ПОЛИТИКА
обработки персональных данных в государственном Автономном Учреждении Калининградской области «Калининградский областной Музыкальный театр»

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее – Политика) разработана во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон) и определяет основные принципы, цели, порядок и условия обработки персональных данных, а также меры по обеспечению безопасности персональных данных в Государственном автономном учреждении Калининградской области «Калининградский областной музыкальный театр» (ГАУ КО «КОМТ») (далее – Оператор).

1.2. Политика действует в отношении всех персональных данных, которые Оператор может получить от субъектов персональных данных в ходе осуществления уставной деятельности, включая обработку данных работников, контрагентов, посетителей сайта, зрителей и иных лиц.

1.3. Политика является общедоступным документом и размещена на официальном сайте Оператора по адресу: https://muzteatr39.ru/policy/. Изменения в Политику вносятся приказом художественного руководителя и публикуются на Сайте.

1.4. Ключевые понятия, используемые в Политике, применяются в значениях, определённых статьёй 3 Закона № 152-ФЗ.

2. Принципы обработки персональных данных

Обработка персональных данных Оператором осуществляется на основе следующих принципов (ст. 5 Закона):

• законность и справедливая основа;
• ограничение обработки достижением конкретных, заранее определённых и законных целей;
• недопущение обработки, несовместимой с целями сбора;
• обеспечение точности, достаточности и актуальности данных;
• хранение данных в форме, позволяющей идентифицировать субъекта, не дольше, чем этого требуют цели обработки;
• уничтожение или обезличивание данных по достижении целей или утрате необходимости.

3. Правовые основания обработки

Обработка персональных данных Оператором осуществляется на следующих правовых основаниях (ч. 1 ст. 6 Закона):

• согласие субъекта на обработку его персональных данных (п. 1 ч. 1 ст. 6);
• исполнение договора, стороной которого является субъект, или для заключения договора по инициативе субъекта (п. 5 ч. 1 ст. 6);
• выполнение функций, полномочий и обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6) – в частности, трудовое законодательство, законодательство об архивном деле, о бухгалтерском учёте;
• обработка статистических и обезличенных данных с целью улучшения качества услуг, если это не нарушает прав субъектов.

4. Цели, категории субъектов, перечни данных, способы и сроки обработки, порядок уничтожения

Оператор обрабатывает персональные данные исключительно для следующих целей:

4.1. Цель: ведение кадрового делопроизводства, трудовых и связанных с ними отношений

Категории субъектов: работники, бывшие работники, кандидаты на вакантные должности.

Перечень обрабатываемых данных: фамилия, имя, отчество; дата и место рождения; паспортные данные; СНИЛС; ИНН; адрес регистрации; контактные данные (телефон, адрес электронной почты); сведения об образовании, трудовом стаже, занимаемой должности, доходах; иные данные, предусмотренные трудовым законодательством.

Способ обработки: смешанная (автоматизированная и неавтоматизированная) с использованием бумажных и электронных носителей.

Срок обработки: в течение сроков, установленных трудовым, налоговым и архивным законодательством (в том числе 75 лет для лицевых счетов).

Порядок уничтожения по достижении цели: по истечении сроков хранения – уничтожение путём измельчения бумажных носителей и безвозвратного удаления (стирания) с электронных носителей с составлением акта.

4.2. Цель: заключение и исполнение договоров с контрагентами (поставщики, подрядчики, зрители, покупатели билетов)

Категории субъектов: физические лица – контрагенты (зрители, посетители мероприятий, покупатели билетов).

Перечень обрабатываемых данных: фамилия, имя, отчество; контактный телефон; адрес электронной почты; данные, необходимые для исполнения договора (например, данные банковской карты – только при оплате через уполномоченные платёжные системы).

Способ обработки: автоматизированная и неавтоматизированная (при оформлении заказов, продаже билетов).

Срок обработки: в течение срока действия договора и затем 3 года (срок исковой давности), если иное не предусмотрено договором.

Порядок уничтожения по достижении цели: по истечении срока – удаление записей из учётных систем и уничтожение бумажных экземпляров (при наличии) с составлением акта.

4.3. Цель: рассмотрение обращений граждан (в том числе через формы обратной связи на Сайте)

Категории субъектов: граждане, обратившиеся к Оператору.

Перечень обрабатываемых данных: фамилия, имя, отчество; адрес электронной почты; контактный телефон; текст обращения; иные данные, указанные в обращении.

Способ обработки: смешанная (получение через электронные формы – автоматизированно, ответ – с участием сотрудника).

Срок обработки: до достижения цели (ответ на обращение), но не более 1 года с даты получения обращения.

Порядок уничтожения по достижении цели: по истечении 1 года – удаление из почтового ящика и базы данных с составлением акта.

4.4. Цель: информирование о мероприятиях, новостях, акциях (рассылки) – при наличии отдельного согласия

Категории субъектов: подписчики, выразившие согласие.

Перечень обрабатываемых данных: фамилия, имя, отчество; адрес электронной почты; (при наличии – телефон).

Способ обработки: автоматизированная (через сервис email-рассылок).

Срок обработки: до отзыва согласия, но не более 3 лет с даты получения последнего согласия.

Порядок уничтожения по достижении цели: при отзыве согласия или истечении срока – удаление из списка рассылки и базы данных в течение 30 дней с составлением акта.

4.5. Цель: исполнение требований законодательства (налогового, статистического, воинского учёта и пр.)

Категории субъектов: работники, контрагенты, иные лица в соответствии с законом.

