I. ОСНОВНЫЕ ПОНЯТИЯ ПОЛИТИКИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Понятия, используемые в политике обработки персональных данных определяются в соответствии Федеральным законом № 152 – ФЗ «О персональных данных»:

• персональные данные (сокращенно, - ПДн) – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• субъект персональных данных — это физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных;
• персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
• оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• конфиденциальность персональных данных - обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным работников, требование не допускать их распространения без согласия работника или иного законного основания;
• использование персональных данных - действия (операции) с персональными данными, совершаемые должностным лицом Организации в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении работников либо иным образом затрагивающих их права и свободы или права и свободы других лиц;
• блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных работников, в том числе их передачи;
• уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных работников или в результате которых уничтожаются материальные носители персональных данных работников;
• обезличивание персональных данных - действия, в результате которых невозможно определить принадлежность персональных данных конкретному работнику;
• общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия работника или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности;
• информация - сведения (сообщения, данные) независимо от формы их представления;
• документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель;
• информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• контрагент – физическое лицо, официальный представитель – физическое лицо юридического лица и/или индивидуального предпринимателя, вступившее в договорные отношения с Обществом;
• персональные данные Контрагента – персональные данные, необходимые Оператору в связи с исполнением договорных отношений и касающаяся конкретного Контрагента, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное положение, образование, профессия (должность), номер контактного телефона, адрес электронной почты;
• защита персональных данных – это деятельность уполномоченных лиц Общества по обеспечению с помощью локального регулирования порядка обработки персональных данных и организационно-технических мер конфиденциальности информации о конкретном физическом лице;
• конфиденциальность персональных данных – обязательное для соблюдения лицом, получившим доступ к персональным данным, требование не допускать их распространения и передачи третьим лицам без согласия субъекта персональных данных или наличия иного законного основания;
• персональные данные третьих лиц (далее - персональные данные) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных третьих лиц – это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными третьих лиц, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• под угрозой или опасностью (или риском угрозы) утраты персональных данных понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующее воздействие на защищаемую информацию.

II. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА И СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. При взаимодействии между оператором персональных данных и субъектом персональных данных, их права и обязанности, определяются в соответствие с требованиями, установленными Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных». Вышеназванный закон устанавливает запрет на принятие решений оператором, которые приводят к негативным правовым последствиям в отношении субъекта персональных данных. На оператора накладывается обязательство сразу прекратить использование сведений о персональных данных, если субъект подает соответствующий запрос. При наличии обоснованных подозрений, что используемые сведения неполные, ошибочные либо получены незаконным способом субъект ПДн вправе потребовать их немедленной блокировки и уничтожения в предусмотренные действующим законодательством сроки. В этой связи, основные права и обязанности оператора и субъекта персональных данных с учетом требований закона определены следующим.

2.2. Права и обязанности Оператора при взаимодействии с персональными данными субъекта.

2.2.1. Оператор при сборе персональных данных обязан предоставить субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных в том числе:

• разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные;
• обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Федеральном законе «О персональных данных»;
• принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами в отношении Оператора;
• опубликовать или иным образом обеспечить неограниченный доступ к настоящей Политике, к сведениям о реализуемых требованиях к защите персональных данных. Оператор в случае осуществления сбора персональных данных с использованием информационно-телекоммуникационных сетей обязан опубликовать в соответствующей информационно-телекоммуникационных сетях Политику и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием соответствующих информационно-телекоммуникационных сетях;
• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора;
• лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных».;
• в поручении Оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных».

2.3. Права и обязанности Субъекта при взаимодействии с персональными данными Оператора.

2.3.1. Субъект персональных данных вправе требовать от Оператора:

• уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
• обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных;
• принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы разрешается только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных;
• если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
• Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;
• Субъект персональных данных обязан предоставлять Оператору достоверные персональные данные.

III. СБОР, ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Оператор обрабатывает персональные данные субъекта для:

• оформления трудовых отношений, ведения кадрового делопроизводства, содействия в трудоустройстве, обучении, повышении по службе, пользовании различными льготами и гарантиями, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и сохранности имущества;
• заключения, исполнения и прекращения гражданско-правовых договоров/сделок;
• выполнения требований действующего законодательства;
• иных случаев, установленных в законе, уставе Оператора.

3.2. Обработка персональных данных должна осуществляться на законной и справедливой основе.

3.3. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

3.4. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

3.5. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

3.6. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

3.7. Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных.

3.8. Оператор обрабатывает персональные данные на основании:

• Закона о персональных данных и принятых на его основе нормативных правовых актов, регулирующих отношения, связанные с обработкой персональных данных;
• Трудового кодекса Российской Федерации;
• Гражданского кодекса Российской Федерации;
• иных федеральных законов и прочих нормативных правовых актов;
• устава Оператора;
• договоров, заключаемых между Оператором и контрагентами субъектами персональных данных;
• согласий на обработку персональных данных;
• согласий на обработку персональных данных, разрешенных субъектом для распространения.

3.9. Режим конфиденциальности персональных данных снимается в случаях их обезличивания и по истечении 75 лет срока их хранения, или продлевается на основании заключения экспертной комиссии Общества, если иное не определено законом.

IV. КАТЕГОРИИ СУБЪЕКТОВ И ОБЪЕМ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Субъекты, чьи персональные данные обрабатываются Оператором (Обществом), подразделяются на следующие категории:

• 4.1.1. Работники Оператора, бывшие работники, кандидаты на трудоустройство (далее – работники), а также члены семей указанных лиц.
• 4.1.2. Участвующие в мероприятиях (процессах), организуемых Оператором, их законные представители.
• 4.1.3. Контрагенты Оператора (физические лица).
• 4.1.4. Представители/работники контрагентов Оператора (юридических лиц).

4.2. Объем обрабатываемых персональных данных включает в себя:

4.2.1. В отношении работников (за исключением членов семей) обрабатываются:

• фамилия, имя, отчество;
• дата рождения;
• место рождения;
• адрес регистрации;
• адрес фактического места жительства;
• гражданство;
• серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
• образование, квалификация;
• серия и номер документа об образовании/квалификации, сведения о выдаче указанного документа и выдавшем его образовательном учреждении;
• сведения о повышении квалификации, о профессиональной переподготовке;
• сведения о трудовой деятельности;
• профессия, должность;
• стаж работы;
• сведения о семейном положении, наличии детей;
• данные страхового свидетельства государственного пенсионного страхования;
• идентификационный номер налогоплательщика;
• сведения о доходах (за 2 предыдущих года для расчета пособий);
• сведения о воинском учете;
• сведения о наградах (поощрениях), почетных званиях;
• сведения о социальных гарантиях;
• сведения о состоянии здоровья, влияющие на выполнение трудовой функции;
• банковские реквизиты счета;
• сведения о заработной плате;
• содержание трудового договора;
• контактный телефон;
• адрес электронной почты.

