Политика обработки персональных данных

Общие положения
1. Индивидуальный предпринимать Третьяков Дмитрий Евгеньевич (далее Организация) является оператором персональных данных.
2. Политика Организации в отношении «обработки персональных данных» (далее – Политика) определяет позицию и намерения Организации в области обработки и защиты персональных данных лиц, состоящих в договорных, гражданско-правовых и иных отношениях с Организацией, соблюдения прав и основных свобод каждого человека и, в особенности, права на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.
3. Политика предназначена для изучения и неукоснительного исполнения руководителями и сотрудниками всех структурных подразделений Организации, а также подлежит доведению до сведения лиц, состоящих в договорных, гражданско-правовых и иных отношениях с Организацией (далее по тексту – субъекты ПДн), партнеров и других заинтересованных сторон.
4. Основные термины и определения, применяемые в настоящей Политике:
  1. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).
  2. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
  3. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
  4. Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.
  5. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
  6. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
  7. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
  8. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
  9. Конфиденциальная информация – информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации и представляет собой коммерческую, служебную или личную тайны, охраняющиеся её владельцем.
  10. Конфиденциальность персональных данных – обязательное для соблюдения оператором, или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.
  11. Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
  12. Сотрудники – лица, имеющие трудовые отношения с Организацией, либо кандидаты на вакантную должность, вступившие в отношения по поводу приема на работу.
  13. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Права и обязанности оператора и субъектов персональных данных
1. Субъект персональных данных обязан:
  - передать Организации или ее представителю комплект достоверных, документированных персональных данных, состав которых установлен трудовым законодательством, иными законами Российской Федерации;
  - своевременно сообщать оператору об изменении своих персональных данных.
2. Субъект ПДн, персональные данные которого обрабатываются в Организации, имеет право получать от оператора:
  - подтверждение факта обработки персональных данных;
  - сведения о правовых основаниях и целях обработки персональных данных;
  - сведения о применяемых способах обработки персональных данных;
  - сведения о наименовании и местонахождении оператора;
  - сведения о лицах (за исключением сотрудников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
  - перечень обрабатываемых персональных данных, относящихся к гражданину, от которого поступил запрос и источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральным законом;
  - сроки обработки персональных данных, в том числе сроки их хранения;
  - порядок осуществления гражданином прав, предусмотренных Федеральным законом «О персональных данных» № 152-ФЗ;
  - информацию об осуществляемой или о предполагаемой трансграничной передаче персональных данных;
  - наименование (ФИО) и адрес лица, осуществляющего обработку персональных данных по поручению оператора;
  - иные сведения, предусмотренные Федеральным законом «О персональных данных» № 152-ФЗ или другими федеральными законами;
  - требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
  - отозвать свое согласие на обработку персональных данных;
  - требовать устранения неправомерных действий оператора в отношении его персональных данных;
  - обжаловать действия или бездействие оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор);
  - обжаловать действия или бездействие оператора в судебном порядке в случае, если гражданин считает, что Организация осуществляет обработку его персональных данных с нарушением требований Федерального закона № 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы;
  - на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.
3. Оператор персональных данных обязан:
  - предоставить субъекту персональных данных доступ к своим персональным данным или его законному представителю при личном обращении либо при получении письменного запроса;
  - предоставить субъекту персональных данных сведения о его персональных данных в доступной форме и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных;
  - разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты своих прав и законных оснований;
  - обязан рассмотреть возражение субъекта персональных данных в течение тридцати дней со дня его получения и уведомить его о результатах рассмотрения такого возражения;
  - предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы;
  - сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса;
  - в случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя, либо по запросу субъекта персональных данных или его представителя, либо уполномоченного органа по защите прав субъектов персональных данных осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки;
  - в случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц;
  - в случае подтверждения факта неточности персональных данных на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней и снять блокирование персональных данных;
  - в случае достижения цели обработки персональных данных прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами, и уведомить об этом субъекта персональных данных и уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных или их уничтожения;
  - в случае отзыва субъектом персональных данных согласия на обработку его персональных данных прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами; - до начала обработки персональных данных уведомить уполномоченный орган по защите прав субъектов в персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч.2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
4. Оператор персональных данных имеет право:
  - поручить обработку персональных данных (с согласия субъекта ПДн) юридическим лицам, на основании заключаемого с этим лицом договора, на основании которого указанные лица обязуются соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных»;
  - отстаивать свои интересы в суде;
  - отказывать в предоставлении персональных данных в случаях, предусмотренных ч.8 ст.14 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
  - использовать персональные данные субъекта без его согласия, в случаях, предусмотренных ч.2 ст. 6 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».
Цели сбора персональных данных
1. Организация осуществляет обработку персональных данных в следующих целях:
  - осуществление видов деятельности согласно уставу;
  - формирование и ведение реестра сертификатов ключей электронной подписи;
  - исполнения требований трудового законодательства и трудового договора с сотрудником;
  - ведения бухгалтерского, налогового и кадрового учета;
  - передачи персональных данных в банковские организации для перечисления выплат;
  - начисления заработной платы сотрудникам;
  - формирование отчетности для последующей передачи во внешние организации.
Правовые основания обработки персональных данных
1. Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных.
