Политика обработки и защиты персональных данных

Содержание

1. Общие положения
2. Термины, определения, обозначения и сокращения
3. Перечень ссылочных документов
4. Цели положения
5. Цели сбора персональных данных
6. Правовые основания обработки персональных данных
7. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
8. Порядок и условия обработки персональных данных
9. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов
10. Обработка персональных данных без использования средств автоматизации
11. Обработка персональных данных с использованием средств автоматизации
12. Обеспечение безопасности
13. Заключительные положения
14. Приложения

1. Общие положения

Цель издания документа: Соблюдение законодательства Российской Федерации, регулирующего отношения, связанные с обработкой и обеспечением безопасности персональных данных

Область применения: Действие положения распространяется на работников ООО «Энергострой», участвующих в обработке персональных данных.

Ответственный за внесение изменений: Заместитель генерального директора по рискам и внутреннему контролю

Ответственный за ознакомление: Офис менеджер

2. Термины, определения, обозначения и сокращения

2.1 Термины и определения

Термин/определение	Расшифровка
Биометрические персональные данные	сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.
Блокирование персональных данных	временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных)
Доступ к информации	ознакомление с информацией, ее обработка, в частности, копирование, модификация или уничтожение информации
Информационная система персональных данных (ИСПДн)	совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств
Несанкционированный доступ (НСД)	доступ к информации, хранящейся на различных типах носителей в компьютерных базах данных, файловых хранилищах, архивах, секретных частях и т. д. различных организаций путём изменения (повышения, фальсификации) своих прав доступа
Носитель информации	любой материальный объект или среда, используемый для хранения или передачи информации
Персональные данные (ПДн)	любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)
Оператор	государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
Субъект ПДн	физическое лицо, которому принадлежат персональные данные и по которым его можно определить
Обработка персональных данных	любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных
Предоставление персональных данных	действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц
Распространение персональных данных	действия, направленные на раскрытие персональных данных неопределенному кругу лиц
Специальные категории персональных данных	категории персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни
Субъект персональных данных	физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных
Трансграничная передача персональных данных	передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу
Уничтожение персональных данных	действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных
Контрагент	юридическое лицо, индивидуальный предприниматель, физическое лицо, находящиеся с ООО «Энергострой» в обязательственных отношениях, возникших в связи с заключением договора либо по иным, предусмотренным законодательством основаниям
Конфиденциальность информации	обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия её обладателя
Информационные ресурсы	отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах)

2.2 Обозначения и сокращения

Обозначение/сокращение	Расшифровка
Политика	Политика обработки и защиты персональных данных
Общество	ООО «Энергострой»
Субъект	Физическое лицо, которому принадлежат персональные данные и по которым его можно определить
ГПХ	Договор гражданско-правового характера

3. Перечень ссылочных документов

Вид, дата и номер документа	Заголовок документа
Федеральный закон от 27.07.2006 № 149–ФЗ	Об информации, информационных технологиях и о защите информации
Федеральный закон от 27.07.2006 № 152–ФЗ	О персональных данных

4. Цели положения

4.1. В целях соблюдения законодательства Российской Федерации, регулирующего отношения, связанные с обработкой и обеспечением безопасности персональных данных, а также поддержания деловой репутации Общества считает своей задачей соблюдение принципов законности, справедливости и конфиденциальности при обработке персональных данных, а также обеспечение безопасности процессов их обработки.

4.2. Настоящая Политика в отношении обработки и защиты персональных данных в Обществе:

раскрывает основные категории персональных данных, обрабатываемых Обществом, цели, способы и принципы обработки персональных данных, права и обязанности Общества при обработке персональных данных, права субъектов персональных данных;
является общедоступным документом, декларирующим концептуальные основы деятельности Общества при обработке персональных данных.

4.3. Основные права Субъектов персональных данных:

Субъект персональных данных имеет право на получение сведений об обработке его персональных данных в Обществе;
Субъект персональных данных вправе требовать от Общества, которое их обрабатывает, уточнения этих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
Право Субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами;
Для реализации своих прав и защиты законных интересов Субъект персональных данных имеет право обратиться к Обществу. Общество рассматривает любые обращения и жалобы со стороны субъектов персональных данных, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке;
Субъект персональных данных вправе обжаловать действия или бездействие Общества путем обращения в уполномоченный орган по защите прав субъектов персональных данных (территориальный орган Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций);
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.

