ПОЛОЖЕНИЕ
об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных
КГБУЗ «Краевой психоневрологический детский санаторий»
1. Общие положения 1.1. Положение обобеспечении безопасности персональных данных приих обработке в информационных системах персональных данных КГБУЗ «Краевой психоневрологический детский санаторий» (далее - «Положение») разработано во исполнение части 1 статьи 23, статьи 24 Конституции Российской Федерации, Федерального закона от 27 июля 2006г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», положений главы 14 Трудового кодекса Российской Федерации «Защита персональных данных работников», Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных данных », постановления Правительства Российской Федерацииот 15 сентября 2008г. № 687 «Об утвержденииПоложения об особенностях обработки персональных данных, осуществляемой без использования средствавтоматизации», постановления Правительства Российской Федерации от О1 ноября 2012г. № 1119 «Об утверждении требований к защите персональных данных при их обработке винформационных системах персональных данных» и других нормативно правовых актов и нормативных-методических документов Российской Федерации, регулирующих отношения, связанныес обеспечением безопасности персональных данных при их обработке в информационных системах персональных данных.
1.2. Настоящее положение определяет политику КГБУЗ «Краевой психоневрологический детский санаторий» (далее - Оператор) в отношенииобработки персональных данных и является общедоступным документом.
1.3. Требования настоящего Положения являются обязательными для исполнения всеми сотрудниками Оператора, получившими доступ к персональным данным.
1.4. Решения об изменении настоящего Положения принимаются на основании:
- результатов проведенных аудитов,мероприятий по контролю и надзору за обеспечением безопасности персональных данных, осуществляемых уполномоченными органами;
- изменений нормативно-правовых актов и нормативных-методических документов Российской Федерации, регулирующих отношения, связанныес обеспечением безопасности персональных данных при их обработке в информационных системах персональных данных (далее -ИСПДн);
- изменений процессов обработки персональных данных в информационных системах персональных данных Оператора;
- результатов анализа инцидентов информационной безопасности в ИС персональных данных.
1.5. В настоящем Положении используются следующие понятияи термины:
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
- оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработкуперсональных данных, а также определяющие цели обработки персональных данных, составперсональных данных, подлежащих обработке,
действия (операции), совершаемые с персональными данными;
- обработка персональных данных - любое действие (операция) или совокупность действий(операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение,использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
- автоматизированная обработка персональных данных - обработка персональныхданных с помощью средств вычислительной техники;
- распространение персональных данных - действия, направленные на раскрытие персональныхданных неопределенномукругу лиц;
- предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
- блокирование персон альных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
- уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- обезличивание персональных данных - действия, в результате которыхстановится невозможным без использования дополнительной информации определить принадлежность персональныхданных конкретному субъектуперсональных данных;
- информационная система персональных данных - совокупностьсодержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
- трансграничная передачаперсональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
1.6. Оператором является:
Наименование Оператора: КГБУЗ «Краевой психоневрологический детский санаторий»
ИНН: 2224011972
Адрес местонахождения: 656050, Алтайский край г.Барнаул,ул.Юрина, 172.
1.7. Обработка персональных данных осуществляется с 24.09.2009 г. на основании включения в реестр Операторов, осуществляющих обработку персональных данных (Регистрационный ноУiер 09-0070261 от17.11.2009 Приказ № 583).
2.
Общие принципы и: условия обработки персональных данных 2.1. Оператор осуществляет обработку персональных данных работников (лиц, замещающих должности государственной гражданской службы, должностимуниципальной гражданской службы) и лиц, не являющихся таковыми.
2.2. Обработка осуществляется в целях исполнения функций, определенных законами и иными нормативно-правовымиактами Российской Федерации, а также в рамках осуществления видов деятельности, определенных во внутренних документах Оператора.
