1. Утвердить «Правила рассмотрения запросов субъектов персональных данных или их представителей в администрации муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области (Приложение №1).

2. Утвердить форму журнала учета запросов субъектов персональных данных в администрацию муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области по вопросам обработки персональных данных (Приложение № 2).

3. Настоящее постановление опубликовать в газете «Выборг» и разместить на официальном сайте администрации муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области.

4. Контроль за исполнением настоящего постановления оставляю за собой.

Глава администрации                                                                                    Н. В. Столяров

Разослано: дело-2,  отдел БПУ, прокуратура, газета «Выборг»

                                                                                                                               Приложение №1

к постановлению администрации

 муниципального образования

 «Приморское городское поселение»

 Выборгского района

 Ленинградской области

от 31.08.2016 № 872

Правила
рассмотрения запросов субъектов персональных данных
или их представителей

1. Общие положения

1.1. Настоящие Правила рассмотрения запросов субъектов персональных данных или их представителей (далее — Правила) регулируют отношения, возникающие при выполнении администрацией муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области (далее — Оператор) обязательств согласно требованиям статей 14, 20 и 21 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее — Федеральный закон).

1.2. Положения настоящих Правил определяют порядок учета (регистрации), рассмотрение запросов на подтверждение наличия, ознакомления, уточнения, уничтожения персональных данных (ПДн) или отзыв согласия на обработку ПДн, а также на устранение нарушений законодательства, допущенных при обработке ПДн

1.3. Настоящие Правила разработаны в соответствии с Трудовым кодексом Российской Федерации, Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных», Федеральным законом от 02.05.2006 №59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации», Федеральным законом от 07.02.2007 №25-ФЗ «О муниципальной службе в Российской Федерации», Постановлением Правительства Российской Федерации от 15.09..2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации», Постановлением Правительства Российской Федерации от 21.03.2012 №211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами».

2. Организация и проведение работ Оператором по запросу персональных данных

2.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его ПДн в соответствии с частью 7 статьи 14 Федерального закона.

2.2. Право субъекта персональных данных на доступ к его ПДн может быть ограничено в соответствии с частью 8 статьи 14 Федерального закона.

2.3. Субъект персональных данных вправе требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

2.4. Сведения, указанные в части 7 статьи 14 Федерального закона, предоставляются субъекту персональных данных Оператором при получении запроса от субъекта персональных данных.

2.5. Сведения, указанные в части 7 статьи 14 Федерального закона, должны быть предоставлены субъекту персональных данных в доступной форме и в них не должны содержаться ПДн, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких ПДн.

2.6. Запрос субъекта персональных данных должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер трудового договора, дата заключения трудового договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Оператором, подпись субъекта персональных данных.

2.7. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

2.8. Рассмотрение запросов является служебной обязанностью должностных лиц Оператора, в чьи обязанности входит обработка ПДн.
Должностные лица Оператора обеспечивают:

— объективное, всестороннее и своевременное рассмотрения запроса;

— принятие мер, направленных на восстановление или защиту нарушенных прав, свобод и законных интересов субъектов персональных данных;

— направление письменных ответов по существу запроса.

2.9. Ведение делопроизводства по запросам осуществляется специалистом администрации по работе с обращениями граждан.

2.10. Все поступившие запросы регистрируются в день их поступления в журнале учета запросов граждан (субъектов персональных данных) по вопросам обработки ПДн. На запросе проставляется штамп, в котором указывается входящий номер и дата регистрации.

2.11. В случае подачи субъектом персональных данных повторного запроса, в целях получения сведений, указанных в части 7 статьи 14 Федерального закона, необходимо руководствоваться частями 4 и 5 статьи 14 Федерального закона. Повторный запрос наряду со сведениями, указанными выше, должен содержать обоснование направления повторного запроса.

2.12. Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным частями 4 и 5 статьи 14 Федерального закона. Такой отказ должен быть мотивированным.

2.13. Прошедшие регистрацию запросы в тот же день направляются главе администрации, либо лицу, его заменяющему, который дает по каждому из них письменное указание исполнителям.

2.14. Исполнители при рассмотрении и разрешении запроса обязаны:
— внимательно разобраться в их существе, в случае необходимости истребовать дополнительные материалы для проверки фактов, изложенных в запросах, принять другие меры для объективного разрешения поставленных заявителями вопросов, выявления и устранения причин и условий, порождающих факты нарушения законодательства о ПДн;
— принимать по ним законные, обоснованные и мотивированные решения и обеспечивать своевременное и качественное их исполнение;

— сообщать в письменной форме заявителям о решениях, принятых по их запросам, со ссылками на законодательство Российской Федерации, а в случае отклонения запроса — разъяснять также порядок обжалования принятого решения.

