Положение об обработке персональных данных

ОБЩИЕ ПОЛОЖЕНИЯ

Настоящее Положение устанавливает политику и порядок обработки ПДн у ИП в соответствии с действующим законодательством. Целью настоящего Положения является обеспечение надлежащей защиты ПДн физических лиц от несанкционированного доступа и разглашения.

Настоящее Положение является основным документом, определяющим политику ИП в отношении обработки ПДн, локальным актом по вопросам обработки ПДн, регулирующим, в частности, обязанности, предусмотренные ст. 18.1 и ст. 19 Закона о ПДн, а также локальным актом, устанавливающим процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений по смыслу п. 2 ч. 1 ст. 18.1 Закона о ПДн.

Настоящее Положение разработано в соответствии со следующими нормативными правовыми актами (с изменениями и дополнениями, действующими по состоянию на дату утверждения настоящего Положения):

• Федеральный закон РФ № 152-ФЗ «О персональных данных» от 27 июля 2006 г.;
• Федеральный закон РФ № 149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 г.;
• Трудовой Кодекс РФ № 197-ФЗ от 30 декабря 2001 г.;
• Постановление Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» от 01 ноября 2012 г.;
• Постановление Правительства РФ № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15 сентября 2008 г.

При разработке Положения ИП учитывались Рекомендации по составлению документа, определяющего политику оператора в отношении обработки ПДн. С учетом рекомендательного характера данного документа в некоторых случаях структура Положения изменена по отношению к рекомендуемой с целью большей ясности и прозрачности Положения.

Если в Положении отсутствует прямое упоминание какой-либо обязанности ИП, которая прямо или косвенно предусмотрена действующим законодательством РФ, это не может быть истолковано как неисполнение ИП как оператором такой обязанности, и она применяется по отношению к ИП в силу общих принципов действия правовых норм.

Исполнение обязанности, предусмотренной для ИП ч. 2 ст. 18.1 Закона о ПДн об опубликовании или иным образом предоставлении неограниченного доступа к документу, определяющему его политику в отношении обработки ПД, предполагает опубликование или предоставление неограниченного доступа к настоящему Положению как к такому документу.

Выполнение данной обязанности может быть обеспечено путем размещения Положения на информационном стенде в офисе ИП, а также на внутренних информационных ресурсах ИП. Доступ к документам, определяющим политику ИП в отношении процессов обработки ПДн, подразумевающих сбор ПДн с использованием сети «Интернет» (при наличии таковых), должен обеспечиваться ИП путем публикации таких документов на соответствующих информационных ресурсах ИП (сайтах, приложениях), при их наличии.

Требования настоящего Положения обязательны для исполнения всеми работниками ИП. Все работники ИП должны быть ознакомлены с настоящим Положением и любыми изменениями (дополнениями) к нему в течение 5 (пяти) рабочих дней с момента их утверждения.

ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Обработка ПДн ИП осуществляется с учетом следующих принципов, установленных ст. 5 Закона о ПДн:

• Законности целей и способов обработки ПДн.
• Соответствия целей обработки ПДн целям, заранее определенным и заявленным при сборе ПДн.
• Соответствия объема и характера обрабатываемых ПДн, способов их обработки целям обработки ПДн.
• Точности и актуальности ПДн, их достаточности для целей обработки, недопустимости обработки ПДн, избыточных по отношению к целям, заявленным при сборе ПДн.
• Недопустимости объединения Баз данных, содержащих ПДн, которые созданы для несовместимых между собой целей.
• Хранения ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем это требуется для обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, и если отсутствуют иные основания для обработки ПДн.

При принятии решения об обработке ПДн и определении порядка такой обработки, Уполномоченные работники ИП обязуются соблюдать принципы обработки ПДн, указанные в п. 3.1 Положения.

УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В отношении всех категорий ПДн вводится режим конфиденциальности. Обработка ПДн лицами, не допущенными к их обработке в установленном настоящим Положением порядке, не допускается.

Обработка ПДн ИП осуществляется в пределах, необходимых для реализации видов деятельности ИП, в соответствии с разрешенными (зарегистрированными) видами экономической деятельности по Общероссийскому классификатору видов экономической деятельности. Основными основаниями обработки ПДн ИП, в зависимости от цели обработки ПДн, категории субъекта и категории ПДн являются:

Получение согласия субъекта ПДн на обработку его ПДн ИП или иным лицом.

Достижение целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством РФ на ИП функций, полномочий и обязанностей.

Обработка ПДн для исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект ПДн, с учетом требований Закона о ПДн.

Обработка ПДн для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем, с учетом требований Закона о ПДн

Обработка ПДн для осуществления прав и законных интересов ИП или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъектов ПДн.

