Уважаемые граждане, предоставляющие нам свои персональные данные в ходе взаимодействия, мы хотели бы ознакомить Вас с концептуальными положениями по обеспечению безопасности персональных данных, обрабатываемых предприятием, на которых строится наша политика информационной безопасности персональных данных. 

СОДЕРЖАНИЕ

1.	Правовые основания, цели и способы обработки персональных данных.
2.	Наименование и место нахождения оператора, сведения о лицах, которые имеют доступ к персональным данным. Система допуска и круг лиц, допущенных к обработке персональных данных.
3.	Обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных.
4.	Сроки и правила хранения персональных данных.
5.	Меры по обеспечению безопасности персональных данных при их обработке.
6.	Порядок осуществления субъектом персональных данных прав. Порядок реагирования на запросы субъектов ПДн. Лица, ответственные за организацию обработки персональных данных.

Принятые сокращения
АРМ	—	Автоматизированное рабочее место
АС	—	Автоматизированная система
ВТ	—	Вычислительная техника
ИСПДн	—	Информационная система персональных данных
НМД	—	Нормативно-методический документ
НСД	—	Несанкционированный доступ
НТД	—	Нормативно-технический документ
ОВТ	—	Объект вычислительной техники
ОИ	—	Объект информатизации
ПДн	—	Персональные данные
ПО	—	Программное обеспечение
РД	—	Руководящий документ
СВТ	—	Средство вычислительной техники
СЗИ	—	Средства защиты информации
1. Правовые основания, цели и способы обработки персональных данных

   1.1. Субъектов ПДн, передающих нам свои персональные данные можно разделить условно на две категории:
-	наши работники;
- наши контрагенты (население г. Урай).
В соответствии с данным делением можно выделить следующие задачи, требующие обработки персональных данных:
- реализация функций работодателя на основании заключенных трудовых договоров с сотрудниками;
- оказание услуг населению по водоснабжению и водоотведению.
1.2. Основанием для обработки являются Трудовой кодекс и ст.6 Федерального закона "О персональных данных" в отношении обработки ПДн работников и населения соответственно.
Персональные данные вы предоставляете нам лично.
Применяются следующие способы обработки персональных данных:
- смешанная: с передачей по внутренней сети предприятия; с передачей по сетям связи общего пользования в случаях, предусмотренных законодательством, и при условиях выполнения требований к передаче ПДн.
Обработка ведётся как без использования средств автоматизации, так и с использованием таковых, для чего на нашем предприятии эксплуатируются ИСПДн, организованные в соответствии с требованиями нормативных документов в области безопасности ПДн.

2. Наименование и место нахождения оператора, сведения о лицах, которые имеют доступ к персональным данным. Система допуска и круг лиц, допущенных к обработке персональных данных

2.1. Наши реквизиты:
Наименование: Открытое акционерное общество «Водоканал»
ИНН: 8606013108
Фактический адрес: 628285, Ханты-Мансийский автономный округ – Югра Тюменской области, г.Урай, микрорайон 2, д. 44
Тел., факс: (34676) 2-11-05
2.2. Обрабатываемые нами персональные данные разделены на группы, к каждой из которых имеют доступ сотрудники предприятия, имеющие на то правовые основания. Перечни этих сотрудников утверждены «перечнями лиц, допущенных к персональным данным». Доступ к персональным данным, обрабатываемым в ИСПДн предприятия, регламентируется утверждённой руководством предприятия «Разрешительной системой доступа сотрудников к ПДн в ИСПДн предприятия».
2.3. Все факты передачи, не имеющие оснований, предусмотренных Федеральным законом "О персональных данных", возможны только при наличии оформленного Вами в соответствии с ФЗ "О персональных данных" согласия.

3. Обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных

Перечень персональных данных обрабатываемых на предприятии:
	
Перечень персональных данных сотрудников предприятия: 
- ФИО;
- паспортные данные;
- дата рождения;
- место рождения;
- фотография;
- адрес;
- контактный телефон;
- ИНН;
- номер страхового свидетельства ПФР;
- номер лицевого счёта;
- гражданство;
- образование;
- профессия;
- должность;
- стаж работы;
- состояние в браке;
- сведения о воинском учёте;
- сведения о доходах, налогах и социальных выплатах;
- сведения об имущественном положении;
-	семейное положение, состав семьи.

Перечень персональных контрагентов:
- ФИО;
- паспортные данные;
- адрес;
- контактный телефон;
- сведения о принадлежащей на праве собственности недвижимости.

