Приказом Генерального директора
АО «Читатехэнерго»
от __________________№ __________________
Политика
в отношении обработки
персональных данных
в АО «Читатехэнерго»
г. Чита
2016 г.
Данная Политика в отношении обработки персональных данных в АО «Читатехэнерго» (далее - Политика) разработана с целью обеспечения защиты персональных данных работников, абонентов и иных категорий граждан в соответствии с требованиями действующего законодательства Российской Федерации.
Политика разработана в соответствии со ст. 23 и 24 Конституции Российской Федерации (РФ), главы 14 Трудового кодекса РФ, Федеральным законом «О персональных данных», Федеральным законом «Об информации, информационных технологиях и о защите информации» и другими нормативными правовыми актами РФ.
Политика регламентирует порядок сбора, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), обезличивания, блокирования, уничтожения, удаления, учета документов, содержащих сведения, отнесенные к персональным данным субъектов (работников, абонентов и иных категорий граждан) в АО «Читатехэнерго»и его филиалах с использованием средств автоматизации или без использования таких средств, а также определяет права, обязанности и ответственность руководства и должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих порядок обработки и защиты персональных данных.
Оператором в соответствии со ст. 3 Федерального закона «О персональных данных» является АО «Читатехэнерго».
2.1 Область применения
Требования данной Политики распространяются на всех работников АО «Читатехэнерго» (далее - Общество).
2.2 Нормативные ссылки
Политика разработана с учетом следующих нормативных документов:
• Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных»;
• Конституция Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Федеральный закон Российской Федерации «О персональных данных» от 27.07.2006 № 152-ФЗ;
Федеральный закон Российской Федерации «О связи» от 07.07.2003 N 126-ФЗ
• Федеральный закон Российской Федерации «Об информации, информационных технологиях и о защите информации» от 27.07.2006 № 149- ФЗ;
• Указ Президента Российской Федерации от 06.03.1997№188 «Об утверждении Перечня сведений конфиденциального характера»;
• Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
2.3 Термины, определения и сокращения
Для целей Политики в ней определены следующие термины и сокращения:
Абонент – физическое или юридическое лицо, пользующееся услуги связи АО «Читатехэнерго» .
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Информационная система персональных данных (ИСПД) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор – АО «Читатехэнерго».
Персональные данные (ПД) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПД).
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Работник - физическое лицо, вступившее в трудовые отношения с АО «Читатехэнерго».
Работодатель, Общество - АО «Читатехэнерго».
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Субъект персональных данных - физическое лицо, к которому относятся соответствующие персональные данные. В рамках трудовых отношений субъектом персональных данных является Работник.
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Электронный документ - документированная информация, представленная в электронной форме, то есть в виде, пригодном для восприятия человеком с использованием электронных вычислительных машин, а также для передачи по информационно-телекоммуникационным сетям или обработки в информационных системах (ИС).
ИБ - информационная безопасность.
ИС - информационная система.
ИСПД - информационная система персональных данных.
НСД - несанкционированный доступ.
ПД - персональные данные.
РФ - Российская Федерация.
ТС - техническое средство.
ФСБ России - Федеральная служба безопасности России.
ФСТЭК России - Федеральная служба по техническому и экспортному контролю России.
3 Понятие и состав обрабатываемых персональных данных
3.1 Общие положения
Под ПД субъектов ПД понимается информация, необходимая Обществу в связи с договорными отношениями по оказанию услуг связи, трудовыми или другими отношениями и касающаяся конкретного Субъекта ПД (Работника, абонента и иных категорий граждан), а также сведения о фактах, событиях и обстоятельствах жизни Субъекта ПД (Работника, абонента и иных категорий граждан), позволяющие идентифицировать его личность и личность его родственников. ПД Субъекта ПД (Работника, абонента и иных категорий граждан) являются конфиденциальной информацией. Режим конфиденциальности ПД снимается в случае обезличивания, по истечении срока исковой давности либо 75 лет срока хранения (для отдельных категории ПД), если иное не определено нормативными актами РФ.
3.2 Объем и содержание обрабатываемых ПД
Объем и содержание обрабатываемых в Обществе ПД определяется в соответствии с Федеральным законом от 07.07.2003 г. № 126-ФЗ «О связи», Постановлением Правительства РФ от 18.05.2005 г. № 310 «Об утверждении правил оказания услуг местной, внутризоновой, междугородной и международной телефонной связи», Постановлением Правительства РФ от 10.09.2007 г. № 575 «Об утверждении правил оказания телематических услуг связи», Федеральным законом от 26.12.1995 г. № 208-ФЗ «Об акционерных обществах», Федеральным законом «О персональных данных» от 27 июля 2006 г. (ст. 5, 6, 7, глава 4) (ред. от 25.07.2011), Трудовым кодексом РФ от 31 декабря 2001 г. № 197-ФЗ (статьи 85 - 90), Федеральным законом от 21.11.1996г. № 129-ФЗ (ред. от 23.11.2009) «О бухгалтерском учете», Налоговым кодексом РФ (глава 23), Федеральным законом № 167-ФЗ от 15.12.2001 «Об обязательном пенсионном страховании в РФ», Федеральным законом от 01.04.1996№27-ФЗ «Об индивидуальном(персонифицированном) учете в системе обязательного пенсионного страхования», Федеральным законом от 17.12.2001 г. № 173-ФЗ «О трудовых пенсиях в РФ», Федеральным законом от 24.07.2009 г. № 212-ФЗ «О страховых взносах в Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования» и другими нормативными актами.
3.3 Категории субъектов ПД
В Обществе осуществляется обработка ПД следующих категорий субъектов:
• субъектов, ПД которых обрабатываются в рамках трудовых отношений:
- Работников Общества (штатный сотрудник, сотрудник по договору гражданско-правового характера, внештатный сотрудник, сотрудники по ученическому договору);
- лиц, вышедших на пенсию;
- родственников сотрудников Общества;
• субъектов, ПД которых обрабатываются при обеспечении основной деятельности Общества:
- лиц, которым оказываются услуги связи;
- лиц, являющихся акционерами Общества.