Обработка ПДн в статистических целях или иных исследовательских целях, за исключением целей, указанных в ст. 15 Закона о ПДн, при условии обязательного обезличивания ПДн.

Получение согласия на обработку ПДн, разрешенных субъектом ПДн для распространения.

Если у ИП возникает необходимость обработки ПДн на иных основаниях обработки, такие основания должны соответствовать требованиям Закона о ПДн. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если закон не требует обязательного получения согласия в письменной форме.

Формы согласий на обработку ПДн, используемых в деятельности ИП утверждаются ИП.

Равнозначным содержащему собственноручную подпись субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.

В случае получения согласия от законного представителя субъекта ПДн или наследников субъекта ПДн они обязаны представить документы, подтверждающие их полномочия.

Для удобства субъектов, а также контроля выполнения требований законодательства, допускается включение согласия в типовые формы (бланки) и договоры с субъектами ПДн.

ИП организовано хранение полученных согласий на обработку ПДн или свидетельств наличия оснований для обработки ПДн, при которых согласие не требуется, в течение установленных сроков обработки ПДн.

Согласие на обработку ПДн может быть отозвано субъектом ПДн путем направления обращения в адрес ИП.

ОБЪЕМ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Для целей выполнения п. 2 ч. 1 ст. 18.1 Закона о ПДн, ИП формируется и поддерживается в актуальном состоянии Реестр процессов обработки ПДн.

Реестр процессов обработки ПДн составляется и поддерживается силами Ответственного лица с привлечением, при необходимости, работников, осуществляющих обработку ПДн. В объем информации, подлежащей отражению в Реестре, входят следующие юридически-значимые аспекты, относящиеся к каждой цели обработки ПДн ИП:

• Категории субъектов ПДн.
• Правовые основания обработки ПДн с указанием, реквизитов нормативных правовых актов, на основании которых осуществляется обработка ПДн.
• Источник получения ПДн.
• Категории обрабатываемых ПДн.
• Перечень обрабатываемых ПДн.
• Перечень действий с ПДн.
• Способы обработки ПДн.
• Ответственное подразделение ИП и (или) Уполномоченный(-ые) работник(-и).
• Информация об обработке ПДн с использованием средств автоматизации (используемые средства автоматизации, относимость к вопросу о локализации, место хранения ПДн, сроки обработки и хранения, порядок уничтожения).
• Информация об обработке ПДн без использования средств автоматизации (место хранения ПДн, сроки обработки и хранения ПДн, порядок уничтожения).
• Получатели, цели и основания передачи ПДн внутри РФ.
• Информация о трансграничной передаче ПДн.

При определении в перечне ПДн аспектов, указанных в п. 5.2 Положения, ИП руководствуется принципами обработки ПДн (Раздел 3 Положения). Не допускается обработка ПДн без определенного и законного основания, которое должно быть надлежащим образом оформлено документально, когда это требуется в соответствии с законодательством. При обработке ПДн в различных целях определение сроков такой обработки (в том числе, хранения) устанавливается в соответствии с максимальным применимым сроком.

ИП не осуществляется обработка биометрических ПДн. ИП не получает и не обрабатывает ПДн работников о политических взглядах и интимной жизни последних.

ИП осуществляется обработка специальных категорий ПДн, касающихся национальной принадлежности, религиозных убеждений, состояния здоровья, медицинской истории. Соответствующая обработка осуществляется в соответствии с положениями п. 1 ч. 2 ст. 10 Закона о ПДн. Иные специальные категории ПДн обрабатываются ИП исключительно в той части, в которой это необходимо для целей выполнения требований, предусмотренных трудовым законодательством.

ПРАВИЛА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Все работники ИП и лица, осуществляющие обработку ПДн по поручению ИП обязаны:

i. Не передавать и не раскрывать третьим лицам сведения, составляющие ПДн, без согласия субъекта ПДн или иного законного основания.

ii. Не передавать сведения, составляющие ПДн, лицам, не имеющим права доступа к соответствующим сведениям.

iii. Использовать ПДн только в тех целях исполнения должностных обязанностей и целях, для которых они сообщены, и не использовать ПДн в личных целях и в целях извлечении выгоды.

iv. Выполнять требования Положения, приказов и инструкций, других локальных актов ИП, регулирующих порядок обработки ПДн.

v. Немедленно сообщать о попытках неуполномоченных лиц получить сведения, относящиеся к ПДн, Ответственному лицу, а также руководству ИП.

vi. В случае прекращения трудовых отношений с ИП передать все носители ПДн, находящиеся в распоряжении работника ИП ответственному лицу.

vii. В случае прекращения гражданско-правовых отношений с ИП передать все носители ПДн в соответствии с условиями договора.

viii. Немедленно сообщать ответственному лицу и руководству ИП об утрате или недостаче носителей ПДн, удостоверений, пропусков, ключей от помещений, хранилищ, сейфов (металлических шкафов), печатей, раскрытии паролей, кодов или логинов, необходимых для доступа в информационные системы, используемые ИП, и о других фактах, которые могут привести к неправомерной или случайной передаче (предоставлению, распространению, доступу) ПДн.