2.3. При обработке персональных данных Оператор руководствуется следующими принципами и условиями:
- обработка персональных данных должна осуществляться на законной и
справедливой основе;
- обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных за исключением случаев, определенных пп. 2-11 ч.1 ст. 6 Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных данных»;
- обработка специальных категорий персональных данных осуществляется в случаях,предусмотренных пп.1-9 ч.2. ст. 10 Федерального закона от 27 июля 2006г.
№ 152-ФЗ «О персональных данных»;
- обработка биометрических категорий персональных данных осуществляется только при наличии согласия в письменной форме субъекта персональныхданных за исключением случаев, предусмотренных ч.2. ст. 11 Федерального закона от 27 июля2006г. № 152-ФЗ «О персональных данных»;
- Оператор вправе поручить обработку персональных данных другому лицу с согласиясубъекта персональных данных, если иное не предусмотрено федеральным законом, на основании закmочаемого с этим лицом договора, в том числе государственногоили муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение Оператора). Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящимФедеральным законом. В поручении Оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработкуперсональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны бытьуказаны требования к защите обрабатываемых персональных данных в соответствии с ст. 19 Федерального законаот 27 июля 2006г. № 152-ФЗ «О персональных данных»;
- обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая сцелями сбора персональных данных;
- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- обработке подлежат только персональные данные, которые отвечают целям их обработки;
- содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточнымипо отношению к заявленным целям их обработки;
- при обработке персональных данных должны быть обеспечены точностьперсональных данных, их достаточность, а в необходимых случаях и актуальностьпоотношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятиепо удалению или уточнениюнеполных или неточныхданных;
- хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, сторонойкоторого, выгодоприобретателем или поручителем по которому являетсясубъект персональных данных.Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
2.4. Оператор самостоятельно определяет содержание, объем, цели обработки и сроки хранения персональных данных.
2.5. Принятые Оператором документы, определяющие политикуОператора в отношенииобработки персональных данных, локальные акты по вопросам обработкиперсональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение
и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений доводятся до сотрудников Операторав части касающихсяих.
3.
Правовые основания обработкиперсональных данных 3.1. Оператор осуществляет обработку персональных данных на основанииследующих нормативно-правовых актов Российской Федерации:
- Трудовойкодекс РоссийскойФедерации от 30 декабря 2001 года №197-ФЗ;
- Федеральный закон от 06.04.2011 г. №63-ФЗ "Об электронной подписи";
- Федеральный закон от 21.11.2011 г. №323-ФЗ "Об основах охраны здоровья граждан в РоссийскойФедерации";
- Федеральный закон от 06.12.2011r. №402-ФЗ "Обухгалтерском учете";
- Федеральный закон "О внесении изменений в отдельные законодательные акты Российской Федерации по вопросам применения информационных технологий в сфере охраны здоровья" от 29.07.2017 №242-ФЗ;
4.
Цели обработки персональных данных 4.1. Обработкаперсональных данных осуществляется в целях:
- Ведение бухгалтерского учета;
- Обеспечение кадровой работы, в том числе в целях формирования кадрового резерва, обучения и должностного роста, обеспечения сотрудникам установленных законодательством РФ условий труда, гарантий и компенсаций;
- Заключение, сопровождение, изменение, расторжение служебных контрактов, договоров ГПХ, а также исполнение обязательств, предусмотренных соответствующими договорами и локальными нормативными актами;
- Обеспечение кадровой деятельности;
- Формированиеотчетности для предоставления в контролирующие органы;
- Расчет и начислениезаработной платы сотрудников;
- Заключения, исполнения и прекращения гражданско-правовых договоровс физическими, юридическим лицами,индивидуальными предпринимателями и иными лицами;
- Исполнение обязательств, предусмотренных федеральным законодательством и иными нормативными правовыми актами;
- Рассмотрение резюме и подбор кандидатов на вакантную должность для дальнейшего трудоустройства;
- Оплата труда сотрудников.
5.
