Распоряжение Министерства энергетики Московской области от 24 сентября 2026 г. № 245-Р "Об обработке и защите персональных данных и иной информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, в Министерстве энергетики Московской области"

1. Настоящее Положение по обработке и защите информации ограниченного доступа, не составляющей государственную тайну, включая персональные данные (далее соответственно - Положение, ИОД) разработано на основании федеральных законов от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации", от 27.07.2006 № 152-ФЗ "О персональных данных", постановлений Правительства Российской Федерации от 21.03.2012 № 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", приказа Федеральной службы по техническому и экспортному контролю (далее - ФСТЭК России) от 18.02.2013 № 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных", приказа Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее - Роскомнадзор) от 28.10.2022 № 179 "Об утверждении Требований к подтверждению уничтожения персональных данных", постановления Правительства Московской области от 29.07.2020 № 469/21 "Об утверждении Порядка обработки информации ограниченного доступа в исполнительных органах государственной власти Московской области, государственных органах Московской области и государственных учреждениях Московской области и признании утратившими силу некоторых постановлений Правительства Московской области", а также нормативных правовых актов и методических документов по вопросам безопасности персональных данных (далее - ПДн) при их обработке в информационных системах (далее - ИС), в том числе информационных системах персональных данных (далее - ИСПДн).

2. В Положении используются следующие термины:

информация - сведения (сообщения, данные) независимо от формы их представления;

информация ограниченного доступа (ИОД) - информация, доступ к которой ограничен законодательством Российской Федерации;

персональные данные (ПДн) - любая информация, относящаяся к прямо или косвенно определенному, а также определяемому физическому лицу (субъекту ПДн);

информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;

информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств;

оператор ИС - гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных;

оператор ПДн - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн;

обработка ПДн - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн;

автоматизированная обработка ПДн - обработка ПДн с помощью средств вычислительной техники;

распространение информации (ПДн) - действия, направленные на раскрытие информации (ПДн) неопределенному кругу лиц;

предоставление информации (ПДн) - действия, направленные на раскрытие информации (ПДн) определенному лицу или определенному кругу лиц;

блокирование информации (ПДн) - временное прекращение обработки информации (ПДн), за исключением случаев, если обработка необходима для уточнения ПДн;

уничтожение информации (ПДн) - действия, в результате которых становится невозможным восстановить содержание информации (ПДн) в ИС и (или) в результате которых уничтожаются материальные носители информации (ПДн);

обезличивание ПДн - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн;

трансграничная передача ПДн - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3. Настоящее Положение определяет порядок и условия обработки ИОД в Министерстве энергетики Московской области (далее - Министерство), включая порядок передачи ИОД третьим лицам, особенности автоматизированной и неавтоматизированной их обработки ИОД, порядок доступа к ИОД, систему защиты ИОД, порядок организации внутреннего контроля и ответственность за нарушения при обработке ИОД.

4. Требования к порядку обработки ИОД, указанные в настоящем Положении, предъявляются в том числе и к порядку обработки ПДн. При этом в отношении ПДн могут предъявляться дополнительные требования, указанные в отдельных пунктах Положения.

5. Действие настоящего Положения распространяется на все процессы обработки ИОД в Министерстве, включая сбор, систематизацию, накопление, хранение, уточнение, использование, распространение (в том числе передачу), блокирование, уничтожение ИОД, а также обезличивание ПДн, осуществляемые с использованием средств автоматизации и без их использования.

6. Все сотрудники Министерства, участвующие в процессах обработки ИОД в Министерстве, должны быть ознакомлены с настоящим Положением в установленном в Министерстве порядке.

7. Обработка ИОД осуществляется на законной и справедливой основе и ограничивается достижением конкретных, заранее определенных и законных целей.

8. Обработка ИОД в Министерстве осуществляется в целях реализации возложенных на Министерство задач, исполнения государственных функций и полномочий Министерства.

9. Особенности обработки ИОД, содержащей ПДн:

10. Основными целями обработки ПДн является:

обеспечение прав граждан, организаций, органов государственной власти и органов местного самоуправления на поиск, получение, передачу, производство и распространение информации;

внедрение информационно-телекоммуникационных технологий в процедуры предоставления государственных услуг населению и организациям;

реализация возложенных на Министерство задач, исполнение государственных функций и полномочий Министерства;

контроль за предоставлением государственных и муниципальных услуг на территории Московской области;

заключение трудовых отношений с физическими лицами;

выполнение договорных обязательств Министерства;

соблюдение действующего законодательства Российской Федерации.

11. ИСПДн обеспечивают решение следующих задач:

упрощение процедуры обработки ПДн, сокращение времени на их обработку;

контроль использования ПДн;

защита ПДн, в том числе воспрепятствование неправомерному доступу к ПДн;

объединение в едином хранилище данных, предоставленных субъектами,

с учетом требований законодательства Российской Федерации;

обмен ПДн с использованием информационных систем связи и передачи информации.

12. Перечень ИОД, обрабатываемой в Министерстве, утвержден настоящим распоряжением.

13. В Министерстве обрабатываются ПДн сотрудников Министерства и лиц, не являющихся сотрудниками Министерства.

ПДн субъектов ПДн могут включать:

специальные категории ПДн;

общедоступные ПДн;

иные категории ПДн.

Обработка биометрических ПДн в Министерстве не осуществляется.

14. Полные списки обрабатываемых ПДн формируются в перечнях ПДн, подлежащих защите (либо иных организационно-распорядительных документах), в ИСПДн Министерства.

15. Сотрудники Министерства, которые в силу выполняемых служебных обязанностей постоянно работают с ИОД, получают допуск к необходимой информации на срок выполнения ими соответствующих должностных обязанностей в соответствии с утвержденными министром энергетики Московской области (далее - министр) перечнями лиц (должностей), допущенных к работе с ИОД.

16. Списки лиц (должностей), имеющих доступ к ИОД, должны поддерживаться в актуальном состоянии.

17. Министерством установлен разрешительный порядок доступа к ИОД. Сотрудникам предоставляется доступ к работе с ИОД исключительно в пределах и объеме, необходимых для выполнения ими своих должностных обязанностей.

18. В целях реализации возложенных на Министерство задач, исполнения государственных функций и полномочий Министерства отдельные функции обработки ИОД, могут осуществляться сотрудниками подведомственных Министерству учреждений, с учетом требований законодательства Российской Федерации. В данном случае права и обязанности указанных сотрудников, связанные с обработкой ИОД и описанные в настоящем Положении, соответствуют правам и обязанностям сотрудников Министерства.

19. Временный или разовый допуск к работе с ИОД в связи со служебной необходимостью может быть получен сотрудником Министерства по согласованию с министром и руководителями структурных подразделений Министерства без внесения изменений в список лиц (должностей), допущенных к работе с ИОД.

20. В случае если сотруднику сторонней организации требуется доступ к ИОД Министерства, необходимо, чтобы в договоре со сторонней организацией (ином документе о взаимодействии между Министерством и сторонней организацией) были прописаны условия конфиденциальности ИОД и обязанность сторонней организации и ее сотрудников по соблюдению требований законодательства Российской Федерации в области обработки и защиты ИОД, а также, в случае передачи ПДн - обработки и защиты ПДн.

21. Доступ сотрудника Министерства к ИОД прекращается с даты завершения трудовых отношений либо с даты изменения должностных обязанностей сотрудника и (или) исключения его из списков лиц, имеющих право доступа к ИОД. В случае увольнения все находившиеся в распоряжении сотрудника в соответствии с его должностными обязанностями носители, содержащие ИОД, передаются руководителям структурных подразделений.

22. Доступ к обрабатываемым в Министерстве ПДн со стороны третьих лиц (не являющихся сотрудниками Министерства и подведомственных Министерству учреждений) без согласия субъекта ПДн запрещен, если иное не определено законодательством Российской Федерации либо если передача ПДн третьим лицам необходима для достижения цели, на обработку ПДн для реализации которой получено согласие субъекта ПДн.

