I. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика в отношении обработки персональных данных в Общественной организации «Союз юных педагогов» (далее – Политика) разработана во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) и определяет основные вопросы, связанные с обработкой персональных данных в Общественной организации «Союз юных педагогов» (далее – Организация).
1.2. Политика действует в отношении всех персональных данных членов Организации, а также лиц, выразивших намерение стать членами Организации, которые обрабатывает Организация.
1.3. Политика является общедоступным документом Организации и предусматривает возможность ознакомления с ней любых лиц по ссылке в сети Интернет: oo-syp.ru/privacy.
1.4. Термины настоящей Политики используются в значении, определённом Законом о персональных данных и иными нормативными правовыми актами Российской Федерации.
1.5. Правовыми основаниями обработки персональных данных являются: Конституция Российской Федерации; Гражданский кодекс Российской Федерации; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Федеральный закон от 19.05.1995 № 82-ФЗ «Об общественных объединениях»; Устав Общественной организации «Союз юных педагогов» (далее – Устав); Положение о кадровой работе, дисциплине и контроле; договоры, заключаемые между Организацией и субъектами персональных данных; согласия субъектов персональных данных на обработку их персональных данных.
1.6. Оператором персональных данных является Общественная организация «Союз юных педагогов». Лицом, ответственным за организацию обработки персональных данных в Организации, является должностное лицо, назначаемое приказом Председателя Организации.
II. ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Обработка персональных данных в Организации осуществляется на основе следующих принципов:
– обработка персональных данных осуществляется на законной и справедливой основе;
– обработка персональных данных осуществляется соразмерно заявленным целям их обработки;
– обработка персональных данных осуществляется с согласия субъекта персональных данных или на иных законных основаниях, установленных законодательными актами;
– содержание и объём персональных данных соответствуют заявленным целям их обработки;
– обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям;
– обработка персональных данных носит прозрачный характер;
– персональные данные хранятся в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют заявленные цели обработки.
2.2. Организация может осуществлять обработку персональных данных в следующих целях:
– обеспечения соблюдения требований законодательства Российской Федерации, исполнения требований Устава и локальных правовых актов Организации;
– организации приёма в члены Организации и исключения из членов Организации, надлежащего учёта членов Организации;
– осуществления функций, полномочий и обязанностей, возложенных на Организацию, включая ведение кадрового учёта, формирование кадрового резерва, подготовку справочной и аналитической информации;
– поиска, подбора, оценки и проверки кандидатов на должности в Организации, включения и ведения базы данных кандидатов;
– ведения кадрового делопроизводства и кадровой документации;
– оформления и исполнения договоров о безвозмездной добровольческой (волонтёрской) деятельности, реализации прав и исполнения обязанностей Организации;
– регулирования отношений Организации с должностными лицами (ведения кадрового резерва, обучения, оценки выполняемой работы, контроля надлежащего исполнения обязанностей, выдачи доверенностей, обеспечения сохранности имущества, предотвращения правонарушений);
– подготовки и проведения мероприятий, программ и проектов Организации;
– обеспечения безопасности членов Организации, участников мероприятий;
– информирования субъектов персональных данных и общества о деятельности Организации, в том числе путём размещения информации в официальных информационных ресурсах Организации (сайт, социальные сети);
– коммуникации с субъектом персональных данных при его обращении в Организацию;
– рассмотрения обращений, заявлений и запросов субъектов персональных данных;
– исполнения судебных постановлений, запросов уполномоченных органов;
– иных целях, предусмотренных Уставом и локальными правовыми актами Организации.
2.3. Организация не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, за исключением случаев, когда обработка таких данных осуществляется с согласия субъекта персональных данных либо без согласия в случаях, предусмотренных законодательством Российской Федерации.
2.4. Организация не осуществляет обработку биометрических персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) без согласия субъекта персональных данных в письменной форме.
III. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Организация может осуществлять обработку персональных данных следующих категорий субъектов:
– физические лица, являющиеся членами Организации в соответствии с пунктом 3.1 Устава;
– физические лица, выразившие намерение стать членами Организации;
– физические лица – кандидаты на должности в Организации (помощники Председателя, руководители структурных подразделений, специалисты, заместители Председателя);
– физические лица, с которыми Организация заключила (планирует заключить) договоры о безвозмездной добровольческой (волонтёрской) деятельности;
– должностные лица Организации, указанные в пункте 4.24 Устава;
– законные представители членов Организации в возрасте от 12 до 15 лет;
– физические лица, обратившиеся в Организацию с запросами, заявлениями, обращениями;
– физические лица, принимающие участие в мероприятиях, проводимых Организацией.