Правила неавтоматизированной обработки ПДн.

Обработка ПДн без использования средств автоматизации в ИП осуществляется с помощью документов на бумажных носителях и механических носителях (фотографии, пленки и др.).

При неавтоматизированной обработке ПДн должны обособляться от иной информации, в частности путем фиксации их на отдельных носителях ПДн, в специальных разделах или на полях форм (бланков).

ПДн не могут фиксироваться на одном бумажном или механическом носителе, если цели их обработки заведомо несовместимы. При этом для обработки различных категорий ПДн должны использоваться отдельные носители.

Уполномоченные работники ИП и третьи лица, обрабатывающие ПДн по поручению ИП, должны быть проинформированы о факте обработки ими ПДн без использования средств автоматизации, категориях обрабатываемых ПДн, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов РФ, локальными актами ИП.

При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них ПДн, должны соблюдаться следующие условия:

• Типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки ПДн, осуществляемой без использования средств автоматизации, имя (наименование) и адрес ИП, фамилию, имя, отчество и адрес субъекта ПДн, источник получения ПДн, сроки обработки ПДн, перечень действий с ПДн, которые будут совершаться в процессе их обработки, общее описание используемых ИП способов обработки ПДн.
• При необходимости получения письменного согласия на обработку ПДн типовая форма должна предусматривать поле, в котором субъект ПДн может поставить отметку о своем согласии на обработку ПДн, осуществляемую без использования средств автоматизации.
• Типовая форма должна быть составлена таким образом, чтобы каждый из субъектов ПДн, содержащихся в документе, имел возможность ознакомиться со своими ПДн, содержащимися в документе, не нарушая прав и законных интересов иных субъектов ПДн.
• Типовая форма должна исключать объединение полей, предназначенных для внесения ПДн, цели обработки которых заведомо не совместимы.

При несовместимости целей обработки ПДн, зафиксированных на одном бумажном или механическом носителе, должны быть приняты следующие меры по обеспечению раздельной обработки ПДн (если носитель не позволяет осуществить обработку ПДн отдельно от других зафиксированных на том же носителе ПДн):

• Если необходимо использовать определенные ПДн отдельно от находящихся на том же носителе других ПДн, то нужно осуществить копирование необходимых ПДн таким способом, который исключает одновременное копирование ПДн, не подлежащих использованию. После этого используются ПДн, которые были скопированы.
• Если необходимо уничтожить или блокировать часть ПДн, то уничтожается или блокируется бумажный или механический носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, таким способом, который исключает одновременное копирование ПДн, подлежащих уничтожению или блокированию.

Особенности осуществления уничтожения ПДн, обрабатываемых без использования средств автоматизации, могут быть определены в локальных актах ИП.

Документы и носители информации, содержащие ПДн, хранятся в служебных помещениях, в том числе в надежно запираемых шкафах (сейфах), доступ в которые должны иметь только лица, имеющие право доступа к соответствующим ПДн. Иные лица имеют право доступа в указанные помещения только в присутствии уполномоченных лиц, которые должны осуществлять контроль соблюдения такими лицами ограничений доступа к ПДн.

ИП создаются надлежащие условия, обеспечивающие сохранность и исключающие несанкционированный доступ к ПДн. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, перечень лиц, ответственных за реализацию указанных мер, устанавливается локальным актом ИП.

Правила автоматизированной обработки ПДн

ПДн обрабатываются ИП с использованием собственных ИСПДн и (или) с использованием иных средств автоматизации, а также третьими лицами по поручению ИП в ИСПДн таких третьих лиц, с использованием средств автоматизации третьих лих или ИСПДн и средств автоматизации ИП. Работа пользователей в ИСПДн ИП регламентируется инструкциями пользователей ИСПДн. Электронные носители данных, предназначенные для обработки ПДн, регистрируются и учитываются в соответствии с установленным порядком.

Обработка ПДн в ИСПДн ИП осуществляется при наличии:

− Утвержденных организационно-технических документов о порядке эксплуатации ИСПДн, включающих акт классификации ИСПДн, инструкций пользователя и администратора и других локальных и методических документов.

− Настроенных в соответствии с требованиями безопасности средств защиты от несанкционированного доступа, средств антивирусной защиты и других программных и технических средств.

− Обеспечения безопасности и организации режима допуска в помещения, предназначенные для обработки ПДн.

− Утвержденного перечня мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них.

− Выполнения иных требований, указанных в разделе 10 Положения.