3.4 Сведения, относящиеся к обрабатываемым ПД
К ПД субъекта, обрабатываемым в Обществе, в частности, относятся следующие сведения:
• фамилия, имя, отчество Работников/абонентов/акционеров Общества;
• пол;
• фотография;
• данные документа, удостоверяющего личность (вид документа, серия, номер, дата и место выдачи, код подразделения, дата регистрации по месту жительства);
• дата и место рождения;
• адрес места жительства (регистрации) или адрес установки оконечного оборудования;
• номер лицевого счета;
• сведения о расчетах за оказанные услуги связи, в том числе сведения о соединениях, трафике и платежах абонента;
• абонентский номер телефона;
• контактный номер телефона;
• адрес электронной почты;
• гражданство;
• семейное положение;
• данные о составе семьи - ближайших родственниках (степень родства, фамилия, имя, отчество, дата рождения);
• идентификационный номер налогоплательщика;
• номер страхового свидетельства пенсионного страхования;
• сведения о наличии инвалидности (группа, документ, на основании которого присвоена группа инвалидности, срок действия документа);
• сведения об образовании, профессии, квалификации или наличии специальных знаний;
• сведения о стаже работы;
• подразделение, должность;
• должностной оклад, премия;
• сведения о воинском учете;
• знание иностранного языка;
• информация об аттестации, повышении квалификации, профессиональной переподготовке;
• сведения о приёме на работу и переводах на другую работу;
• данные о поощрениях и наградах;
• данные о социальных льготах (номер и дата выдачи документа, основание);
• сведения об обязательном медицинском страховании: наименование организации, серия, номер и срок действия полиса обязательного медицинского страхования;
• сведения о прекращении трудового договора (увольнении);
• сведения о гражданско-правовых договорах сотрудников: дата, общая сумма по договору, сумма выплаты (за месяц, за квартал), порядок оплаты, период этапов выполнения;
• сведения о несписочном составе (бывших сотрудниках, акционерах).
3.5 Документы ПД
ПД в Обществе могут содержаться в следующих документах:
• документах, связанных с основной деятельностью (документах, оформляемых в связи с заключением и исполнением договоров на оказание услуг связи: заявление о заключении договора утвержденной формы, договор на оказание услуг связи, копия документа, удостоверяющего личность, копия документа, подтверждающего право владения или пользования помещением, в котором установлены или устанавливаются абонентское устройство и др.);
• личных делах Работников;
• документах о составе семьи Работника;
• документах, удостоверяющих личность;
• трудовой книжке Работника;
• страховом свидетельстве государственного пенсионного страхования;
• документах воинского учета - при их наличии;
• документах об образовании, квалификации или наличии специальных знаний, или подготовки;
• документах, подтверждающих право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренных законодательством;
• документах о возрасте детей или беременности женщины для предоставления установленных законом условий труда, гарантий и компенсаций;
• иных документах, необходимых для определения трудовых отношений.
Документы, содержащие ПД, создаются путём:
• копирования оригиналов;
• внесения сведений в учётные формы (на бумажных и электронных носителях);
• получения оригиналов необходимых документов (трудовая по учёту кадров, автобиография).
4 Принципы обработки персональных данных
4.1 Общие требования и принципы
В целях обеспечения прав Субъектов ПД Общество, в качестве оператора связи, работодателя и партнера, при обработке ПД Субъектов ПД обязано соблюдать следующие общие требования и принципы:
• Обработка ПД должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается Обработка ПД, несовместимая с целями сбора ПД;
• не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только ПД, которые отвечают целям их обработки;
• содержание и объем обрабатываемых ПД должны соответствовать заявленным целям обработки. Обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям их обработки;
• при Обработке ПД должны быть обеспечены точность ПД, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПД. Общество должно принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
4.2 Хранение ПД
4.3 Передача обработки ПД другому лицу
Общество вправе поручить Обработку ПД другому лицу с согласия Субъекта ПД, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта. Лицо, осуществляющее обработку ПД по поручению Общества, обязано соблюдать принципы и правила обработки ПД, предусмотренные настоящей Политикой. При этом в Договоре по поручению услуг должен быть определен перечень действий (операций) с ПД, которые будут совершаться лицом, осуществляющим обработку ПД, и цели обработки. Должна быть установлена обязанность такого лица соблюдать конфиденциальность ПД и обеспечивать безопасность ПД при их обработке, а также должны быть указаны требования к защите обрабатываемых ПД.
Лицо, осуществляющее обработку ПД по поручению Общества, не обязано получать согласие Субъекта ПД на Обработку его ПД.
4.4 Конфиденциальность ПД
4.5 Общедоступные источники ПД
В целях информационного обеспечения деятельности структурных подразделений и работников Общества внутри организации могут создаваться общедоступные источники ПД (в том числе справочники, адресные книги и др.).
В общедоступные источники ПД с письменного согласия Субъекта ПД могут включаться его фамилия, имя, отчество, дата рождения, фотография, наименование подразделения, должность, номер контактного телефона, адрес электронной почты и иные ПД, сообщаемые сотрудником.
Сведения о Работнике должны быть в любое время исключены из общедоступных источников ПД по его требованию.
При обращении Работника или его законного представителя с запросом о прекращении предоставления информации о его ПД в информационно-справочные службы ответственные сотрудники Общества должны исключить информацию о нем из информационно-справочных служб в течение 7 рабочих дней со дня обращения субъекта ПД или его законного представителя, а также отправить соответствующий запрос в организацию, осуществляющую печать телефонных справочников в типографии. После чего в течение последующих трех рабочих дней ответить в установленной форме абоненту или его законному представителю о результатах выполнения его запроса.
5 Порядок обработки ПД в Обществе
5.1 Сбор, систематизация и накопление ПД
Получение, хранение, обработка, в том числе передача, распространение, использование, блокирование и уничтожение ПД субъектов ПД может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, исполнения договоров об оказании услуг связи, одной из сторон которых является абонент, содействия сотрудникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности сотрудников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества, ведения реестра акционеров и регистрации сделок с ценными бумагами.
Информация, представляемая субъектом ПД при заключении договорных отношений с Обществом, должна иметь документированную форму.