23. При обработке ИОД в информационных системах Министерства обеспечивается:

определение угроз безопасности ИОД при ее обработке в информационных системах;

проведение мероприятий, направленных на предотвращение несанкционированного доступа к ИОД и (или) передачи ее лицам, не имеющим права доступа к такой информации, в том числе применением организационных и технических мер по обеспечению безопасности ИОД;

применение средств защиты информации, имеющих сертификаты соответствия требованиям ФСТЭК России (для средств криптографической защиты информации - Федеральной службой безопасности Российской Федерации (далее - ФСБ России);

своевременное обнаружение фактов несанкционированного доступа к ИОД;

предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

недопущение воздействия на технические средства обработки ИОД, в результате которого может быть нарушено их функционирование;

возможность незамедлительного восстановления ИОД, модифицированной или уничтоженной вследствие несанкционированного доступа;

постоянный контроль обеспечения требований к защищенности ИОД и требуемого уровня защищенности ПДн (при наличии);

оценка эффективности (аттестацией по требованиям информационной безопасности) принимаемых мер по обеспечению безопасности ИОД до ввода в эксплуатацию ИС и начала обработки ИОД в ней;

обнаружение фактов несанкционированного доступа к ИОД и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы и по реагированию на компьютерные инциденты в них;

восстановление ИОД, модифицированной или уничтоженной вследствие несанкционированного доступа;

нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации.

24. Министерство принимает необходимые правовые, организационные и технические меры для обеспечения безопасности ИОД.

25. На основании нормативных правовых актов и методических документов ФСТЭК России и ФСБ России для установления требований по обеспечению безопасности и внедрения системы обеспечения безопасности ИОД в Министерстве разрабатывается комплект организационно-распорядительной документации (для каждой ИС, предназначенной для обработки ИОД) и модель угроз безопасности информации при ее обработке в ИС (для каждой ИСПДн и (или) государственной ИС (далее - ГИС) Министерства). Модели угроз безопасности информации для ИС Министерства, имеющих статус ГИС, подлежат согласованию с ФСТЭК России и ФСБ России в пределах их полномочий.

В случае необходимости применения в ИС средств криптографической защиты информации (далее - СКЗИ) при разработке модели угроз также разрабатывается модель нарушителя информационной безопасности, в которой определяются требования к классам применяемых СКЗИ.

26. В соответствии с приказом ФСТЭК России от 11.04.2025 № 117 "Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений" членами комиссии по обследованию режимных помещений, категорированию и классификации объектов информатизации Министерства, назначенными приказом министра, проводится классификация ИС.

В соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" членами комиссии по обследованию режимных помещений, категорированию и классификации объектов информатизации Министерства, назначенными приказом министра, проводится классификация (определение требуемого уровня защищенности обрабатываемых в ИСПДн ПДн) ИСПДн.

27. В соответствии с приказами ФСТЭК России от 11.04.2025 № 117 "Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений", от 18.02.2013 № 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" (для ИСПДн) в Министерстве разрабатывается и внедряется комплекс мер по защите и обеспечению безопасности ИОД.

28. Эффективность принятых мер по защите и обеспечению безопасности ИОД в ГИС оценивается в рамках аттестации ГИС на соответствие требованиям о защите информации ограниченного доступа, проводимой в соответствии с требованиями, утвержденными приказом ФСТЭК России от 29.04.2021 № 77.

Эффективность принятых мер по защите и обеспечению безопасности ИОД в ИС, не являющихся ГИС, рекомендуется оценивать в рамках аттестации ГИС на соответствие требованиям о защите информации ограниченного доступа, проводимой в соответствии с требованиями, утвержденными приказом ФСТЭК России от 29.04.2021 № 77, при этом допускаются другие предусмотренные законодательством Российской Федерации способы оценки эффективности. Обязательная аттестация проводится в отношении ИС, имеющих статус ГИС; в отношении иных ИС Министерства решение о необходимости проведения аттестации принимает министр энергетики Московской области (пункт 6 Требований, утвержденных приказом ФСТЭК России от 11.04.2025 № 117). Аттестаты соответствия, выданные до 01.03.2026, считаются действительными и переоформлению в связи с вступлением в силу указанного приказа не подлежат.

29. ИОД допускается обрабатывать только в ИС, имеющих актуальные (действующие) документы, оформленные по результатам проведения мероприятий по оценке эффективности принятых мер по защите и обеспечению безопасности ИОД в ИС (аттестации ИС на соответствие требованиям информационной безопасности). При этом в документах должна быть указана возможность обработки ИОД (при необходимости - соответствующего типа ИОД) в ИС.

30. Все лица, допущенные к работе с ИОД, а также связанные с эксплуатацией и техническим сопровождением ИС, должны быть ознакомлены с требованиями настоящего Положения, а также должны соблюдать требования законодательства Российской Федерации в области защиты информации и обработки ПДн (в случае обработки ПДн).

31. В Министерстве организуется процесс обучения использованию средств защиты ИОД, обязательный для лиц, ответственных за эксплуатацию средств защиты информации ИС, и рекомендательный для лиц, имеющих постоянный доступ к ИОД, и лиц, эксплуатирующих технические и программные средства ИС и средства защиты ИС.

32. Сотрудники Министерства обязаны незамедлительно сообщать руководителям структурных подразделений об утрате или недостаче носителей ИОД, о причинах и условиях возможной утечки ИОД, о попытках посторонних лиц получить от сотрудника ИОД, обрабатываемую Министерством, а также о других случаях, создающих предпосылки для нарушения безопасности обрабатываемой в Министерстве ИОД.

33. Отдельные функции по защите обрабатываемой в Министерстве ИОД могут в установленном порядке быть делегированы подведомственным Министерству учреждениям, с учетом требований законодательства Российской Федерации.

34. Обязательным требованием для всех лиц, которым ИОД стала известна, является обеспечение ее конфиденциальности.

При необходимости при обработке ИОД также предъявляются требования по обеспечению ее целостности и доступности.

35. ИОД на бумажных носителях, обрабатываемая в Министерстве, хранится в отделах (у сотрудников), имеющих допуск к обработке соответствующей информации. Носители ИОД не должны оставаться без присмотра. При оставлении рабочего места сотрудники, осуществляющие обработку ИОД, должны убирать носители в сейф, запираемый шкаф или иным образом ограничивать несанкционированный доступ к носителям. При утере или порче ИОД и (или) носителей ИОД осуществляется их восстановление (по возможности).

36. Порядок обращения с документами, изданиями (книгами, журналами, брошюрами, почтовыми отправлениями) и другими материальными и машинными носителями информации, содержащими ИОД, определяется Правилами делопроизводства в исполнительных органах государственной власти Московской области, государственных органах Московской области, утвержденных постановлением Губернатора Московской области, а также Положением о порядке учета, хранения и обращения со съемными носителями персональных данных и иной информации ограниченного доступа, утвержденным настоящим распоряжением.

37. При работе с программными средствами ИС Министерства, реализующих функции просмотра и редактирования ИОД, запрещается демонстрация экранных форм, содержащих такие данные, лицам, не имеющим соответствующего допуска.

38. При получении ИОД сотрудником Министерства, который в соответствии с должностными обязанностями получает ИОД от клиента, сотрудника, иного лица, в обязательном порядке проводится проверка достоверности ИОД. Ввод ИОД, полученной Министерством, в ИС, осуществляется сотрудниками, имеющими доступ к соответствующей информации.

При этом ввод и обработка ИОД допускается только в ИС, предназначенных для обработки такой информации. Такая возможность должна быть указана в документах, оформляемых по результатам проведения мероприятий по оценке эффективности принятых мер по защите и обеспечению безопасности ИОД в ИС (аттестации ИС по требованиям информационной безопасности).

39. Сотрудники, осуществляющие ввод ИОД в ИС, несут ответственность за достоверность и полноту введенной информации, а также за соблюдение требований информационной безопасности при вводе и обработке ими ИОД в ИС (в том числе - в части вопросов соответствия ИС либо ее компонента требованиям информационной безопасности, предъявляемым для возможности обработки ИОД в ИС).

40. Обработка ПДн на бумажных носителях, без использования средств автоматизации (в случаях, если при обработке ПДн не используется ПЭВМ) осуществляется в соответствии с требованиями, утверждёнными постановлением Правительства Российской Федерации от 15.09.2008 № 687.

При неавтоматизированной обработке различных категорий ПДн должен использоваться отдельный материальный носитель для каждой категории ПДн.

