Назад

Политика в отношении обработки персональных данных в ООО «ИНФИНИТУМ Консалтинг»

  1. Общие положения
    1. Область применения и исключения из области применения
      1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) распространяет свое действие на ООО «ИНФИНИТУМ Консалтинг» (далее – Общество) и применяется ко всем работникам Общества.
      2. Настоящая Политика устанавливает порядок и условия обработки Обществом персональных данных (далее – ПДн) в качестве Оператора персональных данных (далее – Оператор ПДн).
      3. Положения Политики распространяются на все отношения, связанные с обработкой ПДн, осуществляемой Обществом:
        • с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка ПДн без использования таких средств соответствует характеру действий (операций), совершаемых с ПДн с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск ПДн, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях ПДн, и (или) доступ к таким ПДн;
        • без использования средств автоматизации.
    2. Нормативные ссылки
      1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - ФЗ «О персональных данных»).
    3. Термины, определения и сокращения
      1. Сокращения наименований структурных подразделений Общества применяются в соответствии с Организационно-структурной схемой Общества.
      2. Термины и определения, используемые только для целей настоящего документа, указаны в Приложении 1 и соответствуют документу «Единый Глоссарий» (далее – Глоссарий), размещенному на сетевом ресурсе Общества INFORMATION (далее – INFORMATION).
  2. Цели и правовое основание обработки ПДн
    1. Цели обработки ПДн
      1. Обработка ПДн осуществляется Обществом в следующих целях:
        • осуществление своей деятельности в соответствии с уставом Общества, в том числе заключение и исполнение договоров с поставщиками;
        • исполнение договоров консультационных и информационных услуг;
        • исполнение трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, в том числе: содействие работникам в трудоустройстве, получении образования и продвижении по службе, привлечение и отбор кандидатов на работу в Обществе, обеспечение личной безопасности работников, контроль количества и качества выполняемой работы, обеспечение сохранности имущества, ведение кадрового и бухучета, заполнение и передача в уполномоченные органы требуемых форм отчетности, организация постановки на индивидуальный (персонифицированный) учет работников в системах обязательного пенсионного страхования и обязательного социального страхования;
        • ведение бухгалтерского учета;
        • осуществление пропускного режима;
        • обработка ПДн в целях реагирования на запросы заявителей.
    2. Правовые основания обработки ПДн
      1. Основанием обработки ПДн в Обществе являются следующие нормативные акты и документы:
        • Конституция Российской Федерации;
        • уставные документы Общества;
        • договоры, заключаемые между Обществом и Субъектами ПДн, в том числе, договоры на оказание информационных и консультационных услуг;
        • согласия Субъектов ПДн на обработку ПДн (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Общества);
        • иные нормативные правовые акты Российской Федерации, определяющие случаи и особенности обработки ПДн и регулирующие отношения, связанные с деятельностью Общества.
      2. Обработка ПДн прекращается при реорганизации или ликвидации Общества.
  3. Особенности обработки ПДн в Обществе
    1. Объем и категории обрабатываемых ПДн, категории Субъектов ПДн
      1. В соответствии с целями обработки ПДн, указанными в п.2 настоящей Политики, Обществом осуществляется обработка ПДн следующих категорий Субъектов ПДн:
        • работники Общества;
        • заявители;
        • клиенты и контрагенты (физические лица), являющиеся клиентами Общества в рамках заключенных договоров на оказание информационных и консультационных услуг;
        • клиенты и контрагенты (физические лица) юридических лиц, являющихся клиентами Общества в рамках заключенных договоров на оказание информационных и консультационных услуг;
        • работники юридических лиц, являющихся клиентами Общества в рамках заключенных договоров на оказание информационных и консультационных услуг.