4.4. Основные обязанности Общества:

соблюдать требования законодательства РФ в области обработки и защиты персональных данных;
при сборе персональных данных предоставлять субъекту персональных данных по его просьбе информацию, касающуюся обработки персональных данных;
если предоставление персональных данных является обязательным в соответствии с федеральным законом, обеспечивать разъяснение субъекту персональных данных юридических последствий отказа предоставить его персональные данные;
при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), передачу (предоставление, доступ), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации;
опубликовать или иным образом обеспечить неограниченный доступ к актуальному документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;
принимать необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним;
сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя;
уточнять персональные данные субъектов, блокировать и уничтожать их в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки;
прекратить обработку персональных данных в случае отзыва субъектом персональных данных согласия на обработку его персональных данных. Общество вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

5. Цели сбора персональных данных

5.1. Общество обрабатывает персональные данные следующих категорий Субъектов персональных данных:

Персональные данные работников;
Персональные данные родственников работников;
Персональные данные бывших работников;
Персональные данные контрагентов, представителей юридических лиц;
Персональные данные кандидатов на замещение вакантных должностей;
Персональные данные работников по ГПХ;
Персональные данные пользователей сайта energo-stroy.org.

5.2. Общество обрабатывает персональные данные работников исключительно в целях: выполнения требований законодательства Российской Федерации; осуществления трудовых отношений; ведения бухгалтерского, налогового и кадрового учета; заключения и выполнения обязательств по трудовым договорам; передачи документов и копий документов для ведения кадрового учета; выплаты заработной платы; информирования.

5.3. Общество обрабатывает персональные данные родственников работников в целях выполнения требований законодательства Российской Федерации, ведения кадрового учета и информирования.

5.4. Общество обрабатывает персональные данные бывших работников исключительно в целях выполнения требований законодательства Российской Федерации, ведения бухгалтерского учета.

5.5. Общество обрабатывает персональные данные контрагентов, представителей юридических лиц исключительно в целях заключения и выполнения обязательств по договорам.

5.6. Общество обрабатывает персональные данные кандидатов на замещение вакантных должностей исключительно в целях принятия решения о трудоустройстве кандидата в Общество.

5.7. Общество обрабатывает персональные данные работников по ГПХ исключительно в целях заключения и выполнения обязательств по договорам гражданско-правового характера.

5.8. Общество обрабатывает персональные данные пользователей сайта исключительно в целях: идентификации Пользователя в рамках Сайта; организации обратной связи с Пользователем; заключения и выполнения обязательств по договорам; приема и обработки заявок и обращений Пользователя; аналитики действий лица на Сайте и функционирования Сайта; рассылки новостной информации.

6. Правовые основания обработки персональных данных

6.1. Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми Общество осуществляет обработку персональных данных.

6.2. Обработка персональных данных в Обществе осуществляется в соответствии с правовыми основаниями, определенными: Конституцией РФ, Трудовым кодексом РФ, Гражданским кодексом РФ, Уголовным кодексом РФ, КоАП РФ, Налоговым кодексом РФ, Федеральным законом от 19.12.2005 №160-ФЗ, Федеральным законом от 27.07.2006 №149-ФЗ, Постановлением Правительства РФ от 01.11.2012 № 1119, Постановлением Правительства РФ от 15.09.2008 № 687, Федеральным законом от 02.05.2006 № 59-ФЗ, Федеральным законом от 06.12.2011 № 402-ФЗ, Законом РФ от 19.04.1991 № 1032-1, Федеральным законом от 15.12.2001 № 167-ФЗ, Федеральным законом от 22.10.2004 № 125-ФЗ, Федеральным законом от 01.04.1996 № 27-ФЗ, Федеральным законом от 29.11.2010 № 326-ФЗ, Федеральным законом от 28.03.1998 № 53-ФЗ, Постановлением правления ПФР от 31.07.2006 г. № 192п, Уставом Общества, договорами, трудовыми договорами, согласиями субъектов.

7. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

7.1. Содержание и объем обрабатываемых персональных данных Субъектов соответствует целям обработки.

