1. Общие положения
- Настоящая Политика ООО «ВГТ» в отношении обработки персональных данных определяет цели, содержание и порядок обработки персональных данных, меры, направленные на защитуперсональных данных, а также процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в области персональных данных в Организации.
- Настоящая Политика в отношении обработки персональных данных (далее–Политика) составлена в соответствии с ст. 7, п. 2 ст. 18.1 Федерального закона №152-ФЗ «О персональных данных» от 27 июля 2006 г., ст. 86 Трудового кодекса Российской Федерации, ст. 152.2. Гражданского кодекса Российской Федерации, а также иными нормативно-правовыми актами Российской Федерации в области защиты и обработки персональных данных и действует в отношении всех персональных данных (далее – Данные), которые Организация может получить от субъекта персональных данных, потребителя или иного заказчика, являющегося стороной договора об оказании услуг связи, контрагентов Организации, заключивших с Организацией иной гражданско-правовой договор, пользователей сайта https://www.vgt.ru(далее – «сайт»), содержащего сведения об услугах Оператора, а также от субъекта персональных данных, состоящего с Оператором в отношениях, регулируемых трудовым законодательством (далее–Работник).
- Оператор обеспечивает защиту обрабатываемых персональных данных от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Федерального закона №152-ФЗ «О персональных данных» от 27 июля 2006 г.
- Оператор ООО «ВГТ» (ИНН/ОГРН 6314011847/1026300897226) находится по адресу: 443099, г. Самара, ул. Фрунзе, д.70.
- Настоящая Политика и изменения к ней утверждаются Генеральным директором ООО «ВГТ» и вводятсяприказом. Все сотрудники ООО «ВГТ» должны быть ознакомлены под подпись с данной Политикой и изменениями к ней. Настоящая Политика является обязательной для исполнения всеми сотрудниками ООО
- Оператор обеспечивает защиту обрабатываемых персональных данных от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Федерального закона №152-ФЗ «О персональных данных» от 27 июля 2006 г.
«ВГТ», имеющими доступ к персональным данным.
- ООО «ВГТ» с целью обеспечения неограниченного доступа к настоящему документу, определяющему политику ООО «ВГТ» в отношении обработки персональных данных и в сфере реализуемых мер позащите персональных данных, размещает текст настоящей Политики на официальном сайте ООО «ВГТ» https://www.vgt.ru (далее – «сайт»).
- Сайт может содержать гиперссылки на другие веб-сайты, предоставленные третьими лицами. Оператор не контролирует и не несет ответственности за сайты третьих лиц, на которые пользователь может перейти по ссылкам, доступным на сайте. После того как пользователь покинул сайты, Оператор не несет ответственностиза защиту и конфиденциальность любой информации, которую предоставляет пользователь как субъект персональных данных и персональной информации. Субъект персональных данных должен проявлять осторожность и знакомиться с соответствующей политикой конфиденциальности веб-сайта, который он посещает.
2. Общие положения
2.1 Нормативные ссылки
Политика разработана с учетом следующих нормативных документов:
-Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных»;
-Конституция Российской Федерации;
-Трудовой кодекс Российской Федерации;
-Федеральный закон РФ «О персональных данных» от 27.07.2006 № 152-ФЗ;
-Федеральный закон Российской Федерации «Об информации, информационных технологиях и о защите информации» от 27.07.2006 № 149- ФЗ;
-Указ Президента Российской Федерации от 06.03.1997 № 188 «Об утверждении Перечня сведений конфиденциального характера»;
-Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
-Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
-Документы ФСТЭК России в сфере обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных.
2.2 Термины и определения, используемые в Политике
Для целей Политики в ней определены следующие термины и сокращения: Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В рамках трудовых отношений оператором персональных данных является работодатель.
Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту ПДн).
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Работник – физическое лицо, вступившее в трудовые отношения с ООО «ВГТ».
Работодатель, Общество – ООО «ВГТ».
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Субъект персональных данных – физическое лицо, к которому относятся соответствующие персональные данные. В рамках трудовых отношений субъектом персональных данных является Работник.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Электронный документ – документированная информация, представленная в электронной форме, то есть в виде, пригодном для восприятия человеком с использованием электронных вычислительных машин, а также для передачи по информационно-телекоммуникационным сетям или обработки в информационных системах (ИС).
ИБ – информационная безопасность. ИС – информационная система.
ИСПДн – информационная система персональных данных.