В случаях, когда ИП поручает обработку ПДн третьим лицам и такие третьи лица осуществляют автоматизированную обработку ПДн в собственных ИСПДн, и предоставляют доступ к таким ИСПДн Уполномоченным работникам ИП, Уполномоченные работники ИП могут осуществлять автоматизированную обработку ПДн с использованием таких ИСПДн.

Обеспечение безопасности ПДн в указанных в п. 6.3.4 Положения ИСПДн третьих лиц в соответствии с требованиями Закона о ПДн осуществляется третьими лицами, которым принадлежат такие ИСПДн. При этом ИП принимает правовые меры для обеспечения безопасности ПДн, предусмотренные ч. 3 ст. 6 Закона о ПДн, в частности определяет в поручении на обработку ПДн следующие обязанности третьего лица:

• соблюдать принципы и правила обработки ПДн, предусмотренные Законом о ПДн;
• обеспечивать конфиденциальность ПДн, безопасность ПДн;
• соблюдать требования, предусмотренные частью 5 статьи 18 и статьей 18.1 Закона о ПДн;
• по запросу ИП в течение срока действия поручения ИП, в том числе до обработки ПДн, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения ИП требований, установленных в соответствии со ст. 6 Закона о ПДн при их обработке;
• выполнять требования к защите обрабатываемых ПДн в соответствии со ст. 19 Закона о ПДн;
• уведомлять ИП о случаях, предусмотренных частью 3.1 ст. 21 Закона о ПДн в сроки, позволяющие ИП направить уведомление уполномоченному органу по защите прав субъектов ПДн.

а также, в поручении должны быть определены перечень ПДн, перечень действий (операций) с ПДн, и цели обработки ПДн. ИП принимается локальный акт, содержащий сведения об особенностях автоматизированной обработки ПДн с использованием ИСПДн третьих лиц, определяющий типовые условия договоров с третьими лицами о поручении обработки ПДн, а также требования к защите обрабатываемых ПДн в той части, в которой Уполномоченные работники ИП получают доступ к ИСПДн таких третьих лиц.

ДЕЙСТВИЯ (ОПЕРАЦИИ) С ПЕРСОНАЛЬНЫМИ ДАННЫМИ

Общие положения о действиях (операциях) с ПДн

Обработка ПДн должна осуществляться исключительно в соответствии с целями обработки ПДн. Объем возможных действий (операций) с ПДн определяется в зависимости от целей обработки ПДн с учетом действующего законодательства и локальных актов ИП, а в случаях, если обработка ПДн осуществляется на основании согласия субъекта ПДн, – с учетом объема возможных действий (операций) с ПДн, предусмотренных таким согласием.

В пп. 7.2 – 7.12 Положения определяются особенности осуществления отдельных действий (операций) с ПДн. Иные действия (операции) с ПДн осуществляются на общих основаниях и с учетом общих правил, установленных действующим законодательством.

Особенности сбора и получения ПДн

ИП применяются следующие способы получения ПДн:

• Сбор ПДн непосредственно от субъекта ПДн посредством заполнения соответствующих форм субъектом ПДн, его законным представителем либо уполномоченным работником ИП с их слов или посредством получения документов, предоставляемых субъектом ПДн или его законным представителем.
• Получение ПДн от третьих лиц.
• Получение ПДн из общедоступных источников ПДн (с соблюдением запретов и условий, установленных Законом о ПДн).

В случае если предоставление ПДн является обязательным в соответствии с законодательством РФ, уполномоченный работник ИП обязан разъяснить субъекту ПДн юридические последствия отказа предоставить его ПДн. Если ПДн получены не от субъекта ПДн, ИП, за исключением случаев, предусмотренных Законом о ПДн, до начала обработки таких ПДн обязан предоставить субъекту ПДн следующую информацию:

• Наименование и адрес ИП.
• Цель обработки ПДн и ее правовое основание.
• Перечень обрабатываемых ПДн.
• Предполагаемые пользователи ПДн.
• Установленные Законом о ПДн права субъекта ПДн.
• Источник получения ПДн.

ИП освобождается от обязанности предоставить субъекту ПДн сведения, указанные в п. 7.2.3, в случаях если:

• Субъект ПДн уведомлен об осуществлении обработки его ПДн ИП.
• ПДн получены ИП на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн.
• ИП осуществляет обработку ПДн, разрешенных субъектом ПДн для распространения, с соблюдением запретов и условий, установленных Законом о ПДн.
• ИП осуществляет обработку ПДн для статистических или иных исследовательских целей, для осуществления научной, литературной и иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта ПДн.
• Предоставление субъекту ПДн указанных сведений нарушает права и законные интересы третьих лиц.