При заключении трудового договора в соответствии со статьёй 65 Трудового кодекса РФ лицо, поступающее на работу, предъявляет следующие документы:
• паспорт или иной документ, удостоверяющий личность;
• трудовую книжку, за исключением случаев, когда договор заключается впервые, или Работник поступает на работу на условиях совместительства, или трудовая книжка у Работника отсутствует в связи с ее утратой или по другим причинам;
• страховое свидетельство государственного пенсионного страхования;
• документы воинского учета - для лиц, подлежащих воинскому учету;
• документы об образовании, о квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки;
• свидетельство о присвоении идентификационного номера налогоплательщика (при его наличии у сотрудника);
• анкета, заполняемая сотрудником при приёме на работу;
• результаты медицинского осмотра;
• банковские реквизиты;
• фотография (в случае необходимости оформления пропуска на объекты);
• иные документы и сведения, предоставляемые Работником при приеме на работу и в процессе трудовой деятельности.
При заключении договора об оказании услуг связи в соответствии с п. 30 Постановления Правительства РФ от 18.05.2005 г. № 310 «Об утверждении правил оказания услуг местной, внутризоновой, междугородной и международной телефонной связи»; п. 22 Правил оказания телематических услуг связи, утвержденных Постановлением Правительства РФ от 10 сентября 2007 г. N 575; п. 20 Правил оказания услуг связи по передаче данных, утвержденных Постановлением Правительства РФ от 23 января 2006 г. N 32, гражданин предоставляет следующие документы:
• паспорт или иной документ, удостоверяющий личность;
• документ, подтверждающий право владения или пользования помещением, в котором установлены или устанавливаются абонентское устройство;
• письменное согласие законных представителей (в случае подачи заявления о заключении договора на оказание услуг связи гражданином в возрасте от 14 до 18 лет);
• доверенность (в случае подачи заявления о заключении договора, предусматривающего оказание услуг телефонной связи с коллективным использованием оборудования).
Все ПД субъекта ПД получаются у него самого. При заключении договора оказания услуг связи, абонент должен быть ознакомлен с настоящей Политикой, а при необходимости от него должно быть получено согласие на обработку ПД, в том числе передачу ПД третьим лицам, по форме, установленной типовым договором оказания услуг связи.
Работник, ответственный за документационное обеспечение кадровой деятельности/ сотрудник службы обслуживания клиентов, принимает от субъекта ПД документы, проверяет их полноту и соответствие предоставляемых сведений действительности.
Если ПД Работника возможно получить только у третьей стороны, то Работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие на их получение. Форма согласия приведена в Приложении № 2 к Политике. Общество сообщает Работнику о целях, предполагаемых источниках и способах получения ПД, а также о характере подлежащих получению ПД, последствиях отказа Работника дать письменное согласие на их получение (требования настоящего пункта распространяются только на работников Общества).
Уполномоченное лицо Общества при получении ПД проверяет их достоверность, сверяя предоставленные данные с имеющимися у субъекта документами.
Общество имеет право обрабатывать ПД Субъектов (в том числе Работников) только с их письменного согласия в случаях, предусмотренных Федеральным законом «О персональных данных»:
• при передаче обработки ПД третьему лицу;
• при обработке специальных категорий ПД;
• при включении ПД Субъекта в общедоступные источники ПД (в том числе справочники, адресные книги и т.п.);
• в случае принятия решений, порождающих юридические последствия в отношении субъекта ПД или иным образом затрагивающих его права и законные интересы на основании исключительно автоматизированной обработки его ПД;
• в случае недееспособности Субъекта ПД, когда за него согласие на обработку ПД Субъекта даёт законный представитель субъекта ПД.
Согласие Субъекта ПД на обработку его ПД не требуется в следующих случаях:
• Обработка ПД необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект ПД, а также для заключения договора по инициативе Субъекта ПД или договора, по которому Субъект ПД будет являться выгодоприобретателем или поручителем;
• Обработка ПД необходима для осуществления прав и законных интересов Общества или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПД;
• Обработка ПД необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПД, если получение согласия Субъекта ПД невозможно;
• Обработка ПД необходима для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
• осуществляется Обработка ПД, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральными законами;
• Обработка ПД осуществляется для статистических или иных научных целей при условии обязательного обезличивания ПД, за исключением случаев обработки ПД в маркетинговых целях;
• Обработка ПД необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей;
• Обработка ПД необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве.
Общество не имеет права получать и обрабатывать ПД субъектов, касающихся их расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, а также о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, приведенных ниже.
В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции РФ Общество, как работодатель, вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.
Обработка указанных ПД субъектов возможна в следующих случаях:
• ПД сделаны общедоступными Субъектом ПД;
• Обработка ПД осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством РФ о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;
• ПД относятся к состоянию здоровья Работника, и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия Работника в данный момент невозможно;
• Обработка ПД необходима для установления или осуществления прав Субъекта ПД или третьих лиц, а равно и в связи с осуществлением правосудия;
• Обработка ПД осуществляется в соответствии с законодательством РФ о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством РФ;
• по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.
Обработка указанных ПД должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка, если иное не установлено федеральным законом.
В случае оформления письменного согласия Субъекта на обработку своих ПД, оно должно включать в себя:
• фамилию, имя, отчество, адрес субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
• фамилию, имя отчество, адрес представителя субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта ПД);
• наименование (фамилию, имя, отчество) и адрес/ИНН оператора, получающего согласие субъекта ПД;
• цель обработки ПД;
• перечень ПД, на обработку которых дается согласие субъекта ПД;
• перечень действий с ПД, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПД;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПД по поручению Общества, если обработка будет поручена такому лицу;
• срок, в течение которого действует согласие субъекта ПД, а также порядок его отзыва, если иное не установлено федеральным законом;
• подпись субъекта ПДн.
Форма письменного согласия работника на обработку его ПД приведена в Приложении №1.
Равнозначным содержащему собственноручную подпись Субъекта ПД согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
В случае получения согласия на Обработку ПД от представителя Субъекта ПД полномочия данного представителя на дачу согласия от имени Субъекта ПД проверяются Обществом.
В случае отзыва Субъектом ПД согласия на обработку его ПД Общество обязано прекратить их обработку или обеспечить прекращение такой обработки (если Обработка ПД осуществляется другим лицом, действующим по поручению Общества) и в случае, если сохранение ПД более не требуется для целей обработки ПД, уничтожить ПД или обеспечить их уничтожение (если обработка ПД осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПД, иным соглашением между Обществом и субъектом ПД либо если Общество не вправе осуществлять обработку ПД без согласия субъекта ПД на основаниях, предусмотренных законодательством РФ.
