Политика в отношении обработки и защиты персональных данных
Национальная академия наук Республики Казахстан при Президенте Республики Казахстан
1. Общие положения
Настоящая Политика в отношении обработки и защиты персональных данных (далее — Политика) определяет порядок обработки и меры по обеспечению безопасности персональных данных в информационной системе экспертизы научно-технических заданий (далее — Система).
Оператором персональных данных является Национальная академия наук Республики Казахстан при Президенте Республики Казахстан (далее — Оператор).
Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» и иными нормативными правовыми актами Республики Казахстан в области защиты персональных данных.
Политика обязательна для соблюдения всеми работниками и пользователями Системы, имеющими доступ к персональным данным.
2. Термины и определения
Персональные данные — сведения, относящиеся к определённому или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
Субъект персональных данных — физическое лицо, к которому относятся персональные данные.
Обработка персональных данных — действия по сбору, накоплению, хранению, изменению, дополнению, использованию, распространению, обезличиванию, блокированию и уничтожению персональных данных.
Оператор — государственный орган, физическое или юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных.
Согласие субъекта — волеизъявление субъекта персональных данных, предоставляемое в письменной форме либо посредством действий в Системе, о разрешении обработки его персональных данных.
3. Правовые основания обработки
Обработка персональных данных осуществляется на следующих правовых основаниях:
- согласие субъекта персональных данных на их сбор и обработку;
- осуществление деятельности, предусмотренной законодательством Республики Казахстан и положениями об Операторе;
- исполнение задач и функций Оператора по организации и проведению экспертизы научно-технических заданий.
4. Категории субъектов и состав персональных данных
Субъектами персональных данных являются пользователи Системы: секретари, секретари по направлениям, эксперты и члены комиссии.
В Системе обрабатываются следующие персональные данные:
- фамилия, имя, отчество;
- адрес электронной почты (используется как логин и для уведомлений);
- сведения о научной деятельности эксперта: научные направления, идентификаторы Scopus Author ID, Web of Science ResearcherID, ORCID, наименование организации;
- служебная роль пользователя в Системе;
- сведения о входах в Систему: дата, время и сетевой адрес (IP), сведения о клиентском программном обеспечении — в объёме, необходимом для обеспечения безопасности и аудита.
Специальные категории персональных данных (о расовом, этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья и т. п.) в Системе не обрабатываются.
5. Цели обработки
Персональные данные обрабатываются в следующих целях:
- идентификация и аутентификация пользователей, разграничение прав доступа;
- организация и проведение экспертизы научно-технических заданий, подбор и назначение экспертов;
- информирование пользователей и обмен служебными сообщениями;
- формирование экспертных заключений и отчётных документов;
- обеспечение информационной безопасности, регистрация событий и аудит действий;
- исполнение требований законодательства Республики Казахстан.
6. Принципы обработки
Обработка персональных данных основывается на принципах законности, соответствия целям, достоверности, достаточности и не избыточности состава данных заявленным целям, ограничения сроков хранения, а также конфиденциальности и защищённости персональных данных.
Оператор не осуществляет обработку персональных данных, несовместимую с целями их сбора.
7. Условия обработки, сбор и хранение
Персональные данные собираются непосредственно в Системе при регистрации пользователя, создании учётной записи секретарём, а также при заполнении пользователем своего профиля.
Хранение персональных данных осуществляется в базе данных Системы, размещённой на технических средствах (серверах), находящихся на территории Республики Казахстан.
Доступ к персональным данным предоставляется исключительно уполномоченным работникам и пользователям в объёме, необходимом для выполнения их функций.
8. Согласие субъекта и его отзыв
Согласие на сбор и обработку персональных данных предоставляется субъектом при регистрации или создании учётной записи, а также подтверждается фактом использования Системы.
Эксперт получает доступ к материалам экспертизы только после принятия соглашения о неразглашении сведений.
Субъект вправе отозвать согласие на обработку персональных данных путём обращения к Оператору, за исключением случаев, когда обработка необходима в силу требований законодательства Республики Казахстан.
9. Сроки хранения и локализация
Персональные данные пользователей хранятся в течение срока действия учётной записи и использования Системы, а также в течение сроков, установленных законодательством Республики Казахстан.
Записи журнала аудита (событий безопасности) хранятся в течение установленного срока (по умолчанию — 3 года), после чего подлежат уничтожению в порядке, определённом Оператором.
Персональные данные граждан Республики Казахстан хранятся на серверах, физически расположенных на территории Республики Казахстан.
10. Трансграничная передача
Трансграничная передача персональных данных на территорию иностранных государств Системой не осуществляется. В случае необходимости такой передачи она допускается только при обеспечении иностранным государством защиты персональных данных и с соблюдением требований законодательства Республики Казахстан.
11. Права субъектов персональных данных
Субъект персональных данных имеет право:
- получать информацию, касающуюся обработки его персональных данных;
- требовать изменения и дополнения своих персональных данных при их неполноте, устаревании или недостоверности (в том числе самостоятельно в разделе «Мой профиль»);
- требовать блокирования или уничтожения своих персональных данных, если они обрабатываются с нарушением требований законодательства;
- отозвать согласие на обработку персональных данных;
- обжаловать действия или бездействие Оператора в уполномоченный орган или в судебном порядке.
Для реализации своих прав субъект обращается к Оператору или к ответственному за защиту персональных данных лицу.
12. Меры защиты персональных данных
Оператор принимает необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, в том числе:
- разграничение доступа по ролям и проверка прав на уровне каждого объекта;
- идентификация и аутентификация пользователей, парольная политика, блокировка учётных записей при подборе, контроль сеансов;
- передача данных по защищённому каналу (TLS), запрет кеширования персональных данных на стороне клиента;
- регистрация событий и действий пользователей (аудит), защита журнала от изменения;
- контроль загружаемых файлов, формирование имён файлов системой, ограничение доступа к ним;
- обезличивание сведений об экспертах при рассмотрении материалов членами комиссии;
- резервное копирование данных с защитой резервных копий;
- исключение персональных данных из выгрузок, не требующих их наличия.
Перечень реализованных мер защиты информации приведён в эксплуатационной и проектной документации Системы.
13. Действия при инцидентах
При выявлении фактов несанкционированного доступа к персональным данным или их утечки Оператор принимает меры по устранению последствий инцидента и, в случаях, предусмотренных законодательством, уведомляет уполномоченный орган и затронутых субъектов персональных данных.
14. Ответственность
Лица, виновные в нарушении требований законодательства Республики Казахстан в области персональных данных, несут ответственность в соответствии с законодательством Республики Казахстан.
Ответственный за организацию обработки и защиты персональных данных назначается Оператором.
15. Заключительные положения
Настоящая Политика подлежит пересмотру по мере изменения законодательства Республики Казахстан и условий обработки персональных данных.
Актуальная редакция Политики размещается в Системе и доступна пользователям.