4.2.2. Персональные данные членов семей работников обрабатываются в объеме, переданном работником и необходимом для предоставления гарантий и компенсаций работнику, предусмотренных трудовым законодательством:

• фамилия, имя, отчество;
• дата рождения;
• место рождения;
• серия и номер документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
• серия и номер свидетельства о рождении ребенка, сведения о выдаче указанного документа и выдавшем его органе;
• серия и номер свидетельства о заключении брака, сведения о выдаче указанного документа и выдавшем его органе.

4.2.3. В отношении участвующих в мероприятиях, организуемых Оператором, обрабатываются:

• фамилия, имя, отчество;
• дата рождения;
• место рождения;
• адрес регистрации;
• адрес фактического места жительства;
• гражданство;
• серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
• серия и номер свидетельства о рождении ребенка, сведения о выдаче указанного документа и выдавшем его органе (для несовершеннолетних, не достигших 14 лет);
• серия и номер документа об образовании/квалификации, сведения о выдаче указанного документа и выдавшем его образовательном учреждении;
• данные страхового свидетельства государственного пенсионного страхования;
• место работы/учебы;
• должность;
• контактный телефон;
• адрес электронной почты.

4.2.4. В отношении контрагентов (физических лиц) обрабатываются:

• фамилия, имя, отчество;
• дата рождения;
• место рождения;
• адрес регистрации;
• гражданство;
• серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
• данные страхового свидетельства государственного пенсионного страхования;
• идентификационный номер налогоплательщика;
• сведения о постановке на учёт в качестве физического лица, являющегося налогоплательщиком налога на профессиональный доход;
• банковские реквизиты счета;
• контактный телефон;
• адрес электронной почты.

Дополнительно для индивидуальных предпринимателей:

• адрес регистрации ИП;
• почтовый адрес;
• ОГРНИП;
• ОКПО.

4.2.5. В отношении представителей/работников контрагентов Оператора (юридических лиц/третьих лиц) обрабатываются:

• фамилия, имя, отчество;
• дата рождения;
• место рождения;
• адрес регистрации;
• контактный телефон;
• адрес электронной почты;
• серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
• сведения о документе, который подтверждает полномочия представителя.

4.2.6. В отношении законных представителей или представителей по доверенности указанных лиц обрабатываются:

• фамилия, имя, отчество;
• дата рождения;
• адрес регистрации;
• серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
• сведения о документе, который подтверждает полномочия представителя;
• контактный телефон;
• адрес электронной почты.

4.2.7. В случае необходимости могут обрабатываться иные категории и объемы персональных данных, не указанные в настоящем разделе, но регламентированные требованиями закона, договора, либо с согласия субъекта персональных данных.

V. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ОБЩИЙ

5.1. Обработка персональных данных осуществляется после принятия необходимых мер по защите персональных данных.

5.2. Оператор не вправе обрабатывать персональные данные субъекта персональных данных без его письменного согласия, за исключением случаев, предусмотренных статьей 6 Закона о персональных данных.

5.3. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.

5.4. Письменное согласие субъекта персональных данных должно включать:

• фамилию, имя, отчество;
• адрес регистрации субъекта персональных данных;
• номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
• наименование и адрес Оператора;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых Оператором способов обработки персональных данных;
• срок, в течение которого действует согласие;
• способ его отзыва;
• подпись субъекта персональных данных.

5.5. Обработка персональных данных осуществляется Оператором следующими способами:

• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка персональных данных.

5.6. Оператор организует обработку персональных данных в следующем порядке:

• назначает ответственного работника за организацию обработки персональных данных, устанавливает перечень лиц, имеющих доступ к персональным данным;
• издает Политику, локальные акты по вопросам обработки персональных данных;
• применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных;
• осуществляет внутренний контроль соответствия обработки персональных данных Федеральному закону «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике, локальным актам Оператора;
• осуществляет оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», определяет соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных данным Федеральным законом;
• знакомит работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, настоящей Политики, локальных нормативных актов по вопросам обработки персональных данных, и (или) организует обучение указанных работников.

5.7. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры, в том числе:

• определяет угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
• применяет организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
• применяет прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации;
• оценивает эффективность принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учитывает машинные носители персональных данных;
• обнаруживает факты несанкционированного доступа к персональным данным и принимает меры;
• восстанавливает персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним;
• устанавливает правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивает регистрацию и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных.

5.8. При обработке персональных данных Оператор выполняет, в частности, сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

5.9. В целях обеспечения сохранности и конфиденциальности персональных данных все операции с персональными данными должны выполняться только работниками Оператора, осуществляющими данную работу в соответствии с трудовыми обязанностями.

5.10. Оператор получает персональные данные непосредственно от субъектов персональных данных или их представителей, наделенных соответствующими полномочиями. Согласия субъекта на получение его персональных данных от третьих лиц не требуется в случаях, когда согласие субъекта на передачу его персональных данных третьим лицам получено от него в письменном виде при заключении договора с Оператором, а также в случаях, установленных федеральным законом.

5.11. Запрещается хранение документов с персональными данными и их копий на рабочих местах и (или) в открытом доступе, оставлять металлические шкафы открытыми в случае выхода работника из рабочего помещения.

5.12. В электронном виде документы, содержащие персональные данные, разрешается хранить в специализированных базах данных или в специально отведенных для этого директориях с ограничением и разграничением доступа. Копирование таких данных запрещено.

5.13. При увольнении работника, имеющего доступ к персональным данным, прекращении доступа к персональным данным, документы и иные носители, содержащие персональные данные, сдаются работником своему непосредственному руководителю.

VI. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИНФОРМАЦИОННЫХ СИСТЕМАХ

6.1. Обработка персональных данных в информационных системах осуществляется после реализации организационных и технических мер по обеспечению безопасности персональных данных, определенных с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.

6.2. Обеспечение безопасности при обработке персональных данных, содержащихся в информационных системах осуществляется в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18.02.2013 № 21.

6.3. Уполномоченному работнику, имеющему право осуществлять обработку персональных данных в информационных системах, предоставляется уникальный логин и пароль для доступа к соответствующей информационной системе. Доступ предоставляется в соответствии с функциями, предусмотренными должностными обязанностями работника.