      2. В соответствии с целями обработки ПДн, указанными в п.2 настоящей Политики, Обществом осуществляется обработка следующих ПДн:
        • фамилия, имя, отчество (при наличии), в том числе прежние фамилии, имена и/или отчества (при наличии), в случае их изменения;
        • дата рождения;
        • место рождения;
        • данные документа, удостоверяющего личность (вид, серия, номер документа, код подразделения органа, выдавшего документ, дата выдачи);
        • гражданство (в том числе сведения о прежних гражданствах, иных гражданствах);
        • пол;
        • адрес регистрации по месту жительства;
        • адрес регистрации по месту временного пребывания;
        • адрес фактического проживания;
        • номер телефона или сведения о других способах связи;
        • адрес электронной почты;
        • почтовый адрес;
        • страховой номер индивидуального лицевого счета (СНИЛС);
        • идентификационный номер налогоплательщика (ИНН);
        • сведения о социальных льготах;
        • семейное положение;
        • сведения о близких родственниках и членах семьи, в том числе бывших супругах, (степень родства, фамилия, имя, отчество, дата рождения, номер телефона);
        • сведения об образовании, в том числе о послевузовском профессиональном образовании (наименование образовательного учреждения; наименование, реквизиты документа об образовании, дата поступления, дата окончания; квалификация по документу об образовании; направление или специальность по документу об образовании; адрес образовательного учреждения);
        • сведения о трудовой деятельности, включая военную службу (дата начала работы, дата окончания работы; должность; наименование учреждения, организации, предприятия; местонахождение учреждения, организации, предприятия);
        • информация о работе по совместительству (наименование организации, должность);
        • информация о предпринимательской деятельности (направление деятельности);
        • информация о владении иностранными языками;
        • сведения об ученой степени, ученом звании;
        • сведения о наличии научных трудов и изобретений;
        • информация о компетенциях (знаниях и умениях);
        • информация о правительственных наградах;
        • информация об отношении к воинской обязанности (категория запаса, воинское звание, категория годности к военной службе, ВУС, информация о наличии мобилизационного предписания, информация о снятии с воинского учета);
        • сведения о профессиональной переподготовке и (или) повышении квалификации (включая дату начала и окончания обучения/переподготовки, вид повышения квалификации/специальность (направление), наименование образовательного учреждения, место его нахождения; наименование, серию и номер документа о повышении квалификации/переподготовке, основание);
        • сведения о доходах и других платежах (оклад, надбавки/доплаты, начисление, удержание и перечисление налогов и социальных выплат);
        • информация о начислениях и удержаниях сумм заработной платы;
        • сведения об отпусках, больничных, командировках и прочих отсутствиях;
        • табельный номер;
        • реквизиты банковского счета (расчетный счет, наименование банка, корреспондентский счет, лицевой счет, БИК);
        • сведения об участии в органах управления других юридических лиц;
        • сведения, характеризующие физиологические особенности (видеоинформация и фотографии);
        • сведения из страховых полисов обязательного/добровольного медицинского страхования;
        • сведения о наличии или отсутствии судимостей;
        • иные сведения, которые Субъект ПДн пожелал сообщить о себе, и которые отвечают целям обработки ПДн, указанных в разделе 2 настоящей Политики.
  4. Порядок и условия обработки ПДн
    1. Принципы обработки ПДн
      1. Обработка ПДн осуществляется Обществом в соответствии со следующими принципами:
        • обработка ПДн осуществляется на законной и справедливой основе;
        • обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
        • не допускается обработка ПДн, несовместимая с целями сбора ПДн;
        • не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
        • обработке подлежат только ПДн, которые отвечают целям их обработки;
        • содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки;
        • обрабатываемые ПДн не избыточны по отношению к заявленным целям их обработки;
        • при обработке ПДн обеспечиваются точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн;
        • Общество принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
        • хранение ПДн осуществляется в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен законодательством РФ, договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн;
        • обрабатываемые ПДн подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ.
    2. Условия обработки ПДн
      1. Обработка ПДн осуществляется с согласия Субъекта ПДн на обработку его ПДн.
      2. Обработка ПДн без согласия Субъекта ПДн допускается в случаях, предусмотренных пунктами 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 ФЗ «О персональных данных».
    3. Условия обработки специальных категорий ПДн
      1. Обработка специальных категорий ПДн не осуществляется.