4. Сроки и правила хранения персональных данных

Подразделения, хранящие персональные данные на бумажных носителях, обеспечивают их хранение и защиту от несанкционированного доступа и копирования согласно Трудовому кодексу РФ и "Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", утвержденного постановлением правительства РФ 15 сентября 2008 г. N 687.
Персональные данные субъектов хранятся не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении. ПДн уничтожаются с использованием сертифицированных средств защиты информации или средств гарантированного уничтожения в соответствии с инструкциями пользователя или администратора информационной безопасности.

5. Меры по обеспечению безопасности персональных данных при их обработке

Наше предприятие при обработке персональных данных принимает все необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Обеспечение безопасности персональных данных достигается, в частности:
1) определением типа угроз безопасности, актуальных для информационных систем. Для всех ИСПДн проведено моделирование угроз;
2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных. Все принятые меры по обеспечению защиты информации соответствуют НМД ФСТЭК и ФСБ России;
3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
5) учётом машинных носителей персональных данных;
6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учёта всех действий, совершаемых с персональными данными в информационной системе персональных данных;
9) контролем над принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
Политикой информационной безопасности нашего предприятия предусмотрен ряд локальных актов, позволяющих реализовывать и поддерживать вышеуказанные меры на должном уровне.
Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации, а также используемые в информационной системе информационные технологии. 
При обработке персональных данных в информационных системах обеспечено:
а) проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;
б) своевременное обнаружение фактов несанкционированного доступа к персональным данным;
в) недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
г) возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
д) постоянный контроль за обеспечением уровня защищенности персональных данных.
Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах предприятия включают в себя:
а) определение угроз безопасности, актуальных для персональных данных при их обработке в информационных системах;
б) разработку на основе модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз;
в) проверку готовности средств защиты информации к использованию с составлением заключений о возможности их эксплуатации;
г) установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;
д) обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
е) учёт применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;
ж) учёт лиц, допущенных к работе с персональными данными в информационных системах;
з) контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
и) разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищённости персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений;
к) описание системы защиты персональных данных.
Система защиты информации реализуется комплексом правовых, режимных, организационных и программно-технических мер.
Мероприятия по обеспечению безопасности ПДн при их обработке в ИСПДн носят плановый характер и отражаются в соответствующих планах работ по обеспечению защиты информации, утверждаемых руководством предприятия.

6. Порядок осуществления субъектом персональных данных прав. Порядок реагирования на запросы субъектов ПДн. Лица, ответственные за организацию обработки персональных данных

6.1. В целях реализации Ваших прав, предусмотренных законодательством о персональных данных, Вы можете обратиться с письменным заявлением в свободной форме в наш адрес. Ваши права будут реализованы в соответствии со ст. 20 ФЗ-152:
1. Оператор обязан сообщить в порядке, предусмотренном статьей 14 настоящего Федерального закона, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.
2. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя.
3. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесённых изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
4. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса.
6.2.Порядок реагирования на запросы субъектов ПДн.
Субъекты ПДн имеют право:
- получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной);
- получать свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные субъекта, за исключением случаев, предусмотренных федеральным законом;
- требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением законодательства;
- при отказе оператора или уполномоченного им лица исключить или исправить персональные данные субъекта — заявить в письменной форме о своём несогласии, представив соответствующее обоснование;
- дополнить персональные данные оценочного характера заявлением, выражающим его собственную точку зрения;
- требовать от оператора или уполномоченного им лица уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта, обо всех произведенных в них изменениях или исключениях из них;
- обжаловать в суде любые неправомерные действия или бездействие оператора или уполномоченного им лица при обработке и защите персональных данных субъекта.
6.3. Лица, ответственные за организацию обработки персональных данных.
Система защиты персональных данных предприятия поддерживается сотрудниками, обеспечивающими защиту персональных данных на различных уровнях.
Ответственным за организацию обработки персональных данных на нашем предприятии назначен Хусаинов Рафис Рафисович — заместитель генерального директора по общим вопросам.
Лицо, ответственное за организацию обработки персональных данных, в частности, обязано:
1) осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
2) доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
3) организовывать приём и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приёмом и обработкой таких обращений и запросов.
К данному сотруднику учреждения вы можете обратиться:
по почтовому адресу 628285, Ханты-Мансийский автономный округ – Югра Тюменской области, г. Урай, микрорайон 2, д. 44;
по электронной почте vodokanal_urai@mail.ru;
по телефону (34676) 2-44-65

Вы можете быть уверены, что учёт Ваших обращений и реагирование на них будут соответствовать требованиям законодательства РФ в области защиты ПДн. Работа по реализации Ваших прав и учёту обращений будет проводиться в порядке, предусмотренном локальными актами политики информационной безопасности нашего предприятия, разработанными на основе требований законодательства РФ.