Перечень обрабатываемых данных: данные, прямо предусмотренные соответствующими федеральными законами.

Способ обработки: смешанная.

Срок обработки: в сроки, установленные соответствующими законами.

Порядок уничтожения по достижении цели: уничтожение по окончании сроков хранения в установленном порядке.

5. Порядок уничтожения персональных данных (общие положения)

5.1. Уничтожение персональных данных осуществляется комиссией, назначаемой приказом художественного руководителя, в следующих случаях:

• достижение целей обработки;
• истечение установленного срока хранения;
• отзыв субъектом согласия (если обработка основана только на согласии);
• выявление неправомерной обработки (по предписанию Роскомнадзора или суда);
• ликвидация Оператора.

5.2. Способы уничтожения:

• для бумажных носителей – измельчение или сжигание с составлением акта;
• для электронных носителей – безвозвратное удаление (стирание) с использованием сертифицированных программных средств или физическое разрушение носителя.

5.3. Срок уничтожения – не позднее 30 дней с даты наступления основания (ч. 4 ст. 21 Закона), если иной срок не установлен договором или законом.

5.4. По факту уничтожения составляется Акт об уничтожении персональных данных, который хранится не менее 3 лет.

6. Меры по обеспечению безопасности персональных данных

Оператор принимает следующие организационные и технические меры для защиты персональных данных (ст. 18.1, 19 Закона):

• назначение ответственного за организацию обработки персональных данных (см. раздел 9);
• издание локальных актов по вопросам обработки персональных данных (перечень приведён ниже);
• применение антивирусных и межсетевых экранов;
• разграничение доступа к информационным системам;
• резервное копирование и восстановление данных;
• контроль за действиями сотрудников, имеющих доступ к данным;
• организация пропускного режима и охраны помещений.

Перечень локальных актов Оператора в области персональных данных:

• Настоящая Политика;
• Положение об обработке персональных данных;
• Перечень должностей работников, замещающих которые требуется обработка персональных данных;
• Инструкция ответственного за организацию обработки персональных данных;
• Правила внутреннего трудового распорядка (в части защиты данных);
• Порядок уничтожения персональных данных (отдельный документ или раздел в Положении);
• Инструкция по работе с электронными носителями, содержащими персональные данные.

7. Трансграничная передача персональных данных

7.1. На момент утверждения настоящей Политики Оператор не осуществляет трансграничную передачу персональных данных, поскольку все используемые программные средства и сервисы расположены на территории Российской Федерации, а сбор данных на сайте приостановлен.

7.2. В случае намерения возобновить использование зарубежных сервисов (метрических программ, облачных систем и др.), предполагающих передачу данных за пределы РФ, Оператор обязуется:

• заблаговременно уведомить Роскомнадзор о намерении осуществлять трансграничную передачу (ч. 3 ст. 12 Закона);
• обеспечить соответствие такой передачи требованиям ст. 12 Закона и международных договоров;
• внести соответствующие изменения в настоящую Политику и разместить их на Сайте.

7.3. Любая трансграничная передача персональных данных будет осуществляться только при наличии законных оснований и с соблюдением прав субъектов.

8. Права субъектов персональных данных и порядок их реализации

8.1. Субъекты персональных данных имеют права, предусмотренные статьями 13–14, 20–21 Закона, в том числе:

• на получение информации об обработке их персональных данных;
• на уточнение, блокирование и уничтожение данных при их неполноте, устаревании или неправомерной обработке;
• на отзыв согласия на обработку;
• на обжалование действий Оператора в Роскомнадзор или суд.

8.2. Порядок реализации права на получение информации:

Запрос направляется в письменной форме по адресу: 236022, г. Калининград, пр-кт Мира, д. 87, или по электронной почте: info@muzteatr39.ru.

Запрос должен содержать сведения, позволяющие идентифицировать субъекта (ФИО, номер паспорта, контактные данные).

Срок рассмотрения – не более 30 дней с даты получения запроса (ч. 3 ст. 14 Закона). В случае отказа в предоставлении информации – мотивированный ответ направляется в течение 10 рабочих дней.

8.3. Порядок уточнения, блокирования и уничтожения данных по требованию субъекта:

• При выявлении неточных данных субъект направляет письменное обращение с просьбой об уточнении.
• Оператор в течение 7 рабочих дней обязан уточнить данные либо дать мотивированный отказ.
• На период проверки данные блокируются.
• При подтверждении недостоверности данные уточняются, при неправомерности – уничтожаются в срок не более 30 дней с даты принятия решения.

8.4. Отзыв согласия на обработку осуществляется путём направления письменного заявления. Оператор прекращает обработку и уничтожает данные в течение 30 дней, если иное не предусмотрено законом или договором.

9. Ответственный за организацию обработки персональных данных

В соответствии с п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ в ГАУ КО «Калининградский областной музыкальный театр» назначено лицо, ответственное за организацию обработки персональных данных:

Функции ответственного лица определяются в соответствующей должностной инструкции и включают контроль за соблюдением требований законодательства, организацию обучения сотрудников, взаимодействие с Роскомнадзором и субъектами персональных данных.

10. Контактная информация Оператора

11. Заключительные положения

11.1. Настоящая Политика вступает в силу с момента её утверждения приказом художественного руководителя и действует бессрочно до замены новой редакцией.

11.2. Все изменения в Политику вносятся приказом художественного руководителя и публикуются на Сайте не позднее 10 рабочих дней с даты утверждения.

11.3. Контроль за исполнением Политики возлагается на ответственного за организацию обработки персональных данных.