6.4. Информация может вноситься как в автоматическом режиме при получении персональных данных с официального сайта в сети интернет, так и в ручном режиме при получении информации на бумажном носителе или в ином виде, не позволяющем осуществлять ее автоматическую регистрацию.

6.5. Обеспечение безопасности персональных данных, обрабатываемых в информационных системах органов, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным.

6.6. В случае выявления нарушений порядка обработки персональных данных уполномоченными работниками незамедлительно принимаются меры по установлению причин нарушений и их устранению.

6.7. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:

• идентификация и аутентификация субъектов доступа и объектов доступа;
• управление доступом субъектов доступа к объектам доступа;
• ограничение программной среды;
• защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
• регистрация событий безопасности;
• антивирусная защита;
• обнаружение (предотвращение) вторжений;
• контроль (анализ) защищенности персональных данных;
• обеспечение целостности информационной системы и персональных данных;
• обеспечение доступности персональных данных;
• защита среды виртуализации и технических средств;
• защита информационной системы, ее средств, систем связи и передачи данных;
• выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных, и реагирование на них;
• управление конфигурацией информационной системы и системы защиты персональных данных.

6.8. Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом, которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия. Угрозы первого типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе. Угрозы второго типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе. Угрозы третьего типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе. Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Закона о персональных данных.

6.9. В соответствии с пунктом 11 статьи 19 Закона о персональных данных под уровнем защищенности персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. При обработке персональных данных в информационных системах устанавливаются четыре уровня защищенности персональных данных.

6.9.1. Необходимость обеспечения первого уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

• для информационной системы актуальны угрозы первого типа и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных;
• для информационной системы актуальны угрозы второго типа и информационная система обрабатывает специальные категории персональных данных более чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора.

6.9.2. Необходимость обеспечения второго уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

• для информационной системы актуальны угрозы первого типа и информационная система обрабатывает общедоступные персональные данные;
• для информационной системы актуальны угрозы второго типа и информационная система обрабатывает специальные категории персональных данных сотрудников Оператора или специальные категории персональных данных менее чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора;
• для информационной системы актуальны угрозы второго типа и информационная система обрабатывает биометрические персональные данные;
• для информационной системы актуальны угрозы второго типа и информационная система обрабатывает общедоступные персональные данные более чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора;
• для информационной системы актуальны угрозы второго типа и информационная система обрабатывает иные категории персональных данных более чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора;
• для информационной системы актуальны угрозы третьего типа и информационная система обрабатывает специальные категории персональных данных более чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора.

6.9.3. Необходимость обеспечения третьего уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

• для информационной системы актуальны угрозы второго типа и информационная система обрабатывает общедоступные персональные данные сотрудников Оператора или общедоступные персональные данные менее чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора;
• для информационной системы актуальны угрозы второго типа и информационная система обрабатывает иные категории персональных данных сотрудников Оператора или иные категории персональных данных менее чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора;
• для информационной системы актуальны угрозы третьего типа и информационная система обрабатывает специальные категории персональных данных сотрудников Оператора или специальные категории персональных данных менее чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора;
• для информационной системы актуальны угрозы третьего типа и информационная система обрабатывает иные категории персональных данных более чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора.

6.9.4. Необходимость обеспечения четвертого уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

• для информационной системы актуальны угрозы третьего типа и информационная система обрабатывает общедоступные персональные данные;
• для информационной системы актуальны угрозы третьего типа и информационная система обрабатывает иные категории персональных данных сотрудников Оператора или иные категории персональных данных менее чем 100 000 субъектов персональных данных, не являющихся сотрудниками Оператора.

6.10. Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных, приведены в приложении к Составу и содержанию организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18.02.2013 № 21.

VII. АКТУАЛИЗАЦИЯ (ОБНОВЛЕНИЕ), ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОТВЕТЫ НА ЗАПРОСЫ СУБЪЕКТОВ НА ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ

7.1. Согласно ст. 21 ФЗ «О персональных данных», персональные данные должны быть актуализированы оператором, если подтвержден факт неточности. То же касается и подтверждения факта неправомерности обработки. Персональные данные подлежат уничтожению при достижении целей их обработки и в случае отзыва субъектом согласия на их обработку, если: иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных; иное не предусмотрено иным соглашением между оператором и субъектом персональных данных. Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами.

На основании ст. 20 ФЗ «О персональных данных», оператор обязан сообщить субъекту персональных данных информацию об осуществляемой им обработке по запросу.

В свою очередь, Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных оператором;
• правовые основания и цели обработки персональных данных;
• цели и применяемые оператором способы обработки персональных данных;
• наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.

7.2. Указанные выше сведения должны быть предоставлены субъекту персональных данных Оператором в доступной форме и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

7.3. Сведения, указанные в пункте 7.1, предоставляются субъекту персональных данных или его представителю Оператором при обращении либо при получении запроса субъекта персональных данных или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

7.4. В случае если сведения, указанные в пункте 7.1, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 7.1, и ознакомления с такими персональными данными не ранее чем через 30 дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

7.5. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае условия настоящего Положения или обратиться с таким требованием в суд. Оператор (Работодатель - Общество) обязан прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

7.6. Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 7.4 и 7.5. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.

7.7. Оператор обязан сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение 30 дней с даты получения запроса субъекта персональных данных или его представителя.

7.8. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.

7.9. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Оператор обязан внести в них необходимые изменения.

7.10. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор обязан уничтожить такие персональные данные.

7.11. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

7.12. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя, либо по запросу субъекта персональных данных или его представителя, либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки.

7.13. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

7.14. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

7.15. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению Оператора. В случае если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

7.16. В случае достижения цели обработки персональных данных Оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами.

7.17. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий 30 дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами.

7.18. В случае отсутствия возможности уничтожения персональных данных в течение указанных сроков Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

7.19. Внешний доступ к персональным данным предоставляется только при наличии заявления запросившего их лица с указанием перечня необходимой информации, целей для которых она будет использована, с письменного согласия лица, персональные данные которого затребованы. При передаче персональных данных третьим лицам, в том числе представителям работников и других категорий субъектов персональных данных, передаваемая информация ограничивается только теми персональными данными, которые необходимы для выполнения третьими лицами их функций.