    4. Условия обработки биометрических ПДн
      1. Обществом обрабатываются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические ПДн) и которые используются Обществом для установления личности Субъекта ПДн.
    5. Условия обработки иных категорий ПДн
      1. Обработка иных категорий ПДн осуществляется Обществом с соблюдением следующих условий:
        • обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом;
        • для осуществления и выполнения возложенных законодательством Российской Федерации на Общество функций, полномочий и обязанностей.
    6. Порядок взаимодействия с третьими лицами
      1. Общество может поручить обработку ПДн другому лицу на основании заключаемого с этим лицом договора (поручения Оператора ПДн).
      2. Общество не раскрывает третьим лицам и не предоставляет ПДн без согласия Субъекта ПДн, за исключением случаев, установленных законодательством Российской Федерации.
    7. Конфиденциальность ПДн
      1. Работники Общества, получившие доступ к ПДн, не раскрывают третьим лицам и не распространяют ПДн без согласия Субъекта ПДн, если иное не предусмотрено законодательством РФ.
    8. Согласие Субъекта ПДн на обработку его ПДн
      1. Субъект ПДн принимает решение о предоставлении его ПДн и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн должно быть конкретным, информированным и сознательным. Согласие на обработку ПДн может быть дано Субъектом ПДн или его представителем в любой, позволяющей подтвердить факт его получения форме, если иное не установлено ФЗ «О персональных данных».
      2. В случае получения согласия на обработку ПДн от представителя Субъекта ПДн полномочия данного представителя на дачу согласия от имени Субъекта ПДн проверяются Обществом.
      3. Согласие на обработку ПДн может быть отозвано Субъектом ПДн. В случае отзыва Субъектом ПДн согласия на обработку ПДн Общество вправе продолжить обработку ПДн без согласия Субъекта ПДн при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 ФЗ «О персональных данных».
      4. Обязанность предоставить доказательства получения согласия Субъекта ПДн на обработку его ПДн или доказательства наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 ФЗ «О персональных данных», возлагается на Общество.
      5. В случаях, предусмотренных ФЗ «О персональных данных», обработка ПДн осуществляется только с согласия в письменной форме Субъекта ПДн. Равнозначным содержащему собственноручную подпись Субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с Федеральным законом от 06.04.2011 № 63 «Об электронной подписи» электронной подписью. Согласие в письменной форме Субъекта ПДн на обработку его ПДн должно включать в себя, в частности:
        • фамилию, имя, отчество, адрес Субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
        • фамилию, имя, отчество, адрес представителя Субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя Субъекта ПДн);
        • наименование и адрес Общества;
        • цель обработки ПДн;
        • перечень ПДн, на обработку которых дается согласие Субъекта ПДн;
        • наименование или фамилию, имя, отчество и адрес лица/организации, осуществляющих обработку ПДн по поручению Общества, если обработка будет поручена такому лицу/организации;
        • перечень действий с ПДн, на совершение которых дается согласие, общее описание используемых Обществом способов обработки ПДн;
        • срок, в течение которого действует согласие Субъекта ПДн, а также способ его отзыва, если иное не установлено законодательством РФ;
        • подпись Субъекта ПДн.
      6. В случае недееспособности Субъекта ПДн согласие на обработку его ПДн дает законный представитель Субъекта ПДн.
      7. В случае смерти Субъекта ПДн согласие на обработку его ПДн дают наследники Субъекта ПДн, если такое согласие не было дано Субъектом ПДн при его жизни.
      8. ПДн могут быть получены Обществом от лица, не являющегося Субъектом ПДн, при условии предоставления Обществом подтверждения наличия оснований обработки информации, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 ФЗ «О персональных данных».
    9. Трансграничная передача ПДн
      1. Трансграничная передача ПДн Обществом не осуществляется.
  5. Обработка ПДн, осуществляемая без использования средств автоматизации
    1. Общие положения
      1. Обработка ПДн, содержащихся в информационной системе персональных данных (далее – ИСПДн) либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с ПДн, как использование, уточнение, распространение, уничтожение ПДн в отношении каждого из Субъектов ПДн, осуществляются при непосредственном участии человека.