3.2. В зависимости от целей обработки персональных данных и категорий субъектов Организация может обрабатывать следующие персональные данные:
– фамилия, имя, отчество (в том числе предыдущие в случае их изменения);
– пол;
– число, месяц, год рождения, место рождения;
– данные о гражданстве;
– вид, серия, номер, код документа, удостоверяющего личность, дата выдачи, наименование органа, выдавшего документ, срок действия;
– данные о регистрации по месту жительства и (или) пребывания, адрес фактического проживания;
– контактные данные (номера телефонов, адрес электронной почты);
– сведения о семейном положении, составе семьи;
– сведения об образовании, опыте работы, квалификации, профессиональной подготовке и повышении квалификации;
– сведения о местах работы, занимаемых должностях;
– сведения о государственных наградах, иных наградах (поощрениях), почётных званиях;
– фотографические изображения;
– сведения о членстве в Организации;
– сведения, содержащиеся в резюме (анкете), справке-объективке, характеристике, рекомендациях;
– сведения о результатах собеседований и оценки квалификации;
– сведения о трудовой (волонтёрской) деятельности;
– сведения, относящиеся к деятельности у Оператора (сведения о назначении на должность, освобождении от должности, дисциплинарных взысканиях, поощрениях);
– иные сведения, предоставление которых необходимо для достижения целей обработки персональных данных.
3.3. Специальные категории персональных данных обрабатываются Организацией только при условии согласия субъекта персональных данных либо без согласия в иных случаях, предусмотренных законодательством Российской Федерации.
IV. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Обработка персональных данных членов Организации осуществляется на основании подпункта 5 части 1 статьи 6 Закона о персональных данных – для достижения законных целей, предусмотренных учредительными документами Организации (Уставом), при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных.
4.2. Организация вправе осуществлять обработку персональных данных членов Организации без уведомления уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзора) при соблюдении условий, предусмотренных частью 2 статьи 22 Закона о персональных данных, в том числе при условии, что персональные данные членов общественного объединения не размещаются в сети Интернет и не распространяются третьим лицам без согласия в письменной форме.
4.3. В случае, если персональные данные членов Организации размещаются в сети Интернет и (или) помимо членов Организации обрабатываются персональные данные иных субъектов, подача уведомления в территориальный орган Роскомнадзора обязательна.
4.4. Обработка персональных данных, не относящихся к членам Организации (кандидаты, контрагенты, обратившиеся лица, участники мероприятий), осуществляется на основании:
– согласия субъекта персональных данных;
– необходимости исполнения договора, стороной которого является субъект персональных данных;
– необходимости осуществления прав и законных интересов Организации или третьих лиц.
V. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Организация осуществляет обработку персональных данных как с использованием средств автоматизации, так и без их использования (смешанная обработка).
5.2. Обработка персональных данных может включать в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
5.3. Согласие субъекта персональных данных представляет собой свободное, конкретное, предметное, информированное, сознательное и однозначное выражение его воли, посредством которого он разрешает обработку своих персональных данных.
5.4. Согласие в письменной форме на обработку персональных данных должно содержать сведения, предусмотренные частью 4 статьи 9 Закона о персональных данных, в том числе:
– фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
– фамилию, имя, отчество, адрес представителя субъекта персональных данных (при получении согласия от представителя);
– наименование и адрес оператора, получающего согласие;
– цель обработки персональных данных;
– перечень персональных данных, на обработку которых даётся согласие;
– наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора (если обработка поручена такому лицу);
– перечень действий с персональными данными, общее описание используемых способов обработки;
– срок, в течение которого действует согласие, а также способ его отзыва;
– подпись субъекта персональных данных.
5.5. Организация может предоставлять (передавать) персональные данные третьим лицам с соблюдением требований законодательства для достижения целей, заявленных Организацией.
5.6. Организация вправе поручить обработку персональных данных от своего имени или в своих интересах уполномоченному лицу на основании заключаемого договора. Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению Организации необходимо получение согласия субъекта, такое согласие получает Организация.
5.7. Ответственность перед субъектом персональных данных за действия уполномоченного лица несёт Организация. Уполномоченное лицо, осуществляющее обработку персональных данных по поручению Организации, несёт ответственность перед Организацией.
VI. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Трансграничная передача персональных данных осуществляется Организацией в соответствии со статьёй 12 Закона о персональных данных.
6.2. До начала осуществления трансграничной передачи персональных данных Организация обязана убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу персональных данных, обеспечивается адекватная защита прав субъектов персональных данных.
6.3. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:
– наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных;
– исполнения договора, стороной которого является субъект персональных данных.