VIII. ПОЛОЖЕНИЯ ПО СУБЪЕКТАМ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. С учетом разграничения субъектов персональных данных на основании деятельности Общества, настоящим определены отдельные Положения по обработке персональных данных субъектов персональных данных (далее – Положение) следующих категорий: работников, контрагентов, третьих лиц.

8.2. Настоящие Положения субъектов персональных данных работников, контрагентов, третьих лиц являются неотъемлемой частью Политики.

8.3. Условия, определенные для применения в настоящей Политике в отношении обработки персональных данных распространяются на все правоотношения, связанные с оператором или с субъектами персональных данных, в том числе, выделенных по отдельным Положениям, если применяемые условия в Политике прямо или косвенно не противоречат условиям, применяемым в конкретном Положении по обработке персональных данных по субъектам персональных данных (далее – Положение) конкретных категорий: работников, контрагентов, третьих лиц.

VIII.I. ПОЛОЖЕНИЕ ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ

8.1.1. Настоящее Положение по обработке персональных данных работников является сводом условий (правил) составленным в соответствие с требованиями закона, определяющих порядок обработки персональных данных работников Общества, персональные данные которых подлежат обработке, на основании полномочий оператора; обеспечение защиты прав и свобод работника Общества, при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

8.1.2. К персональным данным работника, получаемым и подлежащим хранению у работодателя в порядке, предусмотренном действующим законодательством и настоящим Положением, относятся следующие сведения, содержащиеся в личных делах работников:

• паспортные данные работника;
• ИНН;
• копия страхового свидетельства государственного пенсионного страхования;
• документ, подтверждающий регистрацию в системе индивидуального (персонифицированного) учета, в том числе в форме электронного документа;
• копия документа воинского учета (для военнообязанных и лиц, подлежащих призыву на военную службу);
• копия документа об образовании, квалификации или наличии специальных знаний (при поступлении на работу, требующую специальных знаний или специальной подготовки);
• анкетные данные, заполненные работником при поступлении на работу или в процессе работы (в том числе – автобиография, сведения о семейном положении работника, перемене фамилии, наличии детей и иждивенцев);
• документы о возрасте малолетних детей и месте их обучения;
• документы о состоянии здоровья детей и других родственников (включая справки об инвалидности, о наличии хронических заболеваний);
• документы о состоянии здоровья (сведения об инвалидности, о беременности и т.п.);
• иные документы, которые с учетом специфики работы и в соответствии с законодательством Российской Федерации должны быть предъявлены работником при заключении трудового договора или в период его действия (включая медицинские заключения, предъявляемые работником при прохождении обязательных предварительных и периодических медицинских осмотров);
• трудовой договор;
• заключение по данным психологического исследования (если такое имеется);
• копии приказов о приеме, переводах, увольнении, повышении заработной платы, премировании, поощрениях и взысканиях;
• личная карточка по форме Т-2;
• заявления, объяснительные и служебные записки работника;
• документы о прохождении работником аттестации, повышения квалификации;
• иные документы, содержащие сведения о работнике, нахождение которых в личном деле работника необходимо для документального оформления трудовых правоотношений с работником (включая приговоры суда о запрете заниматься педагогической деятельностью или занимать руководящие должности).

8.1.3. Размещение на официальном сайте фотографий работников, видео с работниками сотрудники разрешают путем предоставления согласия на обработку персональных данных в Обществе.

8.1.4. Персональные данные работников Общества являются конфиденциальной информацией и не могут быть использованы сотрудниками Общества в личных целях.

8.1.5. В целях обеспечения прав и свобод человека и гражданина работодатель (Общество) и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

• Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
• При определении объема и содержания, обрабатываемых персональных данных работника Общество руководствуется ст. 24 Конституции Российской Федерации, ст. 65 Трудового Кодекса и иными федеральными законами;
• Все персональные данные работника следует получать у него самого. Если персональные данные работника, возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
• Работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся (в соответствии со статьей 10 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных») к специальным категориям персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, если:
• субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных, в частности:
1. фамилию, имя, отчество, адрес проживания, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2. фамилию, имя, отчество, адрес представителя, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
3. наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
4. цель обработки персональных данных;
5. перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
6. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
7. перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
8. срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
9. подпись субъекта персональных данных;
• обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных условиями настоящего Положения;
• обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации;
• обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года N 8-ФЗ "О Всероссийской переписи населения";
• обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;
• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
• обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медикосоциальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
• обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
• обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;
• обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством Российской Федерации;
• обработка полученных в установленных законодательством Российской Федерации случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора;
• обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;
• обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации, государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан;
• обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о гражданстве Российской Федерации.
• 8.1.5.1. Работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Трудовым Кодексом или иными федеральными законами.
• 8.1.5.2. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.
• 8.1.5.3. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном Трудовым Кодексом и иными федеральными законами.
• 8.1.5.4. Работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
• 8.1.5.5. Работники не должны отказываться от своих прав на сохранение и защиту тайны.
• 8.1.5.6. Работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.

8.1.6. Согласно ст.10.1 Федерального закона «О персональных данных», особенностями обработки персональных данных, разрешенных субъектом персональных данных для распространения являются:

• 8.1.6.1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Работник образовательной организации (оператор) обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
• 8.1.6.2. В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
• 8.1.6.3. В случае, если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
• 8.1.6.4. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.
• 8.1.6.5. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.
• 8.1.6.6. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору:
• непосредственно;
• с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.
• 8.1.6.7. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, должно содержать следующую информацию:
• фамилия, имя, отчество (при наличии) субъекта персональных данных;
• контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных);
• сведения об операторе-организации - наименование, адрес, указанный в Едином государственном реестре юридических лиц, идентификационный номер налогоплательщика, основной государственный регистрационный номер (если он известен субъекту персональных данных);
• сведения об операторе - физическом лице - фамилия, имя, отчество (при наличии), место жительства или место пребывания;
• сведения об операторе-гражданине, являющемся индивидуальным предпринимателем, - фамилия, имя, отчество (при наличии), идентификационный номер налогоплательщика, основной государственный регистрационный номер (если он известен субъекту персональных данных);
• сведения об информационных ресурсах оператора (адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имя файла веб-страницы), посредством которых будут осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных;
• цель (цели) обработки персональных данных;
• категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных: персональные данные (фамилия, имя, отчество (при наличии), год, месяц, дата рождения, место рождения, адрес, семейное положение, образование, профессия, социальное положение, доходы, другая информация, относящаяся к субъекту персональных данных); специальные категории персональных данных (расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимной жизни, сведения о судимости); биометрические персональные данные;
• категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов (заполняется по желанию субъекта персональных данных);
• условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных (заполняется по желанию субъекта персональных данных);
• срок действия согласия.
• 8.1.6.8. Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.
• 8.1.6.9. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

8.1.7. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий не допускается. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.

