1. РАЗРАБОТАНА Вычислительным центром СГУ
2. УТВЕРЖДЕНА Приказом ректора от _10.03.2021_ № 114-В
3. ВВЕДЕНА В ДЕЙСТВИЕ с 15.03.2021
4. ВВЕДЕНА ВЗАМЕН Политики обработки персональных данных в ФГБОУ ВО «СГУ имени Н.Г. Чернышевского», утвержденной приказом ректора СГУ от 23.10.2013 г. № 595-В

Настоящий документ не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Саратовского государственного университета имени Н.Г. Чернышевского.

1. Общие положения.
1. Настоящая Политика обработки персональных данных (далее Политика) в федеральном государственном бюджетном образовательном учреждении высшего образования «Саратовский национальный исследовательский государственный университет имени Н.Г. Чернышевского» (ФГБОУ ВО «СГУ имени Н.Г. Чернышевского», далее - СГУ, Оператор) определяет основные вопросы, связанные с организацией обработки и обеспечения безопасности персональных данных.
2. Обеспечение безопасности и конфиденциальности персональных данных является одним из приоритетных направлений в деятельности университета.
3. Настоящая Политика обязательна к исполнению всеми работниками Оператора, является общедоступным документом, декларирующим концептуальные основы деятельности Оператора при обработке персональных данных.
4. Политика раскрывает основные категории персональных данных, обрабатываемых Оператором, описывает основные цели, способы обработки и требования к безопасности персональных данных в СГУ.
5. В Политике используются следующие основные понятия:
   • персональные данные (ПД) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
   • оператор - государственный или муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
   • субъект персональных данных – работники СГУ, бывшие работники СГУ, лица (граждане РФ и иностранные граждане), осваивающие образовательные программы (обучающиеся: студенты, аспиранты, слушатели), отчисленные, поступающие, физические лица по гражданско-правовым договорам (контрактам) с СГУ, пользователь личного кабинета на веб-сайте http://sgu.ru;
   • обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
   • распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
   • предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
   • блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
   • уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
   • обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
   • трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
   • конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.
6. Права и обязанности Оператора персональных данных.  
   Работники СГУ, осуществляющие обработку персональных данных, вправе:
   • получать документы, содержащие персональные данные;
   • требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данных;
   • информировать субъекта персональных данных посредством отправки электронных писем. Работники СГУ, осуществляющие обработку персональных данных, обязаны:
     • обрабатывать персональные данные, полученные в установленном действующим законодательством порядке;
     • рассматривать обращения субъекта персональных данных (законного представителя субъекта персональных данных, уполномоченного органа по защите прав субъектов персональных данных) по вопросу обработки его персональных данных и давать мотивированные ответы в срок, не превышающий 30 дней с даты поступления обращения (запроса);
     • предоставлять субъекту персональных данных (законному представителю субъекта персональных данных) возможность безвозмездного доступа к своим персональным данным, обрабатываемым в СГУ;
     • принимать меры по уничтожению персональных данных субъекта персональных данных;
     • организовывать оперативное и архивное хранение документов СГУ, содержащих персональные данные субъектов персональных данных, в соответствии с требованиями законодательства Российской Федерации.
7. Права и обязанности субъекта персональных данных.
   Субъект персональных данных имеет право:
   • на ознакомление со своими персональными данными, за исключением случаев, предусмотренных Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных";
   • требовать от СГУ уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
   • на получение информации, касающейся обработки своих персональных данных, в том числе содержащей: подтверждение факта обработки персональных данных; правовые основания и цели обработки персональных данных; цели и применяемые способы обработки персональных данных; наименование и место нахождения СГУ, обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом; сроки обработки персональных данных, в том числе сроки их хранения; порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом "О персональных данных"; информацию об отсутствии трансграничной передачи данных; наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению СГУ, если обработка поручена или будет поручена такому лицу; иные сведения, предусмотренные законодательством Российской Федерации;
   • обжаловать действия или бездействие СГУ в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
   • на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
   Субъект персональных данных обязан:
   • сообщать достоверную информацию о себе и предоставлять документы, содержащие персональные данные, состав которых установлен законодательством Российской Федерации и локальными нормативными документами СГУ в объеме, необходимом для цели обработки;
   • сообщать в СГУ об уточнении (обновлении, изменении) своих персональных данных.
2. Цели сбора персональных данных. Оператор обрабатывает персональные данные исключительно в следующих целях:
• обеспечения прав работников СГУ в процессе трудовой деятельности и после прекращения трудовых отношений, физических лиц, оформивших гражданско-правовые договоры (контракты) с СГУ;
• обеспечения реализации прав участников образовательного процесса в СГУ;
• содействия в трудоустройстве выпускников СГУ;
• обеспечения личной безопасности субъектов персональных данных;
• обеспечения реализации научно-исследовательской и научной деятельности в СГУ;
• обеспечения контроля качества учебного процесса в университете;
• обеспечения пропускного режима в зданиях СГУ.
3. Правовые основания обработки персональных данных.
1. Правовыми основаниями обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми СГУ осуществляет обработку персональных данных, в том числе:
   • Конституция Российской Федерации;
   • Гражданский кодекс Российской Федерации;
   • Трудовой кодекс Российской Федерации;
   • Федеральный закон от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации";
   • Федеральный закон от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации";
   • Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 01.11.2012 № 1119);
   • Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным постановлением Правительства Российской Федерации от 15 сентября 2008 г. N 687.