Если ИП получает ПДн от третьих лиц, в договоры, на основании которых третьи лица передают ПДн ИП, должно быть включено заверение такого третьего лица о том, что субъект ПДн уведомлен об осуществлении обработки его ПДн ИП и имеются правовые основания для передачи ПДн субъекта ПДн ИП

При сборе ПДн ИП обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием Баз данных, находящихся на территории РФ, за исключением случаев, прямо предусмотренных ч. 5 ст. 18 Закона о ПДн, если такие случаи применимы к соответствующему сбору и обработке ПДн. Контроль соблюдения указанного требования осуществляется ответственным лицом и ответственным администратором.

Особенности уточнения ПДн

Уточнение ПДн производится ИП только на основании законно полученной самим ИП информации. В отношении такой информации должны быть разумные основания предполагать ее достоверность.

Особенности извлечения ПДн

ix. Извлечение ПДн из ИСПДн может осуществляться с целью:

• вывода ПДн на бумажный или механический носитель информации, не предназначенный для его обработки с использованием средств автоматизации;
• вывода ПДн на электронные и машинные носители информации, предназначенные для их обработки с использованием средств автоматизации.

x. Извлечение ПДн допускается только на электронные и машинные носители, которые учтены в установленном ИП порядке.

Особенности передачи ПДн

Перед передачей ПДн уполномоченный работник должен проверить основание такой передачи и наличие указания на возможность передачи ПДн в согласии субъекта на обработку ПДн или наличие иных законных оснований. Форма необходимого согласия определяется с учетом требований действующего законодательства в зависимости от категории ПДн и цели передачи.

Передача ПДн на материальных носителях осуществляется лично или с использованием курьерской службы, порядок действий которой исключает обработку ПДн и предполагает исключительно доставку носителей как вещи или, в иных случаях, которая соблюдает соответствующие требования к защите ПДн. Передача ПДн посредством информационно-телекоммуникационной сети осуществляется с использованием необходимого уровня защиты канала связи.

Передача ПДн третьему лицу возможна при соблюдении одного из следующих условий:

• С третьим лицом, которому передаются ПДн, заключен договор, содержащий необходимые условия.
• От третьего лица, которому передаются ПДн, получен запрос, обязательный для исполнения ИП.
• На ИП законом возложены функции, полномочия и обязанности, предполагающие передачу ПДн третьему лицу.

Передача ПДн третьему лицу возможна только в том объеме, который соответствует целям такой передачи. Передача ПДн без согласия соответствующего субъекта ПДн или без иных применимых законных оснований запрещена.

При передаче ПДн третьим лицам ИП уведомляет указанных лиц об обязанности сохранения конфиденциальности ПДн и их использования только с целью, для которой они переданы. Трансграничная передача ПДн допускается при соблюдении требования о локализации ПДн.

Трансграничная передача ПДн на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов ПДн, допускается в случаях, определенных в Законе о ПДн, в том числе при наличии согласия в письменной форме субъекта ПДн на трансграничную передачу его ПДн, в случае исполнения договора, стороной которого является субъект ПДн, а также на иных основаниях, предусмотренных Законом о ПДн. Контроль наличия таких оснований осуществляется ответственным лицом.

Трансграничная передача ПДн на территории иностранных государств осуществляется при условии подачи соответствующего уведомления уполномоченному органу по защите прав субъектов ПДн согласно Закону о ПДн.

Особенности поручения обработки ПДн

ИП вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн или при наличии иного основания, предусмотренного федеральным законом. Поручение на обработку ПДн другому лицу допустимо при заключении с этим лицом договора, предусматривающего обязанности такого лица и положения, указанные в п. 6.3.5 Положения, а также если применимо, обязанности соблюдать Положение об особенностях обработки ПДн, осуществляемой без использования средств автоматизации, утвержденное Постановлением Правительства РФ № 687 от 15.09.2008.

С учетом оценки конкретной ситуации (объем, категории передаваемых ПДн, действий, совершаемых с ПДн, и иных обстоятельств обработки ПДн) дополнительно такой договор должен предусматривать порядок взаимодействия с субъектами ПДн при получении от них запросов, а также обязанность третьего лица предоставить ИП подтверждение соблюдения указанных обязанностей, в том числе, в части требований к защите обрабатываемых ПДн. Контроль включения соответствующих условий в договоры с третьими лицами осуществляется ответственным лицом.

ИП несет ответственность перед субъектом ПДн за обеспечение безопасности его ПДн.

Особенности хранения ПДн

Хранение ПДн ИП осуществляется с учетом конкретных сроков хранения, определенных в локальных актах ИП. Хранение ПДн ИП осуществляется в специально отведенных местах и на специально отведенных носителях информации в защищенном месте под контролем соответствующих Уполномоченных работников.

Перечень помещений, в которых осуществляется хранение ПДн и носителей ПДн с указанием должностных лиц, имеющих доступ к соответствующим данным, утверждается ИП.

