Обработка персональных данных в органах местного самоуправления, это строго регламентируемый процесс, требующий соблюдения баланса между выполнением государственных функций и защитой конституционных прав граждан․ Администрация района, как оператор персональных данных (ОПД), должна выстроить систему, соответствующую требованиям Федерального закона от № 152-ФЗ «О персональных данных», а также подзаконным актам, включая актуальные постановления Правительства РФ․

Нормативная правовая основа

Деятельность администрации района по обработке персональных данных строится на иерархии нормативных актов:

• Федеральный закон № 152-ФЗ «О персональных данных» — базовый закон, определяющий принципы, права субъектов и обязанности оператора․
• Постановление Правительства РФ от № 211 (в ред․ от № 911) — «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей․․․ операторами, являющимися государственными или муниципальными органами»․ Этот документ устанавливает обязательный минимальный набор организационных и технических мер защиты․
• Постановление Правительства РФ от № 1046 — «О федеральном государственном контроле (надзоре) за обработкой персональными данными»․ Регламентирует порядок проверок Роскомнадзором․
• Локальные нормативные акты (ЛНА) администрации района (Политика, Положения, Приказы)․

Ключевые локальные нормативные акты администрации

Согласно ст․ 19 Закона № 152-ФЗ и п․ 1․5 Постановления № 211, каждая администрация района обязана разработать и утвердить собственный пакет документов․ На актуальным набором является:

1. Политика в отношении обработки персональных данных (утверждается приказом главы администрации)․ Это основной публичный документ, размещаемый на официальном сайте (например, https://admin-*․ru/policy)․
2. Положение об организации обработки персональных данных — регламентирует внутренние бизнес-процессы: сбор, учет, хранение, уничтожение․
3. Приказ «О назначении ответственного за организацию обработки персональных данных» (ст․ 22 152-ФЗ)․ Обычно это заместитель главы администрации или начальник управления кадров/ИТ․ ФИО: Иванов И․И․ (контакты: тел․ +7 () —, email: pd_admin@․ru)․
4. Перечень категорий субъектов ПД и категорий обрабатываемых ПД (с указанием целей и правовых оснований для каждой категории)․
5. Положение о порядке рассмотрения запросов субъектов ПД (ст․ 18, 21 152-ФЗ)․
6. Инструкция по защите ПД при их обработке в информационных системах (технические меры)․
7. Порядок доступа в помещения, в которых ведется обработка ПД (физическая безопасность, режим доступа в серверные, архивы, кабинеты кадровой службы)․
8. План мероприятий по обеспечению безопасности ПД (утверждается ежегодно)․
9. Журналы учета: носителей ПД, доступа к ИСПД, инцидентов безопасности, выдачи/возврата носителей, уничтожения ПД․

Категории обрабатываемых данных и правовые основания

Администрация района обрабатывает данные широкого круга лиц․ В локальном акте «Перечень категорий․․․» необходимо зафиксировать специфику для каждой группы:

Важно: Обработка специальных категорий ПД (здоровье, расовая/национальная принадлежность, политические взгляды, биометрия) требует наличия отдельного письменного согласия (если иное не предусмотрено законом) и принятия усиленных мер защиты (шифрование, изоляция доступа)․

Обеспечение безопасности: организационные и технические меры (Постановление № 211)

Администрация района должна реализовать меры из утвержденного Перечня (Постановление № 211)․ Ключевые направления:

Организационные меры

• Разграничение доступа: Принцип «минимально необходимых прав»․ Доступ к ИСПД (Информационным системам ПД) предоставляется только по служебной необходимости․ Учетные записи персонализированы (один сотрудник — одна учетная запись)․
• Учет носителей: Жесткий контроль бумажных носителей (карточки, дела) и электронных (флешки, HDD)․ Журналы движения носителей ведут ответственные лица структурных подразделений (кадры, архив, соцотдел)․
• Уничтожение и обезличивание: Регламентированный порядок (акт уничтожения, комиссия, шредера класса безопасности не ниже P-4 для бумаги, программное затирание для дисков)․ Сроки хранения определяются Списком типовых управленческих архивных документов и локальными актами․
• Внутренний контроль: Ежеквартальные/полугодовые проверки соответствия обработки требованиям 152-ФЗ и ЛНА․ Отчеты направляются ответственному за ПД и главе администрации․
• Обучение персонала: Ежегодное ознакомление с ЛНА под роспись, прохождение курсов повышения квалификации ответственным лицами (не реже 1 раза в 3 года)․

Технические меры (средства защиты информации — СЗИ)

• Идентификация и аутентификация: Парольная политика (сложность, смена каждые 90 дней), двухфакторная аутентификация (2FA) для удаленного доступа и привилегированных учетных записей․
• Антивирусная защита: Сертифицированные средства (реестр ФСТЭК/ФСБ) на всех АРМ и серверах с актуальными базами сигнатур․
• Средства контроля целостности: Мониторинг изменений критичных системных файлов и баз данных ПД․
• Шифрование: Обязательное шифрование ПД при передаче по открытым каналам связи (VPN, TLS 1․2+) и на съемных носителях․
• Резервное копирование: Регламент бэкапов (ежедневно инкрементные, еженедельно полные), хранение копий в защищенном контуре (отдельный сервер/ДЦ), проверка восстановления раз в квартал;
• СКУД и видеонаблюдение: Физическая защита серверных, архивов, кабинетов кадров․ Журналы посещений (бумажные/электронные)․

Работа с запросами субъектов персональных данных (Ст․ 18, 21 152-ФЗ)

Администрация района обязана обеспечить реализацию прав граждан․ ЛНА «Порядок рассмотрения запросов» должен содержать:

