Политика в отношении обработки персональных данных

1. Общие положения
Настоящая политика конфиденциальности персональных данных пользователей официального сайта учреждения и сайтов структурных подразделений (библиотек) Санкт-Петербургского государственного бюджетного учреждения культуры «Централизованная библиотечная система Красногвардейского района» (далее – Политика) составлена в соответствии с требованиями Федерального закона от 27.07.2006. № 152-ФЗ «О персональных данных» (далее – «Закон о персональных данных») и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Санкт-Петербургским государственным бюджетным учреждением культуры «Централизованная библиотечная система Красногвардейского района» (далее – Учреждение), устанавливает порядок обработки персональных данных пользователей официального сайта Учреждения и пользователей сайтов структурных подразделений (библиотек) Учреждения, обеспечивает соблюдение требований защиты прав граждан при обработке персональных данных.
1.2. Настоящая Политика утверждена приказом директора Учреждения и действует до его отмены или до замены иным аналогичным локальным нормативным актом.
1.3. Политика является обязательным для исполнения всеми сотрудниками Учреждения, имеющими доступ к персональным данным пользователей и (или) работников Учреждения применяется ко всей информации, которую Оператор может получить о посетителях веб-сайта kr-cbs.ru/.

2. Основные понятия, используемые в Политике
2.1. Сайт – совокупность программ для электронных вычислительных машин (ЭВМ) и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-телекоммуникационной сети «Интернет» по доменным именам и (или) по сетевым адресам, позволяющим идентифицировать сайты и обеспечивающих публикацию данных в «Интернет» для всеобщего обозрения; сайт может содержать графическую, текстовую, аудио-, видео, а также иную информацию, воспроизводимую с помощью ЭВМ.
2.2. Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных);
2.3. Субъект персональных данных в контексте настоящей Политики – физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных, т.е. посетитель официального сайта Учреждения, сайтов структурных подразделений (библиотек) Учреждения.
2.4. Обработка персональных данных – любые действия (операции), совершаемые с персональными данными с использованием средств автоматизации или без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.5. Оператор персональных данных – юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и содержание обработки персональных данных;
2.6. Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или иного законного основания;
2.7. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
2.8. Распространение персональных данных – любые действия, направленные на раскрытие персональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.
2.9. Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности;
2.10. Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц, либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;
2.11. Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;
2.12. Обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;
2.13. Блокирование персональных данных – временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;
2.14. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3. Состав персональных данных пользователя
3.1. Состав персональных данных, самостоятельно предоставляемых Пользователем сайта Учреждения и (или) сайтов библиотек (далее – Пользователь), при выполнении действий на сайте Учреждения и (или) на сайтах библиотек:
— автоматически собираемые данные;
— IP-адрес;
— сбор и обработка обезличенных данных о посетителях (в т.ч. файлов «cookie») с помощью сервисов интернет-статистики;
— информация о браузере Пользователя;
— технические характеристики оборудования и программного обеспечения, используемых Пользователем;
— дата и время доступа к сайту;
— адреса запрашиваемых страниц и иная подобная информация.
3.2. Состав персональных данных, самостоятельно предоставляемых Пользователем с ручным вводом данных, при выполнении действий на сайте Учреждения и (или) на сайтах библиотек (личный кабинет читателя на официальной сайте Учреждения, формы обратной связи):
— имя, отчество (при наличии);
— год рождения;
— паспортные данные (серия и номер паспорта);
— номер контактного телефона;
— адрес электронной почты;
— пол;
— иные сведения, которые представлены пользователем официального сайта Учреждения.
3.3. Указанные в пунктах 3.1–3.2 Политики персональные данные обрабатываются в целях:
— предоставления доступа Пользователю к информации о деятельности Учреждения, к сервисам, информации и/или материалам, содержащимся на сайте Учреждения и сайтах библиотек;
— удаленного обслуживания Пользователей на сайте Учреждения;
— подготовки ответов на вопросы Пользователя;
— улучшения качества работы сайта Учреждения и сайтов библиотек;
— проведения на основе обезличенных персональных данных статистических и иных исследований.
3.4. Учреждение обрабатывает персональные данные Пользователя только в случае их заполнения и/или отправки Пользователем самостоятельно через специальные формы, расположенные на сайте или направленные Учреждению посредством электронной почты. Заполняя соответствующие формы и/или отправляя свои персональные данные Учреждению, Пользователь выражает свое согласие с данной Политикой. Персональные данные Пользователя при дистанционной записи в библиотеку на сайте Учреждения (личный кабинет читателя) автоматически попадают в обезличенную базу данных «Единой системы библиотечного обслуживания Санкт-Петербурга», которая не содержат фамилий и сведений о документах удостоверяющих личность, на сайте данные не обрабатываются и не хранятся.
3.5. Учреждение обрабатывает обезличенные данные о Пользователе в случае, если это разрешено в настройках браузера Пользователя (включено сохранение файлов «cookie»).
3.6. Субъект персональных данных самостоятельно принимает решение о предоставлении его персональных данных и дает согласие свободно, своей волей и в своем интересе.
3.7. Обработка персональных данных Пользователей производится с их согласия. Пользователь, совершающий действия на сайте Учреждения и сайтах библиотек с целью отправки сообщений, тем самым выражает свое полное согласие в соответствии со статьей 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» на автоматизированную, а также без использования средств автоматизации, обработку и использование своих персональных данных.

