Утверждено приказом Росжелдора
от 20 декабря 2016 года № 582
1. Общие положения
1.1. Регламент рассмотрения запросов субъектов персональных данных или их представителей об обработке их персональных данных в центральном аппарате Федерального агентства железнодорожного транспорта (далее – Регламент) разработан в соответствии с Федеральным законом Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – федеральный закон № 152-ФЗ) и определяет порядок работы с запросами субъектов персональных данных или их представителей, об обработке Федеральным агентством железнодорожного транспорта (далее - Росжелдор или оператор) их персональных данных (далее – ПДн).
1.2. Настоящий Регламент определяет порядок получения государственным гражданским служащим Росжелдора (далее – работник) запросов субъектов ПДн, порядок обработки запросов ответственными в этой компетенции работниками, порядок формирования ответов на запросы, а также порядок передачи ответов на запросы субъектам ПДн.
2. Порядок обращения субъекта ПДн к Росжелдору
2.1. Субъект ПДн имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
2.1.1. подтверждение факта обработки персональных данных Росжелдором;
2.1.2. правовые основания и цели обработки персональных данных;
2.1.3. цели и применяемые оператором способы обработки персональных данных;
2.1.4. наименование и место нахождения Росжелдора, сведения о лицах (за исключением работников Росжелдора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Росжелдором или на основании федерального закона;
2.1.5. обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
2.1.6. сроки обработки персональных данных, в том числе сроки их хранения;
2.1.7. порядок осуществления субъектом персональных данных прав, предусмотренных федеральным законом № 152-ФЗ;
2.1.8. информацию об осуществленной или о предполагаемой трансграничной передаче данных;
2.1.9. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Росжелдора, если обработка поручена или будет поручена такому лицу;
2.1.10. иные сведения, предусмотренные федеральным законом № 152-ФЗ или другими федеральными законами.
2.2. Запрос может поступить как в письменном, так и в устном виде.
2.3. Запрос субъекта ПДн на предоставление информации, должен содержать следующую обязательную информацию:
- номер основного документа, удостоверяющего личность субъекта ПДн или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта ПДн или его законного представителя;
- реквизиты доверенности законного представителя субъекта ПДн или иного документа, предусмотренного действующим законодательством РФ, на основании которого действует законный представитель;
- сведения, подтверждающие участие субъекта ПДн в отношениях с Росжелдором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Росжелдором.
2.4. При предъявлении письменного запроса субъект ПДн обязан предъявить основной документ, удостоверяющий личность субъекта ПДн, а законный представитель субъекта ПДн должен предъявить оригинал нотариально заверенной доверенности от субъекта ПДн (или иной документ, предусмотренный действующим законодательством РФ) с указанием полномочий, в том числе получение сведений от Росжелдора, и предоставить работнику Росжелдора заверенную копию вместе с запросом.
2.5. При устном запросе субъекта ПДн с требованием предоставить информацию о наличии ПДн работник, ответственный за организацию обработки и обеспечение безопасности ПДн, обязан предоставить субъекту ПДн бланк запроса, форма которого должна быть утверждена Росжелдором в установленном порядке. Учитывая тот факт, что в запросе содержится конфиденциальная информация субъекта, работник, ответственный за организацию обработки и обеспечение безопасности ПДн, обязан предоставить субъекту конверт для помещения запроса.
2.6. В случае получения запроса от субъекта ПДн почтовым отправлением работник, получивший запрос, обязан направить его в адрес работника, ответственного за организацию обработки и обеспечение безопасности ПДн, либо уполномоченного им работника.
2.7. Все обращения субъектов ПДн должны быть переданы работнику, ответственному за организацию обработки и обеспечение безопасности ПДн, либо уполномоченному им работнику в течение 1 (одного) рабочего дня от даты получения запроса с приложением пояснительной записки в свободной форме, содержащей сведения о том кто из работников, когда и при каких обстоятельствах получил на руки запрос субъекта.
2.8. В случае получения запроса в электронной форме и подписанного электронной подписью в соответствии с требованиями федеральных законов Российской Федерации также инициализируется процедура ответа субъекту в порядке, предусмотренном Регламентом.
2.9. Сведения по запросам субъектов должны быть предоставлены субъекту ПДн в доступной форме, и в них не должны содержаться ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, если имеются законные основания для раскрытия таких ПДн.
2.10. В случае, если сведения, указанные в части 7 статьи 14 федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», а также обрабатываемые ПДн были предоставлены для ознакомления субъекту ПДн по его запросу, субъект ПДн вправе обратиться повторно или направить повторный запрос в целях получения сведений, указанных в части 7 статьи 14 федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», и ознакомления с такими ПДн не ранее чем через 30 (тридцать) дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законодательством Российской Федерации, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн.