5.2.Использование и передача ПД
5.2.1. Общие требования
В соответствии с Федеральным законом «О персональных данных» и ст. 86, гл. 14 Трудового кодекса РФ в целях обеспечения прав и свобод человека и гражданина Общество и его уполномоченные лица при обработке ПД субъекта ПД должны соблюдать следующие общие требования.
Обработка ПД может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, исполнения договоров об оказании услуг связи, одной из сторон которых является абонент, содействия сотрудникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности Работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества, ведения реестра акционеров и регистрации сделок с ценными бумагами, оформления заявки на однократный или временный пропуск на территорию Общества и ведения журналов учета посетителей/
При определении объема и содержания обрабатываемых ПД Общество должно руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами.
При принятии решений, затрагивающих интересы субъекта, Общество не имеет права основываться на ПД субъекта, полученных исключительно в результате их автоматизированной обработки или электронного получения.
Защита ПД субъекта от неправомерного их использования или утраты обеспечивается Обществом за счет своих средств в порядке, установленном федеральным законом.
Работники и их представители должны быть ознакомлены под подпись с документами Общества, устанавливающими порядок обработки ПД сотрудников, а также с документами об их правах и обязанностях в этой области.
Во всех случаях отказ сотрудника от своих прав на сохранение и защиту тайны недействителен.
5.2.2.Обработка ПД, получаемых в связи с исполнением гражданско-правовых договоров
5.2.3. Требования при передаче ПД
При передаче ПД Субъекта Общество должно соблюдать следующие требования:
• не сообщать ПД Субъекта третьей стороне без письменного согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральным законом;
• не сообщать ПД Субъекта в коммерческих целях без его письменного согласия. Обработка ПД Субъектов в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только с их предварительного согласия;
• предупредить лиц, получивших ПД Субъектов, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получившие ПД субъекта, обязаны соблюдать режим конфиденциальности. Политика не распространяется на обмен ПД Работников в порядке, установленном федеральными законами;
• осуществлять передачу ПД Субъектов в пределах Общества в соответствии с Политикой:
В случае передачи ПД внутреннему потребителю (передача ПД внутри Общества) осуществляется:
• непосредственно путем передачи, уполномоченным на это Работником Общества, в запечатанном конверте с указанием получателя;
• по внутренним каналам связи Общества с использованием шифрования информации;
• по каналам сети Интернет с использованием шифровальных (криптографических) средств защиты информации.
В случае передачи ПД внешнему потребителю:
• передача ПД от Общества внешнему потребителю может допускаться в минимальных объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных;
• не допускается передача ПД по устным обращениям и незащищенным каналам связи;
• передача документов, содержащих ПД Субъекта, может быть отправлены только с использованием специальных видов связи, которые обеспечивают конфиденциальность их передачи.
В случае необходимости допускается трансграничная передача ПД Субъектов ПД.
Общество обязано убедиться в том, что иностранным государством, на территорию которого будет осуществляться передача ПД, обеспечивается адекватная защита прав субъектов ПД, до начала осуществления трансграничной передачи ПД.
В том случае, если на территории иностранных государств не обеспечивается адекватная защита прав Субъектов ПД, трансграничная передача ПД может осуществляться в случаях:
• наличия согласия в письменной форме субъекта ПД на трансграничную передачу его ПД;
• исполнения договора, стороной которого является Субъект ПД;
• защиты жизни, здоровья, иных жизненно важных интересов Субъекта ПД или других лиц при невозможности получения согласия в письменной форме Субъекта ПД;
• предусмотренных международными договорами РФ;
• предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя РФ, обеспечения обороны страны и безопасности государства, а также обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
В случае поступления запроса Обществу от третьей стороны о предоставлении информации с ПД Субъекта ПД, Общество обязано в письменной форме уведомить Субъекта ПД об этом с правом получения согласия от Субъекта ПД на право передачи его ПД.
6. Запросы субъектов ПД на предоставление информации
Субъекты ПД (представители Субъектов ПД), Уполномоченные органы по защите прав Субъектов ПД имеют право запрашивать в Обществе необходимую информацию (ПД), используя письменное обращение (запрос).
Форма такого запроса представлена в Приложении № 3.
Письменное обращение (запрос) должно содержать следующие обязательные реквизиты:
• наименование органа, в который обращается субъект ПД, и почтовый адрес;
• фамилию, имя и отчество лица, подписавшего обращение;
• номер и серию основного документа, удостоверяющего личность Субъекта ПД или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта ПД в отношениях с Обществом (номер договора, дата заключения договора, условное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПД Обществом, подпись Субъекта ПД или его законного представителя;
• цель обращения (заполнение данного реквизита не обязательно для Уполномоченных органов по защите прав Субъектов ПД);
• ссылку на норму федерального законодательства РФ, в соответствии с которой возникает право запрашивать ПД Субъекта ПД, полные данные (фамилия, имя, отчество в именительном падеже, год рождения).
Субъект ПД имеет право запросить следующие сведения:
• подтверждение факта обработки Обществом ПД;
• правовые основания и цели обработки ПД;
• цели и применяемые Обществом способы обработки ПД;
• наименование и место нахождения Общества, сведения о лицах (за исключением сотрудников Общества), которые имеют доступ к ПД или которым могут быть раскрыты ПД на основании договора с Обществом или на основании федерального закона;
• обрабатываемые ПД, относящиеся к соответствующему субъекту ПД, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки ПД, в том числе сроки их хранения;
• порядок осуществления субъектом ПД прав, предусмотренных Федеральным законом «О персональных данных»;
• информацию об осуществленной или предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего Обработку ПД по поручению Общества, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
Подготовка запрашиваемой информации и формирование содержательной части ответа должны выполняться совместно Работниками соответствующего подразделения управления персоналом Общества и соответствующим подразделением правового обеспечения Общества, с четким определением целей и сроков обработки ПД к конкретному субъекту ПД. Подготовленный ответ оформляется в письменном виде.
В случае если запрашиваемые сведения, а также обрабатываемые ПД были предоставлены для ознакомления Субъекту ПД по его запросу, Субъект ПД вправе обратиться повторно к Обществу или направить повторный запрос в целях получения указанных выше сведений и ознакомления с такими ПД не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект ПД.