Категории обрабатываемых персональных данных, источни1 и их получения, сроки обработки и хранения5.1. В информационных системах персональных данных Оператора обрабатываются следующие категории персональныхданных:
- Фамилия;
-Имя;
- Отчество;
-Пол;
- Гражданство;
- Паспортные данные или данные иного документа, удостоверяющего личность и гражданство (серия, номер, дата выдачи, наименование органа, выдавшего документ);
- Сведения об идентификационном номереналогоплательщика;
- Сведения о номере и серии страхового свидетельства государственного пенсионного страхования;
- Сведения о полисе обязательного медицинского страхования;
- Дата рождения;
- Адрес места жительства (по паспорту);
- Номер расчетного счета;
- Сведения о заработной плате;
- Сведения об обязательных денежных отчислениях;
- Сведения об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);
- Данные свидетельства о рождении/смерти (серия, номер и дата выдачи);
- ФИО лица, заполнившего свидетельство о рождении/смерти;
- Сведения о дате, времени и причинесмерти;
- Сведения о состоянии здоровья (причинавызова скорой помощи, анамнез, сведения о результатах анализов, результаты наблюдения, сведения о родах, сведения об абортах);
- Сведения о трудовой занятости (наименование организации, должность, структурное подразделение, ОГРН, ИНН, КПП организации, местонахождение организации);
- Адрес места жительства(фактический);
- Контактный номер телефона;
- Степень родства, фамилии, имена, отчества и даты рождения других членов семьи, иждивенце;
- Данные о принятии/снятиина воинский(с) учет (а);
- Место рождения.
Персональные данные предоставляются лично субъектом с согласия субъектаперсональных даыных или его законным представителем.
5.2. Срок обработки персональных данных составляет
- Сотрудники - 75 лет;
- Граждане, направившие данные для участия в конкурсе на замещениевакантных должностей - 3 года;
- Граждане, обратившиеся в медицинские организации - 25 лет.
6.
Сведения о третьихлицах, участвующих в обработке персональных данных 6.1. В целях соблюдения законодательства Российской Федерации, для достижения целей обработки Оператор, а также с согласия субъектов персональных данных в ходе своей деятельности предоставляетперсональные данные следующиморганизациям:
- Федеральная налоговаяслужба РФ;
- Пенсионный фонд РФ;
- Банк;
- Медицинские учреждения;
- АКГУП «Аптеки Алтая»;
- ФГБОУ ВО АГМУ Министерства здравоохранения РФ;
- Территориальный фонд обязательного медицинского страхования;
- Региональная медицинская информационная система.
При получении, в рамках установленных полномочий, мотивированных запросов органам· прокуратуры, правоохранительным органам,органам безопасности, государственным инспекторам труда при осуществлении ими государственного надзора иконтроля за собmодением трудового законодательства и иных органов, уполномоченным запрашивать информацию о работниках в соответствии с компетенцией, предусмотренной законодательством Российской Федерации.
6.2. Оператор не поручает обработкуперсональных данных другимлицам.
7.
Обязанности и права Оператора персональных данных7.1. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных.
7.2. Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможныеюридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок зашиты субъектом персональных данных своих прав и законных интересов.
7.3. Оператор обязан рассмотреть возражение, против решения на основании исключительно автоматизированной обработки персональных данныхсубъекта персональных данных, в течение тридцати дней со дня его получения и уведомить субъекта персональных данных о результатахрассмотрения такого возражения.
7.4. При сборе персональных. данных Оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную ч.7 ст. 14 Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных данных».
7.5. Если предоставление персональных данных является обязательным в соответстви сфедеральным законом, Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные.
7.6. Оператор обязан сообщить в порядке, предусмотренном статьей 14
Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных. данных» субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.
7.7. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней содня предоставления субъектом персональных данных или его представителем сведений, подтверждающих,что персональные данные являются неполными,неточными или неактуальными, Оператор обязан внести в них необходимые изменения.В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми
для заявленной цели обработки, Оператор обязан уничтожить такие персональные данные. Операторобязан уведомить субъектаперсональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьихлиц, которым персональные данные этого субъекта были переданы.