При неавтоматизированной обработке ПДн на бумажных носителях не допускается фиксация на одном бумажном носителе ПДн, цели обработки которых несовместимы между собой. При этом ПДн должны обособляться от иной информации, в частности путем фиксации их на отдельных бумажных носителях, в специальных разделах или на полях форм (бланков).

41. Уничтожение ИОД, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этой информации с сохранением возможности обработки иных данных, зафиксированных на материальном носителе.

42. Уточнение ИОД при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, если это не допускается техническими особенностями материального носителя - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненной информацией.

43. По результатам уничтожения ПДн оформляется подтверждающий документ - акт об уничтожении ИОД по форме, утвержденной настоящим распоряжением.

44. В случае если подлежащая удалению ИОД содержит ПДн, обработка которых осуществляется с использованием средств автоматизации, кроме акта об уничтожении ИОД производится выгрузка из журнала регистрации событий в ИС. Выгрузка из журнала регистрации событий должна содержать:

фамилию, имя, отчество (при наличии) субъекта (субъектов) ПДн или иную информацию, относящуюся к субъекту ПДн, чьи ПДн были уничтожены;

перечень категорий, уничтоженных ПДн субъекта ПДн;

наименование ИСПДн, из которой были уничтожены ПДн;

причину уничтожения ПДн;

дату уничтожения ПДн.

Если выгрузка из журнала не позволяет указать отдельные из перечисленных выше сведений, недостающие сведения вносятся в акт об уничтожении ПДн.

45. Акт об уничтожении ИОД подписывается комиссией в составе:

главы комиссии - должностного лица, ответственного за обеспечение информационной безопасности в Министерстве либо должностного лица, ответственного за организацию обработки ПДн в Министерстве (только в случае удаления ПДн);

членов комиссии - должностных лиц, ответственных за функционирование ИС, из которых осуществляется удаление ИОД, должностных лиц, обеспечивших уничтожение ИОД из ИС, а также должностного лица, ответственного за рассмотрение запросов и обращений в Министерство субъектов ПДн или их представителей (только в случае удаления ПДн).

Акт об уничтожении ИОД подписывается членами комиссии собственноручно либо посредством квалифицированной электронной подписи в государственной информационной системе "Межведомственная система электронного документооборота".

Акт об уничтожении ИОД в электронной форме, подписанный посредством квалифицированной электронной подписи в государственной информационной системе "Межведомственная система электронного документооборота", признается электронным документом, равнозначным акту об уничтожении ИОД на бумажном носителе, подписанному собственноручной подписью членов комиссии.

46. Акт об уничтожении ИОД, а также (при наличии) выгрузка из журнала регистрации событий в ИСПДн, подлежат хранению в течение трех лет с момента уничтожения ИОД.

47. ИОД на бумажных носителях уничтожается путем использования шредеров (уничтожителей документов), установленных в помещениях Министерства.

48. ИОД, размещенная на флэш-карте, CD-диске, ином носителе информации, уничтожается путем удаления содержимого носителя (форматирования носителя) или путем нарушения работоспособности флэш-карты или CD-диска.

49. По результатам уничтожении носителя информации составляется акт об уничтожении ИОД по форме, утвержденной настоящим распоряжением.

50. По окончании рабочего дня сотрудники Министерства закрывают в служебных помещениях, в которых могут храниться носители ИОД, окна, запирают данные помещения и включают сигнализацию (при наличии).

51. Сетевое оборудование, серверы, предназначенные для обработки ИОД, следует располагать в местах, недоступных для посторонних лиц (в специальных помещениях, шкафах, коробах).

52. Уборка помещений и обслуживание технических средств ИС должны осуществляться под контролем лиц, ответственных за данные помещения и (или) технические средства лиц с соблюдением мер, исключающих несанкционированный доступ к ИОД, носителям информации, программным и техническим средствам обработки, передачи и защиты информации в ИС.

53. В целях изучения и оценки фактического состояния защищенности ИОД, своевременного реагирования на нарушения установленного порядка их обработки, а также в целях совершенствования этого порядка и обеспечения его соблюдения, в Министерстве осуществляется внутренний контроль процесса обработки ИОД.

Мероприятия по осуществлению внутреннего контроля обработки и обеспечения безопасности ИОД направлены на решение следующих задач:

обеспечение соблюдения сотрудниками Министерства требований настоящего Положения и нормативных правовых актов, регулирующих процессы обработки и защиты ИОД, обработки и защиты ПДн;

оценка компетентности персонала, задействованного в обработке ИОД;

обеспечение работоспособности и эффективности технических средств ИС и средств защиты ИОД, их соответствия требованиям уполномоченных органов исполнительной власти по вопросам обеспечения безопасности ИОД;

выявление нарушений установленного порядка обработки ИОД и своевременное предотвращение негативных последствий таких нарушений;

принятие корректирующих мер, направленных на устранение выявленных нарушений в процессе обработки ИОД и в работе технических средств ИС;

разработка рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ИОД по результатам контрольных мероприятий;

осуществление внутреннего контроля исполнения рекомендаций и указаний по устранению нарушений.

Результаты контрольных мероприятий оформляются актами и являются основанием для разработки рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ИОД, по модернизации технических средств ИС и средств защиты ИОД, по обучению и повышению компетентности персонала, задействованного в обработке ИОД;

54. В случае нарушения установленного порядка обработки ИОД сотрудники Министерства несут ответственность в соответствии с разделом 9 настоящего Положения.

55. Предоставление ИОД или доступа к ним третьей стороне должны выполняться на основании:

законодательства Российской Федерации;

договора либо иного основания, существенным условием которого является обеспечение третьей стороной конфиденциальности ИОД и безопасности ИОД при ее обработке;

для ПДн - согласия субъекта ПДн на передачу его ПДн третьей стороне, за исключением случаев, когда такая передача необходима для достижения целей, на обработку ПДн в которых субъект ПДн ранее дал согласие, либо в случаях, когда в соответствии с законодательством Российской Федерации согласие субъекта ПДн на обработку его ПДн не требуется.

56. Субъект ПДн принимает решение о предоставлении своих ПДн и дает согласие на их обработку свободно, по своей воле и в своих интересах. Согласие на обработку ПДн должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством Российской Федерации. В случае получения согласия на обработку ПДн от представителя субъекта ПДн полномочия данного представителя на дачу согласия от имени субъекта ПДн проверяются Министерством.

57. В случаях, когда в соответствии с требованиями законодательства обработка ПДн осуществляется только с согласия в письменной форме субъекта ПДн (в частности, при обработке ПДн специальных категорий) равнозначным содержащему собственноручную подпись субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта ПДн на обработку его ПДн должно включать в себя, в частности:

фамилию, имя, отчество, адрес субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

фамилию, имя, отчество, адрес представителя субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта ПДн);

наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта ПДн;

цель обработки ПДн;

перечень ПДн, на обработку которых дается согласие субъекта ПДн;

наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению оператора, если обработка будет поручена такому лицу;

перечень действий с ПДн, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПДн;

срок, в течение которого действует согласие субъекта ПДн, а также способ его отзыва, если иное не установлено федеральным законом;

подпись субъекта персональных данных.

Требования пункта 57 настоящего Положения не распространяются на случаи, когда письменная форма согласия субъекта ПДн на обработку его ПДн выбрана Министерством как оператором ПДн, но не является обязательной согласно требованиям законодательства Российской Федерации.

58. Согласие на обработку ПДн может быть отозвано субъектом ПДн. В случае отзыва субъектом ПДн согласия на обработку ПДн Министерство вправе продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, предусмотренных законодательством Российской Федерации.

59. Получение согласия на обработку ПДн осуществляется сотрудником при получении ПДн от субъекта ПДн путем оформления согласия по форме, утвержденной настоящим распоряжением, за исключением случаев, указанных в пункте 57 настоящего Положения.

60. Если в соответствии с законодательством Российской Федерации предоставление ПДн и (или) получение Министерством согласия на обработку ПДн являются обязательными, Министерство обязано разъяснить субъекту ПДн юридические последствия отказа предоставить его ПДн и (или) дать согласие на их обработку.