    2. Особенности организации обработки ПДн, осуществляемой без использования средств автоматизации
      1. ПДн при их обработке, осуществляемой без использования средств автоматизации, обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях ПДн (далее – материальные носители), в специальных разделах или на полях форм (бланков).
      2. При фиксации ПДн на материальных носителях не допускается фиксация на одном материальном носителе ПДн, цели обработки которых заведомо не совместимы. Для обработки различных категорий ПДн, осуществляемой без использования средств автоматизации, для каждой категории ПДн используется отдельный материальный носитель.
      3. Лица, осуществляющие обработку ПДн без использования средств автоматизации (в том числе работники Общества или лица, осуществляющие такую обработку по договору c Обществом), проинформированы о факте обработки ими ПДн, обработка которых осуществляется Обществом без использования средств автоматизации, категориях обрабатываемых ПДн, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также внутренними документами Общества.
      4. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них ПДн (далее – типовая форма), соблюдаются следующие условия:
        • типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) содержат сведения о цели обработки ПДн, осуществляемой без использования средств автоматизации, имя (наименование) и адрес Общества, фамилию, имя, отчество и адрес Субъекта ПДн, источник получения ПДн, сроки обработки ПДн, перечень действий с ПДн, которые будут совершаться в процессе их обработки, общее описание используемых Обществом способов обработки ПДн;
        • типовая форма предусматривает поле, в котором Субъект ПДн может поставить отметку о своем согласии на обработку ПДн, осуществляемую без использования средств автоматизации, – при необходимости получения письменного согласия на обработку ПДн;
        • типовая форма составляется таким образом, чтобы каждый из Субъектов ПДн, указанных в документе, имел возможность ознакомиться со своими ПДн, содержащимися в документе, не нарушая прав и законных интересов иных Субъектов ПДн;
        • типовая форма исключает объединение полей, предназначенных для внесения ПДн, цели обработки которых заведомо не совместимы.
      5. При ведении журналов (реестров, книг), содержащих ПДн, необходимые для однократного пропуска Субъекта ПДн на территории Общества, или в иных аналогичных целях, соблюдаются следующие условия:
        • необходимость ведения такого журнала (реестра, книги) предусмотрена актом Общества, содержащим сведения о цели обработки ПДн, осуществляемой без использования средств автоматизации, способы фиксации и состав информации, запрашиваемой у Субъектов ПДн, перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответственных за ведение и сохранность журнала (реестра, книги), сроки обработки ПДн, а также сведения о порядке пропуска Субъекта ПДн на территорию, на которой находится Общество, без подтверждения подлинности ПДн, сообщенных Субъектом ПДн;
        • копирование содержащейся в таких журналах (реестрах, книгах) информации не допускается;
        • ПДн каждого Субъекта ПДн могут заноситься в такой журнал (книгу, реестр) не более одного раза в каждом случае пропуска Субъекта ПДн на территорию Общества.
      6. При несовместимости целей обработки ПДн, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку ПДн отдельно от других зафиксированных на том же носителе ПДн, принимаются меры по обеспечению раздельной обработки ПДн, в частности:
        • при необходимости использования или распространения определенных ПДн отдельно от находящихся на том же материальном носителе других ПДн осуществляется копирование ПДн, подлежащих распространению или использованию, способом, исключающим одновременное копирование ПДн, не подлежащих распространению и использованию, и используется (распространяется) копия ПДн;
        • при необходимости уничтожения или блокирования части ПДн уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование ПДн, подлежащих уничтожению или блокированию.
      7. Уничтожение части ПДн, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих ПДн с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление информации, уничтожение материального носителя, содержащего ПДн). Указанные правила применяются также в случае, если необходимо обеспечить раздельную обработку зафиксированных на одном материальном носителе ПДн и информации, не являющейся ПДн.
      8. 5.2.8. Уточнение ПДн при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными ПДн.