6.4. Организация до подачи уведомления о намерении осуществлять трансграничную передачу персональных данных обязана получить от лиц, которым планируется трансграничная передача персональных данных, сведения, предусмотренные частью 5 статьи 12 Закона о персональных данных, в том числе:
– сведения о принимаемых мерах по защите передаваемых персональных данных и об условиях прекращения их обработки;
– информацию о правовом регулировании в области персональных данных иностранного государства;
– сведения об органах власти иностранного государства, иностранных физических лицах, иностранных юридических лицах, которым планируется трансграничная передача персональных данных.
6.5. Организация может осуществлять трансграничную передачу персональных данных с соблюдением установленных законодательством требований и принимает необходимые меры безопасности по защите персональных данных в случае трансграничной передачи персональных данных.
VII. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
7.1. Организация имеет право:
– получать от субъекта персональных данных достоверные информацию и (или) документы, содержащие персональные данные;
– запрашивать у субъекта персональных данных информацию об актуальности и достоверности предоставленных персональных данных;
– в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку персональных данных без согласия субъекта при наличии оснований, указанных в Законе о персональных данных;
– отказать субъекту персональных данных в удовлетворении требований о прекращении обработки его персональных данных и (или) их удаления при наличии оснований для обработки, предусмотренных законодательством Российской Федерации;
– в случае необходимости для достижения целей обработки персональных данных передавать их третьим лицам с соблюдением требований законодательства;
– самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных.
7.2. Организация обязана:
– обрабатывать персональные данные в порядке, установленном законодательством Российской Федерации;
– обеспечивать защиту персональных данных в процессе их обработки;
– принимать меры по обеспечению достоверности обрабатываемых персональных данных, вносить изменения в персональные данные, являющиеся неполными, устаревшими или неточными;
– рассматривать заявления субъектов персональных данных по вопросам обработки персональных данных и давать на них мотивированные ответы;
– предоставлять субъекту персональных данных информацию о его персональных данных, об их предоставлении третьим лицам;
– прекращать обработку персональных данных, а также осуществлять их удаление или блокирование при отсутствии оснований для их обработки, а также по требованию субъекта персональных данных;
– разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;
– получать согласие субъекта персональных данных на обработку персональных данных, за исключением случаев, предусмотренных Законом и иными законодательными актами;
– выполнять иные обязанности, предусмотренные законодательством Российской Федерации.
VIII. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Субъект персональных данных имеет право:
– на получение информации, касающейся обработки Организацией его персональных данных;
– на внесение изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными;
– на отзыв своего согласия на обработку персональных данных;
– на получение информации о предоставлении своих персональных данных третьим лицам;
– на прекращение обработки своих персональных данных, включая их удаление, при отсутствии оснований для их обработки;
– на обжалование действий (бездействия) и решения Организации, относящегося к обработке его персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством;
– на осуществление иных прав, предусмотренных законодательством Российской Федерации.
8.2. Субъект персональных данных обязан:
– предоставлять Организации исключительно достоверные сведения о себе;
– в случае необходимости предоставлять Организации документы, содержащие персональные данные в объёме, необходимом для цели их обработки;
– информировать Организацию об изменениях своих персональных данных.
IX. МЕХАНИЗМ РЕАЛИЗАЦИИ ПРАВ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Субъект персональных данных имеет право в любое время без объяснения причин отозвать своё согласие на обработку персональных данных посредством подачи Организации заявления.
9.2. Организация обязана в 15-дневный срок после получения заявления субъекта персональных данных в соответствии с его содержанием прекратить обработку персональных данных, осуществить их удаление и уведомить об этом субъекта персональных данных, если отсутствуют иные основания для таких действий с персональными данными, предусмотренные законодательными актами.
9.3. При отсутствии технической возможности удаления персональных данных Организация обязана принять меры по недопущению дальнейшей обработки персональных данных, включая их блокирование, и уведомить об этом субъекта персональных данных в тот же срок.
9.4. Субъект персональных данных имеет право на получение информации, касающейся обработки персональных данных, содержащей:
– наименование и место нахождения оператора;
– подтверждение факта обработки персональных данных оператором;
– персональные данные субъекта персональных данных и источник их получения;
– правовые основания и цели обработки персональных данных;
– срок, на который дано согласие субъекта на обработку персональных данных;
– наименование и место нахождения уполномоченного лица, если обработка персональных данных поручена такому лицу;
– иную информацию, предусмотренную законодательством Российской Федерации.
9.5. Для получения указанной информации субъект персональных данных должен подать Организации заявление. Субъект персональных данных не должен обосновывать свой интерес к запрашиваемой информации.
9.6. Организация обязана в течение 5 рабочих дней после получения соответствующего заявления предоставить субъекту персональных данных в доступной форме запрашиваемую информацию либо уведомить о причинах отказа в её предоставлении.
