ПОЛИТИКА В ОБЛАСТИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

 

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1.Для целей настоящего документа ряду терминов даны следующие определения.

• оператор персональных данных (оператор) – лицо, осуществляющее обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Сведения об операторе:

• обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования.
• персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• сайт оператора, сайт – принадлежащая оператору совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-телекоммуникационной сети «Интернет» по определенному доменному имени. Доменные мена существующих сайтов оператора: https://oboikamchatka.ru/;
• субъект персональных данных - физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.

1.1. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайтах оператора по адресу:

•  https://oboikamchatka.ru/policy

1.2. Настоящая Политика разработана во исполнение требований в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Настоящее положение разработано в соответствии с положениями Конституции Российской Федерации, Трудового кодекса Российской Федерации, Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» и определяет порядок сбора, учета, обработки, накопления, использования, распространения и хранения персональных данных работников [наименование юридического лица] (далее - организация, работодатель).
1.4. Настоящая политика определяет цели, правовые основания, объем, порядок, условия обработки персональных данных оператором и действует в отношении обработки всех персональных данных, которые обрабатывает оператор. Настоящая политика обязательна для соблюдения всеми работниками оператора.
2. КАТЕГОРИИ СУБЪЕКТОВ ОБЪЕМ, ЦЕЛИ И ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ.

3. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1.сОбработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации
3.2. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных законодательством. Обработка персональных данных осуществляется в следующих случаях:

• обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
• обработка персональных данных необходима для достижения целей, предусмотренных законодательством для осуществления и выполнения возложенных на оператора функций, полномочий и обязанностей;
• обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;

3.3. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку персональных данных.
3.4. К обработке персональных данных допускаются только лица, подконтрольные Оператору. Оператор гарантирует, что между ним и указанными лицами заключены договоры (соглашения), в которых согласованы условия о конфиденциальности персональных данных, указанные лица ознакомлены в полном объеме с настоящей Политикой, подписали расписки о конфиденциальности персональных данных и недопустимости их разглашения.
3.5. Источник персональных данных: предоставление персональных данных в устной и письменной форме непосредственно субъектами персональных данных и их представителями.
3.6. Персональные данные, обрабатываемые оператором, не могут быть использованы в целях причинения имущественного и морального вреда субъектам персональных данных, затруднения реализации их прав и свобод.
3.7. Персональные данные предоставляются субъектами персональных данных на добровольной основе и могут быть изменены (обновлены, дополнены, уточнены, заблокированы, удалены) по их желанию.
3.8. Оператор обязуется не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
3.9. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Пенсионный фонд Российской Федерации, Фонд социального страхования и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
3.10. Обработка биометрических персональных данных и специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, оператором не осуществляется.
3.11. Правовыми основаниями обработки персональных данных, осуществляемой оператором, служит согласие субъекта персональных данных, а также следующие нормативно-правовые акты и ненормативные документы:

• Конституция Российской Федерации
• Федеральные законы Российской Федерации;
• Законы Российской Федерации;
• Подзаконные акты органов государственной власти;
• Договоры и соглашения, заключенные оператором с субъектом персональных данных или третьим лицом, предоставляющим оператору персональные данные с согласия и/или по поручению субъекта персональных данных.

3.12. Защита информации является одной из основных задач оператора. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:

• определяет угрозы безопасности персональных данных при их обработке;
• принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
• назначает лиц, ответственных за обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Оператора;
• создает необходимые условия для работы с персональными данными;
• организует учет документов, содержащих персональные данные;
• хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
• ограничивает доступ посторонних в помещения, где осуществляется обработка персональных данных;
• организует обучение подконтрольных Оператору лиц, осуществляющих обработку персональных данных;
• организует работу с информационными системами, в которых обрабатываются персональные данные;
• использует средства цифровой защиты (парольный доступ, антивирус и др.);
• осуществляет контроль использования учетных записей пользователей информационных систем.

3.13. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает обработку персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных законодательством.
4. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННОЙ СИСТЕМЕ.
4.1. Для информационной системы оператора актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе (угрозы 3-го типа).
4.2. Оператор обеспечивает 4-й уровень защищенности персональных данных при их обработке в информационной системе, поскольку для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора (не являющиеся специальными или биометрическими данными) или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора. При этом оператор выполняет следующие требования:
- организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
- обеспечение сохранности носителей персональных данных;
- утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
- использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

5. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОТВЕТЫ НА ЗАПРОСЫ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ.
5.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю при обращении либо при получении запроса субъекта персональных данных или его представителя.
5.2. В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
5.3. Запрос должен содержать:

• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• подпись субъекта персональных данных или его представителя.

5.4. Запрос может быть направлен оператору на бумажном носителе или в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации.
5.5. Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
5.6. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
5.7. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа власти Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. При блокировании персональных данных их обработка временно прекращается, за исключением случаев, если обработка необходима для уточнения персональных данных.
5.8. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо контролирующим органом, или иных необходимых документов уточняет персональные данные в установленный законом срок.
5.9. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо уполномоченного органа власти Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.
5.10. Обрабатываемые персональные данные подлежат уничтожению по достижении целей их обработки, в случае утраты необходимости в достижении этих целей, а также в случае истечения срока действия или отзыва согласия на обработку персональных данных, если иное не предусмотрено законодательством, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных или иным соглашением между оператором и субъектом персональных данных. При уничтожении совершаются действия в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.