НСД – несанкционированный доступ. ПДн – персональные данные.
РФ – Российская Федерация. ТС – техническое средство.
3. Понятие и состав обрабатываемых персональных данных
3.1 Общие положения
Под ПДн субъектов ПДн понимается информация, необходимая Обществу в связи с договорными отношениями по оказанию услуг связи, трудовыми или другими отношениями и касающаяся конкретного Cубъекта ПДн (Работника, абонента и иных категорий граждан), а также сведения о фактах, событиях и обстоятельствах жизни Cубъекта ПДн (Работника, абонента и иных категорий граждан), позволяющие идентифицировать его личность и личность его родственников. ПДн Субъекта ПДн (Работника, абонента и иных категорий граждан) являются конфиденциальной информацией. Режим конфиденциальности ПДн
снимается в случае обезличивания, по истечении срока исковой давности либо срока хранения, если иное не определено нормативными актами РФ.
3.2 Объем и содержание обрабатываемых ПДн
Объем и содержание обрабатываемых в Обществе ПДн определяется в соответствии с Федеральным законом от 07.07.2003 № 126-ФЗ «О связи», Постановлением Правительства РФ от 31 декабря 2021 г. N 2607
«Об утверждении правил оказания телематических услуг связи», Постановлением Правительства РФ от 31.12.2021 №2606 «Об утверждении правил оказания услуг связи по передаче данных»; Постановлением Правительства РФ от 30.12.2024 № 1994 «Об утверждении Правил оказания услуг телефонной связи и перечня организаций, имеющих право осуществлять подтверждение сведений об абоненте — физическом лице»; Федеральным законом «О персональных данных» от 27 июля 2006 года № 152-ФЗ (ст. 5, 6, 7, глава 4) (ред. от 25.07.2011), Трудовым кодексом РФ от 31 декабря 2001 года № 197-ФЗ (статьи 85 – 90), Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», Налоговым кодексом РФ (глава 23), Федеральным законом
№ 167-ФЗ от 15.12.2001 «Об обязательном пенсионном страховании в РФ», Федеральным законом от 01.04.1996 №27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования», Федеральным законом от 17.12.2001 № 173-ФЗ «О трудовых пенсиях в РФ», Федеральным законом от 03.07.2016 № 250-ФЗ «О страховых взносах в Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования» и другими нормативными актами.
3.3 Категории субъектов ПДн
В Обществе осуществляется обработка ПДн следующих категорий субъектов:
Работников Общества (штатный сотрудник, сотрудник по договору гражданско-правового характера, внештатный сотрудник);
кандидатов на вакантные должности; лиц, вышедших на пенсию, уволенные;
субъектов, ПДн которых обрабатываются при обеспечении основной деятельности Общества; лиц, которым оказываются услуги связи;
лиц, являющимися учредителями Общества; зарегистрированных пользователей сайта;
представителей контрагентов Общества, включая контактные лица контрагентов.
3.4 Сведения, относящиеся к обрабатываемым ПДн
К ПДн субъекта, обрабатываемым в Обществе, в частности, относятся следующие сведения:
фамилия, имя, отчество Работников/абонентов/учредителей Общества (в том числе предыдущие фамилии, имена и (или) отчества, в случае их изменения);
пол;
фотография;
данные документа, удостоверяющего личность (вид документа, серия, номер, дата и место выдачи, код подразделения, дата регистрации по месту жительства);
дата и место рождения;
адрес местожительства (регистрации) или адрес установки оконечного оборудования; номер лицевого счета;
сведения о расчетах за оказанные услуги связи, в том числе сведения о соединениях, трафике и платежах абонента;
номер телефона;
адрес электронной почты; гражданство;
семейное положение;
идентификационный номер налогоплательщика;
номер страхового свидетельства пенсионного страхования, страховые взносы ОПС;
сведения о наличии инвалидности (группа, документ, на основании которого присвоена группа инвалидности, срок действия документа) (в данном случае сведения о наличии инвалидности являются дополнительными сведениями о субъекте ПДн и используются Обществом для соблюдения трудового законодательства и выплат социальных пособий (ст. 23, 27 Федерального закона от 24.11.1995 № 181-ФЗ (ред. от 9.12.2010) «О социальной защите инвалидов в РФ» (принят ГД ФС РФ 20.07.1995);
сведения об образовании, профессии, квалификации или наличии специальных знаний; сведения о стаже работы;
подразделение, должность; должностной оклад, премия; сведения о воинском учете;
информация об аттестации, повышении квалификации, профессиональной переподготовке; сведения о приёме на работу и переводах на другую работу;
данные о поощрениях и наградах;
данные о социальных льготах (номер и дата выдачи документа, основание);
сведения об обязательном медицинском страховании: наименование организации, серия, номер и срок действия полиса обязательного медицинского страхования, страховые взносы ОМС;
сведения о прекращении трудового договора (увольнении, выход на пенсию);
сведения о гражданско-правовых договорах сотрудников: дата, общая сумма по договору, сумма выплаты (за месяц, за квартал), порядок оплаты, период этапов выполнения;
номер расчетного счета; номер банковской карты;
сведения о несписочном составе;
иные персональные данные, необходимые для достижения целей, предусмотренных настоящей Политикой.