    3. Меры по обеспечению безопасности ПДн при их обработке, осуществляемой без использования средств автоматизации
      1. Обработка ПДн, осуществляемая без использования средств автоматизации, производится таким образом, чтобы в отношении каждой категории ПДн можно определить места хранения ПДн (материальных носителей) и установить перечень лиц, осуществляющих обработку ПДн либо имеющих к ним доступ.
      2. Обеспечивается раздельное хранение ПДн (материальных носителей), обработка которых осуществляется в различных целях.
      3. При хранении материальных носителей соблюдаются условия, обеспечивающие сохранность ПДн и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются Обществом.
    4. Право Субъекта ПДн на доступ к его ПДн
      1. Субъект ПДн имеет право на получение информации (далее – запрашиваемая Субъектом информация), касающейся обработки его ПДн, в том числе содержащей:
        • подтверждение факта обработки ПДн Обществом;
        • правовые основания и цели обработки ПДн;
        • цели и применяемые Обществом способы обработки ПДн;
        • наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Обществом или на основании законодательства РФ;
        • обрабатываемые ПДн, относящиеся к соответствующему Субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен законодательством РФ;
        • сроки обработки ПДн, в том числе сроки их хранения;
        • информацию об осуществленной или о предполагаемой трансграничной передаче данных;
        • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Общества, если обработка поручена или будет поручена такому лицу;
        • иные сведения, предусмотренные ФЗ «О персональных данных» или другими нормативно-правовыми актами РФ.
      2. Субъект ПДн имеет право на получение запрашиваемой Субъектом информации, за исключением следующих случаев:
        • обработка ПДн, включая ПДн, полученные в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
        • обработка ПДн осуществляется органами, осуществившими задержание Субъекта ПДн по подозрению в совершении преступления, либо предъявившими Субъекту ПДн обвинение по уголовному делу, либо применившими к Субъекту ПДн меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими ПДн;
        • обработка ПДн осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
        • доступ Субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц;
        • обработка ПДн осуществляется в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
      3. Субъект ПДн вправе требовать от Общества уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
      4. Запрашиваемая Субъектом информация должна быть предоставлена Субъекту ПДн Общества в доступной форме и в ней не должны содержаться ПДн, относящиеся к другим Субъектам ПДн, за исключением случаев, если имеются законные основания для раскрытия таких ПДн.
      5. Запрашиваемая информация предоставляется Субъекту ПДн или его представителю Обществом при обращении либо при получении запроса Субъекта ПДн или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность Субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие Субъекта ПДн в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Обществом, подпись Субъекта ПДн или его представителя (далее – необходимая для запроса информация). Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
      6. В случае если запрашиваемая Субъектом информация, а также обрабатываемые ПДн были предоставлены для ознакомления Субъекту ПДн по его запросу, Субъект ПДн вправе обратиться повторно в Общество или направить повторный запрос в целях получения запрашиваемой Субъектом информации и ознакомления с такими ПДн не ранее чем через тридцать дней (далее – нормированный срок запроса) после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен Федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект ПДн.
      7. Субъект ПДн вправе обратиться повторно в Общество или направить повторный запрос в целях получения запрашиваемой Субъектом информации, а также в целях ознакомления с обрабатываемыми ПДн до истечения нормированного срока запроса, в случае, если такие сведения и (или) обрабатываемые ПДн не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду с необходимой для запроса информацией должен содержать обоснование направления повторного запроса.
      8. Общество вправе отказать Субъекту ПДн в выполнении повторного запроса, не соответствующего условиям повторного запроса. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Обществе.
    5. Права Субъектов ПДн при обработке их ПДн в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации
      1. Обработка ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации Обществом не осуществляется.
    6. Права Субъектов ПДн при принятии решений на основании исключительно автоматизированной обработки их ПДн
      1. Принятие на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении Субъекта ПДн или иным образом затрагивающих его права и законные интересы, Обществом не осуществляется.
    7. Право на обжалование действий или бездействия Общества
      1. Если Субъект ПДн считает, что Общество осуществляет обработку его ПДн с нарушением требований ФЗ «О персональных данных» или иным образом нарушает его права и свободы, Субъект ПДн вправе обжаловать действия или бездействие Общества в уполномоченный орган по защите прав Субъектов ПДн или в судебном порядке.