1. Способы подачи: Лично (окно приема, адм․ ул․ Ленина, д․ , каб․ ), почтой (Ростов-на-Дону, ул․ , д․ ), через ЕПГУ/РПГУ, через официальный сайт (форма обратной связи), по факсу +7 () —․
2. Сроки:
   • Подтверждение получения запроса — 3 рабочих дня․
   • Предоставление информации о обрабатываемых ПД — 30 календарных дней (продление до 60 дней возможно при сложности с уведомлением заявителя)․
   • Исправление/удаление/блокирование, 7 рабочих дней с момента основания․
3. Форма ответа: Письменная (на бумаге или в ЭДО/ЕПГУ)․ Отказ должен быть мотивированным с ссылкой на нормы закона․
4. Исключения: Отказ в предоставлении ПД возможен, если данные содержат гостайну/гостайну, либо предоставление нарушает права третьих лиц (ст․ 18 152-ФЗ)․

Передача данных третьим лицам и межведомственное взаимодействие

Передача ПД без согласия субъекта допускается только в случаях, прямо предусмотренных законом (ч․ 2 ст․ 6, ст․ 10 152-ФЗ):

• Исполнение полномочий (передача в ПФР, ФНС, МФЦ, суды, прокуратуру, полицию по основаниям ст․ 10)․
• Межведомственное электронное взаимодействие (МЭВ) через СМЭВ 3 — основной канал․ Требует настройки атрибутов контекста запроса (цели, основания, категории ПД)․
• Договоры с подрядчиками (операторами связи, ИТ-аутсорсинг, архивные услуги), обязательно с условиями защиты ПД (ст․ 28 152-ФЗ)․ Договор с ООО «ТехСервис-*» должен содержать приложение по СЗИ․

Учет и уведомление Роскомнадзора

С 2022 года общая обязанность уведомления об обработке ПД для госорганов исключена (ФЗ-572)․ Однако:

• Ведется внутренний реестр операций обработки ПД (журнал/база данных) для каждого подразделения․
• Обязательно уведомление о начале обработки биометрических ПД (если внедряется СКУД по лицу/отпечатку пальца) — не позднее 30 дней до начала․
• Уведомление о переграничной передаче (если используются облачные сервисы за рубежом — крайне не рекомендуется для госорганов)․

Подготовка к проверке Роскомнадзора (Постановление № 1046)

Плановые проверки проводятся не чаще 1 раза в 3 года (внеплановые, по основаниям)․ На проверке инспекторы запросят (на основании практики 2024-2025 гг․, статья Жижериной Ю․, Снежкиной Т․):

1. Устав администрации, Полномочия главы․
2. Пакет ЛНА по ПД (Политика, Положения, Приказы о назначении ответственных, Перечни категорий)․
3. Журналы: учета запросов субъектов, инцидентов безопасности, обучения персонала, выдачи носителей, доступа к помещениям․
4. Акты инвентаризации ИСПД и носителей ПД․
5. Документы по СЗИ: сертификаты ФСТЭК/ФСБ на используемые средства, акты аттестации объектов ИСПД (если требуется по классу КС), протоколы проверки работоспособности СЗИ․
6. Договоры с подрядчиками (с приложениями по защите ПД)․
7. Отчеты о внутреннем контроле за последний период․
8. Документы на помещения (серверная, архив): планы, акты категорирования помещений, схемы СКУД․

Типичные нарушения и риски (на 2026 год)

• Отсутствие актуализированного перечня категорий ПД (не учтены новые муниципальные услуги или категории сотрудников)․
• Формальное назначение ответственного (лицо не имеет реальных полномочий/ресурсов, не прошло обучение)․
• Нарушение сроков ответа на запросы граждан (самое частае основание для предписаний и штрафов ст․ 13․11 КоАП РФ)․
• Хранение ПД дольше установленных сроков без основания (отсутствие графика уничтожения)․
• Использование несертифицированных СЗИ (антивирусы, СКУД, шифрование не из реестров ФСТЭК/ФСБ)․
• Отсутствие разграничения доступа (администраторы БД видят все ПД сотрудников без необходимости)․
• Передача ПД подрядчикам без договора/приложения по защите (например, в типографию для печати справок, в колл-центр)․

Алгоритм действий администрации (Чек-лист на 2026 год)

1. Провести аудит текущих ЛНА на соответствие актуальным редакциям 152-ФЗ, Постановлений № 211, № 1046․
2. Обновить Перечень категорий субъектов и ПД с учетом новых муниципальных функций․
3. Проверить сроки действия сертификатов СЗИ и актуальность баз антивирусов․
4. Организовать внутренний контроль (чек-лист по пунктам Постановления № 211) и задокументировать результаты․
5. Провести обучение/инструктаж новых сотрудников и повторный, для старых (под роспись в журнале)․
6. Проверить работоспособность процесса ответа на запросы (тестовый запрос от ответственного лица)․
7. Актуализировать договоры с подрядчиками (доб․ соглашения по защите ПД)․
8. Обеспечить размещение актуальной Политики на сайте администрации в доступном виде․

Резюме: Обработка персональных данных в администрации района — это не разовый акт принятия документов, а непрерывный процесс управления рисками․ Ключевыми факторами успеха являются: актуальность локальных нормативных актов, реальное (а не бумажное) разграничение доступа, дисциплина в работе с запросами граждан и регулярный внутренний контроль․ Нарушения в данной сфере несут не только административную ответственность (штрафы до 15 млн руб․ по ст․ 13․11 КоАП РФ за повторные нарушения), но и репутационные риски для органа власти․

Данная статья носит информационный характер․ Для разработки конкретных локальных актов рекомендуется привлечь специалиста по защите персональных данных и правоведа администрации․ Контакты методического кабинета: тел․ +7 () — (доб․ *)․