О внесении изменений и дополнений в приложения к приказу комитета от 25.08.2021 №134

В соответствии с Федеральным законом от 14.07.2022 №266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности» приказываю:
1. Внести в приложения к приказу комитета по финансам, налоговой и кредитной политике города Барнаула (далее – комитет) от 25.08.2021 №134 «Об утверждении документов, определяющих политику комитета по финансам, налоговой и кредитной политике города Барнаула в отношении обработки персональных данных» следующие изменения и дополнения:
1.1. В приложении 1:
1.1.1. Пункт 3.5.4 дополнить абзацем следующего содержания: 
«Комитет не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение комитетом согласия на обработку персональных данных не является обязательным;»;
1.1.2. Пункт 3.5.5 изложить в следующей редакции:
«3.5.5. Комитет вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора,  в том числе муниципального контракта (договора), либо путем принятия муниципальным органом соответствующего акта       (далее – поручение комитета). Лицо, осуществляющее обработку персональных данных по поручению комитета, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные ФЗ №152-ФЗ, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных ФЗ №152-ФЗ. В поручении комитета должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные статьями 18 и 18.1 ФЗ №152-ФЗ, обязанность по запросу комитета в течение срока действия поручения комитета, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения комитета требований, установленных в соответствии со статьей 6 ФЗ №152-ФЗ, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 ФЗ №152-ФЗ, в том числе требование об уведомлении комитета о случаях, предусмотренных частью 3.1 статьи 21 ФЗ №152-ФЗ;»;
1.1.3. Пункт 5.40 изложить в следующей редакции
«5.40. Если предоставление персональных данных и (или) получение согласия на обработку персональных данных субъекта персональных данных являются обязательными в соответствии с федеральным законом, уполномоченный работник комитета или должностное лицо комитета по кадрам и муниципальной службе администрации города Барнаула, уполномоченное на осуществление кадрового делопроизводства в комитете, разъясняют субъекту персональных данных юридические последствия его отказа предоставить свои персональные данные и (или) дать согласие на их обработку.»;
1.1.4. Пункт 5.45 после абзаца 3 дополнить абзацем следующего содержания: 
«перечень персональных данных;»;
1.1.5. Пункт 8.2.5 изложить в следующей редакции:
«8.2.5. Если предоставление персональных данных и (или) получение согласия на обработку персональных данных субъекта персональных данных являются обязательными в соответствии с федеральным законом – обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку;»;
1.1.6. Пункт 8.2.6 изложить в следующей редакции:
«8.2.6. Сообщить в порядке, предусмотренном статьей 14 ФЗ №152-ФЗ, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными в течение десяти рабочих дней с момента обращения либо получения комитетом запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления комитетом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. 
Комитет предоставляет соответствующую информацию субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;»;
1.1.7. Пункт 8.2.8 изложить в следующей редакции:
«8.2.8. Сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления комитетом в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;»;
1.1.8. Дополнить пунктом 8.2.11.1 следующего содержания:
«8.2.11.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, комитет обязан с момента выявления такого инцидента комитетом, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном комитетом на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии);»;
1.1.9. Дополнить пунктом 8.2.13.1 следующего содержания:
«8.2.13.1. В случае обращения субъекта персональных данных к комитету с требованием о прекращении обработки персональных данных комитет обязан в срок, не превышающий десяти рабочих дней с даты получения соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных действующим законодательством. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления комитетом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;»;
1.1.10. В пункте 8.2.14 цифру «8.2.13» заменить цифрой «8.2.13.1»;
1.1.11. Дополнить пунктом 8.2.14.1 следующего содержания:
«8.2.14.1. Подтверждение уничтожения персональных данных в случаях, предусмотренных статьей 21 ФЗ №152-ФЗ, осуществляется в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных;»;
1.1.12. Дополнить пунктом 8.2.18 следующего содержания:
«8.2.18. Комитет обязан в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.»;
1.1.13. Абзац 1 пункта 9.5 изложить в следующей редакции:
«9.5. Сведения, указанные в части 7 статьи 14 ФЗ №152-ФЗ, предоставляются субъекту персональных данных или его представителю комитетом в течение десяти рабочих дней с момента обращения либо получения комитетом запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления комитетом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.»;
1.1.14. В абзаце 6 пункта 17.2 после слов «производит оценку вреда» дополнить словами «в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных»;
1.2. В приложении 3: 
1.2.1. Пункт 2.2 дополнить подпунктом 9.1 следующего содержания:
«9.1) информацию о способах исполнения комитетом обязанностей, установленных статьей 18.1 ФЗ №152-ФЗ;»;
1.2.2. Пункт 3.3 изложить в следующей редакции:
«3.3. Комитет обязан сообщить в порядке, предусмотренном статьей 14 ФЗ №152-ФЗ, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными в течение десяти рабочих дней с момента обращения либо получения комитетом запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления комитетом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. 
Комитет предоставляет соответствующую информацию субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
Ответы на запросы направляются на бланке комитета.»;
1.2.3. Пункт 3.5 изложить  в следующей редакции: 
«3.5. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя комитет обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 ФЗ №152-ФЗ или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий десяти рабочих дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления комитетом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.»;
1.2.4. Пункт 3.11 изложить  в следующей редакции: 
«3.11. Комитет обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления комитетом в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.».
1.2.5. Приложение 1 к Правилам рассмотрения  запросов субъектов персональных данных или их представителей в комитете по финансам, налоговой и кредитной политике города Барнаула дополнить абзацем 11 следующего содержания: 
«информацию о способах исполнения комитетом обязанностей, установленных статьей 18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»;».
1.3. В приложении 4:
1.3.1. Наименование изложить в следующей редакции:
«ИНСТРУКЦИЯ
по организации работы с материальными носителями персональных данных при осуществлении обработки персональных данных без использования средств автоматизации в комитете по финансам, налоговой и кредитной политике города Барнаула»;
1.3.2. Пункт 1.1 изложить в следующей редакции:
«1.1. Инструкция по организации работы с материальными носителями персональных данных при осуществлении обработки персональных данных без использования средств автоматизации в комитете по финансам, налоговой и кредитной политике города Барнаула (далее – Инструкция) разработана в соответствии с требованиями Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», постановления Правительства Российской Федерации от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», в целях регламентации действий муниципальных служащих комитета по финансам, налоговой и кредитной политике города Барнаула (далее – комитет) и лиц, не являющихся муниципальными служащими комитета (далее – работники комитета), осуществляющих работу с материальными носителями персональных данных при обработке персональных данных без использования средств автоматизации в комитете (далее – материальные носители), и устанавливает требования к организации учета, использования, хранения и уничтожения материальных носителей в комитете.».
2. Приказ вступает в силу с 01.09.2022, за исключением пунктов 1.1.11 и 1.1.14 приказа, которые вступают в силу с 01.03.2023.
3. Отделу правового и документационного обеспечения комитета (Харченко Д.В.):
3.1. Довести приказ до сведения муниципальных служащих и работников комитета;
3.2. Обеспечить опубликование приказа в официальном сетевом издании «Правовой портал администрации г. Барнаула» и размещение на официальном Интернет-сайте города Барнаула.
4. Контроль за исполнением приказа оставляю за собой.

Заместитель председателя комитета Т.Н. Петрова