61. Субъект ПДн имеет право:

получать от Министерства информацию, касающуюся обработки его ПДн в установленном законодательством Российской Федерации порядке. Сведения должны быть предоставлены субъекту ПДн в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта ПДн или его представителя в доступной форме, и в них не должны содержаться ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, если имеются законные основания для раскрытия таких ПДн. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Министерством в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Перечень сведений и порядок получения сведений предусмотрен законодательством Российской Федерации;

обращаться в Министерство по вопросу уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законодательством Российской Федерации меры по защите своих прав;

обращаться в Министерство с отзывом ранее данного Министерству согласия на обработку его ПДн. При этом такое обращение должно содержать информацию, на основании которой Министерство может однозначно определить субъекта ПДн и ПДн, на обработку которых субъект ПДн отзывает согласие;

давать предварительное письменное согласие при принятии Министерством исключительно в процессе автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы;

заявлять возражения на решения Министерства в процессе исключительно автоматизированной обработки ПДн и на возможные юридические последствия таких решений;

обжаловать действия или бездействие Министерства в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке.

62. Министерство вправе:

поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных", на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия соответствующего акта, в порядке, предусмотренном законодательством Российской Федерации;

в случае отзыва субъектом ПДн согласия на обработку ПДн, продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, предусмотренных законодательством Российской Федерации;

отказать субъекту ПДн в выполнении повторного запроса сведений, не соответствующих условиям, предусмотренным законодательством Российской Федерации. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Министерстве;

самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей Министерства, предусмотренных законодательством Российской Федерации;

делегировать отдельные функции по обработке и защите ПДн подведомственным Министерству учреждениям, с учетом требований законодательства Российской Федерации.

63. Министерство обязано:

до начала обработки ПДн уведомить уполномоченный орган по защите прав субъектов ПДн о своем намерении осуществлять обработку ПДн;

назначить должностное лицо, ответственное за организацию обработки ПДн;

при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети "Интернет", обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных законодательством Российской Федерации;

разъяснить субъекту ПДн юридические последствия отказа предоставить его ПДн и (или) дать согласие на их обработку, если предоставление ПДн и (или) получение Министерством согласия на обработку ПДн являются обязательными;

при получении доступа к ПДн не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;

представить доказательство получения согласия субъекта ПДн на обработку его ПДн или доказательство наличия законных оснований обработки ПДн без согласия субъекта ПДн;

до начала осуществления трансграничной передачи ПДн убедиться в том, что иностранным государством, на территорию которого осуществляется передача ПДн, обеспечивается адекватная защита прав субъектов ПДн;

разъяснить субъекту ПДн порядок принятия решения на основании исключительно автоматизированной обработки его ПДн и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом ПДн своих прав и законных интересов;

при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, предусмотренную законодательством Российской Федерации;

опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Министерства в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПД;

принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей Министерства, предусмотренных законодательством Российской Федерации;

представить документы и локальные акты, предусмотренные законодательством Российской Федерации, и (или) иным образом подтвердить принятие мер, необходимых и достаточных для обеспечения выполнения обязанностей Министерства по запросу уполномоченного органа по защите прав субъектов ПДн;

при обработке ПДн принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;

в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн;

ознакомить служащих Министерства, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации о ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику Министерства в отношении обработки ПДн, локальными актами Министерства по вопросам обработки ПДн;

исполнять иные обязанности, предъявляемые к операторам ПДн законодательством Российской Федерации.

64. Хранение ПДн должно осуществляться в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных", договором, стороной которого является субъект ПДн.

65. При трансграничной передаче ПДн учитываются следующие особенности:

66. Трансграничная передача ПДн может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, защиты экономических и финансовых интересов Российской Федерации, обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан Российской Федерации, суверенитета, безопасности, территориальной целостности Российской Федерации и других ее интересов на международной арене с даты принятия уполномоченным органом по защите прав субъектов ПДн решения о запрещении или об ограничении трансграничной передачи ПДн, которое принимается уполномоченным органом по защите прав субъектов персональных данных по результатам рассмотрения уведомления, предусмотренного подпунктом 1 пункта 65 настоящего Положения.

В случае принятия уполномоченным органом по защите прав субъектов персональных данных решения о запрещении или об ограничении трансграничной передачи ПДн Министерство обязано обеспечить уничтожение органом власти иностранного государства, иностранным физическим лицом, иностранным юридическим лицом ранее переданных им ПДн.

67. В случаях, предусмотренных законодательством Российской Федерации, требования подпунктов 1, 2 пункта 65, пункта 66 настоящего Положения не применяются к вопросам трансграничной передачи Министерством ПДн в целях выполнения возложенных международным договором Российской Федерации, законодательством Российской Федерации на него функций, полномочий и обязанностей.

68. В целях информационного обеспечения в Министерстве могут создаваться специализированные справочники (телефонные, адресные книги и др.), содержащие ПДн, к которым с письменного согласия субъекта ПДн может предоставляться доступ неограниченному кругу лиц. Сведения о субъекте ПДн должны быть незамедлительно исключены из общедоступных источников ПДн по требованию субъекта ПДн либо по решению суда или иных уполномоченных государственных органов.

69. Руководители Министерства и руководители структурных подразделений Министерства несут ответственность за необеспечение конфиденциальности ИОД, за несоблюдение прав и свобод субъектов ПДн в отношении их ПДн, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.

70. Сотрудники Министерства несут персональную ответственность за несоблюдение требований по обработке и обеспечению безопасности ИОД, установленных настоящим Положением, в соответствии с законодательством Российской Федерации.

71. Сотрудник Министерства может быть привлечен к ответственности в случаях:

умышленного или неумышленного раскрытия либо искажения ИОД;

утраты материальных носителей ИОД;

нарушения требований настоящего Положения и других нормативных документов Министерства в части вопросов доступа и работы с ИОД;

нарушения установленного порядка обработки и обеспечения безопасности ИОД, несанкционированного доступа к ИОД, раскрытия ИОД и нанесения Министерству, его сотрудникам, клиентам, субъектам обрабатываемых в Министерстве ПДн материального или морального ущерба.

72. Согласие субъекта ПДн на обработку его ПДн оформляется в виде отдельного документа и не может включаться в текст иного документа (договора, заявления и т.п.). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (статья 9 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных").

73. Обезличивание ПДн осуществляется в соответствии с требованиями и методами, утвержденными приказом Роскомнадзора от 19.06.2025 № 140 "Об утверждении требований к обезличиванию персональных данных и методов обезличивания персональных данных, за исключением случаев, указанных в пункте 9.1 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных", а также с учетом статьи 13.1 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных".

74. Не допускаются обработка и хранение ПДн граждан Российской Федерации с использованием баз данных, размещенных за пределами территории Российской Федерации (Федеральный закон от 28.02.2025 № 23-ФЗ "О внесении изменений в Федеральный закон "О персональных данных" и отдельные законодательные акты Российской Федерации").

75. За нарушение законодательства в области ПДн предусмотрена административная ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях, в том числе за неуведомление уполномоченного органа об обработке ПДн и об инцидентах, а также уголовная ответственность по статье 272.1 Уголовного кодекса Российской Федерации.

1. Настоящее Положение о порядке учета, хранения и обращения со съемными носителями персональных данных и иной информации ограниченного доступа разработано в соответствии с федеральными законами от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации", от 27.07.2006 № 152-ФЗ "О персональных данных", постановлением Правительства Российской Федерации от 21.03.2012 № 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", Требованиями о защите информации, содержащейся в государственных информационных системах, с использованием шифровальных (криптографических) средств, утвержденными приказом Федеральной службы безопасности Российской Федерации от 18.03.2025 № 117 "Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, с использованием шифровальных (криптографических) средств", Инструкцией по делопроизводству в исполнительных органах государственной власти Московской области, государственных органах Московской области, утвержденной постановлением Губернатора Московской области от 21.06.2022 № 201-ПГ "Об утверждении Инструкции по делопроизводству в исполнительных органах государственной власти Московской области, государственных органах Московской области", и устанавливает порядок учета и использования машинных носителей информации для обработки информации ограниченного доступа (далее - ИОД), в том числе персональных данных (далее - ПДн).