9.7. Субъект персональных данных имеет право требовать от Организации внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными. Для этого необходимо подать Организации заявление с приложением соответствующих документов.
9.8. Организация обязана в 15-дневный срок после получения заявления субъекта персональных данных внести соответствующие изменения в персональные данные субъекта и уведомить его об этом либо уведомить о причинах отказа во внесении таких изменений.
9.9. Субъект персональных данных имеет право получать от Организации информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно. Для получения указанной информации субъект персональных данных должен подать заявление Организации.
9.10. Организация обязана в 15-дневный срок после получения заявления субъекта персональных данных предоставить ему информацию о том, какие персональные данные этого субъекта и кому предоставлялись в течение года, предшествовавшего дате подачи заявления, либо уведомить его о причинах отказа в предоставлении такой информации.
9.11. Заявление субъекта персональных данных должно содержать:
– фамилию, имя, отчество (если таковое имеется) субъекта персональных данных;
– адрес места жительства (места пребывания) субъекта персональных данных;
– дату рождения субъекта персональных данных;
– идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер документа, удостоверяющего личность;
– изложение сути требований субъекта персональных данных;
– личную подпись либо электронную цифровую подпись субъекта персональных данных.
9.12. Субъект персональных данных имеет право обжаловать действия (бездействие) и решения Организации, нарушающие права субъекта персональных данных при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц.
X. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. При обработке персональных данных Организация принимает необходимые правовые, организационные и технические меры по обеспечению защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
10.2. Обеспечение безопасности персональных данных в Организации достигается, в частности:
– принятием внутренних нормативных документов по вопросам обработки и защиты персональных данных;
– определением угроз безопасности персональных данных при их обработке;
– применением правовых, организационных и технических мер по обеспечению безопасности персональных данных;
– установлением правил доступа к персональным данным, обрабатываемым в информационных системах;
– контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищённости информационных систем;
– ознакомлением должностных лиц Организации, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации в области персональных данных.
10.3. При обработке персональных данных Организация обеспечивает использование баз данных, находящихся на территории Российской Федерации.
XI. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
11.1. Сроки обработки персональных данных определяются с учётом целей обработки персональных данных, требований законодательства и воли соответствующих субъектов персональных данных.
11.2. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен законодательством Российской Федерации, договором, заключённым (заключаемым) с субъектом персональных данных.
11.3. Условием прекращения обработки персональных данных может являться:
– достижение целей обработки персональных данных;
– истечение срока обработки персональных данных;
– отзыв согласия субъекта персональных данных на обработку его персональных данных;
– требование о прекращении обработки персональных данных субъекта персональных данных;
– отсутствие основания для обработки персональных данных;
– иные случаи, предусмотренные законодательством.
11.4. Документы, содержащие персональные данные, сроки хранения которых истекли, подлежат уничтожению.
11.5. Уничтожение по окончании срока обработки персональных данных на электронных носителях производится путём механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.
XII. ОТВЕТСТВЕННОСТЬ
12.1. Лицом, ответственным за организацию обработки персональных данных в Организации, является должностное лицо, назначаемое соответствующим приказом Председателя Организации.
12.2. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от Председателя Организации, подотчётно ему и обязано:
– организовывать принятие правовых, организационных и технических мер для обеспечения защиты персональных данных;
– осуществлять внутренний контроль за соблюдением Организацией и её должностными лицами законодательства Российской Федерации о персональных данных;
– доводить до сведения должностных лиц Организации положения законодательства Российской Федерации о персональных данных;
– организовывать приём и обработку обращений и запросов субъектов персональных данных или их представителей;
– в случае нарушения требований к защите персональных данных принимать необходимые меры по восстановлению нарушенных прав субъектов персональных данных.
12.3. Нарушение требований законодательства Российской Федерации в области персональных данных влечёт ответственность, предусмотренную законодательством Российской Федерации.
XIII. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
13.1. Вопросы, касающиеся обработки персональных данных, не отражённые в настоящей Политике, регулируются законодательством Российской Федерации, Уставом Организации, иными локальными правовыми актами Организации.
13.2. В случае, если какое-либо положение Политики признаётся противоречащим законодательству, остальные положения, соответствующие законодательству, остаются в силе и являются действительными, а любое недействительное положение считается удалённым/изменённым в той мере, в какой это необходимо для обеспечения его соответствия законодательству.
13.3. Организация имеет право по своему усмотрению изменять и (или) дополнять условия настоящей Политики без предварительного и (или) последующего уведомления субъектов персональных данных.
13.4. Настоящая Политика вступает в силу со дня её утверждения Президиумом Правления Организации.