Субъект ПД вправе обратиться повторно к Обществу или направить повторный запрос в целях получения приведенных выше сведений, а также в целях ознакомления с обрабатываемыми ПД до истечения тридцатидневного срока, в случае, если такие сведения и (или) обрабатываемые ПД не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду с обязательными сведениями, должен содержать обоснование направления повторного запроса.
В случае отказа в предоставлении субъекту ПД или его законному представителю при обращении, либо при получении запроса субъекта ПД или его законного представителя, информации о наличии ПД о соответствующем субъекте ПД, а также таких ПД Общество формирует в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати рабочих дней со дня обращения субъекта ПД или его законного представителя либо от даты получения такого запроса.
7. Хранение и уничтожение персональных данных
ПД Субъектов ПД обрабатываются и хранятся в помещениях подразделений Общества, Работники которых допущены к обработке ПД на основании утвержденного перечня должностей Работников, допущенных к обработке ПД.
Меры, принимаемые для обеспечения конфиденциальности при получении, обработке и хранении ПД Субъектов ПД, распространяются на все материальные носители информации, используемые для хранения ПД в Обществе.
Устанавливаются следующие сроки обработки и хранения ПД, обрабатываемых в Обществе:
• ПД, обрабатываемых в целях осуществления основной деятельности, - в течение действия соответствующего гражданско-правового договора и срока исковой давности после его завершения;
• ПД, обрабатываемых в связи с трудовыми отношениями, - в течение действия трудового договора и 75 лет после завершения действия трудового договора;
• ПД потенциальных абонентов Общества - до момента отзыва заявки на предоставление услуг связи;
• ПД акционеров Общества - 3 года с момента прекращения владения акциями Общества;
• ПД посетителей - 3 года.
Помещения, в которых ведется обработка ПД, должны обеспечивать их сохранность, исключать возможность бесконтрольного проникновения в них посторонних лиц.
В Обществе осуществляется хранение документов, содержащих информацию с ПД, с обеспечением необходимых условий, исключающих несанкционированный доступ (НСД) к ПД.
Уничтожение ПД Субъекта производится в следующих случаях:
• по достижении целей их обработки или в случае утраты необходимости в их достижении в срок, не превышающий тридцати дней с даты достижения цели обработки ПД, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПД, иным соглашением между Обществом и субъектом ПД либо если Общество не вправе осуществлять обработку ПД без согласия Субъекта ПД на основаниях, предусмотренных федеральными законами РФ;
• на основании мотивированного требования субъекта ПД либо уполномоченного органа по защите прав Субъектов ПД в случае выявления неправомерной обработки ПД Обществом в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки ПД;
• в случае отзыва Субъектом ПД согласия на Обработку его ПД, если сохранение ПД более не требуется для целей Обработки ПД, в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПД, иным соглашением между Обществом и Субъектом ПД либо если Общество не вправе осуществлять Обработку ПД без согласия Субъекта ПД на основаниях, предусмотренных федеральными законами РФ.
В случае отсутствия возможности уничтожения ПД в течение указанных сроков, Общество осуществляет блокирование таких ПД или обеспечивает их блокирование (если Обработка ПД осуществляется другим лицом, действующим по поручению Общества) и обеспечивает уничтожение ПД в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
Уничтожение ПД Субъектов осуществляется внутренней комиссией Общества с составлением соответствующего акта. Форма акта приведена в Приложении №6. Допускается уничтожение ПД не менее чем двумя уполномоченными Работниками Общества.
Документы (носители информации) должны уничтожаться способом, исключающим восстановление информации, содержащей ПД (путем измельчения в бумагорезательных машинах, в машинах сжигания, дробления, превращения в бесформенную массу).
Уничтожение части ПД Субъекта, если это допускается носителем информации, может производиться способом, исключающим дальнейшую обработку этих ПД с сохранением возможности обработки иных данных, зафиксированных на носителе информации (выборочное удаление, вымарывание).
В Обществе определен способ направления уведомления о факте уничтожения ПД Субъекту этих ПД: почтой или в электронной форме. Для подтверждения факта уничтожения ПД может служить направление вместе с уведомлением письменных документов, переданных субъектом ПД Обществу. Уведомление направляется субъекту ПД, а в случае, если обращение или запрос были направлены Уполномоченным органом по защите прав субъектов ПД, также в указанный орган.
Форма уведомления представлена в Приложении №4.
7.1.Доступ к персональным данным
Доступ должностных лиц к обработке ПД организуется в соответствии с утвержденным перечнем должностей, допущенных к обработке ПД.
Права должностных лиц по Обработке ПД в ИСПД Общества определяются руководителями структурных подразделений Общества, осуществляющих Обработку ПД Субъектов, на основании функциональных (должностных) обязанностей Работников соответствующих структурных подразделений, владельцами ИСПД.
Предоставление доступа к ПД контрагентам (сотрудникам организаций, оказывающих услуги связи от имени Общества) осуществляется на основании заключенных договоров (либо иных оснований), в случае если в силу данных договоров они должны иметь доступ к ПД субъектов ПД. При этом соответствующие данные передаются Обществом только после подписания с ними соглашения о неразглашении конфиденциальной информации. Также допускается наличие в основных договорах пунктов о неразглашении конфиденциальной информации, в том числе предусматривающих защиту ПД субъекта.
Доступ к ПД, обрабатываемым в ИСПД Общества, осуществляется в соответствии с порядком, установленным локальными нормативными документами.
Внешний доступ со стороны третьих лиц к ПД Работника осуществляется только с письменного согласия субъекта ПД, за исключением случаев, когда такой доступ необходим в целях предупреждения угрозы жизни и здоровью Работника или других лиц, и иных случаев, установленных законодательством.
К числу внешних потребителей ПД относятся государственные и негосударственные надзорные и контролирующие организации:
• налоговые инспекции;
• правоохранительные органы;
• органы статистики;
• страховые компании и агентства;
• военные комиссариаты;
• органы социального страхования;
• органы Пенсионного Фонда России;
• негосударственные пенсионные фонды;
• банки;
• подразделения муниципальных органов управления.
Надзорные и контролирующие органы имеют доступ к информации только в установленной сфере деятельности и в пределах предусмотренных действующим законодательством РФ полномочий.
Организациям, в которые сотрудник может осуществлять перечисления денежных средств (страховые компании, негосударственные пенсионные фонды, благотворительные организации, кредитные учреждения), доступ к ПД может быть предоставлен только с его письменного согласия.