2. Действие настоящего Положения распространяется на всех сотрудников Министерства, подведомственных ему организаций, подрядчиков и представителей третьей стороны, имеющих доступ к информации ограниченного доступа, обрабатываемой в Министерстве энергетики Московской области (далее - Министерство).

3. В Положении используются следующие термины, сокращения и определения:

АРМ - автоматизированное рабочее место пользователя (персональный компьютер (ПК) с прикладным ПО) для выполнения определенной производственной задачи.

ИБ - информационная безопасность - комплекс организационно-технических мероприятий, обеспечивающих конфиденциальность, целостность и доступность информации.

ИС (ИСПДн) - информационная система (персональных данных).

ИОД - информация, доступ к которой ограничен законодательством Российской Федерации.

МНИ - материальный носитель, используемый для хранения и передачи электронной информации.

МНИ ОД - съемный МНИ, предназначенный для обработки ПДн либо другой ИОД.

ПК - персональный компьютер.

ПО - программное обеспечение вычислительной техники.

ПО вредоносное - ПО или изменения в ПО, приводящие к нарушению конфиденциальности, целостности и доступности критичной информации.

4. Под использованием МНИ ОД в ИС понимается их подключение к инфраструктуре ИС с целью обработки ПДн либо другой ИОД и обмена информацией между ИС и МНИ ОД.

5. В ИС для обработки ИОД допускается использование только учтенных МНИ ОД, которые являются собственностью Министерства и подвергаются регулярной ревизии и контролю.

6. К МНИ ОД предъявляются требования ИБ в соответствии с классами (уровнями) защищенности АРМ, для работы с которыми они предназначены.

Целесообразность применения дополнительных мер обеспечения ИБ определяется администраторами ИС.

7. Не допускается подключение МНИ ОД, содержащих ИОД, к АРМ (ИС), не предназначенным для обработки ИОД (не имеющим подтверждающих соответствие требованиям ИБ для обработки ИОД документов, например - аттестатов соответствия требованиям ИБ).

8. Все находящиеся на хранении и в обращении МНИ ОД подлежат учету.

9. Каждый МНИ ОД должен иметь уникальный учетный номер.

10. Учет и выдача МНИ ОД осуществляются уполномоченными сотрудниками структурных подразделений Министерства, назначенными соответствующими приказами. Факт выдачи МНИ ОД пользователю фиксируется в журнале учета МНИ ОД, утвержденном настоящим распоряжением (далее - Журнал).

11. Пользователи получают учтенные МНИ ОД от уполномоченных сотрудников структурных подразделений Министерства на время выполнения соответствующих работ, по окончании которых данные носители подлежат возврату. Факты выдачи и возврата МНИ ОД фиксируются в Журнале.

12. При использовании пользователями МНИ ОД необходимо:

соблюдать требования настоящего Положения;

использовать МНИ ОД исключительно для выполнения своих служебных обязанностей;

ставить в известность администраторов ИС о любых фактах нарушения требований настоящего Положения;

бережно относится к МНИ ОД;

обеспечивать безопасность МНИ ОД;

извещать администраторов ИС о фактах утраты (кражи) МНИ ОД.

13. При использовании МНИ ОД запрещается:

использовать их в личных целях;

передавать их другим лицам (за исключением передачи МНИ ОД в целях, предусмотренных служебной необходимостью, при условии соблюдения требований информационной безопасности и учета МНИ ОД);

хранить их вместе с общедоступными данными на (в) рабочих столах либо оставлять без присмотра или передавать на хранение другим лицам;

подключать МНИ ОД, содержащие ИОД, к АРМ (ИС), не предназначенных для обработки ИОД;

выносить их из служебных помещений для работы на дому.

14. Обработка, прием и передача ПДн (ИОД), инициированные сотрудником между ИС и неучтенными МНИ, рассматриваются как несанкционированные. Администратор ИС оставляет за собой право блокировать или ограничивать использование МНИ ОД.

15. В случае выявления фактов несанкционированного и (или) нецелевого использования МНИ ОД инициируется служебная проверка, проводимая комиссией, состав и полномочия которой определяется ответственным за обеспечение информационной безопасности в Министерстве. По результатам служебной проверки составляется Акт расследования инцидента, утвержденный настоящим распоряжением и передается руководителю структурного подразделения для принятия мер в соответствии с законодательством Российской Федерации.

16. Информация, хранящаяся на МНИ ОД, подлежит обязательной проверке на предмет отсутствия вредоносного ПО, в соответствии с политикой антивирусной защиты, действующей в Министерстве.

17. При отправке или передаче ПДн (ИОД) адресатам на МНИ ОД записываются только предназначенные им данные. Отправка ПДн (ИОД) адресатам на МНИ ОД осуществляется в порядке, установленном для документов с пометкой "Для служебного пользования".

18. Вынос МНИ ОД для непосредственной передачи адресату осуществляется только с письменного разрешения руководителя структурного подразделения либо согласования (подписания) им сопроводительного письма, к которому прилагается МНИ ОД.

19. Если в соответствии с технологическим процессом обработки ИОД (ПДн) в ИС несанкционированных доступ к МНИ ОД не может быть исключен, для защиты такой информации должны применяться сертифицированные ФСБ России средства криптографической защиты информации (далее - СКЗИ).

20. В случае утраты или несанкционированного уничтожения МНИ ОД либо разглашения содержащихся на них сведений немедленно ставится в известность руководитель соответствующего структурного подразделения. По факту утраты составляется акт расследования инцидента и в журналы учета носителей ОД вносятся соответствующие отметки.

21. МНИ ОД, пришедшие в негодность, или отслужившие установленный срок, подлежат уничтожению.

22. В случае увольнения или перевода сотрудника в другое структурное подразделение предоставленные ему МНИ ОД необходимо сдать уполномоченному лицу структурного подразделения. Уполномоченное лицо должно предпринять одно из следующих мер, направленных на невозможность несанкционированного доступа хранящейся на нем защищаемой информации:

уничтожить МНИ ОД с составлением соответствующего акта;

удалить информацию, содержащуюся на МНИ ОД, с составлением соответствующего акта;

сдать в архив или перерегистрировать МНИ ОД на структурное подразделение и сделать соответствующую отметку в Журнале.

23. В помещениях, в которых размещены и (или) хранятся носители ключевой, аутентифицирующей и парольной информации СКЗИ (далее - МНИ СКЗИ), должен обеспечиваться режим, препятствующий возможности неконтролируемого проникновения или пребывания лиц, не имеющих права доступа в такие помещения, который достигается посредством:

утверждения правил доступа в помещения в рабочее и нерабочее время, а также в нештатных ситуациях;

утверждения перечня лиц, имеющих право доступа в помещения.

24. Помещения, в которых размещены и (или) хранятся МНИ СКЗИ, предназначенные для защиты информации, содержащейся в ИС (сегмента ИС), предназначенной для решения задач ИС на всей территории Российской Федерации или в пределах двух и более субъектов Российской Федерации, обрабатывающей информацию высокого уровня значимости, должны соответствовать следующим требованиям:

окна помещений, расположенных на первых и (или) последних этажах зданий, а также окна помещений, находящихся около пожарных лестниц и других мест, откуда возможно проникновение в помещения посторонних лиц, должны быть оборудованы металлическими решетками или ставнями, охранной сигнализацией или другими средствами, препятствующими неконтролируемому проникновению посторонних лиц в помещения;

окна и двери помещений, в которых размещены серверы ИС, должны быть оборудованы металлическими решетками, охранной сигнализацией или другими средствами, препятствующими неконтролируемому проникновению посторонних лиц в помещения.

25. Пользователи и администраторы ИС, а также иные сотрудники Министерства, нарушившие требования настоящего Положения, несут ответственность в соответствии с законодательством Российской Федерации.

3.1. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:

подтверждение факта обработки ПДн в Министерстве;

правовые основания и цели обработки ПДн;

цели и применяемые в Министерстве способы обработки ПДн;

наименование и место нахождения Министерства как оператора ПДн, сведения о лицах (за исключением сотрудников Министерства), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн;

обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения (если иной порядок представления таких данных не предусмотрен законодательством Российской Федерации);

сроки обработки и хранения ПДн;

порядок осуществления субъектом ПДн своих прав как субъекта ПДн;

информацию об осуществленной или о предполагаемой трансграничной передаче данных;

наименование организации или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Министерства, если обработка поручена или будет поручена такому лицу;

информацию о способах исполнения Министерством обязанностей оператора ПДн;

иные сведения, предусмотренные законодательством Российской Федерации.