7.2. Персональные данные работников: фамилия, имя, отчество; ИНН; СНИЛС; пол; данные военного билета; № и дата Трудового договора; дата рождения; место рождения; гражданство; данные об образовании; профессия; стаж работы; состояние в браке; состав семьи; данные документа, удостоверяющего личность; адрес регистрации; фактический адрес; телефон; сведения об отношении к воинской службе; дата приема на работу; характер работы; вид работы; структурное подразделение; должность; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; ранее занимаемая должность; тарифная ставка; личная подпись; электронная подпись; сведения об аттестации; сведения о профессиональной подготовке; сведения о наградах; сведения об отпусках; сведения о социальных льготах; сведения об увольнении; сведения из справки об инвалидности; срок действия временной регистрации; сведения о доходах; фото; адрес электронной почты.

7.3. Персональные данные бывших работников: аналогично п.7.2 (без некоторых позиций).

7.4. Персональные данные родственников работников: степень родства; фамилия, имя, отчество; прежние ФИО; фото; дата рождения.

7.5. Персональные данные контрагентов: фамилия, имя, отчество; должность; дата рождения; место рождения; адрес места жительства; данные документа, удостоверяющего личность; пол; место работы; адрес электронной почты; номер телефона.

7.6. Персональные данные кандидатов: фамилия, имя, отчество; дата рождения; пол; место работы; гражданство; информация об образовании; информация о дополнительном образовании; семейное положение; сведения о трудовой деятельности; адрес электронной почты; контактный телефон; профессиональные навыки.

7.7. Персональные данные работников по ГПХ: фамилия, имя, отчество; дата рождения; адрес проживания; ИНН; сведения из документа, удостоверяющего личность; СНИЛС; банковские реквизиты; номер телефона; электронная почта.

7.8. Персональные данные пользователей сайта: фамилия, имя, отчество; IP-адрес; информация о браузере; телефон.

7.9. Общество не выполняет обработку специальных категорий персональных данных.

7.10. Общество не осуществляет трансграничную передачу персональных данных.

7.11. В Обществе созданы общедоступные источники персональных данных (сайт).

8. Порядок и условия обработки персональных данных

8.1-8.17. Обработка осуществляется при условии получения согласия субъектов. Включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, блокирование, удаление, уничтожение. Общество вправе передавать данные уполномоченным органам. Не используются базы данных за пределами РФ. Срок хранения – не дольше, чем требуют цели обработки. Принимаются необходимые меры защиты.

9. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов

9.1-9.13. При выявлении неправомерной обработки – блокирование. При неточных данных – блокирование на период проверки, затем уточнение. По запросу субъекта предоставляется информация об обработке. Запрос может быть направлен в электронной форме. При достижении целей обработки или отзыве согласия – уничтожение, если иное не предусмотрено договором или законом.

10. Обработка персональных данных без использования средств автоматизации

10.1-10.12. Обработка без средств автоматизации осуществляется с учетом требований Постановления Правительства РФ № 687. Данные обособляются от иной информации. Для каждой категории – отдельный носитель. Типовые формы должны содержать цель обработки, наименование оператора, сроки и т.д. Журналы ведутся с соблюдением условий. По истечении срока хранения (30 дней, если иное не установлено) документы уничтожаются. Обеспечивается раздельное хранение.

11. Обработка персональных данных с использованием средств автоматизации

11.1-11.7. Обработка осуществляется на автоматизированных рабочих местах. Носители хранятся в закрытых шкафах или сейфах. По истечении срока хранения – гарантированное удаление методом многократной перезаписи. Обезличивание не предполагается. Безопасность обеспечивается системой защиты персональных данных.

12. Обеспечение безопасности

12.1-12.4. Безопасность достигается исключением несанкционированного доступа. Ответственный за обеспечение безопасности. Проводятся мероприятия по идентификации, аутентификации, предотвращению НСД, обнаружению фактов доступа, восстановлению данных, контролю. Определяются угрозы, разрабатывается система защиты, проводится обучение, учет лиц и средств защиты.

13. Заключительные положения

13.1. Настоящая Политика является внутренним документом Общества, общедоступным и подлежит размещению на официальном сайте Общества.

13.2. Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов, но не реже одного раза в три года.

13.3. Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки персональных данных в Обществе.

13.4. Ответственность пользователей, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами Общества.