      2. Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
  6. Обязанности Общества как Оператора ПДн
    1. Обязанности Общества при сборе ПДн
      1. При сборе ПДн Общество предоставляет Субъекту ПДн по его просьбе запрашиваемую информацию, касающуюся обработки его ПДн в соответствии с частью 7 статьи 14 ФЗ «О персональных данных».
      2. Если предоставление ПДн является обязательным в соответствии с законодательством РФ, Общество разъясняет Субъекту ПДн юридические последствия отказа предоставить его ПДн.
      3. Если ПДн получены не от Субъекта ПДн, Общество до начала обработки таких ПДн предоставляет Субъекту ПДн следующую информацию (далее – информация, сообщаемая при получении ПДн не от Субъекта ПДн):
        • наименование и адрес Общества или либо фамилия, имя, отчество представителя Общества;
        • цель обработки ПДн и ее правовое основание;
        • предполагаемые пользователи ПДн;
        • установленные ФЗ «О персональных данных» права Субъекта ПДн;
        • источник получения ПДн.
      4. Общество не предоставляет Субъекту ПДн информацию, сообщаемую при получении ПДн не от Субъекта ПДн, в случаях, если:
        • Субъект ПДн уведомлен об осуществлении обработки его ПДн Обществом;
        • ПДн получены Обществом на основании ФЗ «О персональных данных» или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является Субъект ПДн;
        • Общество осуществляет обработку ПДн для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы Субъекта ПДн;
        • предоставление Субъекту ПДн информации, сообщаемой при получении ПДн не от Субъекта ПДн, нарушает права и законные интересы третьих лиц.
      5. При сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет», Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации, обрабатываемых в информационных системах с использованием баз данных, находящихся на территории Российской Федерации.
      6. Местонахождение центра(ов) обработки данных и сведения об организации, ответственной за хранение данных, определены внутренними документами Общества.
    2. Меры, направленные на обеспечение выполнения Обществом своих обязанностей
      1. Общество принимает меры, необходимые и достаточные для обеспечения выполнения своих обязанностей. Общество самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, если иное не предусмотрено законодательством РФ. К таким мерам, в частности, относятся:
        • назначение ответственного за организацию обработки ПДн;
        • издание Политики, локальных актов по вопросам обработки ПДн, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
        • применение правовых, организационных и технических мер по обеспечению безопасности ПДн;
        • осуществление внутреннего контроля и (или) аудита соответствия обработки ПДн требованиям к защите ПДн, Политике, локальным актам Общества;
        • оценка вреда, который может быть причинен Субъектам ПДн в случае нарушения ФЗ «О персональных данных», соотношение указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ «О персональных данных»;
        • ознакомление работников Общества, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе требованиями к защите ПДн, документами, Политикой, локальными актами по вопросам обработки ПДн, и (или) обучение указанных работников.
    3. Меры по обеспечению безопасности ПДн при их обработке Обществом
      1. Общество при обработке ПДн принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.
      2. Обеспечение безопасности ПДн достигается, в частности:
        • определением угроз безопасности ПДн при их обработке в ИСПДн;
        • применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в Обществе, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПДн;
        • применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
        • оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
        • учетом машинных носителей ПДн;
        • обнаружением фактов несанкционированного доступа к ПДн и принятием мер;
        • восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
        • установлением правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечением регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;
        • контролем за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн.
      3. Использование и хранение биометрических ПДн вне ИСПДн могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения.
    4. Обязанности Общества при обращении к нему Субъекта ПДн либо при получении запроса Субъекта ПДн или его представителя, а также уполномоченного органа по защите прав Субъектов ПДн
      1. Общество сообщает в установленном порядке Субъекту ПДн или его представителю информацию о наличии ПДн, относящихся к соответствующему Субъекту ПДн, а также предоставляет возможность ознакомления с этими ПДн при обращении Субъекта ПДн или его представителя либо в течение тридцати дней с даты получения запроса Субъекта ПДн или его представителя.