4. Конфиденциальность персональных данных
4.1. Сведения, перечисленные в пункте 3. Политики, являются конфиденциальными. Учреждение обеспечивает конфиденциальность персональных данных и обязано не допускать их распространения без согласия пользователей, либо наличия иного законного основания.
4.2. Все меры конфиденциальности при сборе, обработке и хранении персональных данных Пользователей распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.
4.3. Режим конфиденциальности персональных данных снимается в случаях обезличивания или опубликования их в общедоступных источниках (СМИ, Интернет, ЕГРЮЛ и иных публичных государственных реестрах).

5. Права и обязанности оператора персональных данных
5.1. Обработка персональных данных Пользователей осуществляется Учреждением с согласия субъектов персональных данных, за исключением случаев, предусмотренных пунктом 5.2 настоящей статьи. Обязанность представить доказательство получения согласия на обработку персональных данных по основаниям данного пункта в соответствии с законом возлагается на оператора персональных данных.
5.2. Учреждение имеет право без согласия субъекта персональных данных осуществлять обработку его персональных данных в следующих случаях:
— обработка персональных данных осуществляется на основании федерального закона, устанавливающего её цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора персональных данных;
— обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
— обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
— осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами.
5.3. В целях обеспечения прав и свобод человека и гражданина Учреждение и его работники при обработке персональных данных Пользователя обязаны соблюдать следующие общие требования.
— При определении объема и содержания персональных данных Пользователя, подлежащих обработке, сотрудники Учреждения руководствуются Федеральным законом «О персональных данных», законодательством, регулирующим деятельность средств массовой информации, пользовательским соглашением. Учреждение получает персональные данные Пользователя только в объеме, необходимом для достижения законных целей сбора и обработки персональных данных.
— Сотрудники Учреждения не должны обрабатывать не являющиеся общедоступными персональные данные Пользователя о его судимости, политических, религиозных и иных убеждениях и частной жизни.
— Учреждение обеспечивает защиту персональных данных Пользователя от неправомерного их использования или утраты за собственный счет в порядке, установленном федеральным законодательством.
— В случае, если Учреждение на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.

6. Права субъекта персональных данных
6.1. Субъект персональных данных имеет право на получение сведений об операторе персональных данных (Учреждении):
— о месте его нахождения;
— о наличии у Учреждения персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными.
6.2. Субъект персональных данных вправе требовать от оператора персональных данных (Учреждения):
— уточнения своих персональных данных,
— их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
— принимать предусмотренные законом меры по защите своих прав.
6.3. Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных Учреждением в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
6.4. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю Учреждением при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.
6.5. Субъект персональных данных имеет право на получение при обращении информации, касающейся обработки его персональных данных, в том числе содержащей:
— подтверждение факта обработки персональных данных оператором персональных данных, а также цель такой обработки;
— способы обработки персональных данных, применяемые оператором персональных данных;
— сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ (сведения о должности);
— перечень обрабатываемых персональных данных и источник их получения;
— сроки обработки персональных данных, в том числе сроки их хранения;
— сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.
6.6. Субъект персональных данных имеет право:
— отозвать согласие на обработку персональных данных, ограничить способы и формы обработки персональных данных, запретить распространение персональных данных без его согласия;
— обжаловать действия или бездействие оператора персональных данных в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
— на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

7. Обработка персональных данных
7.1. Обработка персональных данных осуществляется Учреждением исключительно для достижения целей, определенных настоящей Политикой.
7.2. Обработка персональных данных Учреждением заключается в получении, систематизации, накоплении, хранении, уточнении (обновлении, изменении), использовании, распространении, обезличивании, блокировании, уничтожении и защите от несанкционированного доступа.
7.3. Обработка персональных данных ведется методом смешанной (в том числе автоматизированной) обработки.
7.4. К обработке персональных данных Пользователя могут иметь доступ только работники Учреждения, чьи должностные обязанности непосредственно связаны с доступом и работой с персональными данными Пользователя.
7.5. В случае соответствующего обращения субъекта персональных данных, оператор персональных данных (Учреждение) обязан произвести необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет Учреждение, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах Учреждение обязано уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы.
7.6. Оператор персональных данных уничтожает персональные данные Пользователя при достижении целей обработки персональных данных.

