• Приложение;

3) Контактные данные:

• ФИО лица, уполномоченного Оператором на взаимодействие с Роскомнадзором по инциденту;
• Контактные данные лица, уполномоченного на взаимодействие;

4) Результаты внутреннего расследования (в случае, если на момент заполнения указанного уведомления проведение внутреннего расследования инцидента не завершено, оператор может предоставить соответствующие сведения о результатах внутреннего расследования инцидента позднее – в течение 72 часов с момента выявления такого инцидента):

• Результаты внутреннего расследования инцидента;
• Сведения о лицах, действия которых стали причиной инцидента.

9. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НАСТОЯЩЕЙ ПОЛИТИКИ

9.1. Работники Организации, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, в том числе настоящей Политики и других локальных нормативных актов в области персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами.

9.2. Руководитель, разрешающий доступ работника своего структурного подразделения к носителям, содержащим персональные данные, несет персональную ответственность за данное разрешение в рамках трудовых отношений.

9.3. Каждый работник Организации, получающий для работы документ, содержащий персональные данные, несет единоличную персональную ответственность за сохранность носителя и конфиденциальности информации.

9.4. Разглашение персональных данных, их публичное раскрытие, утрата документов и иных носителей, содержащих персональные данные, а также иные нарушения обязанностей по их защите и обработке, установленных настоящим Положением, другими локальными нормативными актами (приказами, распоряжениями) Организации, влечет наложение на работника, имеющего доступ к персональным данным, дисциплинарного взыскания – замечания, выговора, увольнения. Работник, имеющий доступ к персональным данным и совершивший указанный дисциплинарный проступок, несет ответственность в случае причинения его действиями ущерба работодателю (п. 7 ст. 243 ТК РФ).

9.5. Работники Организации, имеющие доступ к персональным данным, виновные в их незаконном разглашении или использовании без согласия субъектов персональных данных из корыстной или иной личной заинтересованности и причинившие крупный ущерб, несут уголовную ответственность в соответствии со ст. 183 Уголовного кодекса Российской Федерации.

9.6. Контроль за соблюдением порядка обращения с персональными данными осуществляется непосредственным руководителем структурного подразделения работника, имеющего доступ к персональным данным, и Лицо, ответственное за организацию обработки персональных данных.

9.7. В целях реализации функции контроля за соблюдением порядка обращения с конфиденциальной информацией Лицо, ответственное за организацию обработки персональных данных имеет право:

• получать от подразделений Организации документы, справки и инфе сведения и пояснения;
• иметь доступ в полном объеме ко всем имеющимся в Организации информационным ресурсам, в том числе содержащим конфиденциальную информацию;
• проводить беседы с работниками Организации, получать от них, в случае необходимости, письменные объяснения;
• выносить на рассмотрение руководству Организации предложения о принятии мер к работникам Организации, не исполняющим требования законодательства и/или локальных нормативных актов Организации, регулирующих вопросы защиты информации.

9.8.  При выявлении факта умышленного или неосторожного разглашения конфиденциальной информации Организации по инициативе Лица, ответственного за организацию обработки персональных данных, может проводиться внутреннее расследование.

10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

10.1.  Настоящая Политика подлежит пересмотру и совершенствованию на регулярной основе, а также в случаях изменения законодательства Российской Федерации.

10.2.  Контроль исполнения требований настоящей Политики осуществляется лицом, ответственным за организацию обработки персональных данных в Организации.

10.3.  В случае нарушения требований законодательства Российской Федерации и локальных актов Организации в сфере обработки и защиты персональных данных Организация несет ответственность в соответствии с законодательством Российской Федерации.

11. ПОРЯДОК ВНЕСЕНИЯ ИЗМЕНЕНИЙ

11.1.  Владелец процесса пересматривает настоящую Политику на соответствие целям и основаниям обработки персональных данных в АНО ДО «СШ «Апрель» и изменения законодательства РФ в области персональных данных с учётом периодичности пересмотра документа (см. Информация о документе: максимальная периодичность пересмотра). При необходимости внесения изменений готовится, согласовывается и утверждается новая версия документа. С момента утверждения новой версии предыдущая прекращает свое действие.

11.2.  Изменения текста, удаление какого-либо раздела/пункта/абзаца указывается в «Кратком описании изменений документа» таблицы «Контроль версий документа».

12. КОНТРОЛЬ ВЕРСИЙ ДОКУМЕНТА