2. Во исполнение настоящей Политики ректором СГУ утверждены следующие локальные нормативные правовые акты:
   • Положение о порядке обработки персональных данных работников университета и лиц, находящихся в договорных и иных гражданско-правовых отношениях с университетом;
   • Положение о порядке обработки персональных данных обучающихся в Саратовском государственном университете имени Н.Г. Чернышевского;
   • Положение по организации защиты персональных данных, содержащихся в информационных системах персональных данных в СГУ;
   • Модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных.
1. В зависимости от целей, предусмотренных Политикой, в СГУ обрабатываются персональные данные следующих категорий субъектов:
   • Работники Оператора, бывшие работники, кандидаты на замещение вакантных должностей – информация, необходимая Оператору в связи с трудовыми отношениями и касающиеся конкретного работника;
   • Контрагенты, работающие по гражданско-правовым договорам с СГУ;
   • Лица (граждане РФ и иностранные граждане), осваивающие образовательные программы (обучающиеся: студенты, аспиранты, слушатели), отчисленные, поступающие.
2. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
3. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается:
   • в случае, если субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
   • в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации.
4. Обработка биометрических персональных данных может осуществляться только при наличии согласия в письменной форме субъекта персональных данных.
5. Порядок и условия обработки персональных данных.
1. Обработка персональных данных в СГУ осуществляется с соблюдением принципов и правил, предусмотренных настоящей Политикой.
2. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации.
3. Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
4. Обработка персональных данных необходима для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.
5. Обработка персональных данных может осуществляться с помощью средств вычислительной техники (автоматизированная обработка) либо при непосредственном участии человека без использования средств вычислительной техники (неавтоматизированная обработка).
6. К обработке персональных данных допускаются только те работники СГУ, в должностные обязанности которых входит обработка персональных данных, либо назначенные приказом. Указанные работники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей. Лицо, осуществляющее обработку персональных данных по поручению Оператора, несет ответственность перед Оператором.
7. Обработка персональных данных осуществляется путем:
   • получения информации, содержащей персональные данные, в устной и письменной форме непосредственно от субъектов персональных данных;
   • предоставления субъектами персональных данных оригиналов необходимых документов;
   • получения заверенных в установленном порядке копий документов, содержащих персональные данные или копирования оригиналов документов;
   • получения персональных данных из общедоступных источников;
   • фиксации (регистрации) персональных данных в журналах, книгах, реестрах и других учетных формах;
   • внесения персональных данных в информационные системы СГУ;
   • внесение персональных данных в информационные системы ФИС ГИА и приема, Федеральный реестр документов об образовании (ФРДО).
8. Передача персональных данных третьим лицам (в том числе трансграничная передача) допускается с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов персональных данных. По мотивированному запросу для выполнения возложенных законодательством функций и полномочий персональные данные субъекта могут быть переданы без его согласия органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.
9. При передаче персональных данных третьим лицам в соответствии с заключенными договорами СГУ обеспечивает обязательное выполнение требований законодательства Российской Федерации в области персональных данных. Для достижения целей обработки, а также в интересах субъектов персональных данных Оператор в ходе своей деятельности предоставляет персональные данные следующим организациям:
   • Федеральную налоговую службу,
   • Пенсионный фонд Российской Федерации,
   • Фонд социального страхования Российской Федерации,
   • ПАО Сбербанк.
10. В целях защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных в СГУ разработаны необходимые правовые, организационные и технические меры, такие как, разработка, введение в действие и обеспечение исполнения локальных нормативных актов, регламентирующих работу с персональными данными, в том числе определяющими условия и порядок доступа к информационным системам персональных данных (ИСПД), а также соблюдение требований конфиденциальности персональных данных, обеспечение необходимыми средствами защиты рабочих мест и помещений в соответствии с установленными требованиями, обеспечивающими ограничение доступа к персональным данным.
11. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.
12. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
13. При осуществлении хранения персональных данных Оператор персональных данных использует базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона "О персональных данных".
6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным.
1. Оператор обязан сообщить в порядке, предусмотренном статьей 14 Федерального закона "О персональных данных", субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.
2. Сведения предоставляются в доступной форме, в них не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с частью 8 статьи 14 Федерального закона "О персональных данных" в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
4. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, СГУ вносит в них необходимые изменения.
5. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, СГУ уничтожает такие персональные данные.
6. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В этом случае СГУ прекращает их обработку, обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если СГУ не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом "О персональных данных" или другими федеральными законами.
7. Персональные данные подлежат уничтожению в следующих случаях и в указанные сроки:
   • по достижению целей обработки - в 30-дневный срок;
   • в случае утраты необходимости достижения целей обработки - в 30-дневный срок;
   • в случае отзыва субъектом персональных данных согласия на обработку персональных данных - в 30-дневный срок, если иной не предусмотрен федеральными законами, договором или соглашением между СГУ и субъектом персональных данных;
8. В случае отзыва субъектом персональных данных согласия на обработку персональных данных СГУ вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в части 2 статьи 9 Федерального закона "О персональных данных".
7. Общедоступные источники персональных данных.
1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (официальный сайт, доски объявлений, справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, дата и место рождения, адрес проживания, адрес электронной почты, контактные телефоны, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных.
2. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.
8. Ответственность за нарушение требований Федерального закона «О персональных данных».
1. Лица, виновные в нарушении требований Федерального закона «О персональных данных», несут предусмотренную законодательством Российской Федерации ответственность.
2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Федеральным законом «О персональных данных», а также требований к защите персональных данных, установленных в соответствии с Федеральным законом «О персональных данных», подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.