8.1.8. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.

8.1.9. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.

8.1.10. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления оператору требования, указанного по условиям настоящего Положения.

8.1.11. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае условия настоящего Положения или обратиться с таким требованием в суд. Оператор (Работодатель - Общество) обязан прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

8.1.12. Требования прекратить передачу (распространение, предоставление, доступ) персональных данных не применяются Оператора в отношении субъекта в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на государственные органы, муниципальные органы, а также на подведомственные таким органам организации функций, полномочий и обязанностей.

8.1.13. Общество определяет объем, содержание обрабатываемых персональных данных работников, руководствуясь Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и иными федеральными законами.

8.1.14. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

8.1.15. Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

8.1.16. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

8.1.17. Хранение и использование персональных данных работников.

8.1.17.1. Хранение персональных данных работников должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

8.1.17.2. Персональные данные работников Общества хранятся на бумажных и электронных носителях (к доступу имеется определенный код), в специально предназначенных для этого помещениях.

8.1.17.3. В процессе хранения персональных данных работников должны обеспечиваться:

• требования нормативных документов, устанавливающих правила хранения конфиденциальных сведений;
• сохранность имеющихся данных, ограничение доступа к ним, в соответствии с законодательством Российской Федерации и настоящим Положением;
• контроль за достоверностью и полнотой персональных данных, их регулярное обновление и внесение по мере необходимости соответствующих изменений.

8.1.17.4. Доступ к персональным данным работников имеют:

• генеральный директор;
• заместители генерального директора;
• специалист по персоналу;
• юрисконсульт;
• иные работники, определяемые приказом директора Общества в пределах своей компетенции.

8.1.17.5. Помимо лиц, указанных по условиям настоящего Положения, право доступа к персональным данным работников имеют лица, уполномоченные действующим законодательством.

8.1.17.6. Лица, имеющие доступ к персональным данным обязаны использовать персональные данные работников лишь в целях, для которых они были предоставлены.

8.1.17.7. Ответственным за организацию и осуществление хранения персональных данных работников Общества является генеральный директор Общества, в соответствии с приказом.

8.1.17.8. Персональные данные работника отражаются в личной карточке работника (форма Т-2) при её наличии в Обществе (необязательно), которая заполняется после издания приказа о его приеме на работу. Личные карточки работников хранятся в специально оборудованных несгораемых шкафах в алфавитном порядке.

8.1.18. Передача персональных данных работника.

8.1.18.1. При передаче персональных данных работника работодатель (Общество) должен соблюдать следующие требования:

• не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым Кодексом или иными федеральными законами;
• не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
• предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном Трудовым Кодексом и иными федеральными законами;
• Осуществлять передачу персональных данных работника в пределах Общества в соответствии с данным Положением, с которым работник должен быть ознакомлен под роспись;
• Разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
• Не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
• Передавать персональные данные работника представителям работников в порядке, установленном Трудовым Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

8.1.19. Права работника в целях обеспечения защиты персональных данных, хранящихся у работодателя (Общества).

8.1.19.1. В целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право:

• получать полную информацию о своих персональных данных и их обработке;
• на свободный бесплатный доступ к своим персональным данным, включая право на получение копии любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральными законами. Получение указанной информации о своих персональных данных возможно при личном обращении работника, – к руководителю Общества, ответственному за организацию и осуществление хранения персональных данных работников;
• на определение своих представителей для защиты своих персональных данных;
• требовать об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований действующего законодательства (указанное требование должно быть оформлено письменным заявлением работника на имя руководителя Общества);
• требовать об извещение организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника обо всех произведенных в них исключениях, исправлениях или дополнениях;
• обжаловать в суде любые неправомерные действия или бездействия Общества при обработке и защите его персональных данных.

8.1.19.2. В целях обеспечения достоверности персональных данных работники обязаны:

• при приеме на работу в Общество, представлять уполномоченным работникам достоверные сведения о себе в порядке и объеме, предусмотренном законодательством Российской Федерации;
• в случае изменения персональных данных работника: фамилия, имя, отчество, адрес места жительства, паспортные данные, сведения об образовании, состоянии здоровья (вследствие выявления в соответствии с медицинским заключением противопоказаний для выполнения работником его должностных, трудовых обязанностей и т.п.) сообщать об этом в течение 5 рабочих дней с даты их изменений Работодателю.

8.1.20. Уничтожение персональных данных.

8.1.20.1. В соответствии с Приказом Роскомнадзора №179 от 28 октября 2022 года, определены требования к документальному оформлению факта уничтожения персональных данных работников общеобразовательной организации:

• в случае если обработка персональных данных осуществляется оператором без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является акт об уничтожении персональных данных;
• в случае если обработка персональных данных осуществляется оператором с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее - выгрузка из журнала).

Акт об уничтожении персональных данных должен содержать:

• наименование общеобразовательной организации или фамилию, имя, отчество (при наличии) оператора персональных данных и его адрес;
• наименование общеобразовательной организации или фамилию, имя, отчество (при наличии) лица, осуществляющего обработку персональных данных субъекта персональных данных по поручению оператора (если обработка была поручена такому лицу;
• фамилию, имя, отчество (при наличии) субъекта или иную информацию, относящуюся к определенному физическому лицу, чьи персональные данные были уничтожены;
• фамилию, имя, отчество (при наличии), должность лиц, уничтоживших персональные данные субъекта персональных данных, а также их подпись;
• перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
• наименование уничтоженного материального носителя, содержащего персональные данные субъекта персональных данных, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации);
• наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных (в случае обработки персональных данных с использованием средств автоматизации);
• способ уничтожения персональных данных;
• причину уничтожения персональных данных;
• дату уничтожения персональных данных субъекта (субъектов) персональных данных.

Форма акта об уничтожении персональных данных составляется в произвольной форме.

Акт об уничтожении персональных данных может быть оформлен как на бумаге, так и в электронной форме. В первом случае он заверяется личной подписью лиц, уничтоживших персональные данные, а во втором – их электронной подписью.

8.1.20.2. Выгрузка из журнала должна содержать:

• фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определенному физическому лицу, чьи персональные данные были уничтожены;
• перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
• наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
• причину уничтожения персональных данных;
• дату уничтожения персональных данных субъекта (субъектов) персональных данных.

