ПОЛОЖЕНИЕ
ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
Пользователь – физическое лицо, вступившее или имеющее намерение вступить в гражданско-правовые отношения с Компанией.
Компания – ООО "ФермерскоеМясо.РФ"
Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
Блокирование персональных данных – временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи.
Обезличивание персональных данных –действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных – действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.
Распространение персональных данных – действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно–телекоммуникационных сетях или предоставление доступа к персональным данным каким–либо иным способом.
Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.
Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.
Информационная система персональных данных – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.
Информация ограниченного доступа – информация, доступ к которой ограничен федеральными законами.
Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.
Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
1 Общие положения
Настоящее Положение об обработке и защите персональных данных (далее – Положение) разработано в соответствии с:
- Конституцией Российской Федерации;
- Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
- Указом Президента Российской Федерации от 06 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера»;
- Постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Постановлением Правительства Российской Федерации от 6 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
- Постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Приказом ФСТЭК России № 55, ФСБ России № 86, Мининформсвязи России № 20 от 13 февраля 2008 г. «Об утверждении Порядка проведения классификации информационных систем персональных данных»;
- Приказом ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Приказом Роскомнадзора от 05 сентября 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;
- иными нормативными правовыми актами Российской Федерации.
Настоящее Положение устанавливает требования к обработке и защите Персональных данных Пользователей, определяет права, обязанности и ответственность руководителей структурных подразделений и работников Компании.
Все работники Компании допускаются к обработке Персональных данных в объеме, определяемом должностными обязанностями.
Организация обеспечения безопасности Персональных данных возлагается на ответственное лицо Компании.
Требования настоящего Положения доводятся до всех работников Компании, имеющих доступ к персональным данным Пользователей, под роспись.
2 Обработка персональных данных
2.1 Принципы обработки Персональных данных
Персональные данные Пользователей обрабатываются в соответствии со следующими принципами:
- при обработке Персональных данных Компания руководствуется требованиями законодательства;
- Персональные данные обрабатываются исключительно для достижения указанных при сборе Персональных данных целей;
- обработка Персональных данных производится на основе принципа актуальности: устаревшие, а равно некорректные персональные данные своевременно уточняются и/или удаляются Компанией;
- хранение Персональных данных осуществляется в пределах срока, необходимого для достижения целей их сбора и обработки;
- не допускается хранение Персональных данных при которых утрачивается возможность установления субъекта Персональных данных;
- уничтожение Персональных данных производится по требованию Пользователя в порядке, предусмотренном федеральным законом.
2.2 Получение (сбор) Персональных данных
Персональные данные следует получать непосредственно у Пользователей. Если Персональные данные возможно получить только у третьей стороны, то Пользователь должен быть уведомлен об этом заранее и от него должно быть получено соответствующее согласие.
Запрещается запрашивать информацию о состоянии здоровья Пользователя.
Компания не имеет права получать и обрабатывать Персональные данные Пользователя о его политических, религиозных и иных убеждениях, а также частной жизни. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.
2.3 Доступ к Персональным данным
Доступ к Персональным данным Пользователей предоставляется лицам, которым такой доступ необходим для выполнения служебных (трудовых) обязанностей. Перечень таких лиц утверждается Приказом по Компании.
Лица, имеющие доступ к Персональным данным, дают письменное согласие о соблюдении конфиденциальности Персональных данных и соблюдении правил их обработки.
Лица, имеющие доступ к Персональным данным имеют право получать и обрабатывать только те Персональные данные, которые необходимы им для выполнения конкретных трудовых функций.
В случае если Компании оказывают услуги юридические и физические лица на основании заключенных договоров (либо иных оснований) и в силу данных договоров, они должны иметь доступ к Персональным данным, обрабатываемым в Компании, то соответствующие данные предоставляются Компаниям только после подписания с ними соглашения о неразглашении конфиденциальной информации или включения в договоры пунктов о неразглашении конфиденциальной информации, в том числе предусматривающих защиту Персональных данных.
Государственным органам, осуществляющим функции контроля (надзора) предоставляют права доступа к Персональным данным, обрабатываемым в Компании, только в сфере своей компетенции и в объеме, предусмотренном действующим законодательством.
Пользователь, предоставивший свои Персональные данные, имеет право на свободный доступ к своим Персональным данным, получение копий своих Персональных данных (за исключением случаев предусмотренных федеральным законом) на основании его письменного запроса.
Компания обязана в порядке, предусмотренном законодательством, сообщить субъекту Персональных данных или его законному представителю информацию о наличии Персональных данных, относящихся к соответствующему субъекту Персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта Персональных данных или его законного представителя либо в течение десяти рабочих дней с даты получения запроса субъекта Персональных данных или его законного представителя.
2.4 Передача Персональных данных
Запрещается передавать Персональные данные третьей стороне (в том числе в коммерческих целях) без письменного согласия субъекта Персональных данных.
Персональные данные субъекта могут быть предоставлены родственникам или членам его семьи, а также представителям субъекта только с письменного разрешения самого субъекта, за исключением случаев, когда передача Персональных данных субъекта без его согласия допускается действующим законодательством РФ.
Передача Персональных данных по незащищенным каналам связи запрещается.
Внутри Компании без письменного согласия субъекта Персональных данных разрешается передача (представление) Персональных данных в структурные подразделения и комиссии, необходимые им для выполнения своих функций.
Лица, получающие Персональные данные, должны быть предупреждены, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены.
Лица, получающие Персональные данные, обязаны соблюдать режим конфиденциальности (данное требование не распространяется на обмен Персональными данными субъектов персональных данных в порядке, установленном федеральным законодательством).