2.15. Оператор обязан сообщить субъекту персональных данных информацию о наличии ПДн, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими ПДн при запросе субъекта персональных данных в течение тридцати дней с даты получения запроса субъекта персональных данных.

2.16. В случае отказа в предоставлении информации о наличии ПДн о соответствующем субъекте персональных данных или ПДн субъекту персональных данных при получении запроса субъекта персональных данных Оператор обязан руководствоваться частью 2 статьи 20 Федерального закона № 152-ФЗ.

2.17. Оператор обязан:

— предоставить безвозмездно субъекту персональных данных возможность ознакомления с ПДн, относящимися к этому субъекту персональных данных;
— уведомить субъекта персональных данных о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым ПДн этого субъекта были переданы.

2.18. Запрос считается исполненным, если рассмотрены все поставленные в нем вопросы, приняты необходимые меры и даны исчерпывающие ответы заявителю.

2.19. Ответы на запросы оформляются в соответствии с Правилами делопроизводства, установленными в администрации муниципального образования муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области.

2.20. Непосредственный контроль за соблюдением установленного законодательством и настоящими Правилами порядка рассмотрения запросов осуществляет глава администрации муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области. На контроль берутся все запросы.

2.21. При осуществлении контроля обращается внимание на сроки исполнения запроса и полноту рассмотрения поставленных вопросов, своевременность их исполнения и направления ответов заявителям.

3. Действия Оператора в ответ на запросы по персональным данным

3.1. В случае поступления запроса субъекта персональных данных по ПДн необходимо выполнить следующие действия:

— при получении запроса субъекта персональных данных на наличие ПДн необходимо в течение 30 дней с даты получения запроса (согласно части 1 статьи 20 Федерального закона) подтвердить обработку ПДн в случае ее осуществления. Если обработка ПДн субъекта не ведется, то в течение 30 дней с даты получения запроса (согласно части 2 статьи 20 Федерального закона) необходимо отправить уведомление об отказе в предоставлении информации о наличии персональных данных;

— при получении запроса субъекта персональных данных на ознакомление с ПДн необходимо в течение 30 дней с даты получения запроса (согласно части 1 статьи 20 Федерального закона) предоставить для ознакомления ПДн, в случае осуществления обработки этих ПДн. Если обработка ПДн субъекта не ведется, то в течение 30 дней с даты получения запроса (согласно части 2 статьи 20 Федерального закона) необходимо отправить уведомление об отказе в предоставлении информации по ПДн.

3.2. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
— подтверждение факта обработки персональных данных Оператором;

— правовые основания и цели обработки персональных данных;

— цели и применяемые оператором способы обработки персональных данных;

— наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании Федерального закона;

— обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом;

— сроки обработки персональных данных, в том числе сроки их хранения;

— порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом;

— информацию об осуществленной или о предполагаемой трансграничной передаче данных;

— наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;

— иные сведения, предусмотренные Федеральным законом или другими федеральными законами;

— при получении запроса субъекта персональных данных или его представителя на уточнение ПДн необходимо внести в них необходимые изменения в срок, не превышающий 7 рабочих дней со дня предоставления субъектом ПДн или его представителем сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными, по предоставлению субъектом ПДн или его сведений, подтверждающих, что ПДн, которые относятся к соответствующему субъекту и обработку которых осуществляет Оператор, являются неполными, неточными или неактуальными (согласно части 3 статьи 20 Федерального закона) и отправить уведомление о внесенных изменениях. Если обработка ПДн субъекта не ведется или не были предоставлены сведения, подтверждающие, что ПДн, которые относятся к соответствующему субъекту и обработку которых осуществляет Оператор, являются неполными, неточными или неактуальными, то необходимо в течение 30 дней с даты получения запроса отправить уведомление об отказе в осуществлении изменения ПДн;

— при получении запроса субъекта персональных данных на уничтожение ПДн необходимо их уничтожить в срок, не превышающий 7 рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки (согласно части 3 статьи 20 Федерального закона), и отправить уведомление об уничтожении. Если обработка ПДн субъекта не ведется или не были предоставлены сведения, подтверждающие, что ПДн, которые относятся к соответствующему субъекту и обработку которых осуществляет Оператор, являются незаконно полученными или не являются необходимыми для заявленной цели обработки, а также в силу необходимости обработки ПДн по требованиям иных законодательных актов, то необходимо в течение 30 дней с даты получения запроса отправить уведомление об отказе в уничтожении ПДн;