При невозможности указать в выгрузке из журнала какие-либо сведения, их следует отразить в акте об уничтожении персональных данных. 7.6. Если оператор обрабатывает персональные данные, используя и не используя средства автоматизации, при их уничтожении следует оформлять акт об уничтожении и выгрузку из журнала.

8.1.20.3. Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных.

8.1.21. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника.

8.1.21.1. Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.

8.1.21.2. Персональная ответственность — одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы.

8.1.21.3. Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.

8.1.21.4. За нарушение правил хранения и использования персональных данных, повлекшее за собой материальный ущерб работодателю, работник несет материальную ответственность в соответствии с действующим трудовым законодательством.

8.1.21.5. Материальный ущерб, нанесенный субъекту персональных данных за счет ненадлежащего хранения и использования персональных данных, подлежит возмещению в порядке, установленном действующим законодательством.

8.1.21.6. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с Федеральным законом № 152-ФЗ «О персональных данных», подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

8.1.21.7. Общество вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных лишь обработку следующих персональных данных:

• относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения (работникам);
• полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
• являющихся общедоступными персональными данными;
• включающих в себя только фамилии, имена и отчества субъектов персональных данных;
• необходимых в целях однократного пропуска субъекта персональных данных на территорию организации или в иных аналогичных целях;
• включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
• обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.

Во всех остальных случаях оператор (руководитель организации, осуществляющей образовательную деятельность, и (или) уполномоченные им лица) обязан направить в уполномоченный орган по защите прав субъектов персональных данных соответствующее уведомление.

VIII.II. ПОЛОЖЕНИЕ ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ КОНТРАГЕНТА

8.2.1. Персональные данные Контрагента относятся к категории конфиденциальной информации.

8.2.2. В целях обеспечения прав и свобод человека и гражданина Оператор и его представители при обработке персональных данных Контрагента соблюдают следующие общие требования:

• обработка персональных данных Контрагента осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия выполнения договорных обязательств в соответствии с законодательством Российской Федерации;
• все персональные данные Контрагента Оператор получает у него самого, за исключением случаев, когда их получение возможно только у третьей стороны способом, не противоречащим законодательству Российской Федерации;
• обработка персональных данных, полученных от третьих лиц, возможна только при уведомлении субъекта персональных данных об этом заранее.

8.2.3. Оператор не получает и не обрабатывает персональные данные Контрагента о его политических, религиозных и иных убеждениях и частной жизни.

8.2.4. Персональные данные не используются в целях причинения имущественного и морального вреда Контрагенту, затруднения реализации его прав и свобод.

8.2.5. При принятии решений, затрагивающих интересы Контрагента, Оператор не основывается на персональных данных Контрагента, полученных исключительно в результате их автоматизированной обработки без его письменного согласия на такие действия.

8.2.6. При идентификации Контрагента Оператор требует предъявление документов, удостоверяющих личность и подтверждающих полномочия представителя.

8.2.7. При заключении договора, как и в ходе его исполнения, в случае возникновения необходимости, Заказчик может потребовать предоставление Контрагентом иных документов, содержащих информацию о нем, с момента предоставления которых может быть связано предоставление дополнительных гарантий и компенсаций.

8.2.8. После принятия решения о заключении договора или предоставления документов, подтверждающих полномочия представителя, а также впоследствии, в процессе выполнения договора, персональные данные Контрагента, также будут включены в:

• договоры;
• иные документы, включение в которые персональных данных Контрагента необходимо согласно действующему законодательству Российской Федерации (накладные, акты, отчеты и т.д.).

8.2.9. Организация защиты персональных данных контрагентов.

8.2.10. Все работники, имеющие доступ к персональным данным Контрагентов, подписывают «Соглашение о неразглашении конфиденциальной информации».

8.2.11. Защита персональных данных Контрагентов от неправомерного их использования или утраты обеспечивается Оператором в порядке, установленном законодательством Российской Федерации, внутренними регламентирующими документами Общества.

8.2.12. Защите подлежат:

• персональные данные, содержащиеся на электронных и материальных носителях;
• носители, содержащие персональные данные.

8.2.13. Ответственные лица структурных подразделений Общества, хранящих персональные данные на бумажных и машинных носителях информации, обеспечивают их защиту от несанкционированного доступа и копирования.

8.2.14. Ответственные лица, обрабатывающие персональные данные в АИС и на машинных носителях информации, обеспечивают защиту в соответствии с требованиями законодательства Российской Федерации, нормативными и методическими документами, касающимися защиты персональных данных.

8.2.15. Хранение персональных данных контрагента:

8.2.15.1. Сведения о Контрагентах на бумажных носителях хранятся в помещениях Общества. Для хранения носителей используются шкафы (ящики), расположенные внутри контролируемой зоны Общества.

8.2.15.2. Обязанности по хранению документов, в которых содержатся персональные данные Контрагентов, возлагаются на руководителей структурных подразделений, в которых обрабатывается информация.

8.2.15.3. Ключи от шкафов /ящиков (при наличии), в которых хранятся носители ПДн, находятся у работника, обрабатывающего данную информацию.

8.2.15.4. Персональные данные Контрагентов могут также храниться в электронном виде – на электронных носителях информации, доступ к которым ограничен и регламентируется Обществом.

8.2.16. Доступ к персональным данным Контрагентов без специального разрешения имеют работники, занимающие в Обществе следующие должности:

• генеральный директор;
• заместитель генерального директора по финансово-экономической работе - главный бухгалтер;
• заместитель главного бухгалтера;
• бухгалтер;
• менеджер по кадрам;
• юрист/юрисконсульт, либо лицо, исполняющее обязанности юриста/юрисконсульта;
• к обработке персональных данных Контрагентов допускаются иные работники в соответствии с Приказом «Об утверждении перечней должностей и лиц, допущенных к обработке персональных данных».

8.2.17. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, по достижении целей обработки или в случае утраты необходимости в их достижении, если иное не предусмотрено законодательством Российской Федерации, вышеуказанные персональные данные уничтожаются.

8.2.18. Передача персональных данных контрагента:

8.2.18.1. При передаче персональных данных Контрагента Оператор соблюдает следующие требования, и выполняются следующие условия:

• осуществляет обработку персональных данных Контрагента в пределах своей организации в соответствии с настоящим Положением;
• разрешает доступ к персональным данным Контрагентов только специально уполномоченным лицам, при этом указанные лица вправе получать только те персональные данные Контрагента, которые необходимы для выполнения конкретных функций;
• вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законодательством;
• определяет требования к защите обрабатываемых персональных данных и перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, а так же устанавливает обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке;
• в случае если Оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Оператор. Лицо, осуществляющее обработку персональных данных по поручению Оператора, несет ответственность перед Оператором;
• передает персональные данные Контрагента его представителям в порядке, установленном законодательством Российской Федерации, и ограничивает эту информацию только теми персональными данными Контрагента, которые необходимы для выполнения указанными представителями их функций.