3.5 Документы ПДн
ПДн в Обществе могут содержаться в следующих документах:
-документах, связанных с основной деятельностью (документах, оформляемых в связи с заключением и исполнением договоров на оказание услуг связи: заявление о заключении договора утвержденной формы, договор на оказание услуг связи, копия документа, удостоверяющего личность, копия документа, подтверждающего право владения или пользования помещением, в котором установлены или устанавливаются абонентское устройство и др.);
-личных делах Работников;
-документах о составе семьи Работника;
-документах, удостоверяющих личность;
-трудовой книжке Работника;
-страховом свидетельстве государственного пенсионного страхования;
-документах воинского учета – при их наличии;
-документах об образовании, квалификации или наличии специальных знаний, или подготовки;
-документах, подтверждающих право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренных законодательством;
-документах о возрасте детей или беременности женщины для предоставления установленных законом условий труда, гарантий и компенсаций;
-иных документах, необходимых для определения трудовых отношений. Документы, содержащие ПДн, создаются путём:
-копирования оригиналов;
-внесения сведений в учётные формы (на бумажных и электронных носителях);
-получения оригиналов необходимых документов (трудовая по учёту кадров, автобиография).
4. Принципы обработки персональных данных
4.1 Общие требования и принципы
В целях обеспечения прав Субъектов ПДн Общество, в качестве оператора связи, работодателя и партнера, при обработке ПДн Субъектов ПДн обязано соблюдать следующие общие требования и принципы:
-обработка ПДн должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается Обработка ПДн, несовместимая с целями сбора ПДн;
-не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
-обработке подлежат только ПДн, которые отвечают целям их обработки;
-содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки;
-обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки;
-при обработке ПДн должны быть обеспечены точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн.
Общество должно принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных, или неточных данных.
4.2 Хранение ПДн
Хранение ПДн должно осуществляться в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн.
Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей.
4.3 Передача обработки ПДн другому лицу
Общество вправе поручить Обработку ПДн другому лицу с согласия Субъекта ПДн, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта. Лицо, осуществляющее обработку ПДн по поручению Общества, обязано соблюдать принципы и правила обработки ПДн, предусмотренные настоящей Политикой.
При этом в Договоре по поручению услуг должен быть определен перечень действий (операций) с ПДн, которые будут совершаться лицом, осуществляющим обработку ПДн, и цели обработки. Должна быть
установлена обязанность такого лица соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн при их обработке, а также должны быть указаны требования к защите обрабатываемых ПДн.
Лицо, осуществляющее обработку ПДн по поручению Общества, несет ответственность перед Обществом.
4.4 Конфиденциальность ПДн
Общество и иные лица, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн.
5. Порядок обработки ПДн в Обществе
5.1 Сбор, систематизация и накопление ПДн
Получение, хранение, обработка, в том числе передача, распространение, использование, блокирование и уничтожение ПДн субъектов ПДн может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, исполнения договоров об оказании услуг связи, одной из сторон которых является абонент, содействия сотрудникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности сотрудников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
Информация, представляемая субъектом ПДн при заключении договорных отношений с Обществом, должна иметь документированную форму.