3.2. Должностные лица Министерства обеспечивают:

объективное, всестороннее и своевременное рассмотрения запроса;

принятие мер, направленных на восстановление или защиту нарушенных прав, свобод и законных интересов субъектов ПДн;

направление письменных ответов по существу запроса.

3.3. Сведения, указанные в пункте 3.1, предоставляются субъекту ПДн или его представителю Министерством в течение десяти рабочих дней с момента обращения либо получения Министерством запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Министерством в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

3.4. Запрос должен содержать:

номер основного документа, удостоверяющего личность субъекта ПДн или его представителя;

сведения о дате выдачи указанного документа и выдавшем его органе;

сведения, подтверждающие участие субъекта ПДн в отношениях с Министерством либо сведения, иным образом подтверждающие факт обработки ПДн Министерством;

подпись субъекта ПДн или его представителя.

Запрос может быть направлен в форме электронного документа и подписан ЭП в соответствии с законодательством Российской Федерации.

3.5. Министерство предоставляет сведения, указанные в пункте 3.1, субъекту ПДн или его представителю в той форме, в которой направлены соответствующий запрос, если иное не указано в запросе.

3.6. Министерство обязано сообщить субъекту ПДн или его представителю информацию о наличии ПДн, относящихся к соответствующему субъекту ПДн, а также предоставить возможность ознакомления с этими ПДн при обращении субъекта ПДн или его представителя в течение десяти рабочих дней с даты получения запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Министерством в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

Министерство обязано предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к нему.

3.7. В случае если сведения, указанные в пункте 3.1, либо обрабатываемые ПДн, были предоставлены для ознакомления субъекту ПДн по его запросу, субъект ПДн вправе направить повторный запрос в целях получения таких сведений (ознакомления с такими ПДн) не ранее чем через тридцать дней после первоначального запроса, если более короткий срок не установлен законодательством Российской Федерации или договором, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн.

Субъект ПДн вправе повторно направить запрос в Министерство в целях получения сведений (ознакомления с обрабатываемыми ПДн) до истечения, указанного выше срока в случае, если такие сведения и (или) обрабатываемые ПДн не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального запроса. Повторный запрос наряду со сведениями, указанными в пункте 3.3, должен содержать обоснование направления повторного запроса.

Запрос рассматривается должностными лицами Министерства, проверяется на повторность, при необходимости сверяется с находящейся в архиве предыдущей перепиской.

Министерство вправе отказать субъекту ПДн в выполнении повторного запроса, не соответствующего перечисленным условиям. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Министерстве.

3.8. Право субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с законодательством Российской Федерации, в том числе если:

обработка ПДн, включая ПДн, полученные в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;

обработка ПДн осуществляется органами, осуществившими задержание субъекта ПДн по подозрению в совершении преступления, либо предъявившими субъекту ПДн обвинение по уголовному делу, либо применившими к субъекту ПДн меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими ПДн;

обработка ПДн осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

доступ субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц;

обработка ПДн осуществляется в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

3.9. Субъект ПДн вправе обращаться в Министерство в целях уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

В срок, не превышающий семи рабочих дней со дня предоставления субъектом ПДн или его представителем сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными, уполномоченные должностные лица Министерства обязаны внести в них необходимые изменения.

В срок, не превышающий семи рабочих дней со дня представления субъектом ПДн или его представителем сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки, уполномоченные должностные лица Министерства обязаны уничтожить такие ПДн с оформлением акта уничтожения ПДн по форме, утвержденной настоящим распоряжением.

Министерство обязано уведомить субъекта ПДн или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым ПДн этого субъекта были переданы.

3.10. В целях обработки запросов Министерство вправе запрашивать информацию, требуемую для ответа за запрос, у организаций, которые участвуют в обработке ПДн субъекта ПДн на основании поручения Министерства либо иных предусмотренных законодательством Российской Федерации основаниях.

3.11. В случае отказа в предоставлении ПДн или информации о наличии ПДн о соответствующем субъекте ПДн субъекту ПДн или его представителю при их обращении либо при получении запроса уполномоченные должностные лица Министерства обязаны дать в письменной форме мотивированный ответ, содержащий ссылку на положения законодательства Российской Федерации, являющиеся основанием для такого отказа, в срок, не превышающий десяти рабочих дней со дня обращения субъекта ПДн или его представителя либо с даты получения запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Министерством в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

3.12. В случае выявления неправомерной обработки ПДн при обращении субъекта ПДн или его представителя, либо по запросу субъекта ПДн или его представителя, либо уполномоченного органа по защите прав субъектов ПДн уполномоченные должностные лица Министерства обязаны осуществить блокирование неправомерно обрабатываемых ПДн, относящихся к этому субъекту ПДн, с момента такого обращения или получения указанного запроса на период проверки.

3.13. В случае выявления неточных ПДн при обращении субъекта ПДн или его представителя, либо по их запросу или по запросу уполномоченного органа по защите прав субъектов ПДн, уполномоченные должностные лица Министерства обязаны осуществить блокирование ПДн, относящихся к этому субъекту ПДн, с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

3.14. В случае подтверждения факта неточности ПДн уполномоченные должностные лица Министерства на основании сведений, представленных субъектом ПДн или его представителем, либо уполномоченным органом по защите прав субъектов ПДн, или иных необходимых документов обязаны уточнить ПДн в течение семи рабочих дней со дня представления таких сведений и снять блокирование ПДн.

3.15. В случае выявления неправомерной обработки ПДн уполномоченные должностные лица Министерства в срок, не превышающий трех рабочих дней с даты этого выявления, обязаны прекратить неправомерную обработку ПДн. В случае если обеспечить правомерность обработки ПДн невозможно, уполномоченные должностные лица Министерства в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки ПДн, обязаны уничтожить такие ПДн или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн Министерство обязано уведомить субъекта ПДн или его представителя, а в случае, если обращение субъекта ПДн или его представителя либо запрос уполномоченного органа по защите прав субъектов ПДн были направлены уполномоченным органом по защите прав субъектов ПДн, также указанный орган.

3.16. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Министерство обязано с момента выявления такого инцидента уведомить уполномоченный орган по защите прав субъектов ПДн:

в течение двадцати четырех часов - о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов ПДн, и предполагаемом вреде, нанесенном правам субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов ПДн, по вопросам, связанным с выявленным инцидентом;

в течение семидесяти двух часов - о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

3.17. Министерство обязано сообщать в уполномоченный орган по защите прав субъектов ПДн по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней, в случае направления оператором в адрес уполномоченного органа по защите прав субъектов ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

3.18. В случае выявления инцидента, повлекшего неправомерную передачу (предоставление, распространение, доступ) ПДн, Министерство обязано в порядке, определенном ФСБ России, обеспечивать взаимодействие с государственной системой oбнapyжeния, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о таких инцидентах.

3.19. Взаимодействие Министерства с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн, осуществляется через Национальный координационный центр по компьютерным инцидентам (далее - НКЦКИ) в соответствии с подпунктом 4.8 пункта 4 Положения о НКЦКИ.

3.20. Подтверждением передачи Министерством в НКЦКИ информации, указанной в п. 5.1 настоящих Правил, является присвоение НКЦКИ соответствующим компьютерным инцидентам идентификаторов. Идентификаторы направляются НКЦКИ в Министерство по тем же каналам, по которым Министерством была направлена информация о соответствующем инциденте в НКЦКИ.

3.21. Рассмотрение запросов является служебной обязанностью уполномоченных должностных лиц, в чьи обязанности входит обработка ПДн, а также должностного лица, ответственного за рассмотрение запросов и обращений в Министерство субъектов ПДн или их представителей. При необходимости к обработке запросов могут привлекаться представители организаций, подведомственных Министерству, при условии соблюдения требований законодательства Российской Федерации.

3.22. Запрос считается исполненным, если рассмотрены все поставленные в нем вопросы, приняты необходимые меры и даны исчерпывающие ответы заявителю.