8.2.19. В случае если Оператору оказываются услуги, выполняются работы или осуществляется поставка товаров юридическими или физическими лицами на основании заключенных договоров (либо иных оснований), и в силу данных договоров эти лица должны иметь доступ к персональным данным, то необходимые персональные данные предоставляются Оператором при наличии в заключенном договоре условия о неразглашении конфиденциальной информации (в том числе содержащей персональные данные или составляющую коммерческую тайну) либо после подписания с указанными лицами Соглашения о неразглашении информации, содержащей персональные данные (неразглашении конфиденциальной информации).

8.2.20. Все сведения о передаче персональных данных Контрагентов регистрируются в Журнале учета передачи персональных данных в целях контроля правомерности использования данной информации лицами, ее получившими. В журнале фиксируются сведения о лице, направившем запрос, дата передачи персональных данных или дата уведомления об отказе в их предоставлении, а также отмечается, какая именно информация была передана.

8.2.21. Обязанности контрагента и оператора в целях обеспечения достоверности персональных данных.

8.2.21.1. Контрагент обязан:

• при заключении договора предоставить Оператору полные и достоверные данные о себе;
• в случае изменения сведений, составляющих персональные данные Контрагента, не позднее пяти рабочих дней, предоставить обновленную информацию Оператору;

8.2.21.2. Оператор обязан:

• обеспечить защиту персональных данных от неправомерного их использования или утраты в порядке, установленном законодательством Российской Федерации;
• ознакомить субъекта персональных данных с действующими внутренними правилами обработки персональных данных;
• обеспечить защищенное хранение документов, содержащих персональные данные. При этом персональные данные не должны храниться дольше, чем этого требуют цели, для которых они были получены, или дольше, чем это требуется в интересах лиц, о которых собраны данные, или дольше, чем этого требует законодательство;
• вести учет передачи персональных данных Контрагентов третьим лицам путем ведения соответствующего Журнала учета передачи персональных данных;
• в случае реорганизации или ликвидации Оператора, учет и сохранность документов, порядок передачи их на государственное хранение осуществлять в соответствии с правилами, предусмотренными учредительными документами и действующим законодательством Российской Федерации;
• вести Журнал учета обращений субъектов персональных данных;
• осуществлять передачу персональных данных субъекта только в соответствии с законодательством Российской Федерации и настоящим Положением;
• по требованию субъекта персональных данных или его законного представителя предоставить ему полную информацию о его персональных данных и обработке этих данных.

8.2.21.3. Права контрагента в целях защиты персональных данных:

В целях обеспечения защиты персональных данных, хранящихся у Оператора, Контрагент имеют право на:

• получение полной информации о составе своих персональных данных и их обработке, в частности, Контрагент имеет право знать, кто и в каких целях использует или использовал информацию о его персональных данных;
• бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные Контрагента на основании письменного запроса, за исключением случаев, если предоставление персональных данных нарушает конституционные права и свободы других лиц;
• определение своих представителей для защиты своих персональных данных;
• требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований действующего законодательства (указанное требование должно быть оформлено письменным заявлением работника на имя руководителя Общества);
• требование об извещении Оператором всех лиц, которым ранее были сообщены неверные или неполные персональные данные Контрагента, обо всех произведенных в них исключениях, исправлениях или дополнениях;
• обжалование в суде или надзорном органе любых неправомерных действий или бездействия оператора при обработке и защите его персональных данных.

8.2.21.4. Ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных. Лица, виновные в нарушении норм, регулирующих обработку персональных данных, привлекаются к ответственности в соответствии с действующим законодательством Российской Федерации.

VIII.III. ПОЛОЖЕНИЕ ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИХ ЛИЦ

8.3.1. К третьим лицам настоящее положение относит физических лиц, отношения с которыми возникают у Общества при осуществлении предусмотренной Уставом деятельности.

8.3.2. Настоящее Положение устанавливает порядок обработки персональных данных третьих лиц с использованием и без использования средств автоматизации.

8.3.3. Персональные данные третьих лиц не могут быть использованы в целях причинения им имущественного и морального вреда, затруднения реализации их гражданских прав и свобод.

8.3.4. К персональным данным третьих лиц, обрабатываемым Обществом и подлежащим хранению в порядке, предусмотренном действующим законодательством, относятся следующие сведения:

• фамилия, имя, отчество; число, месяц, год рождения; место рождения; серия, номер документа, подтверждающего личность, наименование органа, выдавшего его, дата выдачи;
• контактные данные: адрес (места жительства, регистрации), контактный телефон, адрес электронной почты;
• документы, которые предоставляются в виде копий следующих документов: документ, удостоверяющий личность, паспорт, домовая книга, договоры найма жилого помещения, купли-продажи, дарения, передачи в собственность в порядке наследования, свидетельство о государственной регистрации права, акты приема-передачи недвижимости, выписки из ЕГРН, ордера, технические паспорта жилого (нежилого) помещения, кадастровые паспорта жилого (нежилого) помещения, справки с паспортного стола, свидетельства о рождении, свидетельства о смерти, свидетельства и заключении (расторжении) брака, свидетельства о праве на наследство по закону или по завещанию, справка о временном проживании, свидетельства ИНН, свидетельства о постановке на учет в налоговом органе, уставы и протоколы юридических лиц, чеки, квитанции об оплате, соглашения об оплате, удостоверения (пенсионные и др.), реестры членов дачных и садоводческих товариществ, карточки лицевых счетов других управляющих организаций, командировочные удостоверения, проездные билеты, страховые полисы, справки о составе семьи, доверенности, платежные реквизиты счетов, решения судов.

8.3.5. Персональные данные, перечисленные в п.8.3.4. настоящего положения, являются конфиденциальными. Под конфиденциальностью персональных данных третьих лиц понимается обязательное для соблюдения лицом, получившим доступ к персональным данным третьего лица, требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания. Сбор, хранение, использование и распространение информации о частной жизни третьих лиц не допускаются.

8.3.6. В целях обеспечения прав и свобод человека и гражданина при обработке персональных данных третьих лиц обязательно соблюдаются следующие общие требования.