При заключении трудового договора в соответствии со статьёй 65 Трудового кодекса РФ лицо, поступающее на работу, предъявляет следующие документы:
-паспорт или иной документ, удостоверяющий личность;
-трудовую книжку, за исключением случаев, когда договор заключается впервые, или Работник поступает на работу на условиях совместительства, или трудовая книжка у Работника отсутствует в связи с ее утратой или по другим причинам;
-страховое свидетельство государственного пенсионного страхования;
-документы воинского учета — для лиц, подлежащих воинскому учету;
-документы об образовании, о квалификации или наличии специальных знаний – при поступлении на работу, требующую специальных знаний или специальной подготовки;
-свидетельство о присвоении идентификационного номера налогоплательщика (при его наличии у сотрудника);
-иные документы и сведения, предоставляемые Работником при приеме на работу и в процессе трудовой деятельности.
При заключении договора об оказании услуг связи гражданин предоставляет следующие документы:
-паспорт или иной документ, удостоверяющий личность;
-документ, подтверждающий право владения или пользования помещением, в котором установлены или устанавливаются абонентское устройство;
-письменное согласие законных представителей (в случае подачи заявления о заключении договора на оказание услуг связи гражданином в возрасте от 14 до 18 лет);
-доверенность (в случае подачи заявления о заключении договора, предусматривающего оказание услуг связи с коллективным использованием оборудования).
Все ПДн субъекта ПДн получаются у него самого.
Работник, ответственный за документационное обеспечение кадровой деятельности/сотрудник отдела обслуживания клиентов, принимает от субъекта ПДн документы, проверяет их полноту и соответствие предоставляемых сведений действительности.
Уполномоченное лицо Общества при получении ПДн проверяет их достоверность, сверяя предоставленные данные с имеющимися у субъекта документами. Общество имеет право обрабатывать ПДн Субъектов (в том числе Работников) только с их письменного согласия в следующих случаях, предусмотренных Федеральным законом «О персональных данных»:
-при передаче обработки ПДн третьему лицу;
-при обработке специальных категорий ПДн;
-при обработке биометрических ПДн;
-при включении ПДн Субъекта в общедоступные источники ПДн (в том числе справочники, адресные книги и т.п.);
-в случае принятия решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы на основании исключительно автоматизированной обработки его ПДн;
-в случае недееспособности Субъекта ПДн, когда за него согласие на обработку ПДн Субъекта даёт законный представитель субъекта ПДн.
Согласие Субъекта ПДн на обработку ПДн не требуется в следующих случаях:
-обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является Субъект ПДн, а также для заключения договора по инициативе Субъекта ПДн или договора, по которому Субъект ПДн будет являться выгодоприобретателем или поручителем;
-обработка ПДн необходима для осуществления прав и законных интересов Общества или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;
-обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия Субъекта ПДн невозможно;
-обработка ПДн необходима для осуществления операторами связи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
-осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральными законами;
-обработка ПДн осуществляется для статистических или иных научных целей при условии обязательного обезличивания ПДн, за исключением случаев обработки ПДн в маркетинговых целях;
-обработка ПДн необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей;
-обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве.
В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции РФ Общество, как работодатель, вправе получать и обрабатывать данные о частной жизни работника только с его согласия.
Обработка указанных ПДн субъектов возможна в следующих случаях:
-ПДн сделаны общедоступными Субъектом ПДн;
-обработка ПДн осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством РФ о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;
-ПДн относятся к состоянию здоровья Работника, и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия Работника в данный момент невозможно;
-обработка ПДн необходима для установления или осуществления прав Субъекта ПДн или третьих лиц, а равно и в связи с осуществлением правосудия;
-обработка ПДн осуществляется в соответствии с законодательством РФ о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством РФ;
-по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом (Трудовой кодекс РФ, гл. 14, ст. 86, п. 5).
Обработка указанных ПДн должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка, если иное не установлено федеральным законом.
В случае оформления письменного согласия Субъекта на обработку своих ПДн, оно должно включать в
себя:
-фамилию, имя, отчество, адрес субъекта ПДн, номер основного документа, удостоверяющего его
личность, сведения о дате выдачи указанного документа и выдавшем его органе;
-фамилию, имя отчество, адрес представителя субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта ПДн);
-наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта ПДн;
-цель обработки ПДн;
-перечень ПДн, на обработку которых дается согласие субъекта ПДн;
-перечень действий с ПДн, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПДн;
-наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Общества, если обработка будет поручена такому лицу;
-срок, в течение которого действует согласие субъекта ПДн, а также порядок его отзыва, если иное не установлено федеральным законом;
-подпись субъекта ПДн.