2.11. Субъект ПДн вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в части 7 статьи 14 федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», а также в целях ознакомления с обрабатываемыми ПДн до истечения 30 дней, в случае, если такие сведения и (или) обрабатываемые ПДн не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в части 7 статьи 14 федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», должен содержать обоснование направления повторного запроса.
2.12. Росжелдор вправе отказать субъекту ПДн в выполнении повторного запроса, не соответствующего условиям, описанным выше. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Росжелдоре.
3. Порядок регистрации запроса субъекта ПДн
3.1. Работник, ответственный за организацию обработки и обеспечение безопасности ПДн, в день получения запроса обязан зарегистрировать принятый запрос в журнал учета обращений субъектов ПДн по выполнению их законных прав учреждением (далее – журнал) по форме, утвержденной Росжелдором.
3.2. Журнал должен быть пронумерован, прошит, скреплен печатью и подписью уполномоченного работника.
3.3. Все запросы и ответы на них должны храниться в сейфе работника, ответственного за организацию обработки и обеспечение безопасности ПДн, или в специальном помещении учреждения, защищенном от несанкционированного доступа третьих лиц.
4. Проверка наличия/отсутствия ПДн субъекта ПДн в государственных информационных системах ПДн Росжелдора
4.1. По факту регистрации запроса работник, ответственный за организацию обработки и обеспечение безопасности ПДн, внимательно изучает запрос на предмет соответствия требованиям Положения об обработке и обеспечении защиты персональных данных, утвержденного Росжелдором, и действующего законодательства Российской Федерации.
4.2. В случае, если запрос оформлен ненадлежащим образом, а именно: в нем отсутствует информация о субъекте ПДн, подпись субъекта или его законного представителя или иная информация, которая должна быть отражена в соответствии с настоящим Регламентом, то работник, ответственный за организацию обработки и обеспечение безопасности ПДн, либо уполномоченное им лицо оформляет отказ в предоставлении информации.
4.3. В случае, если запрос оформлен в соответствии с требованиями законодательства Российской Федерации, то работник, ответственный за организацию обработки и обеспечение безопасности ПДн с привлечением пользователей государственной информационной системы ПДн, в которой обрабатывается искомая информация, находит всю информацию о субъекте ПДн и собирает данные по ПДн субъекта или констатирует факт, что ПДн о субъекте в государственной информационной системе ПДн отсутствуют. В зависимости от результатов поиска ПДн субъекта ПДн работник, ответственный за обработку запросов, составляет ответ на запрос субъекта ПДн.
4.4. Работник, ответственный за организацию обработки и обеспечение безопасности ПДн, в целях скорейшего сбора информации может направить запрос о субъекте пользователям государственных информационных систем ПДн Росжелдора по электронной почте, поставив в копию непосредственного руководителя отдела. Пользователи государственных информационных систем ПДн учреждения должны в течение 5 суток отреагировать на запрос ответственного за обработку запросов работника и предоставить всю информацию по субъекту ПДн, а если она отсутствует – сообщить об этом.
5. Оформление и содержание ответа на запрос при наличии или отсутствии ПДн субъекта в государственных информационных системах ПДн Росжелдора
5.1. В случае, если в государственных информационных системах Росжелдора имеется или отсутствует информация о ПДн субъекта, обратившегося с запросом, работник, ответственный за обработку запроса, составляет ответ на запрос субъекта в произвольной форме по существу вопросов.
5.2. Работник, ответственный за организацию обработки и обеспечение безопасности ПДн, либо уполномоченное им лицо:
подписывает ответ на запрос по ПДн субъекта, ставит печать учреждения, упаковывает в конверт для отправки посредством почтового отправления либо готовит ответ для вручения субъекту ПДн или его законному представителю способом, указанным в запросе, под подпись;
дубликат ответа прикладывается к запросу и хранится вместе с запросом;
в журнале учета обращений субъектов ПДн по выполнению их законных прав делается отметка об ответе на запрос, краткое содержание ответа (положительный, отрицательный, отказ), отражает дату отправления ответа, способ его отправления (почтовое отправление, лично в руки субъекту или его законному представителю), а также ставит свою подпись.
5.3. Срок ответа на запрос субъекта ПДн не может превышать 30 (тридцать) календарных дней от даты получения запроса от субъекта, если иной срок не будет установлен законодательством Российской Федерации.