Бумажные, механические и съемные электронные носители информации, содержащие ПДн, должны храниться в надежно запираемых шкафах, ящиках столов, сейфах. При этом должны быть созданы надлежащие условия, обеспечивающие их сохранность и защиту от несанкционированного доступа.

Особенности блокирования ПДн

Во всех случаях обработки ПДн ИП обеспечивается возможность блокирования ПДн конкретного субъекта ПДн. Блокирование ПДн ИП осуществляется в следующих случаях:

• Выявление неправомерной обработки ПДн при обращении субъекта ПДн или его законного представителя либо по запросу таких лиц или уполномоченного органа по защите прав субъектов ПДн с момента такого обращения или получения указанного запроса на период проверки.
• Выявление неточных ПДн при обращении субъекта ПДн или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов ПДн с момента такого обращения или получения указанного запроса на период проверки.
• В случае отсутствия возможности уничтожения ПДн в установленные сроки до их уничтожения.

Если блокирование было вызвано неправомерностью обработки ПДн, но впоследствии обработка ПДн стала правомерной, ИП прекращает блокирование ПДн. Если неправомерность обработки ПДн не устранена в необходимый срок, блокируемые ПДн подлежат уничтожению.

Особенности обезличивания ПДн

Обезличивание ПДн может осуществляться ИП для ведения статистики, снижения возможного ущерба в случае риска разглашения защищаемых ПДн, обеспечения уровня защищенности ПДн, а также по достижении целей обработки или в случае утраты необходимости в достижении таких целей, если иное не предусмотрено законодательством. При этом должно соблюдаться следующее:

• в результате обезличивания становится невозможно отнести данные к конкретному физическому лицу и определить принадлежность данных конкретному физическому лицу;
• отсутствие возможности восстановить данные.

Особенности прекращения обработки ПДн

xi. Обрабатываемые ИП ПДн подлежат уничтожению (удалению) в следующих случаях:

• Истечение сроков обработки.
• Достижение целей обработки ПДн или утрата необходимости в их достижении с учетом предусмотренных законодательством РФ сроков обработки документов (информации).
• Получение соответствующего запроса от субъекта ПДн при условии, что данный запрос не противоречит требованиям законодательства РФ.
• Отзыв согласия субъекта на обработку его ПДн, если такой отзыв влечет за собой уничтожение ПДн.
• Выявление неточных ПДн при отсутствии возможности их уточнения, изменения или дополнения.
• Выявление неправомерной обработки ПДн.
• Законное требование уполномоченного государственного органа.
• Иные случаи, предусмотренные законодательством РФ.

Факт уничтожения ПДн с 01.03.2023 подтверждается документами, подготовленными в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных.

Особенности доступа Уполномоченных работников к ПДн

xii. Уполномоченные работники получают права доступа к ПДн в том объеме, который необходим для выполнения их обязанностей, в целях выполнения данных обязанностей и на период указанной необходимости. Список уполномоченных работников определяется в локальном акте ИП. Данный акт может не содержать поименного списка, но в таком случае он должен содержать указание на должности (должностные обязанности) таким образом, чтобы можно было однозначно определить работников, имеющих доступ к ПДн. Доступ к ПДн лиц, не имеющих такого допуска, запрещается.

xiii. Список уполномоченных работников пересматривается по мере необходимости (изменение организационно-штатной структуры, введение новых должностей и т.п.).

xiv. уполномоченный работник получает доступ к ПДн после осуществления каждого из следующих действий:

• Ознакомление с настоящим Положением, иными локальными актами ИП, положениями Закона о ПДн и иных актов, регулирующих обработку ПДн, в части, применимой к соответствующему работнику.
• Ознакомление с видами ответственности за нарушение (невыполнение) норм законодательства РФ в сфере обработки и защиты ПДн.
• Принятие обязательства о неразглашении информации, содержащей ПДн.

xv. При принятии соответствующего решения, до получения доступ к ПДн ответственное лицо проводит для уполномоченного работника инструктаж / тренинг.

ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ОБРАЩЕНИЯ

ИП обеспечивается соблюдение прав субъектов ПДн, в том числе прав субъекта ПДн на доступ к его ПДн, прав субъектов ПДн при обработке их ПДн в целях продвижения товаров, работ, услуг на рынке, право на обжалование действий или бездействия ИП, а также иные права субъектов ПДн, установленные Законом о ПДн.

Субъекты ПДн вправе:

• Получать доступ к информации, касающейся обработки их ПДн.
• Требовать от ИП уточнения ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
• Обжаловать в суд любые неправомерные действия или бездействия ИП при обработке и защите ПДн, а также принимать иные предусмотренные законом меры по защите своих прав.

xvi. Работники ИП обладают следующими дополнительными правами:

• При отказе ИП исключить или исправить ПДн работника заявить в письменной форме о своем несогласии с содержанием хранящихся у ИП ПДн и представить обоснование такого несогласия.
• Дополнить ПДн оценочного характера заявлением, выражающим собственную точку зрения работника по соответствующему вопросу.
• Требовать извещения ИП всех лиц, которым ранее были сообщены неверные или неполные ПДн работника, обо всех произведенных в них исключениях, исправлениях или дополнениях.