4.1. В случае отзыва субъектом ПДн или его представителем согласия на обработку его ПДн (далее - отзыв согласия) Министерство обязано прекратить их обработку или обеспечить прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Министерства) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожить ПДн или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Министерства) в срок, не превышающий тридцати дней с даты регистрации указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между оператором и субъектом ПДн либо если оператор не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных законодательством Российской Федерации.

4.2. В случае обращения субъекта ПДн в Министерство с требованием о прекращении обработки ПДн Министерство обязано в срок, не превышающий десяти рабочих дней с даты получения соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Министерства), за исключением случаев, предусмотренных законодательством Российской Федерации. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Министерством в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока.

4.3. В случае отсутствия возможности уничтожения ПДн в течение срока, указанного в пунктах 4.1 и 4.2 настоящих Правил, Министерство осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Министерства) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен законодательством Российской Федерации.

4.4. Отзыв согласия, данного Министерству, либо требование о прекращении обработки ПДн Министерством, осуществляется посредством обращения либо направления запроса субъекта ПДн или его представителя в Министерство.

4.5. Отзыв согласия, данного организации, по поручению которой Министерство осуществляет обработку ПДн, либо требование о прекращении обработки ПДн такой организацией, осуществляется посредством обращения либо направления запроса субъекта ПДн или его представителя в такую организацию, которая после получения запроса (обращения) обеспечивает прекращение обработки ПДн в Министерстве посредством направления в Министерство информации о полученном обращении (запросе).

4.6. Регистрация запроса (обращения) субъекта ПДн либо письма с информацией о наличии запроса (обращения) от организации, в которую обратился субъект ПДн, осуществляется в соответствии с правилами делопроизводства, действующими в Министерстве, с учетом требования о соблюдении конфиденциальности информации, доступ к которой ограничен законодательством Российской Федерации. После регистрации запрос (обращение, письмо) в установленном в Министерстве порядке направляется для дальнейшего рассмотрения лицу, ответственному за рассмотрение запросов и обращений в Министерство субъектов ПДн или их представителей.

4.7. Порядок действий в случае принятия решения о необходимости удаления ПДн субъекта ПДн.

4.8. Порядок действий в случае принятия решения о невозможности удаления ПДн субъекта ПДн на основании отзыва им (его представителем) согласия на обработку ПДн.

4.9. В целях возможности определения, какие именно обрабатываемые в Министерстве ПДн подлежат удалению, при направлении отзыва согласия рекомендуется включать в его состав информацию, однозначно идентифицирующую субъекта ПДн (паспортные данные, СНИЛС) либо подлежащие удалению ПДн (номер заявки в МФЦ, имя учетной записи (логин) на региональном портале оказания государственных услуг, другие идентификаторы субъекта ПДн как пользователя ИСПДн и т.п.).

4.10. В случае, если в отзыве согласия перечислены конкретные ПДн, на обработку которых отзывается согласие, удалению подлежат только эти ПДн субъекта.

В случае, если в отзыве согласия указаны названия конкретных ИС, из которых требуется удалить ПДн, удалению подлежат ПДн субъекта, обрабатываемые в указанных ИС (при условии, что оператором этих систем является Министерство).

В прочих случаях удалению подлежат все ПДн субъекта, обрабатываемые в Министерстве на момент направления субъектом ПДн отзыва согласия.

4.11. ПДн, обработка которых Министерством в соответствии с законодательством Российской Федерации не требует наличия согласия субъекта ПДн, по результатам рассмотрения соответствующего отзыва согласия, удалению не подлежат.

4.12. ПДн, поступившие в Министерство (обработка которых началась в Министерстве) после даты отзыва согласия, по результатам его рассмотрения удалению не подлежат.

4.13. Рассмотрение отзывов согласий, а также писем от организаций, по поручению которых Министерство обрабатывает ПДн либо в которые обратился субъект ПДн по вопросам обработки его ПДн в Министерстве, является служебной обязанностью уполномоченных должностных лиц, в чьи обязанности входит обработка ПДн, а также должностного лица, ответственного за рассмотрение запросов и обращений в Министерство субъектов ПДн или их представителей. При необходимости к обработке отзывов согласий и к удалению ПДн из информационных систем Министерства могут привлекаться представители организаций, подведомственных Министерству, при условии соблюдения требований законодательства Российской Федерации.

4.14. Запрос (обращение) считается исполненным, если рассмотрены все поставленные в нем вопросы, приняты необходимые меры и даны исчерпывающие ответы заявителю.

1. Настоящие Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям законодательства Российской Федерации в Министерстве энергетики Московской области устанавливают основания, порядок и формы проведения внутреннего контроля соответствия процесса обработки персональных данных в Министерстве энергетики Московской области (далее - Правила, внутренний контроль, Министерство соответственно) требованиям Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" и принятых в соответствии с ним нормативных правовых актов, требованиям к защите персональных данных (далее - ПДн), политике Министерства в отношении обработки ПДн, локальным актам Министерства в области обработки и защиты ПДн.

2. Целью внутреннего контроля является исполнение Министерством требований законодательства Российской Федерации в области обработки ПДн в части проведения периодических проверок условий обработки ПДн.

3. Внутренний контроль проводится с учетом требований следующих документов:

Трудовой кодекс Российской Федерации (Глава 14 "Защита персональных данных работника");

Федеральный закон от 27.07.2004 № 79-ФЗ "О государственной гражданской службе Российской Федерации";

Федеральный закон от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации";

Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных";

Указ Президента Российской Федерации от 01.02.2005 № 112 "О конкурсе на замещение вакантной должности государственной гражданской службы Российской Федерации";

Указ Президента Российской Федерации от 30.05.2005 № 609 "Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела";

постановление Правительства Российской Федерации от 15.09.2008 № 687 "Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации";

постановление Правительства Российской Федерации от 21.03.2012 № 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами";

постановление Правительства Российской Федерации от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

постановление Правительства Российской Федерации от 31.03.2018 № 397 "Об утверждении единой методики проведения конкурсов на замещение вакантных должностей государственной гражданской службы Российской Федерации и включение в кадровый резерв государственных органов";

приказ ФСТЭК России от 18.02.2013 № 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";

приказ Роскомнадзора от 19.06.2025 № 140 "Об утверждении требований к обезличиванию персональных данных и методов обезличивания персональных данных, за исключением случаев, указанных в пункте 9.1 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных";

приказ Роскомнадзора от 28.10.2022 № 179 "Об утверждении Требований к подтверждению уничтожения персональных данных";

4. В соответствии с частью 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее - Федеральный закон № 152-ФЗ) оператор обязан осуществлять внутренний контроль и (или) аудит соответствия обработки ПДн Федеральному закону № 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, политике оператора в отношении обработки ПДн, локальным актам оператора.

5. Согласно требованиям подпункта "д" пункта 1 Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами, утвержденных постановлением Правительства Российской Федерации от 21.03.2012 № 211 (далее - Перечень мер), в целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям организуется проведение периодических проверок условий обработки персональных данных в государственном или муниципальном органе.

6. Проверки условий обработки ПДн проводятся оператором, в том числе в целях оценки выполнения требований законодательства о ПДн, выявления и предотвращения нарушений законодательства в области обработки ПДн.

7. Внутренний контроль в Министерстве проводится с периодичностью, определяемой ответственным за организацию обработки ПДн в Министерстве, но не реже одного раза в год.

8. Мероприятия по внутреннему контролю подразделяются на плановые и внеплановые и проводятся на основании плана осуществления внутреннего контроля соответствия обработки ПДн установленным требованиям по форме согласно приложению 1 к настоящим Правилам или на основании поступившего письменного заявления о нарушениях правил обработки ПДн (внеплановые мероприятия).

9. Внутренний контроль осуществляется Комиссией по проведению внутреннего контроля соответствия обработки персональных данных требованиям законодательства Российской Федерации в Министерстве энергетики Московской области (далее - Комиссия), состав и полномочия которой утверждаются распоряжением Министерства.

10. При проведении внутреннего контроля Министерство:

11. Объектами внутреннего контроля являются:

12. О результатах внутреннего контроля и мерах, необходимых для устранения выявленных нарушений, министру энергетики Московской области докладывает ответственный за организацию обработки персональных данных в Министерстве.