Разрешается передавать Персональные данные представителям субъектов Персональных данных в порядке, установленном существующим законодательством, и ограничивать эту информацию данными, необходимыми для выполнения указанными представителями их функций.
3 Обязанности лиц, допущенных к обработке Персональных данных
Работники, допущенные к обработке Персональных данных, обязаны:
- знать и выполнять требования настоящего Положения;
- осуществлять обработку Персональных данных в заявленными целями;
- знакомиться только с теми Персональными данными, к которым получен доступ;
- хранить в тайне известные им сведения о Персональных данных, информировать своего непосредственного начальника о фактах нарушения порядка обработки Персональных данных и о попытках несанкционированного доступа к ним;
- предупредить лиц, получающих Персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены;
- выполнять требования по защите полученных Персональных данных;
- выполнять требования по защите полученных Персональных данных;
- соблюдать правила пользования документами, содержащими Персональные данные, порядок их обработки и защиты;
- предоставлять письменные объяснения о допущенных нарушениях установленного порядка обработки Персональных данных, а также о фактах их разглашения.
4 Защита Персональных данных
Защита Персональных данных субъектов от неправомерного их использования или утраты обеспечивается Компанией, в установленном действующем законодательством и локальными актами Компании порядке, выполнением комплекса организационно–технических мер, обеспечивающих их безопасность.
Для осуществления мероприятий по обеспечению безопасности Персональных данных в Компании назначаются ответственные лица.
Организацию защиты Персональных данных в структурных подразделениях Компании обеспечивают руководители структурных подразделений.
Документы, содержащие Персональные данные, должны храниться в надежно запираемых хранилищах, а также в не запираемых шкафах, при условии, что бесконтрольный доступ посторонних лиц в хранилища (кабинеты) исключен.
Хранение Персональных данных в структурных подразделениях Компании, сотрудники которых имеют допуск к Персональным данным, осуществляется в порядке исключающим к ним доступ третьих лиц.
Организация защиты Персональных данных в Информационных системах Компании осуществляется в рамках действующей в Компании системы защиты информации. Доступ к Информационным системам Компании содержащим Персональные данные, обеспечиваются системой паролей и иными организационно–техническими мерами обеспечения безопасности информации.
Помещения, в которых ведется обработка Персональных данных, должны обеспечивать их сохранность, исключать возможность бесконтрольного проникновения в них посторонних лиц.
В течение рабочего дня ключи от шкафов (ящиков, хранилищ), в которых содержатся Персональные данные, а также помещений, где находятся средства вычислительной техники, предназначенные для обработки персональных данных, находятся на хранении у ответственных сотрудников.
По окончании рабочего времени помещения, предназначенные для обработки персональных данных должны быть закрыты на ключ.
Хранение Персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.
Не допускается отвечать на вопросы, связанные с передачей Персональной информации по телефону или факсу.
Все меры конфиденциальности при сборе, обработке и хранении Персональных данных Пользователя распространяются как на бумажные, так и на электронные носители информации.
5 Права субъектов на защиту своих Персональных данных
В целях обеспечения защиты своих Персональных данных субъект имеет право:
- получать полную информацию о своих Персональных данных и обработке этих данных (в том числе автоматизированной);
- осуществлять свободный бесплатный доступ к своим Персональным данным, за исключением случаев, предусмотренных Федеральным законом;
- требовать исключения или исправления неверных или неполных Персональных данных, а также данных, обработанных с нарушением Федерального закона (Пользователь, при отказе Компании или уполномоченного им лица исключить или исправить Персональные данные, имеет право заявить в письменной форме о своем несогласии, обосновав соответствующим образом такое несогласие; Персональные данные оценочного характера Пользователь имеет право дополнить заявлением, выражающим его собственную точку зрения);
- требовать от Компании или уполномоченного им лица уведомления всех лиц, которым ранее были сообщены неверные или неполные Персональные данные, обо всех произведенных в них изменениях или исключениях из них;
- обжаловать в суде любые неправомерные действия или бездействие руководителя Компании или уполномоченного им лица при обработке и защите Персональных данных;
- вносить предложения по мерам защиты Персональных данных.
6 Ответственность за нарушение норм, регулирующих обработку и защиту Персональных данных
Должностные лица, имеющие доступ к Персональным данным, несут личную ответственность за нарушение режима защиты Персональных данных в соответствии с законодательством Российской Федерации.
Каждый работник Компании, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.
Работники Компании, которым сведения о Персональных данных стали известны в силу их служебного положения, несут ответственность за их разглашение.
Обязательства по соблюдению конфиденциальности персональных данных остаются в силе и после окончания работы с ними вышеуказанных лиц.
За неисполнение или ненадлежащее исполнение работником по его вине возложенных на него обязанностей по соблюдению установленного порядка работы со сведениями конфиденциального характера работодатель вправе применять предусмотренные Трудовым кодексом РФ дисциплинарные взыскания.
Ответственность за соблюдение вышеуказанного порядка Обработки персональных данных несет работник, а также руководитель структурного подразделения, осуществляющего Обработку персональных данных.
Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту Персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, а также привлекаются к гражданско–правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
7 Контроль выполнения требований настоящего Положения
Повседневный контроль порядка обращения с Персональными данными осуществляют руководители структурных подразделений Компаний, в которых обрабатываются Персональные данные субъектов.
Периодический контроль выполнения настоящего Положения возлагается на должностное лицо Компании , ответственное за обеспечение безопасности Персональных данных.