Равнозначным содержащему собственноручную подпись Субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
В случае получения согласия на Обработку ПДн от представителя Субъекта ПДн полномочия данного представителя на дачу согласия от имени Субъекта ПДн проверяются Обществом.
В случае отзыва Субъектом ПДн (работником Общества) согласия на обработку его ПДн Общество обязано прекратить их обработку или обеспечить прекращение такой обработки (если Обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожить ПДн или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества), если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Обществом и субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных законодательством РФ.
В случае отсутствия возможности уничтожения ПДн, Общество осуществляет блокирование таких ПДн или обеспечивает их блокирование (если Обработка ПДн осуществляется другим лицом, действующим по поручению Общества).
5.2 Использование и передача ПДн
5.2.1 Общие требования
В соответствии с Федеральным законом «О персональных данных» и ст. 86, гл. 14 Трудового кодекса РФ в целях обеспечения прав и свобод человека и гражданина Общество и его уполномоченные лица при обработке ПДн субъекта ПДн должны соблюдать следующие общие требования.
Обработка ПДн может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, исполнения договоров об оказании услуг связи, одной из сторон которых является абонент, содействия сотрудникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности Работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
При определении объема и содержания обрабатываемых ПДн Общество должно руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами. При принятии решений, затрагивающих интересы субъекта, Общество не имеет права основываться на ПДн субъекта, полученных исключительно в результате их автоматизированной обработки или электронного получения.
Защита ПДн субъекта от неправомерного их использования или утраты обеспечивается Обществом за счет своих средств в порядке, установленном федеральным законом. Работники и их представители должны быть ознакомлены под подпись с документами Общества, устанавливающими порядок обработки ПДн сотрудников, а также с документами об их правах и обязанностях в этой области. Во всех случаях отказ сотрудника от своих прав на сохранение и защиту тайны недействителен.
5.2.2 Обработка ПДн, получаемых в связи с исполнением гражданско-правовых договоров
Обработка ПДн, получаемых в связи с исполнением гражданско-правовых договоров, заключаемых в рамках основной деятельности Общества, осуществляется в соответствии с условиями, включаемыми в соответствующие договоры, а также в соответствии с внутренними организационно-распорядительными документами.
5.2.3 Требования при передаче ПДн
При передаче ПДн Субъекта Общество должно соблюдать следующие требования:
-не сообщать ПДн Работника третьей стороне без письменного согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральным законом;
-не сообщать ПДн Субъекта в коммерческих целях без его письменного согласия. Обработка ПДн Субъектов в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только с их предварительного согласия;
-предупредить лиц, получивших ПДн Субъектов, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получившие ПДн субъекта, обязаны соблюдать режим конфиденциальности. Политика не распространяется на обмен ПДн Работников в порядке, установленном федеральными законами;
-осуществлять передачу ПДн Субъектов в пределах Общества в соответствии с Политикой.
В случае передачи ПДн внутреннему потребителю (передача ПДн внутри Общества) осуществляется:
-непосредственно путем передачи, уполномоченным на это Работником Общества, в запечатанном конверте с указанием получателя;
-по внутренним каналам связи Общества с использованием шифрования информации;
-по каналам сети Интернет с использованием шифровальных (криптографических) средств защиты информации.
В случае передачи ПДн внешнему потребителю:
-передача ПДн от Общества внешнему потребителю может допускаться в минимальных объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных;
-исполнения договора, стороной которого является Субъект ПДн;
-защиты жизни, здоровья, иных жизненно важных интересов Субъекта ПДн или других лиц при невозможности получения согласия в письменной форме Субъекта ПДн;
-предусмотренных международными договорами РФ;
-предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя РФ, обеспечения обороны страны и безопасности государства, а также обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
В случае поступления запроса Обществу от третьей стороны о предоставлении информации с ПДн Работника (Субъекта ПДн), Общество обязано в письменной форме уведомить Субъекта ПДн об этом с правом получения согласия от Субъекта ПДн на право передачи его ПДн. Передавать ПДн Работника представителям
Работников в порядке, установленном Трудовым кодексом РФ, и ограничивать эту информацию только теми ПДн Работника, которые необходимы для выполнения указанными представителями их функции.
5.2.4 Запросы субъектов ПДн на предоставление информации
Субъекты ПДн (представители Субъектов ПДн), Уполномоченные органы по защите прав Субъектов ПДн имеют право запрашивать в Обществе необходимую информацию (ПДн), используя письменное обращение (запрос) только на основании положений законодательства Российской Федерации.