7.8. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросуэтого органа необходимую информацию в течение тридцатидней с даты получения такого запроса.
7.9. В случае выявления неправомерной обработки персональных данных при обращениисубъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточыых персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросууполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и зако нные интересы субъектаперсональных данных или третьих лиц.
7.1О. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектомперсональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персон альных данных осуществляется другим лицом, действующ им по поручению Оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
7.11. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработкиперсональных данных лицом, действующимпо поручению Оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение . Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных бьши направленыуполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
7.12. В случае достижения цели обработки персональных данных Оператор обязан прекратить обработкуперсональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и уничтожить персональные данные или обеспечить их уничтожен ие (если обработка персо нальных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты
достижения цели обработки персональных данных, если иное не предусмотрено договором, сторонойкоторого, выгодоприобретателем или поручителем по которому являетсясубъект персональных данных,иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъектаперсональных данных на основаниях, предусмотренных Федеральным законом от 27 июля 2006г. № 152-ФЗ «О персональных данных »или другими нормативно-правовыми актами.
7.13. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Операторобязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и в случае,если сохранение персональных данных более не требуется для целей обработкиперсональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва,если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому являетсясубъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.
7.14. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в п. 7.11-7.13 настоящегоположения, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если инойсрок не установлен федеральными законами.
8.
Права субъектов персональных данных 8.1. Субъект персональных данных имеет право на получение сведений об обработке его персональных данных Оператором.
8.2. Субъект персональных данных вправе требовать от Оператора, который их обрабатывает, уточнения этих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признанынеобходимыми для заявленной цели обработки, а также принимать предусмотренные закономмеры по защите своих прав.
8.3. В случае, если сведения, указанные в ч. 7 ст. 14 Федерального закона от 27 июля 2006r. № 152-ФЗ «О персональных данных», а также обрабатываемые персональные д анные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторнок Оператору или направитьему повторный запрос в целях получения сведений,указанных в части 7 настоящей статьи, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткийсрок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому являетсясубъект персональных данных.
8.4. Субъект персональных данных вправе обратиться повторно к Оператору или
направить ему повторный запрос в целях получения сведений, указанных в ч. 7 ст. 14 Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных данных», а также вцелях ознакомления с обрабатываемыми персональными данными до истечения срока,
указанного в ч. 4 ст. 14 Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных данных» в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомленияв полном объеме по результатам рассмотрения первоначального обращения.
8.5. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных данных» в следующих случаях:
- если обработка персональных данных, включая те, что получены в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях укрепления обороны страны, обеспечения безопасности государства и охраны правопорядка;
- если обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерациислучаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данн ыми;
- если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
- если доступ субъекта персональных данных к его персональным даннымнарушает права изаконные интересытретьих лиц;
- если обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерациио транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплексаот актов незаконного вмешательства;
- если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
8.6. Субъект персональных данных имеет право на защиту своих прав
и законных интересов,
в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
9.
Меры по обеспечению безопасностиперсональных данных при ихобработ1се 9.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а таюке от иных неправомерных действий в отношении персональных данных.
9.2. Обеспечение безопасности достигается:
- определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерацииуровни защищенности персональных данных;
- применением прошедших в установленном порядке процедуру оценки соответствия средств защитыинформации;
- учетом машинных носителей персональных данных;
- обнаружением фактов несанкционированного доступа к персональным данным и принятиеммер;
- восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированногодоступа к ним;
- установле нием правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными даннымив информационной системеперсональных данных;
- контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
10.
Ответственность за разглашение информации, связанной с персональными данными 1О.1. Лица, виновные в нарушении требований настоящего Федерального
законодательства, несут Российской Федерации.
ответственност,ь
предусмотренную законодательством
10.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.