13. Результаты проведенных мероприятий оформляются в виде акта по форме согласно приложению 2 к настоящим Правилам.

14. После оформления результатов мероприятия внутреннего контроля организуется работа по устранению выявленных нарушений: формируется план мероприятий по устранению нарушений, выявленных по результатам внутреннего контроля, по форме согласно приложению 3 к настоящим Правилам, в котором определяется срок устранения каждого нарушения, выявленного в ходе внутреннего контроля.

1. Настоящие Правила работы с обезличенными данными разработаны с учетом Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее - Федеральный закон № 152-ФЗ), приказа Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 19.06.2025 № 140 "Об утверждении требований к обезличиванию персональных данных и методов обезличивания персональных данных, за исключением случаев, указанных в пункте 9.1 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных" и постановления Правительства Российской Федерации от 21.03.2012 № 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" и определяют порядок работы с обезличенными данными Министерства.

2. Термины и определения в соответствии с Федеральным законом:

ПДн - любая информация, относящаяся к прямо или косвенно, определенному или определяемому физическому лицу (субъекту ПДн);

обработка ПДн - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн;

обезличивание ПДн - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

3. Обезличивание ПДн может быть проведено с целью ведения статистических данных, снижения ущерба от разглашения защищаемых ПДн, снижения классов (требуемых уровней защищенности) ИС (ИСПДн), а также проводиться в отношении ПДн по достижению целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом.

4. К методам обезличивания ПДн относятся:

метод введения идентификаторов;

метод изменения состава или семантики;

метод декомпозиции;

метод перемешивания.

5. Перечень должностей сотрудников Министерства, ответственных за проведение мероприятий по обезличиванию обрабатываемых ПДн, утвержден настоящим распоряжением;

решение о необходимости обезличивания ПДн принимает должностное лицо, ответственное за защиту информации в Министерстве либо должностное лицо, ответственное за обработку ПДн в Министерстве;

руководители структурных подразделений, непосредственно осуществляющие обработку ПДн, готовят предложения по обезличиванию ПДн, обоснование такой необходимости и способ обезличивания;

сотрудники подразделений, обслуживающих информационные системы (базы данных), содержащие ПДн, осуществляют непосредственное обезличивание выбранным способом.

6. Обезличенные данные не подлежат разглашению и нарушению конфиденциальности, если иное не определено законодательством Российской Федерации.

7. При обработке обезличенных данных должны приниматься меры, препятствующие их несанкционированному обезличиванию.

8. Обезличенные данные могут обрабатываться с использованием и без использования средств автоматизации.

9. При обработке обезличенных данные необходимо обеспечивать соблюдение требований законодательства Российской Федерации и Московской области в области защиты информации, защиты и обработки ПДн.

10. При использовании методов обезличивания, требующих разбиения массива персональных данных на части, а также обобщения атрибутов персональных данных, Министерство принимает локальные акты, устанавливающие правила такого разбиения (обобщения) и место хранения частей массива, в соответствии с приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 19.06.2025 № 140.

11. Локальные акты, указанные в пункте 10 настоящих Правил, а также дополнительная информация, позволяющая определить принадлежность обезличенных данных конкретному субъекту персональных данных, хранятся отдельно от обезличенных данных; доступ к ним третьих лиц исключается.

12. По требованию уполномоченного федерального органа исполнительной власти, направленному в соответствии со статьей 13.1 Федерального закона № 152-ФЗ, Министерство обезличивает обрабатываемые персональные данные в указанные в требовании сроки и предоставляет полученные обезличенные данные в порядке, установленном Правительством Российской Федерации. Передача дополнительной информации, позволяющей осуществить повторную идентификацию субъектов персональных данных, не допускается.

1. Инструкция должностного лица, ответственного за организацию обработки ПДн в Министерстве энергетики Московской области (далее соответственно - Инструкция, Министерство), разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" (далее - Федеральный закон), постановлением Правительства Российской Федерации от 21.03.2012 № 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" и закрепляет обязанности, права и ответственность должностного лица, ответственного за организацию обработки ПДн в Министерстве.

2. Должностное лицо, ответственное за организацию обработки ПДн в Министерстве, назначается правовым актом Министерства.

3. Должностное лицо, ответственное за организацию обработки ПДн в Министерстве, в своей работе руководствуется Федеральным законом, настоящей Инструкцией, а также нормативными актами Министерства, регламентирующими вопросы обработки ПДн.

4. Должностное лицо, ответственное за организацию обработки ПДн в Министерстве, обязано:

организовывать осуществление внутреннего контроля за соблюдением сотрудниками Министерства законодательства Российской Федерации о ПДн, в том числе требований к защите ПДн;

доводить до сведения сотрудников положения законодательства Российской Федерации о ПДн, локальных актов по вопросам обработки ПДн, требований к защите ПДн;

организовывать прием и обработку обращений и запросов субъектов ПДн или их представителей и осуществлять контроль приема и обработки указанных обращений и запросов.

5. Должностное лицо, ответственное за организацию обработки ПДн в Министерстве, имеет право:

принимать решения в пределах совей компетенции;

требовать от сотрудников соблюдения действующего законодательства, а также нормативных актов Министерства о ПДн;

взаимодействовать с управлениями и иными структурными подразделениями Министерства по вопросам обработки ПДн.

6. За ненадлежащее исполнение или неисполнение настоящей Инструкции, а также за нарушение требований законодательства в области обработки ПДн, должностное лицо, ответственное за организацию обработки ПДн в Министерстве, несет, предусмотренную законодательством Российской Федерации, ответственность.

1. Настоящая Инструкция определяет возможные аварийные ситуации, связанные с функционированием информационных систем персональных данных в Министерстве энергетики Московской области (далее соответственно - ИСПДн, Министерство), меры и средства поддержания непрерывности работы и восстановления работоспособности ИСПДн после аварийных ситуаций.

2. Целью настоящего документа является превентивная защита элементов ИСПДн от прерывания в случае реализации рассматриваемых угроз.

3. Задачей данной Инструкции является:

определение мер защиты от прерывания;

определение действий восстановления в случае прерывания.

4. Действие настоящей Инструкции распространяется на всех сотрудников Министерства, имеющих доступ к ресурсам ИСПДн.

5. Действия при возникновении аварийной ситуации.

6. Уровни реагирования на инцидент.

7. Технические меры.

8. Организационные меры.

9. Уполномоченные должностные лица Министерства обязаны в порядке, определенном Федеральной службой безопасности Российской Федерации, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн.

10. Взаимодействие Министерства с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн, осуществляется через Национальный координационный центр по компьютерным инцидентам (далее - НКЦКИ) в соответствии с подпунктом 4.8 пункта 4 Положения о НКЦКИ.

11. Подтверждением передачи Министерством в НКЦКИ информации, указанной в п. 9 настоящей Инструкции, является присвоение НКЦКИ соответствующим компьютерным инцидентам идентификаторов. Идентификаторы направляются НКЦКИ в Министерство по тем же каналам, по которым Министерством была направлена информация о соответствующем инциденте в НКЦКИ.

12. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Министерство обязано с момента выявления такого инцидента уведомить Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее - Роскомнадзор):

в течение двадцати четырех часов - о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов ПДн, и предполагаемом вреде, нанесенном правам субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения об уполномоченном должностном лице Министерства на взаимодействие с Роскомнадзором, по вопросам, связанным с выявленным инцидентом;

в течение семидесяти двух часов - о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

13. Пользователь обязан незамедлительно, в том числе вне рабочего времени, сообщать должностному лицу, ответственному за обеспечение информационной безопасности в Министерстве, и руководителю структурного подразделения о любом выявленном событии, которое может являться инцидентом, повлекшим неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, - для обеспечения соблюдения установленного законодательством двадцатичетырехчасового срока уведомления уполномоченного органа по защите прав субъектов персональных данных.

14. Пользователю запрещается обрабатывать и хранить персональные данные граждан Российской Федерации с использованием баз данных, информационных сервисов и облачных хранилищ, размещенных за пределами территории Российской Федерации, а также направлять персональные данные на личные адреса электронной почты и в мессенджеры.