Политика обработки персональных данных (далее — Политика) является ключевым локальным нормативным актом, регламентирующим порядок работы с персональными данными в структурных подразделениях администрации муниципального района. Данный документ обязателен для разработки и утверждения в соответствии с требованиями Федерального закона от № 152-ФЗ «О персональных данных» (далее, Закон № 152-ФЗ), а также нормативных правовых актов Роскомнадзора и профильных министерств.

Цель данной статьи — подробно разобрать правовые основы, обязательную структуру, особенности реализации и контроль за соблюдением Политики в органах местного самоуправления.

Правовое регулирование: базовый слой нормативных актов

Деятельность администрации района по обработке персональных данных строится на иерархии нормативных правовых актов:

• Конституция РФ (ст. 23, 24) — гарантия тайны личной и семейной жизни, права на защиту персональных данных.
• Федеральный закон № 152-ФЗ «О персональных данных» — основной закон, устанавливающий принципы, условия, права субъектов и обязанности операторов.
• Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации», регулирует вопросы информационной безопасности.
• Постановления Правительства РФ (в т.ч. Постановление № 1119 «Об утверждении требований к защите персональных данных…»).
• Приказы ФСТЭК и ФСБ России — устанавливают требования к техническим и программным средствам защиты информации (СЗИ) при обработке ПДн в информационных системах (ИСПДн).
• Методические рекомендации Роскомнадзора — разъясняют порядок составления локальных актов, уведомления о обработке, проведения оценки ущерба и т.д.
• Локальные нормативные акты администрации — Положение об ответственном за обработку ПДн, Инструкция по защите ПДн, Журналы учета, Политика конфиденциальности официального сайта;

Принципы обработки персональных данных (ст. 5 Закона № 152-ФЗ)

Политика администрации района должна закреплять и обеспечивать соблюдение следующих принципов:

1. Законность и справедливость: обработка осуществляется только на правовых основаниях (согласие субъекта, исполнение закона, договора, защита прав и т.д.).
2. Ограниченность целей: обработка данных допускается только для конкретных, заранее определенных и законных целей (например, предоставление муниципальных услуг, ведение кадрового делопроизводства, рассмотрение обращений граждан).
3. Минимизация данных: обрабатываются только те данные, которые адекватны, релевантны и не избыточны по отношению к целям обработки. Запрещается сбор данных «на будущее» или «про запас».
4. Точность и актуальность: администрация должна принимать меры для обеспечения точности и при необходимости обновления данных.
5. Ограничение сроков хранения: данные хранятся не дольше, чем этого требуют цели обработки или установленные законом сроки (с учетом архивного законодательства).
6. Конфиденциальность: доступ к ПДн имеют только уполномоченные сотрудники, принявшие на себя обязательство неразглашения.
7. Обеспечение безопасности: применение правовых, организационных и технических мер защиты от неправомерного доступа, уничтожения, модификации, блокирования, копирования, предоставления, распространения ПДн.

Обязательная структура Политики обработки ПДн

Согласно рекомендациям Роскомнадзора и судебной практике, Политика администрации района должна содержать следующие разделы:

Общие положения

• Наименование оператора (Администрация [Наименование] района).
• Ссылки на нормативную базу.
• Цели разработки Политики.
• Сфера действия (к каким категориям субъектов и категориям данных применяется).
• Определения ключевых терминов (оператор, обработка, субъект ПДн, ИСПДн, обезличивание и др.).

Категории субъектов и обрабатываемые категории данных

В администрации района обычно выделяют следующие группы субъектов:

• Сотрудники (кадровые данные): ФИО, паспортные данные, СНИЛС, ИНН, данные о образовании, трудовой стаж, сведения о доходах, семейном положении, биометрия (при СКУД), медицинские справки.
• Граждане, обращающиеся за муниципальными услугами: данные заявлений, контактные данные, документы, подтверждающие право на услугу (свидетельства о рождении/браке, справки о доходах, медицинские заключения).
• Участники публичных слушаний, опросов, конкурсов: ФИО, контакты, мнения, предложения.
• Посетители официального сайта: IP-адреса, cookie-файлы, данные форм обратной связи (в рамках Политики конфиденциальности сайта).

Цели и правовые основания обработки

Для каждой категории данных в Политике должна быть зафиксирована таблица соответствия: «Категория данных, Цель — Правовое основание (п. ч. 1 ст. 6 или ст. 11 Закона № 152-ФЗ)».

Примеры:

• Цель: Оказание муниципальной услуги «Предоставление сведений из ЕГРН». Основание: исполнение функции органа местного самоуправления (ч. 1 ст. 6, ч. 2 ст. 10 Закона № 152-ФЗ);
• Цель: Кадровый учет и расчет заработной платы. Основание: исполнение трудового договора и требований трудового законодательства (ч. 1 ст; 6, ч. 1 ст. 11 Закона № 152-ФЗ).
• Цель: Обеспечение режима доступа в здание (СКУД). Основание: защита жизни и здоровья сотрудников/посетителей (ч. 1 ст. 6, ч. 1 ст. 10 Закона № 152-ФЗ) или согласие.