Общество обязано сообщать ПД Работника по письменно оформленным запросам суда, прокуратуры, правоохранительных органов, в случае правомерности таких запросов.
ПД работающего Работника или уже уволившегося Субъекта ПД Общества могут быть предоставлены третьим лицам только с получением письменного запроса оформленного на бланке организации, с приложением копии нотариально заверенного письменного согласия (заявления) бывшего сотрудника.
8. Информация, подлежащая защите
Защите подлежит:
• информация о ПД Субъекта ПД;
• документы, содержащие ПД Субъекта ПД;
• ПД, содержащиеся на бумажных и электронных носителях информации;
• технические и программные средства, используемые при обработке ПД.
9. Обеспечение безопасности ПД в Обществе
Обеспечение безопасности ПД в Обществе достигается, в частности:
• определением уровня защищенности ИСПД;
• определением угроз безопасности ПД при их обработке в ИСПД Общества;
• применением организационных и технических мер по обеспечению безопасности ПД при их обработке в ИСПД Общества, необходимых для выполнения требований к защите ПД, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПД;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПД Общества;
• учетом машинных носителей ПД;
• обнаружением фактов НСД к ПД и принятием мер;
• восстановлением ПД, модифицированных или уничтоженных вследствие НСД к ним;
• установлением правил доступа к ПД, обрабатываемым в ИСПД Общества, а также обеспечением регистрации и учета всех действий, совершаемых с ПД в ИСПД Общества;
• контролем за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности ИСПД Общества.
10. Основные меры защиты информации (ПД)
Основными мерами защиты информации (ПД) являются:
• назначение ответственного за организацию Обработки ПД;
• уведомление лиц, имеющих доступ к ПД, об ответственности за разглашение ПД,
• разработка документов, определяющих политику Общества в отношении Обработки ПД, локальных актов по вопросам Обработки ПД, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ в области обеспечения безопасности ПД, устранение последствий таких нарушений;
• оценка вреда, который может быть причинен Субъектам ПД в случае нарушения требований настоящего Положения и нормативных актов РФ;
• реализация разрешительной системы допуска пользователей (обслуживающего персонала) к информационным ресурсам в информационных системах (ИС) и связанным с ее использованием работам, документам;
• ограничение доступа пользователей в помещения, где размещены технические средства (ТС), позволяющие осуществлять Обработку ПД, а также хранятся носители с ПД;
• разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
• регистрация действий пользователей и обслуживающего персонала, контроль НСД и действий пользователей, обслуживающего персонала и посторонних лиц;
• учет и хранение съемных носителей информации, и их обращение, исключающее хищение, подмену и уничтожение;
• резервирование ТС, дублирование массивов и носителей информации;
• использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия требованиям безопасности информации;
• использование защищенных каналов связи;
• размещение ТС, позволяющих осуществлять обработку ПД, в пределах охраняемой территории;
• осуществление внутреннего контроля и (или) аудита соответствия обработки ПД требованиям по обеспечению безопасности ПД, локальным актам Общества.
Для обеспечения безопасности ПД от хищения, утраты, утечки, уничтожения, искажения, подделки и блокирования доступа к ней за счет НСД в зависимости от установленного уровня защищенности ИСПД, заданных характеристик безопасности обрабатываемых ПД, угроз безопасности ПД, структуры ИСПД, наличия межсетевого взаимодействия и режимов обработки ПД в рамках средств защиты информации от НСД реализуются функции управления доступом, регистрации и учёта, обеспечения целостности, анализа защищённости, обеспечения безопасного межсетевого взаимодействия и обнаружения вторжений.
Меры по защите информации от утечки по техническим каналам (речевой информации и информации, представленной в виде информативных электрических сигналов и физических полей) применяются на основе определяемых угроз (модели угроз) утечки акустической речевой информации, видовой информации и угроз утечки информации по каналам побочных электромагнитных излучений и наводок.
11. Обязанности лиц, допущенных к обработке ПД
Работники Общества, допущенные к Обработке ПД, обязаны:
• быть ознакомлены под подпись с документами Общества, устанавливающими порядок Обработки ПД;
• подписать Обязательство о неразглашении ПД Субъектов ПД;
• осуществлять Обработку ПД только в установленных целях;
• получать ПД у Субъекта в установленном порядке;
• знакомиться только с теми ПД, к которым санкционирован доступ руководством Общества;
• хранить в тайне известные им сведения о ПД, информировать своего непосредственного руководителя о фактах нарушения порядка Обработки ПД и о попытках НСД к ним;
• предупредить лиц, получающих ПД, о том, что эти данные могут быть использованы лишь в целях, для которых они получены;
• выполнять требования по защите полученных ПД Субъектов;
• знать порядок реагирования на запросы со стороны Субъектов ПД и предоставления им их ПД, внесения изменений, прекращения обработки ПД;
• в случае принятия на основании исключительно Автоматизированной обработки ПД решений, порождающих юридические последствия в отношении Субъекта ПД или иным образом затрагивающих его права и законные интересы, разъяснять Субъектам ПД порядок принятия решения на основании исключительно автоматизированной обработки его ПД и возможные юридические последствия такого решения. Предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты своих прав и законных интересов. Если обязанность предоставления ПД Субъектом ПД установлена федеральным законом, разъяснить Субъекту ПД юридические последствия отказа предоставить свои ПД;
• безвозмездно предоставить Субъекту ПД возможность ознакомления с ПД, относящимися к соответствующему Субъекту ПД, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие ПД по предоставлении субъектом ПД сведений, подтверждающих, что ПД являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
• предоставлять письменные объяснения о допущенных нарушениях установленного порядка обработки ПД, а также о фактах их разглашения;
• информировать уполномоченных должностных лиц Общества об инцидентах, связанных с нарушением порядка обработки ПД.
12. Права Субъектов персональных данных
Субъекты, ПД которых обрабатываются в Обществе, имеют право:
• Получать полную информацию о своих ПД, а также о сведениях, представленных в п. 5.2.4.
• Иметь свободный бесплатный доступ к своим ПД, включая право на безвозмездное получение копий любой записи, содержащей ПД субъекта. Сведения о наличии ПД должны быть предоставлены Субъекту ПД в доступной форме, и они не должны содержать ПД, относящиеся к другим Субъектам ПД. Доступ к своим ПД предоставляется Субъекту ПД или его представителю Обществом при личном обращении, либо при получении запроса.
