Приказ о допуске работников к обработке ПДн о назначении ответственного за ПДн

1.1. Утвердить перечень должностей работников, допущенных к обработке персональных данных, с указанием объёма доступа согласно приложению № 1 к настоящему приказу.

1.2. Утвердить матрицу доступа работников к информационным системам персональных данных согласно приложению № 2 к настоящему приказу.

1.3. Ввести перечень и матрицу доступа в действие с __________.

1.4. Установить, что доступ к персональным данным предоставляется исключительно работникам, замещающим должности, включённые в перечень.

1.5. Установить, что предоставление доступа к персональным данным лицам, не включённым в перечень, не допускается независимо от их должности и от устного распоряжения руководителя.

1.6. Перечень должностей, допущенных к обработке персональных данных, утверждается впервые.

2.1. Доступ предоставляется в объёме, минимально необходимом для исполнения работником его трудовых обязанностей.

2.2. Объём доступа описывается действиями с данными: просмотр, внесение, изменение, выгрузка, передача, удаление.

2.3. Формулировка «полный доступ» объёма не определяет и не применяется.

2.4. Работник получает доступ только к тем категориям данных, которые указаны в перечне применительно к его должности, и только в тех информационных системах, которые в перечне названы.

2.5. Право выгрузки массивов данных и право экспорта из информационных систем предоставляются отдельно и только тем работникам, которым это необходимо по характеру работы.

2.6. Руководитель подразделения не получает доступ к данным работников других подразделений на основании одной лишь занимаемой должности.

2.7. Обработка ограничивается достижением конкретных, заранее определённых и законных целей, а объём обрабатываемых данных соответствует этим целям 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

3.1. Предоставлять доступ к информационным системам персональных данных по заявке, форма которой приведена в приложении № 3 к настоящему приказу.

3.2. Заявку подаёт руководитель подразделения, согласовывает ответственный за организацию обработки персональных данных __________, исполняет __________.

3.3. Доступ предоставляется в течение __________ рабочих дней со дня согласования заявки и не ранее подписания работником обязательства о неразглашении.

3.4. Каждому работнику создаётся персональная учётная запись.

3.5. Использование одной учётной записи несколькими работниками не допускается, поскольку делает невозможным установление лица, совершившего действие с данными.

3.6. Пароль является персональным, не подлежит передаче другим работникам и записи в доступном для третьих лиц виде.

3.7. Смена пароля производится не реже одного раза в __________ дней.

3.8. Изменение объёма доступа оформляется в том же порядке, что и его предоставление.

3.9. Устное указание основанием для изменения прав не является.

3.10. Факт предоставления, изменения и прекращения доступа фиксируется __________ в журнале учёта доступа с указанием даты и основания.

4.1. Ознакомить работников, допущенных к обработке персональных данных, с настоящим приказом, с политикой обработки персональных данных и с иными локальными актами оператора по этим вопросам под подпись.

4.2. Получить от каждого допущенного работника подписанное обязательство о неразглашении персональных данных по форме приложения № 4 к настоящему приказу.

4.3. Ознакомление проводится до фактического предоставления доступа к данным.

4.4. Доступ работнику, не подписавшему обязательство, не предоставляется.

4.5. Работники, принимаемые на должности, включённые в перечень, знакомятся с настоящим приказом до подписания трудового договора ТК РФ ст. 68ТК РФ ст. 68Оформление приёма на работу.

4.6. Установить, что лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

4.7. Обязательство о неразглашении сохраняет силу и после прекращения трудовых отношений в части запрета разглашать ставшие известными персональные данные.

4.8. Работники предупреждаются об ответственности за разглашение персональных данных, ставших им известными в связи с исполнением трудовых обязанностей ТК РФ ст. 90ТК РФ ст. 90Ответственность за нарушение норм о данных работника.

4.9. Листы ознакомления и подписанные обязательства хранятся вместе с настоящим приказом и предъявляются при проверках.

5.1. Ответственному за организацию обработки персональных данных совместно с отделом кадров актуализировать перечень при приёме, переводе и увольнении работников в течение одного рабочего дня.

5.2. При приёме работника на должность, включённую в перечень, доступ предоставляется после ознакомления с локальными актами и подписания обязательства о неразглашении.

5.3. При переводе работника на должность, не предусматривающую работу с персональными данными, права доступа прекращаются в день перевода.

5.4. При увольнении работника учётные записи блокируются в день увольнения до окончания рабочего дня, а выданные материальные носители изымаются по акту.

5.5. Блокировка доступа уволенного работника производится независимо от того, сданы ли им дела: сохранение действующей учётной записи после увольнения является самостоятельным нарушением.

5.6. Пароли к общим и служебным учётным записям, которые были известны уволенному работнику, подлежат смене в день увольнения.

5.7. Отдел кадров сообщает __________ об увольнении и переводе работника в день издания соответствующего приказа.

5.8. При изменении наименования должности или структуры подразделений перечень приводится в соответствие в течение пяти рабочих дней.

6.1. Проводить сверку фактических прав доступа в информационных системах с утверждённым перечнем и матрицей доступа __________.

6.2. При сверке проверяется отсутствие действующих учётных записей уволенных и переведённых работников, а также отсутствие прав, не предусмотренных матрицей доступа.

6.3. При сверке проверяется наличие обязательств о неразглашении у всех работников, имеющих действующий доступ.

6.4. Выявленные несоответствия устраняются в день их обнаружения, а сведения о них включаются в материалы внутреннего контроля обработки персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

6.5. Результаты сверки оформляются справкой, которая подписывается __________ и ответственным за организацию обработки персональных данных.

6.6. Учётные записи, не используемые более трёх месяцев, блокируются до выяснения необходимости их сохранения.

6.7. Ответственному за организацию обработки персональных данных в срок до __________ привести фактические права доступа в соответствие с утверждённой матрицей доступа.

7.1. Работник обязан немедленно сообщить ответственному за организацию обработки персональных данных о ставших ему известными фактах утраты носителя, разглашения данных или неправомерного доступа к ним.

7.2. При компрометации учётных данных работника доступ блокируется немедленно, пароль изменяется, а обстоятельства компрометации фиксируются в журнале учёта инцидентов.

7.3. При выявлении факта неправомерной передачи персональных данных оператор уведомляет уполномоченный орган в порядке и в сроки, установленные законом 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

7.4. По каждому инциденту проводится внеплановая проверка соблюдения порядка доступа и устанавливается, соответствовали ли фактические права доступа утверждённой матрице.

7.5. Неправомерный доступ к охраняемой законом компьютерной информации, повлёкший её копирование или уничтожение, влечёт уголовную ответственность УК РФ ст. 272УК РФ ст. 272Неправомерный доступ к компьютерной информации.

7.6. Сокрытие работником факта утраты носителя или разглашения данных рассматривается как самостоятельное нарушение трудовых обязанностей.

10.1. Приказ вступает в силу со дня подписания, если в нём прямо не указана иная дата введения в действие.

10.2. Приказ регистрируется в журнале регистрации приказов по основной деятельности и хранится вместе с приложениями.

10.3. Приказ, листы ознакомления и обязательства о неразглашении хранятся в сроки, установленные для документов по вопросам защиты персональных данных, но не менее пяти лет со дня утраты приказом силы 125-ФЗ ст. 17125-ФЗ ст. 17Обязанности государственных органов, органов местного самоуправления, организаций и граждан, занимающихся предпринимательской деятельностью без образования юридического лица, по обеспечению сохранности архивных документов.

10.4. Приложения к приказу являются его неотъемлемой частью.