Особенности исполнения обязанностей ИП при обращении к нему субъекта ПДн либо при получении запроса субъекта ПДн или его представителя, уполномоченного органа по защите прав субъектов ПДн, а также обязанностей по устранению нарушений законодательства, допущенных при обработке ПДн, по уточнению, блокированию и уничтожению ПДн могут быть определены в локальном акте ИП.

ИП не осуществляет обработку ПДн в целях политической агитации, а также не принимает решения на основании исключительно автоматизированной обработки ПДн.

Субъекты ПДн обязаны предоставлять ИП достоверные ПДн и своевременно информировать ИП об изменении своих ПДн. ИП имеет право проверять достоверность сведений, предоставленных субъектом ПДн, в том числе путем сверки данных, предоставленных субъектом, с имеющимися ИП данными и документами.

ОБЕСПЕЧЕНИЕ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ИП

ИП обеспечивает выполнение мер, направленных на обеспечение выполнения ИП обязанностей, предусмотренных Законом о ПДн, в соответствии со ст. 18.1 Закона о ПДн.

ИП определен следующий состав и перечень необходимых и достаточных мер для обеспечения обязанностей ИП, предусмотренных законодательством РФ:

xvii. Назначение ИП ответственного лица. Права и обязанности ответственных лиц, могут быть определены в приказе или в отдельном документе (например, должностной инструкции).

xviii. Издание ИП Положения, локальных актов по вопросам обработки ПДн, определяющих для каждой цели обработки ПДн категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн при достижении целей их обработки или при наступлении иных законных оснований а также иных локальных актов по вопросам обработки ПДн, в том числе предусмотренных Положением.

xix. Применение правовых, организационных и технических мер по обеспечению безопасности ПДн в соответствии со ст. 19 Закона о ПДн согласно Разделу 10 Положения.

xx. Осуществление внутреннего контроля соответствия обработки ПДн Закону о ПДн и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, политике ИП в отношении обработки ПДн, локальным актам ИП, в форме текущего, планового и внепланового внутреннего контроля с фиксацией его результатов.

xxi. Проведение оценки вреда, который может быть причинен субъектам ПДн в случае нарушения Закона о ПДн, соотношение указанного вреда и принимаемых ИП мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом о ПДн, с фиксацией ее результатов.

xxii. Ознакомление уполномоченных работников ИП с положениями законодательства РФ о ПДн, в том числе, требованиями к защите ПДн, документами, определяющими политику ИП в отношении обработки ПДн, локальными актами по вопросам обработки ПДн с фиксацией факта ознакомления.

ИП обеспечивается неограниченный доступ к настоящему Положению как к документу, определяющему Политику ИП в отношении обработки ПДн и содержащему сведения о реализуемых требованиях к защите ПДн. В случае осуществлении ИП сбор ПДн с использованием сети «Интернет», он обязуется опубликовать соответствующий документ на соответствующих страницах принадлежащему ему сайта/приложения, с использованием которого осуществляется сбор ПДн. Для целей реализации, указанных в п. 9.2 Положения мер, ИП может детализировать их в отдельных локальных актах ИП.

ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

При обработке ПДн ИП принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн, в соответствии со ст. 19 Закона о ПДн. Исчерпывающий перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются локальными актами ИП.

При использовании ИСПДн ИП обеспечивает принятие указанных в настоящем п. 10.2 Положения мер. Объем указанных мер может быть уточнен в зависимости от характеристик конкретной ИСПДн:

• Назначение Ответственного администратора, который ответственен за обеспечение безопасности ПДн в ИСПДн.
• Определение угроз безопасности ПДн при их обработке в ИСПДн.
• Применение организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн.
• Применение прошедших в установленном порядке процедуру оценки соответствия технических средств защиты информации, применение антивирусной защиты ИСПДн, использование мер криптографической защиты ПДн, передаваемых по незащищенным каналам связи (при необходимости) или сохраняемых на носителях информации, выносимых за пределы помещений ИП.
• Оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн.
• Учет машинных носителей ПДн.
• Обнаружение фактов несанкционированного доступа к ПДн и принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них.
• Восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним, включая обеспечение доступности ПДн (в том числе посредством резервного копирования ПДн с установленной периодичностью).
• Установление правил доступа к ПДн, обрабатываемых в ИСПДн (идентификация и аутентификация субъектов доступа и объектов доступа, управление доступом субъектов доступа к объектам доступа), а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн, регистрация событий безопасности.
• Контроль принимаемых мер по обеспечению безопасности ПДн и уровня защищенности ИСПДн, включая контроль установки обновлений программного обеспечения.