В случае отказа в предоставлении субъекту ПДн или его законному представителю при обращении, либо при получении запроса субъекта ПДн или его законного представителя, информации о наличии ПДн о соответствующем субъекте ПДн, а также таких ПДн Общество формирует в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа.
5.3 Хранение и уничтожение персональных данных
ПДн Субъектов ПДн обрабатываются и хранятся в установленном Обществом помещении.
Меры, принимаемые для обеспечения конфиденциальности при получении, обработке и хранении ПДн Субъектов ПДн, распространяются на все материальные носители информации, используемые для хранения ПДн в Обществе.
Хранение ПДн должно осуществляться в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели Обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн.
Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральными законами.
Уничтожение ПДн Субъекта производится в следующих случаях:
-по достижении целей их обработки или в случае утраты необходимости в их достижении;
-на основании мотивированного требования субъекта ПДн либо уполномоченного органа по защите прав Субъектов ПДн в случае выявления неправомерной обработки ПДн Обществом;
-в случае отзыва Субъектом ПДн согласия на Обработку его ПДн, если сохранение ПДн более не требуется для целей Обработки ПДн.
Уничтожение части ПДн Субъекта, если это допускается носителем информации, может производиться способом, исключающим дальнейшую обработку этих ПДн с сохранением возможности обработки иных данных, зафиксированных на носителе информации (выборочное удаление, вымарывание).
5.4 Доступ к персональным данным
Доступ должностных лиц к обработке ПДн организуется в соответствии с утвержденным перечнем должностей, допущенных к обработке ПДн. Права должностных лиц по Обработке ПДн в ИСПДн Общества определяются на основании функциональных (должностных) обязанностей Работников Общества. Предоставление доступа к ПДн контрагентам (сотрудникам организаций, оказывающих услуги связи от имени Общества) осуществляется на основании заключенных договоров (либо иных оснований), в случае если в силу данных договоров они должны иметь доступ к ПДн субъектов ПДн. При этом соответствующие данные передаются Обществом только после подписания с ними соглашения о неразглашении конфиденциальной информации. Также допускается наличие в основных договорах пунктов о неразглашении конфиденциальной информации, в том числе предусматривающих защиту ПДн субъекта. Доступ к ПДн, обрабатываемым в ИСПДн Общества, осуществляется в соответствии с порядком, установленным локальными нормативными документами. Внешний доступ со стороны третьих лиц к ПДн Работника осуществляется только с письменного согласия субъекта ПДн, за исключением случаев, когда такой доступ необходим в целях предупреждения угрозы жизни и здоровью Работника или других лиц, и иных случаев, установленных законодательством. К числу внешних потребителей ПДн относятся государственные и негосударственные надзорные и контролирующие организации:
-налоговые инспекции;
-правоохранительные органы;
-органы статистики;
-страховые компании и агентства;
-военные комиссариаты;
-органы социального страхования;
-органы Пенсионного Фонда России;
-негосударственные пенсионные фонды;
-банки;
-подразделения муниципальных органов управления.
Надзорные и контролирующие органы имеют доступ к информации только в установленной сфере деятельности и в пределах, предусмотренных действующим законодательством РФ полномочий.
Организациям, в которые сотрудник может осуществлять перечисления денежных средств (страховые компании, негосударственные пенсионные фонды, благотворительные организации, кредитные учреждения), доступ к ПДн может быть предоставлен только с его письменного согласия.
Общество обязано сообщать ПДн Работника по письменно оформленным запросам суда, прокуратуры, правоохранительных органов, в случае правомерности таких запросов.
ПДн работающего Работника или уже уволившегося Субъекта ПДн Общества могут быть предоставлены третьим лицам только с получением письменного запроса, оформленного на бланке организации, с приложением копии нотариально заверенного письменного согласия (заявления) бывшего сотрудника. ПДн работающего Работника могут быть предоставлены Обществом членам его семьи только по письменному заявлению самого Работника, за исключением случаев, когда передача ПДн Работника без его согласия допускается действующим законодательством РФ.