      2. В случае отказа в предоставлении информации о наличии ПДн о соответствующем Субъекте ПДн или персональных данных Субъекту ПДн или его представителю при их обращении либо при получении запроса Субъекта ПДн или его представителя Общество дает в письменной форме мотивированный ответ в срок, не превышающий тридцати дней со дня обращения Субъекта ПДн или его представителя либо с даты получения запроса Субъекта ПДн или его представителя.
      3. Общество предоставляет безвозмездно Субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к этому Субъекту ПДн. В срок, не превышающий семи рабочих дней со дня предоставления Субъектом ПДн или его представителем сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными, Общество вносит в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления Субъектом ПДн или его представителем сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Общество уничтожает такие ПДн. Общество уведомляет Субъекта ПДн или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым ПДн этого Субъекта были переданы.
      4. Общество сообщает в уполномоченный орган по защите прав Субъектов ПДн (Роскомнадзор) по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса.
    5. 6.5. Обязанности Общества по устранению нарушений законодательства, допущенных при обработке ПДн, по уточнению, блокированию и уничтожению ПДн
      1. В случае выявления неправомерной обработки ПДн при обращении Субъекта ПДн или его представителя либо по запросу Субъекта ПДн или его представителя либо уполномоченного органа по защите прав Субъектов ПДн Общество осуществляет блокирование неправомерно обрабатываемых ПДн, относящихся к этому Субъекту ПДн, или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) с момента такого обращения или получения указанного запроса на период проверки.
      2. В случае выявления неточных ПДн при обращении Субъекта ПДн или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав Субъектов ПДн Общество осуществляет блокирование ПДн, относящихся к этому Субъекту ПДн, или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы Субъекта ПДн или третьих лиц.
      3. В случае подтверждения факта неточности ПДн Обществом на основании сведений, представленных Субъектом ПДн или его представителем либо уполномоченным органом по защите прав Субъектов ПДн, или иных необходимых документов уточняет ПДн либо обеспечивает их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) в течение семи рабочих дней со дня представления таких сведений и снимает блокирование ПДн.
      4. В случае выявления неправомерной обработки ПДн, осуществляемой Обществом или лицом, действующим по поручению Общества, Общество в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку ПДн или обеспечивает прекращение неправомерной обработки ПДн лицом, действующим по поручению Общества.
      5. В случае, если обеспечить правомерность обработки ПДн невозможно, Общество в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки ПДн, уничтожает такие ПДн или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн Общество уведомляет Субъекта ПДн или его представителя, а в случае, если обращение Субъекта ПДн или его представителя либо запрос уполномоченного органа по защите прав Субъектов ПДн были направлены уполномоченным органом по защите прав Субъектов ПДн, также указанный орган.
      6. В случае достижения цели обработки ПДн Общество прекращает обработку ПДн или обеспечивает ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн, иным соглашением между Обществом и Субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия Субъекта ПДн на основаниях, предусмотренных ФЗ «О персональных данных» или другими Федеральными законами.
      7. В случае отзыва Субъектом ПДн согласия на обработку его ПДн Общество прекращает их обработку или обеспечивает прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн, иным соглашением между Обществом и Субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия Субъекта ПДн на основаниях, предусмотренных ФЗ «О персональных данных» или другими Федеральными законами.
      8. В случае отсутствия возможности уничтожения ПДн в течение указанного срока, Общество блокирует такие ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен законодательством РФ.
    6. 6.6. Уведомление об обработке ПДн
      1. Общество, за исключением случаев, предусмотренных ФЗ «О персональных данных», до начала обработки ПДн уведомляет уполномоченный орган по защите прав Субъектов ПДн (Роскомнадзор) о своем намерении осуществлять обработку ПДн.