• Получать сведения об Обществе, о месте его нахождения, о наличии у Общества сведений о ПД, относящихся к соответствующему Субъекту ПД.
• Требовать от Общества уточнения, исключения или исправления неполных, неверных, устаревших, неточных, незаконно полученных, или не являющихся необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
• Получать от Общества следующие сведения:
- подтверждение факта Обработки ПД Обществом, а также цель такой обработки;
- правовые основания и цели Обработки ПД;
- цели и применяемые Обществом способы Обработки ПД;
- наименование и место нахождения Общества, сведения о лицах (за исключением сотрудников Общества), которые имеют доступ к ПД или которым могут быть раскрыты ПД на основании договора с Обществом или на основании федерального закона;
- обрабатываемые ПД, относящиеся к соответствующему Субъекту ПД, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
- сроки обработки ПД, в том числе сроки их хранения;
- порядок осуществления Субъектом ПД прав, предусмотренных Федеральным законом «О персональных данных»;
- информацию об осуществленной или предполагаемой трансграничной передаче данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего Обработку ПД по поручению Общества, если обработка поручена или будет поручена такому лицу;
- иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
• Требовать извещения Обществом всех лиц, которым ранее были сообщены неверные или неполные ПД, обо всех произведенных в них исключениях, исправлениях или дополнениях.
• Обжаловать в уполномоченный орган по защите прав субъектов ПД или в судебном порядке неправомерные действия или бездействия Общества при обработке и защите его ПД.
12.2.Ограничения прав Субъектов ПД
Право Субъекта ПД на доступ к своим ПД ограничивается в случае, если:
• Обработка ПД, в том числе ПД, полученных в результате оперативно розыскной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
• Обработка ПД осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
• предоставление ПД нарушает права и законные интересы третьих лиц.
12.3.Обязанность Общества по предоставлению информации Субъекту ПД
Если ПД были получены не от самого Субъекта ПД, за исключением случаев, представленных в подразделе 5.1, если ПД были предоставлены Обществу на основании федерального закона, или если ПД являются общедоступными, Общество до начала обработки таких ПД обязано предоставить субъекту ПД следующую информацию:
• наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
• цель Обработки ПД и ее правовое основание;
• предполагаемые пользователи ПД;
• права Субъекта ПД в области защиты ПД;
• источник получения ПД.
12.4.Освобождение Общества от обязанности предоставления информации
Общество освобождается от обязанности предоставить субъекту ПД сведения, предусмотренные подразделом 12.3, в случаях, если:
• субъект ПД уведомлен об осуществлении обработки его ПД соответствующим оператором;
• ПД получены Обществом на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПД;
• ПД сделаны общедоступными Субъектом ПД или получены из общедоступного источника;
• Общество осуществляет Обработку ПД для статистических или иных исследовательских целей, если при этом не нарушаются права и законные интересы субъекта ПД;
• предоставление Субъекту ПД сведений нарушает права и законные интересы третьих лиц.
13. Ответственность за нарушение порядка обработки и защиты персональных данных
Каждый Работник, осуществляющий Обработку ПД, несет персональную ответственность за соблюдение требований Политики и обеспечение мер по защите ПД на своем рабочем месте.
Работники Общества и уполномоченные (третьи) лица, которым ПД стали известны в силу их служебного положения или выполнения работ в соответствии с договорами, заключёнными с Обществом, несут ответственность в соответствии с действующим законодательством РФ за их разглашение, передачу их посторонним лицам, в том числе, сотрудникам Общества, не имеющим к ним доступа, их публичное раскрытие, утрату документов и иных носителей, содержащих ПД субъектов ПД, а также иные нарушения обязанностей по их защите и обработке, установленных настоящей Политикой, локальными нормативными актами (приказами, распоряжениями).
Иные права, обязанности, действия Работников, в трудовые обязанности которых входит обработка ПД Субъекта ПД, определяются соответствующим разделом в должностных инструкциях.
Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о ПД гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством РФ за нарушение режима защиты, обработки и порядка использования этой информации.
Разглашение ПД субъекта ПД (передача их посторонним лицам, в том числе, сотрудникам Общества, не имеющим к ним доступа), их публичное раскрытие, утрата документов и иных носителей, содержащих ПД Субъекта, а также иные нарушения обязанностей по их защите и обработке, установленных настоящей Политикой, локальными нормативными актами (приказами, распоряжениями) Общества, влечет наложение на сотрудника, имеющего доступ к ПД, дисциплинарного взыскания - замечание, выговор, увольнение.
Работники, имеющие доступ к ПД Субъектов ПД и совершившие указанный дисциплинарный проступок, несут полную материальную ответственность в случае причинения их действиями ущерба Обществу.
Работники, имеющие доступ к ПД Работника, виновные в незаконном разглашении или использовании ПД Субъектов ПД без согласия Субъектов ПД из корыстной или иной личной заинтересованности и причинившие крупный ущерб, несут уголовную ответственность.
Обязательства по соблюдению конфиденциальности ПД остаются в силе и после увольнения Работника Общества или окончания срока исполнения договора в течение указанного срока.
14. Контроль выполнения требований Политики
Повседневный контроль порядка обработки ПД осуществляют руководители структурных подразделений Общества, осуществляющих обработку ПД.
Контроль и надзор за соответствием обработки ПД требованиям законодательства РФ в области обеспечения безопасности ПД, локальных нормативных актов, в том числе и данной Политики осуществляет уполномоченный орган по защите прав субъектов ПД.
Приложение №1
Письменное согласие субъекта на обработку его персональных данных
СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
г. __________________ «___» _______________ 20___ г.
Я, __________________________________________________________________________
(Ф.И.О. полностью)
зарегистрированный(-ая) по адресу: ___________________________________________________
__________________________________________________________________________________,
(индекс и адрес регистрации согласно паспорту)
паспорт серии ______№_____________ выдан___________________________________________
__________________________________________________________________________________,
(орган, выдавший паспорт и дата выдачи)
своей волей и в своем интересе выражаю согласие на обработку моих персональных данных (фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, образование, профессия, доходы, ИНН, паспортные данные, данные военного билета, трудовой книжки, данные страхового полиса обязательного медицинского страхования, данные страхового свидетельства обязательного пенсионного страхования, состав семьи и другие персональные данные - при наличии) с использованием средств автоматизации или без использования таких средств в соответствии со ст. 9 Федерального закона «О персональных данных» № 152-ФЗ от 27.07.2006 г.