8.3.6.1. Обработка персональных данных должна осуществляться на основе принципов законности целей и способов обработки персональных данных и добросовестности; соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных; соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных; достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных.

8.3.6.2. Обработка персональных данных может осуществляться Обществом с согласия субъекта персональных данных, за исключением случаев, предусмотренных Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных».

8.3.6.3. Обработка персональных данных может осуществляться исключительно в целях осуществления Обществом деятельности, предусмотренной Уставом.

8.3.6.4. Объем и содержание обрабатываемых персональных данных определяются в соответствии с Федеральным законом от 27.07.2006г. № 152-ФЗ «О персональных данных», иными федеральными законами и нормативными правовыми актами.

8.3.6.5. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации.

8.3.6.6. В случаях достижения цели обработки персональных данных, отзыва субъектом персональных данных согласия на обработку своих персональных данных Оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, установленный действующим законодательством.

8.3.6.7. Защита персональных данных от неправомерного их использования или утраты должна быть обеспечена Обществом за счет своих средств в порядке, установленном федеральным законом.

8.3.7. Права, обязанности третьих лиц как субъектов персональных данных:

8.3.7.1. Третье лицо как субъект персональных данных обязан передавать представителю Общества комплекс достоверных документированных персональных данных, перечень которых установлен настоящим Положением в случае необходимости предоставления таких документов.

8.3.7.2. Третье лицо как субъект персональных данных в отношении которого Общество ведет делопроизводство в установленных настоящим Положением целях, имеет право:

• на полную информацию о своих персональных данных и обработке этих данных;
• на свободный бесплатный доступ к своим персональным данным, включая право на получение копии любой записи, содержащей персональные данные, за исключением случаев, предусмотренных законодательством Российской Федерации;
• требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований законодательства. Неправомерный отказ исключить или исправить персональные данные физического лица, а также любое иное нарушение его прав на защиту персональных данных влечет возникновение у физического лица права требовать устранения нарушения его прав и компенсации причиненного таким нарушением морального вреда;
• принимать предусмотренные законом меры по защите своих прав.

8.3.8. Порядок получения персональных данных третьих лиц.

8.3.8.1. Персональные данные следует получать лично у субъекта персональных данных. Получение персональных данных субъекта персональных данных у третьей стороны возможно в случаях, предусмотренных действующим законодательством.

8.3.8.2. Запрещается получать персональные данные третьего лица о его политических, религиозных и иных убеждениях, частной жизни, членстве в общественных объединениях, в том числе в профессиональных союзах, за исключением случаев, предусмотренных действующим законодательством.

8.3.8.3. При передаче персональных данных должны соблюдаться следующие требования:

• не сообщать персональные данные третьей стороне, третьим лицам без письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в случаях, установленных действующим законодательством;
• не использовать персональные данные третьих лиц в коммерческих целях;
• предупредить лиц, получающих персональные данные третьих лиц, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные третьих лиц, обязаны соблюдать режим конфиденциальности;
• разрешать доступ к персональным данным третьих лиц только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций.

8.3.9. Все меры конфиденциальности при обработке персональных данных третьих лиц распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

8.3.10. Доступ к персональным данным третьих лиц.

8.3.10.1. Внутренний доступ (доступ внутри Общества) к обработке персональных данных третьих лиц осуществляется допуском работников Общества в соответствии с «Перечнем должностей, допущенных к обработке персональных данных» утвержденным приказом руководства Общества.

8.3.10.2. Внешний доступ к персональным данным третьих лиц, вне Общества, обеспечивается надзорным (контрольным) органам государственной власти и управления, в пределах их компетенции.

8.3.11. Защита персональных данных представляет собой жестко регламентированный технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных, обеспечивающий надежную безопасность информации в процессе деятельности Общества, подразделяется на внутреннюю и внешнюю защиту.

8.3.11.1. «Внутренняя защита» включает в себя соблюдение следующих мер в Обществе:

• ограничение и регламентация состава лиц, функциональные обязанности которых требуют конфиденциальных знаний;
• строгое избирательное и обоснованное распределение документов и информации между работниками Общества;
• рациональное размещение рабочих мест работников, исключающее бесконтрольное использование защищаемой информации;
• знание работником требований нормативно-методических документов по защите информации и сохранении тайны;
• наличие необходимых условий в помещении для работы с конфиденциальными документами и базами данных;
• определение и регламентация состава работников, имеющих право доступа (входа) в помещение, в котором находится вычислительная техника;
• организация порядка уничтожения информации;
• своевременное выявление нарушения требований разрешительной системы доступа работниками структурных подразделений Общества;
• воспитательная и разъяснительная работа с работниками структурных подразделений Общества по предупреждению утраты ценных сведений при работе с конфиденциальными документами.
• соблюдение порядка приема, учета и контроля деятельности посетителей;
• наличие технических средств охраны, сигнализации;
• наличие программных и технических средств защиты информационных систем от несанкционированного доступа;
• обеспечение порядка охраны зданий, помещений.

Все лица, работники Общества, связанные с получением, обработкой и защитой персональных данных третьих лиц обязаны подписать «Соглашение о неразглашении конфиденциальной информации».

8.3.11.2. «Внешняя защита» включает в себя создание целенаправленных неблагоприятных условий и труднопреодолимых препятствий для постороннего лица, пытающегося совершить несанкционированный доступ и овладение информацией. Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности Общества. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в структурных подразделениях Общества.

8.3.12. Ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных. Лица, виновные в нарушении норм, регулирующих обработку персональных данных, привлекаются к ответственности в соответствии с действующим законодательством Российской Федерации.

IX. ДЕЙСТВИЕ ЗАКОНА И НАСТОЯЩЕЙ ПОЛИТИКИ, ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ПОЛУЧЕНИЕ, ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1. Политика является обязательной для исполнения всеми Работниками Общества, имеющими доступ к персональным данным.

9.2. Настоящая Политика вступает в силу с момента её утверждения генеральным директором Общества и действует бессрочно, до замены её новой Политикой или замены ее отдельных условий или положений.

9.3. Все изменения в Политику вносятся приказом руководства Общества.

9.4. Все работники Общества должны быть ознакомлены с настоящей Политикой под роспись.

9.5. В случае отсутствия в настоящей Политике, или в ее отдельных Положениях условий для применения к правоотношениям по обработке персональных данных к субъектам или оператору, иным лицам, то на данные правоотношения распространяются требования закона, нормативных актов, регулирующих соответствующие правоотношения.

9.6. Каждый работник Общества, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.

9.7. Лица, виновные в распространении конфиденциальной информации о персональных данных несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.