2. В качестве правового основания обработки персональных данных Организации используются:
  - федеральный закон РФ от 06.04.2011 г. № 63-ФЗ «Об электронной подписи»;
  - федеральный закон РФ от 24.07.2009 г. № 212-ФЗ «О страховых взносах в Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования»;
  - трудовой кодекс РФ;
  - налоговый кодекс РФ;
  - гражданский кодекс РФ;
  - заявление на изготовление сертификата ключа проверки электронной подписи;
  - договоры, заключаемые между Организацией и субъектом персональных данных;
  - согласие на обработку персональных данных.
Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
1. Обработка персональных данных в Организации должна осуществляться на основе следующих принципов:
  - законности и справедливости;
  - ограничения достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
  - недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
  - соответствие ПДн целям их обработки;
  - соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки;
  - отсутствие избыточности ПДн по отношению к заявленным целям их обработки;
  - обеспечена точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных;
  - хранение ПДн осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
2. Организация не осуществляет сбор и обработку персональных данных субъектов ПДн, касающихся расовой, национальной принадлежности, политических, религиозных, философских и иных убеждений, интимной жизни, членства в общественных объединениях, в том числе в профессиональных союзах.
3. В организации обрабатываются персональные данные:
  - сотрудников организации;
  - соискателей на вакантную должность;
  - клиентов организации.
4. В организации обрабатываются персональные данные, не включенные в специальные категории персональных данных, а также не являющимися биометрическими персональными данными.
Порядок и условия обработки персональных данных
1. Организация обрабатывает персональные данные на законной и справедливой основе для выполнения возложенных законодательством функций, полномочий и обязанностей, осуществления прав и законных интересов Организации, сотрудников Организации и третьих лиц.
2. Организация получает персональные данные непосредственно у субъектов персональных данных, или у законных представителей субъектов персональных данных, действующих на основании доверенности.
3. Организация обрабатывает персональные данные автоматизированным и неавтоматизированным способами, с использованием средств вычислительной техники и без использования таких средств.
4. Действия по обработке персональных данных включают сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.
5. Базы данных информации, содержащей персональные данные граждан Российской Федерации, находятся на территории Российской Федерации.
6. Организация не сообщает третьей стороне персональные данные сотрудника без его письменного согласия, кроме случаев, когда это необходимо для предупреждения угрозы жизни и здоровью сотрудника, а также в других случаях, предусмотренных ТК РФ, ФЗ «О персональных данных» или иными федеральными законами.
7. Организация предоставляет персональные данные сотрудников или поручает их обработку следующим лицам:
  - государственные органы (ПФР, ФНС и др.);
  - банк (в рамках зарплатного проекта).
  Кроме того, Организация вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации
8. Организация обрабатывает персональные данные сотрудников с их письменного согласия, предоставляемого на срок действия трудового договора.
  Организация обрабатывает персональные данные клиентов с их письменного согласия, указанного в заявлении на изготовление сертификата ключа проверки электронной подписи, представляемого на срок действия сертификата ключа подписи.
9. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.
10. Хранение персональных данных рекомендуется осуществлять в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
Обеспечение безопасности персональных данных
1. Организация при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. К таким мерам, в соответствии ст. 18.1 и 19 Федерального закона № 152-ФЗ «О персональных данных», в частности, относится:
  - назначение лица, ответственного за организацию обработки персональных данных;
  - определение угроз безопасности персональных данных при их обработке;
  - применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
  - применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
  - оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
  - учет машинных носителей персональных данных;
  - обнаружение фактов несанкционированного доступа к персональным данным и принятие мер при их обнаружении;
  - восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
  - установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
  - контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных
  - разработка и утверждение локальных актов по вопросам обработки и защиты персональных данных;
  - оценка вреда, который может быть причинен гражданам в случае нарушения Федерального закона №152-ФЗ «О персональных данных», соотношение указанного вреда и принимаемых Организацией мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом №152-ФЗ «О персональных данных»;
  - ознакомление сотрудников Организации, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами по вопросам обработки и защиты персональных данных, и обучение сотрудников Организации;
  - соблюдение условий, исключающих несанкционированный доступ к материальным носителям персональных данных и обеспечивающих сохранность персональных данных;
  - применение технических средств защиты, включая:
  - антивирусные средства защиты;
  - средства межсетевого экранирования;
  - средства защиты информации от несанкционированного доступа;
  - средства криптографической защиты информации;
  - применение мер и средств контроля физического доступа в помещения, в которых осуществляется обработка персональных данных и к носителям персональных данных.
Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным
1. В случае подтверждения факта неточности персональных данных или неправомерности их обработки, персональные данные подлежат их актуализации оператором, а обработка должна быть прекращена.
2. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
  - иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
  - оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом "О персональных данных" или иными федеральными законами;
  - иное не предусмотрено иным соглашением между оператором и субъектом персональных данных.
3. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных и при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
4. Организация обязана сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего.
Пересмотр положений Политики
1. Пересмотр положений настоящей Политики проводится:
  - при изменении законодательства Российской Федерации в области персональных данных;
  - в случаях выявления несоответствий, затрагивающих обработку персональных данных;
  - по результатам контроля выполнения требований по обработке и защите персональных данных;
  - по решению руководства Организации.
Ответственность
1. В случае неисполнения положений настоящей Политики Организация несет ответственность в соответствии действующим законодательством Российской Федерации.

Отвечаем в мессенджерах в течении 15 минут

Бухгалтерам помогают 25 роботов с использованием технологии машинного обучения

Бесплатная поддержка с использованием специализированных правовых ресурсов