Порядок обработки и перечень операций

Описание этапов жизненного цикла ПДн в администрации:

• Сбор (получение заявлений, анкет, сканирование документов).
• Запись и систематизация (внесение в АИС, реестры, карточки).
• Накопление и хранение (бумажные носители в сейфах/архивах, электронные — в ИСПДн).
• Использование (формирование ответов, отчетов, справок, приказов).
• Передача (межведомственное взаимодействие через СМЭВ, передача в суды, прокуратуру, полицию по основаниям ст. 22 Закона № 152-ФЗ).
• Обезличивание (для статистики, аналитики).
• Уничтожение (после истечения сроков хранения по актам экспертизы стоимости документов).

Меры обеспечения безопасности ПДн (ст. 19 Закона № 152-ФЗ)

Раздел должен детализировать три уровня защиты:

Организационные меры:

• Назначение ответственного за обработку ПДн (приказом главы администрации).
• Разработка и утверждение перечня сотрудников, допущенных к обработке.
• Ознакомление сотрудников с локальными актами под роспись.
• Установление режима доступа к помещениям, где хранятся носители ПДн (серверные, архивы, кабинеты).
• Ведение журналов учета: доступа к ИСПДн, инцидентов безопасности, выдачи/возврата носителей, уничтожения документов.
• Проводка регулярных инструктажей и обучения по защите ПДн.

Технические меры:

• Идентификация и аутентификация пользователей ИСПДн (логины/пароли, ЭЦП, токены).
• Разграничение прав доступа по ролям (RBAC) — принцип минимальных привилегий.
• Применение сертифицированных средств защиты информации (СЗИ): антивирусы, межсетевые экраны, СКЗИ (для шифрования), системы предотвращения утечек (DLP).
• Резервное копирование баз данных ПДн.
• Защита от несанкционированного доступа к бумажным носителям (замораживание архивов, сейфы, коврики для уничтожения).

Физические меры:

• Охрана здания, контроль проходов, видеонаблюдение.
• Пожарная безопасность серверных и архивов.

Права субъектов персональных данных (ст. 18 Закона № 152-ФЗ)

Политика должна содержать четкий регламент реализации прав граждан:

• Право на доступ к своим данным (предоставление копии в течение 30 дней по требованию).
• Право на уточнение, блокирование или уничтожение неполных, неточных или незаконно полученных данных.
• Право на отзыв согласия (в случаях, когда обработка основана на согласии).
• Право на обжалование действий/бездействия оператора в Роскомнадзор или суд.
• Порядок подачи запроса (письменно, через МФЦ, портал Госуслуг, официальный сайт, лично).

Трансграничная передача данных

Если администрация использует облачные сервисы или программное обеспечение с серверами за рубежом (что крайне маловероятно для госорганов, но возможно при использовании отдельных SaaS), Политика должна зафиксировать факт такой передачи, наименование иностранного получателя, страну и меры защиты (стандартные договорные клаузы,Binding Corporate Rules). Обычно для органов власти этот раздел формулируется как «Трансграничная передача не осуществляется».

Порядок уведомления Роскомнадзора

Указание на выполнение обязанности по уведомлению о начале обработки ПДн (до 2022 года) или ведении внутреннего учета операций обработки (после изменений в законе). Фиксация номера записи в реестре (если уведомление подавалось ранее) или основания для освобождения от уведомления.

Специфика обработки ПДн в администрации района

Обработка без согласия (ст. 10, 11 Закона № 152-ФЗ)

Основной массив данных в администрации обрабатывается без согласия субъекта на основании:

• Исполнения законодательства РФ о государственной/муниципальной службе.
• Исполнения полномочий органами власти (оказание услуг, ведение реестров, контроль).
• Судебного производства, исполнения судебных актов.
• Защиты жизни и здоровья.

Согласие требуется в исключительных случаях: биометрия (СКУД), фото/видеосъемка на мероприятиях для размещения на сайте/в соцсетях, участие в опросах/конкурсах добровольного характера.

Особенные категории данных (ст. 10 Закона № 152-ФЗ)

Администрация часто обрабатывает специальные категории ПДн:

• Медицинские данные: справки для получения льгот, направления на МСЭ, больничные листы. Требуются усиленные меры защиты (шифрование, строгий доступ).
• Биометрические данные: при использовании систем контроля доступа (СКУД) по отпечатку пальца/лицу. Обязательно письменное согласие сотрудника.
• Сведения о расовой/национальной принадлежности, политических взглядах, религиозных убеждениях: практически не обрабатываются в рутинной работе, возможны только в анкетировании (с явным согласием).