      2. Уведомление направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление содержит следующие сведения:
        • наименование и адрес Общества;
        • цель обработки ПДн;
        • категории ПДн;
        • категории Субъектов, ПДн которых обрабатываются;
        • правовое основание обработки ПДн;
        • перечень действий с ПДн, общее описание используемых Обществом способов обработки ПДн;
        • описание мер, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
        • фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки ПДн, и номера их контактных телефонов, почтовые адреса и адреса электронной почты;
        • дата начала обработки ПДн;
        • срок или условие прекращения обработки ПДн;
        • сведения о наличии или об отсутствии трансграничной передачи ПДн в процессе их обработки;
        • сведения о месте нахождения базы данных информации, содержащей ПДн граждан Российской Федерации;
        • сведения об обеспечении безопасности ПДн в соответствии с требованиями к защите ПДн, установленными Правительством Российской Федерации.
      3. В случае изменения указанных сведений, а также в случае прекращения обработки ПДн Общество уведомляет об этом уполномоченный орган по защите прав Субъектов ПДн в течение десяти рабочих дней с даты возникновения таких изменений или с даты прекращения обработки ПДн.
  7. Сферы ответственности
    1. Лица, ответственные за организацию обработки ПДн в Обществе
      1. Общество назначает лицо, ответственное за организацию обработки ПДн.
      2. Лицо, ответственное за организацию обработки ПДн, получает указания непосредственно от Генерального директора Общества, и подотчетно ему. Общество предоставляет лицу, ответственному за организацию обработки ПДн, необходимые сведения.
      3. Ввод в эксплуатацию новых ИСПДн производится только после выполнения процедур оценки эффективности принимаемых мер по обеспечению безопасности ПДн.
      4. Для обеспечения неограниченного доступа настоящая Политика опубликована на корпоративном портале «ВНУТРИНИТУМ» и на web-сайте Общества.
      5. Обеспечение реализации прав Субъектов ПДн осуществляется посредством исполнения запросов, поступающих от физических лиц в Общество по адресу: 115162, Россия, Москва, ул. Шаболовка, д. 31, стр. Б.
      6. Лицо, ответственное за организацию обработки ПДн, выполняет следующие функции:
        • осуществляет внутренний контроль за соблюдением Обществом и работниками Общества законодательства РФ о ПДн, в том числе требований к защите ПДн;
        • доводит до сведения работников Общества положения законодательства РФ о ПДн, внутренних документов по вопросам обработки ПДн, требований к защите ПДн;
        • организовывает прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов.
    2. Ответственность
      1. Лица, виновные в нарушении требований ФЗ «О персональных данных», несут предусмотренную законодательством РФ ответственность.
      2. Моральный вред, причиненный Субъекту ПДн вследствие нарушения его прав, нарушения правил обработки ПДн, установленных ФЗ «О персональных данных», а также требований к защите ПДн, установленных в соответствии с ФЗ «О персональных данных», подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных Субъектом ПДн убытков.
    3. Ключевые результаты
      1. При достижении целей ожидаются следующие результаты:
        • обеспечение защиты прав и свобод Субъектов ПДн при обработке его ПДн Обществом;
        • повышение общего уровня информационной безопасности Общества;
        • минимизация юридических рисков Общества.
    4. Связные политики
      1. Связные политики отсутствуют.

Приложение 1

Термины и определения


Термин Определение
Автоматизированная обработка персональных данных Обработка персональных данных с помощью средств вычислительной техники
Блокирование персональных данных
Временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения
персональных данных)
Информационная система персональных данных (ИСПДн) Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных
технологий и технических средств
Обезличивание персональных данных  Действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных
Обработка персональных данных Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без
использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных
Оператор персональных данных
(Оператор ПДн)
Государственный орган, муниципальный орган, юридическое или
физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
Персональные данные (ПДн) Любая информация, относящаяся к прямо или косвенно
определенному или определяемому физическому лицу (субъекту персональных данных)
Предоставление персональных данных  Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц
Распространение персональных данных Действия, направленные на раскрытие персональных данных неопределенному кругу лиц
Субъект персональных данных (Субъект ПДн) Физическое лицо, прямо или косвенно определяемое на основании информации, относящейся к персональным данным
Трансграничная передача персональных данных Передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу
Уничтожение персональных данных Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных

1