— при получении запроса на отзыв согласия субъекта персональных данных на обработку ПДн необходимо прекратить их обработку и, в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожить ПДн в срок, не превышающий 30 дней с даты поступления указанного отзыва (согласно части 5 статьи 21 Федерального закона), если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку ПДн без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами (согласно части 5 статьи 21 Федерального закона № 152-ФЗ);

— при выявлении недостоверности ПДн при обращении или по запросу субъекта ПДн необходимо их блокировать с момента такого обращения или получения такого запроса на период проверки (согласно части 1 статьи 21 Федерального закона). Если факт недостоверности ПДн подтвержден на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов, необходимо уточнить ПДн в течение 7 рабочих дней со дня представления таких сведений и снять блокирование ПДн (согласно части 2 статьи 21 Федерального закона). Если факт недостоверности ПДн не подтвержден, то необходимо отправить уведомление об отказе в изменении ПДн;

— при выявлении неправомерных действий с ПДн Оператору по запросу субъекта ПДн необходимо в срок, не превышающий трех рабочих дней с даты этого выявления, прекратить неправомерную обработку ПДн (согласно части 3 статьи 21 Федерального закона). В случае, если обеспечить правомерность обработки ПДн невозможно, Оператор в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки ПДн (согласно части 3 статьи 21 Федерального закона), обязан уничтожить такие ПДн. Об устранении допущенных нарушений или об уничтожении ПДн Оператор обязан уведомить субъекта персональных данных, а в случае, если обращение субъекта персональных данных либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;

— при достижении целей обработки ПДн Оператор обязан незамедлительно прекратить обработку ПДн и уничтожить соответствующие ПДн в течение 30 дней с даты достижения цели обработки ПДн (согласно части 4 статьи 21 Федерального закона), если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку ПДн без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами, и отправить уведомление об уничтожении ПДн.

3.3. В случае поступления запроса уполномоченного органа по защите прав субъекта персональных данных по ПДн, необходимо выполнить следующие действия:
— при получении запроса необходимо в течение 30 дней (согласно части 4 статьи 20 Федерального закона) предоставить информацию, необходимую для осуществления деятельности указанного органа;

— при выявлении недостоверных ПДн по запросу уполномоченного органа по защите прав субъекта ПДн необходимо их блокировать с момента такого обращения или получения такого запроса на период проверки (согласно части 1 статьи 21 Федерального закона). Если факт недостоверности ПДн подтвержден на основании документов, предоставленных субъектом ПДн, необходимо в течение 7 рабочих дней уточнить ПДн и снять их блокирование (согласно части 2 статьи 21 Федерального закона). Если факт недостоверности ПДн не подтвержден, то необходимо отправить уведомление об отказе изменения и снять блокирование ПДн;

— при выявлении неправомерных действий Оператора с ПДн по запросу уполномоченного органа по защите прав субъекта ПДн необходимо прекратить неправомерную обработку ПДн в срок, не превышающий 3 рабочих дней с момента такого обращения или получения такого запроса на период проверки (согласно части 1 статьи 21 Федерального закона). В случае невозможности обеспечения правомерности обработки оператором ПДн в срок, не превышающий 10 рабочих дней с даты выявления неправомерности действий с ПДн, необходимо уничтожить ПДн и отправить уведомление об уничтожении ПДн.

4. Ответственность Оператора

4.1. Персональные данные не подлежат разглашению (распространению). Прекращение доступа к такой информации не освобождает сотрудника администрации муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области от взятых им обязательств по неразглашению информации ограниченного доступа.

4.2. Организация и проведение работ по ответам на запросы, устранению нарушений, а также уточнению, блокированию и уничтожению ПДн возлагается на специалистов администрации муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области, обрабатывающих ПДн.

4.3. Нарушение установленного порядка рассмотрения запросов влечет в отношении виновных должностных лиц администрации муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области ответственность в соответствии с законодательством Российской Федерации.

Обобщенный алгоритм действий по запросу ПДн приведен в приложении к настоящим Правилам.

Приложение №1
к Правилам рассмотрения запросов субъектов
персональных данных или их представителей

Действия по запросу персональных данных

Приложение № 2

к Правилам рассмотрения запросов субъектов
персональных данных или их представителей

ЖУРНАЛ
учета запросов граждан (субъектов персональных данных)
в администрацию муниципального образования «Приморское городское поселение» Выборгского района Ленинградской области по вопросам обработки персональных данных