Взаимодействие через СМЭВ (СМЭВ 3)

Администрация района выступает поставщиком или потребителем сведений в СМЭВ. Политика должна регламентировать:

• Порядок формирования запросов/ответов.
• Использование квалифицированных электронных подписей (КЭП) уполномоченных лиц.
• Журналирование всех транзакций в СМЭВ.
• Ответственность за качество предоставляемых сведений.

Официальный сайт и Политика конфиденциальности

Отдельный документ — Политика конфиденциальности официального сайта — размещается на главной странице портала администрации. Она регулирует сбор cookie, IP-адресов, данных форм обратной связи, подписки на рассылки. Требования: понятный язык, ссылка в футере, возможность отказа от маркетинговых cookie (хотя для госсайтов это чаще аналитика Яндекс.Метрики/Google Analytics с анонимизацией IP).

Документальное обеспечение и внутренний контроль

Наличие утвержденной Политики — это только вершина айсберга. Для реального соблюдения закона администрация должна иметь пакет документов:

Процедура самооценки и аудита (Самопроверка)

Рекомендуется проводить внутренний аудит соответствия требованиям Закона № 152-ФЗ не реже одного раза в год. Алгоритм самопроверки:

1. Инвентаризация ИСПДн: Составление реестра всех информационных систем, где хранятся ПДн (1С:Зарплата, ЭДО, АИС МУС, сайт, СКУД, видеонаблюдение, Excel-реестры).
2. Анализ локальных актов: Соответствуют ли Политика, Инструкция, Перечни актуальному составу ИСПДн и категориям данных.
3. Проверка правовых оснований: Есть ли у каждой операции обработки основание в ст. 6, 10, 11 Закона № 152-ФЗ.
4. Оценка мер защиты: Соответствуют ли примененные СЗИ установленному классу защищенности ИСПДн (по Приказанию ФСТЭК № 21/17).
5. Проверка прав субъектов: Есть ли на сайте форма запроса? Отрабатывается ли срок 30 дней? Есть ли журналы запросов?
6. Работа с инцидентами: Были ли утечки/проникновения? Как реагировали? Уведомлен ли Роскомнадзор (в случае угрозы правам субъектов — в течение 24 часов).
7. Обучение персонала: Прошли ли все допущенные сотрудники инструктаж за последний год? Есть ли росписи?

Ответственность за нарушения

Нарушение законодательства о персональных данных влечет за собой ответственность, зафиксированную в КоАП РФ (ст. 13.11, 13.11.1, 19.7.1-19.7.4) и УК РФ (ст. 137, 272, 273, 274.1):

• Административная: штрафы на должностных лиц (от 10 000 до 50 000 руб.), на юрлиц (от 30 000 до 15 000 000 руб. за повторные нарушения или утечки), предупреждение.
• Гражданско-правовая: возмещение вреда (материального и морального) по иску субъекта ПДн (ст. 15 Закона № 152-ФЗ).
• Дисциплинарная: взыскания к виновным сотрудникам (замечание, выговор, увольнение) за нарушение Инструкции по защите ПДн.
• Уголовная: за несанкционированный доступ к ПДн, их кражу, распространение (до лишения свободы на срок до 7 лет).

Актуализация Политики: триггеры изменений

Политика — «живой» документ. Основания для внесения изменений:

• Изменения в законодательстве (новые статьи Закона № 152-ФЗ, постановительства Пленума ВС РФ, приказы Роскомнадзора/ФСТЭК).
• Внедрение новых информационных систем или изменение архитектуры существующих (миграция в облако, подключение нового модуля АИС).
• Изменение структуры администрации (ликвидация/создание отделов, смена ответственного за ПДн).
• Появление новых категорий обрабатываемых данных или новых целей обработки.
• Результаты внутреннего аудита или проверок контролирующих органов (предписания Роскомнадзора, прокуратуры).
• Инциденты безопасности, выявившие пробелы в регламенте.

Любые изменения оформляются приказом главы администрации, подлежат обязательному ознакомлению персонала под роспись и публикации (актуальной версии) на официальном сайте в разделе «Персональные данные».

Политика обработки персональных данных в администрации района — это не формальный документ «для галочки» для прохождения проверки Роскомнадзора, а рабочий инструмент управления информационными рисками. Качественно разработанная, регулярно актуализируемая и, главное, реально исполняемая Политика позволяет:

• Минимизировать риск утечек данных и связанных с ними штрафов/репутационных потерь.
• Обеспечить прозрачность и понятность процедур для граждан (субъектов ПДн).
• Строить эффективное межведомственное взаимодействие через СМЭВ.
• Формировать устойчивую культуру информационной безопасности среди муниципальных служащих.

Ключевым условием успеха является не просто подписание приказа главой администрации, а системная работа ответственного за ПДн, ИТ-отдела, юридического отдела и архива в связке «документ — процесс, контроль».