8. Передача персональных данных
8.1. Передача персональных данных осуществляется оператором персональных данных (Учреждением) исключительно в случае необходимости исполнения пользовательского соглашения либо предоставления Пользователю определенных сервисов с согласия Пользователя.
8.2. Передача персональных данных третьим лицам Учреждением не осуществляется.
8.3. Данная Политика не распространяется в случае обезличивания персональных данных и в отношении общедоступных персональных данных.
8.4. Передача персональных данных государственным органам осуществляется в рамках их полномочий в соответствии с законодательством Российской Федерации.

9. Хранение персональных данных
9.1. Персональные данные могут храниться в электронном виде только на территории Российской Федерации.

10. Доступ к персональным данным пользователей
10.1. Право доступа к персональным данным Пользователей имеют: директор Учреждения, работники Учреждения на должностях, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным.
10.2. Доступ субъекта персональных данных к своим персональным данным предоставляется при личном обращении либо при получении письменного запроса. Учреждение обязано сообщить субъекту персональных данных информацию о наличии персональных данных о нем, а также предоставить возможность ознакомления с ними в течение десяти рабочих дней с момента обращения.

11. Защита персональных данных
11.1. Защите подлежит информация, содержащая персональные данные Пользователя, размещенная на электронных носителях.
11.2. Оператор персональных данных (Учреждение) обязан при обработке персональных данных Пользователей принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
11.3. Общую организацию защиты персональных данных Пользователей осуществляет директор Учреждения.
11.4. Защита персональных данных Пользователей, обрабатываемых на сайте Учреждения и сайтах библиотек от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается работниками Учреждения.
11.5. Работники Учреждения, имеющие доступ к персональным данным Пользователя в связи с исполнением своих должностных обязанностей (далее – Работники):
— обеспечивают хранение информации, содержащей персональные данные Пользователей, исключающее доступ к ним третьих лиц;
— в отсутствие Работника на его рабочем месте не должно быть документов, содержащих персональные данные Пользователей;
— при уходе в отпуск, во время служебной командировки и иных случаях длительного отсутствия Работника на своем рабочем месте, он обязан передать носители, содержащие персональные данные Пользователей лицу, на которое локальным актом Учреждения (приказом, распоряжением) будет возложено исполнение его трудовых обязанностей. В случае если такое лицо не назначено, указанные выше документы и иные носители передаются другому работнику, имеющему доступ к персональным данным Пользователей.
11.6. При увольнении Работника, имеющего доступ к персональным данным Пользователей, носители, содержащие персональные данные, передаются другому работнику, имеющему доступ к персональным данным Пользователей.
11.7. Допуск к персональным данным Пользователей других работников Учреждения, должностные обязанности которых не предусматривают доступ к персональным данным, запрещается.
11.8. Защита персональных данных Пользователей, содержащихся на сайте Учреждения и сайтах библиотек, обеспечивается разграничением прав доступа с использованием учетной записи.
11.9. Все электронные приложения, содержащие персональные данные, включая информационные системы персональных данных, папки и файлы, содержащие персональные данные, защищаются паролем.
11.10. Копировать персональные данные Пользователей разрешается исключительно в служебных целях с разрешения директора Учреждения.
11.11. Ответы на письменные запросы уполномоченных государственных органов, других организаций и учреждений о персональных данных Пользователей даются только с письменного согласия субъектов персональных данных, если иное не установлено законодательством. Ответы оформляются в письменном виде, на бланке Учреждения, и в том объеме, который позволяет не разглашать излишний объем персональных данных.

12. Трансграничная передача персональных данных
12.1. Оператор до начала осуществления трансграничной передачи персональных данных обязан убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу персональных данных, обеспечивается надежная защита прав субъектов персональных данных.
12.2. Трансграничная передача персональных данных на территории иностранных государств, не отвечающих вышеуказанным требованиям, может осуществляться только в случае наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных и/или исполнения договора, стороной которого является субъект персональных данных.

13. Конфиденциальность персональных данных
Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

14. Заключительные положения
14.1. Пользователь может получить любые разъяснения по интересующим вопросам, касающимся обработки его персональных данных, обратившись к Оператору с помощью электронной почты info@kr-cbs.ru.
14.2. В данном документе будут отражены любые изменения политики обработки персональных данных Оператором. Политика действует бессрочно до замены ее новой версией.
14.3. Актуальная версия Политики в свободном доступе расположена в сети Интернет по адресу kr-cbs.ru/privacy.