Подтверждаю свое согласие с тем, что мои персональные данные с целью соблюдения законодательства Российской Федерации могут быть переданы в Пенсионный фонд Российской Федерации, Министерство здравоохранения и социального развития Российской Федерации, Фонд обязательного медицинского страхования Российской Федерации, страховые компании, осуществляющие медицинское страхование работников, Фонд социального страхования, Центр занятости населения, налоговые органы Российской Федерации, органы социальной защиты населения, военные комиссариаты и иные государственные и негосударственные учреждения и организации, передача которым моих персональных данных предусмотрена законодательством Российской Федерации.
Согласие на обработку моих персональных данных выдано Акционерному обществу “Читатехэнерго» ИНН 7536053550, адрес места нахождения: ____________________________, на срок _______________________________________________.
Настоящее согласие может быть отозвано мною в письменной форме.
Подпись субъекта персональных данных:
_____________/________________ «____»_________________20___г.
Подпись (Ф.И.О)
Приложение №2
Письменное согласие субъекта на получение
его персональных данных у третьей стороны (форма)
Заявление-согласие
субъекта на получение его персональных данных у третьей стороны.
Я, ______________________________________, паспорт серии ________, номер ____________, выданный ______________________________________________________ « ___ » ___________ _____ года, согласен на получение моих персональных данных, а именно:___________________________________________________________
(указать состав персональных данных (Ф.И.О, паспортные данные, адрес …)
________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
Для обработки в целях __________________________________________________________________________________________________________________________________________________________________
(указать цели обработки)
У следующих лиц __________________________________________________________
__________________________________________________________________________________________________________________________________________________________________
(указать Ф.И.О. физического лица или наименование организации, которым сообщаются данные)
« ___ » __________ 20___г. __________________
(подпись)
Запрос о доступе субъекта персональных данных к своим персональным данным (форма)
Оператору персональных данных АО «Читатехэнерго»
от __________________
паспорт _____________
зарегистрирован ____________________
Запрос.
На основании п.4 ст.14 Федерального Закона от 27.07.2006 года №152 «О персональных данных» прошу в срок, установленный ФЗ. № 152 «О персональных данных», предоставить мне как субъекту – обладателю персональных данных доступ к моим персональным данным, находящимся у АО «Читатехэнерго», а также следующую информацию:
1) подтверждение факта обработки персональных данных, а также цель такой обработки;
2) способы обработки персональных данных, применяемые оператором;
3) перечень обрабатываемых персональных данных и источник их получения;
4) сроки обработки персональных данных, в том числе сроки их хранения.
«_____»_______________20____ г.
_______________________/________________________/
Уведомление об уничтожении
(изменении, прекращении обработки персональных данных
и устранении нарушений) (форма)
Уведомление о прекращении обработки (изменении, устранении нарушений, уничтожении) персональных данных
Уважаемый(ая)____________________________________________________
(Ф.И.О.)
В связи с ______________________________________________________________
(недостоверностью, выявлением неправомерных действий с Вашими персональными данными,
______________________________________________________________________
достижением цели обработки, отзывом Вами согласия на обработку, другие причины)
_______________________________________________________________________
(перечислить)
сообщаем Вам, что обработка Ваших персональных данных прекращена и указанная информация подлежит изменению (устранению нарушений, уничтожению)
_________________ ___________ ______________
(должность) (подпись) (ФИО)
«___»_____________201__г.
Настоящее уведомление на руки получил ___________________________________
(подпись субъекта персональных данных)
«___»_____________201__г.
Приложение № 5
Обязательство о неразглашении конфиденциальной информации,
содержащей персональные данные
ОБЯЗАТЕЛЬСТВО.
о неразглашении конфиденциальной информации
(персональных данных)
.
Я,___________________________________________________________________________, исполняющий(ая) должностные обязанности по занимаемой должности_______________________________________________________________________________
предупрежден(а), что на период исполнения должностных обязанностей в соответствии с должностным регламентом, мне будет предоставлен допуск к конфиденциальной информации (персональным данным). Настоящим добровольно принимаю на себя обязательства:
1. Не разглашать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных обязанностей.
2. Не передавать и не раскрывать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных обязанностей.
3. Не использовать конфиденциальные сведения с целью получения выгоды.
4. Выполнять требования нормативных правовых актов, регламентирующих вопросы защиты конфиденциальных сведений.
5. В течение года после прекращения права на допуск к конфиденциальным сведениям не разглашать и не передавать третьим лицам известные мне конфиденциальные сведения.
Я предупрежден (а), что в случае нарушения данного обязательства буду привлечен (а) к дисциплинарной ответственности и/или иной ответственности в соответствии с законодательством Российской Федерации.
_________________________________ ____________________
«_________»______________20__г.
Акт уничтожения персональных данных (форма)
Акт об уничтожении/обезличивании материальных носителей,
содержащих персональных данных
Комиссия в составе:
_______________________________________
_______________________________________
_______________________________________
провела отбор материальных носителей персональных данных и установила, что в соответствии с требованиями руководящих документов по обработке и защите персональных данных в АО «Читатехэнерго» и на основании ____________________________________________
_______________________________________________________________________
(неправомерных действий, по достижению цели обработки, по заявлению субъекта ПД, по истечении сроков хранения).
и приняла решение о гарантированном уничтожении/обезличивании информации, записанных на них:
|
№ п/п |
Дата |
Тип носителя |
Регистрационный номер носителя ПДн |
Примечание |
|
|
|
|
|
|
|
|
|
|
|
|
Всего съемных носителей _________________________________________________
(цифрами и прописью)
На указанных носителях персональные данные уничтожены путем _______________________________________________________________________.
(стирания на устройстве гарантированного уничтожения информации и т.п.)
Перечисленные носители ПД уничтожены путем ________________________________________________________________________.
(разрезания, сжигания, механического уничтожения, сдачи предприятию по утилизации вторичного сырья и т.п.)
Подписи членов комиссии:
_________________________________________
_________________________________________
_________________________________________