При использовании ИСПДн третьих лиц, в том числе в случае, когда обработка ПДн поручена ИП третьему лицу, которое использует ИСПДн для такой обработки, ИП обеспечивает принятие указанных в п. 10.2 Положения мер посредством включения соответствующих обязанностей третьего лица в договор. Объем мер подлежит уточнению в зависимости от характеристик конкретной ИСПДн.

Во всех случаях обработки ПДн ИП, независимо от использования ИСПДн, дополнительно выполняются следующие меры безопасности:

• Учет машинных (электронных) носителей ПДн.
• Обнаружение фактов несанкционированного доступа к ПДн в той части, в которой это объективно возможно со стороны ИП, и принятие соответствующих мер.
• Восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
• Установление правил доступа к средствам доступа к ИСПДн третьих лиц, которым ИП поручает обработку ПДн.
• Условия защиты ПДн при неавтоматизированной обработке согласно разделу 6.2 настоящего Положения.
• Контроль за принимаемыми мерами по обеспечению безопасности ПДн.

В случае установления факта компьютерного инцидента (неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн), ИП обязуется провести внутреннее расследование и уведомить уполномоченный орган по защите прав субъектов ПДн:

• в течение 24 часов с момента выявления инцидента: об инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов, о предполагаемом вреде, нанесенном правам субъектов, о мерах, принятых для устранения последствий инцидента, о лице, уполномоченном на взаимодействие по вопросам инцидента.
• в течение 72 часов с момента выявления инцидента: о результатах внутреннего расследования инцидента, о лицах, действия которых стали причиной инцидента (при наличии) В целях обеспечения безопасности ПДн при их обработке ИП обязуется в порядке, установленном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах.

ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ПРАВИЛ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

Уполномоченные работники, виновные в нарушении норм, регулирующих обработку и защиту ПДн, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством РФ.

Уполномоченные работники, имеющие доступ к ПДн, несут персональную ответственность за несанкционированное распространение ПДн, а также за соблюдение установленного ИП порядка обеспечения безопасности в отношении ПДн.

Каждый Уполномоченный работник, получающий для работы носитель информации, содержащий ПДн, несет персональную ответственность за сохранность данного носителя.

Уполномоченный работник, в обязанность которого входит обработка ПДн, обязан обеспечить каждому субъекту ПДн возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законодательством РФ.

Неправомерный отказ в предоставлении собранных в установленном порядке документов, либо несвоевременное предоставление таких документов или иной информации в случаях, предусмотренных законом, либо предоставление неполной или заведомо ложной информации, либо иные нарушения законодательства в области ПДн влекут за собой ответственность, предусмотренную действующим законодательством.

ИНЫЕ ОБЯЗАННОСТИ ИП

Локализация ПДн

ИП обеспечивает локализацию ПДн. В каждом случае трансграничной передачи ПДн соблюдение локализации ПДн подлежит отдельной проверке Уполномоченным работником. Трансграничная передача в пределах, допустимых законодательством, возможна только при условии соблюдения локализации ПДн.

Уведомление о начале обработки ПДн

xxiii. ИП уведомляет уполномоченный орган по защите прав субъектов ПДн о своем намерении осуществлять обработку ПДн. Уведомление готовится ответственным лицом, в соответствии с рекомендованной формой, устанавливаемой уполномоченным органом по защите прав субъектов ПДн, подписывается ИП и направляется в виде документа на бумажном носителе или в форме электронного документа.

xxiv. В случае изменения сведений, а также в случае прекращения обработки ПДн, ИП обязан своевременно уведомить об этом уполномоченный орган по защите прав субъектов ПДн.

ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ

Процессы обработки ПДн, не соответствующие Положению, подлежат приведению в соответствие в рабочем порядке, определяемом ответственным лицом.

В случае фактического изменения ИП порядка обработки ПДн таким образом, что это не будет указано в Положении или не будет ему фактически соответствовать, но при этом будет осуществляться в соответствии с требованиями действующего законодательства РФ, такой порядок не может рассматриваться как нарушение законодательства в области обработки ПДн и (или) Положения, однако в Положение должны быть внесены соответствующие изменения.

В случае изменения требований действующего законодательства в области ПДн, Положение считается действующим с учетом таких изменений. В частности, противоречащие действующему законодательству положения будут считаться утратившими силу в той части, в которой они находятся в таком противоречии. При изменении отдельных требований, не влекущих такого противоречия действующему законодательству, но подразумевающих конкретное и определенное изменение положений, они будут считаться измененными соответствующим образом до обновления текста Положения.