5.5 Особенности Обработки ПДн
Обработка ПДн, содержащихся в ИСПДн Общества либо извлеченных из такой системы, считается осуществляемой без использования средств автоматизации (неавтоматизированной), если такие действия с ПДн, как использование, уточнение, распространение, уничтожение ПДн в отношении каждого из Субъектов ПДн, осуществляются при непосредственном участии человека. Правила обработки ПДн, осуществляемой без использования средств автоматизации, установленные нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов РФ, а также локальными правовыми актами организации, должны применяться с учетом требований документа «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» (Постановление Правительства РФ от 15.09.2008 г. № 687).
6. Общее описание комплекса организационных, организационно-технических и программных мер, направленных на защиту ПДн.
ПДн абонентов, Работников и иных категорий граждан являются неотъемлемой частью информационных ресурсов Общества и подлежат защите от неправомерного их использования или утраты за счет его средств в порядке, установленном действующим законодательством.
Обеспечение безопасности ПДн при их обработке в ИСПДн Общества достигается применением (либо обеспечения применения, в случае обработки ПДн третьими лицами) необходимых правовых, организационных и технических мер для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПДн, а также от иных неправомерных действий в соответствии с требованиями следующих нормативных документов:
-Положение об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации (Постановление Правительства РФ от 15 сентября 2008 г. №687);
-Требования к защите персональных данных при их обработке в информационных системах персональных данных (Постановление Правительства РФ от 1 ноября 2012 г. №1119);
-Положение о методах и способах защиты информации в информационных системах персональных данных (утверждено приказом ФСТЭК России от 18 февраля 2013 г. № 21);
-Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утверждена заместителем директора ФСТЭК России 15 февраля 2008 г.);
В случае необходимости передачи ПДн по незащищенным каналам связи обеспечение их безопасности достигается в соответствии с требованиями следующих нормативных документов:
-Методические рекомендации по обеспечению с помощью шифровальных (криптографических) средств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации. (Утверждены 8 Центром ФСБ России 21 февраля 2008 г. № 149/54-144);
-Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных. (Утверждены 8 Центром ФСБ России 21 февраля 2008 г. № 149/6/6-622).
6.1 Информация, подлежащая защите
Защите подлежит:
-информация о ПДн Субъекта ПДн;
-документы, содержащие ПДн Субъекта ПДн;
-ПДн, содержащиеся на электронных носителях информации;
-технические и программные средства, используемые при обработке ПДн.
6.2 Обеспечение безопасности ПДн в Обществе
Обеспечение безопасности ПДн в Обществе достигается, в частности:
-определением уровня защищенности ИСПДн;
-определением угроз безопасности ПДн при их обработке в ИСПДн Общества;
-применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн Общества, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн;
-оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн Общества;
-учетом машинных носителей ПДн;
-обнаружением фактов НСД к ПДн и принятием мер;
-восстановлением ПДн, модифицированных или уничтоженных вследствие НСД к ним;
-установлением правил доступа к ПДн, обрабатываемым в ИСПДн Общества;
-контролем за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн Общества.
6.3 Основные меры защиты информации (ПДн)
Основными мерами защиты информации (ПДн) являются:
-назначение ответственного за организацию Обработки ПДн;
-разработка документов, определяющих политику Общества в отношении Обработки ПДн, локальных актов по вопросам Обработки ПДн, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ в области обеспечения безопасности ПДн, устранение последствий таких нарушений;
-оценка вреда, который может быть причинен Субъектам ПДн в случае нарушения требований настоящей Политики и нормативных актов РФ;
-реализация разрешительной системы допуска пользователей (обслуживающего персонала) к информационным ресурсам в информационных системах (ИС) и связанным с ее использованием работам, документам;
-ограничение доступа пользователей в помещения, где размещены технические средства (ТС), позволяющие осуществлять Обработку ПДн, а также хранятся носители с ПДн;
-разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
-регистрация действий пользователей и обслуживающего персонала, контроль НСД и действий пользователей, обслуживающего персонала и посторонних лиц;
-резервирование ТС, дублирование массивов и носителей информации;
-использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия требованиям безопасности информации;
-использование защищенных каналов связи;
-размещение ТС, позволяющих осуществлять обработку ПДн, в пределах охраняемой территории;
-организация физической защиты помещений и собственно ТС, позволяющих осуществлять обработку
ПДн;
-предотвращение внедрения в ИС вредоносных программ (программ-вирусов) и программных закладок;
-осуществление внутреннего контроля и (или) аудита соответствия обработки ПДн требованиям по
обеспечению безопасности ПДн, локальным актам Общества.
Для обеспечения безопасности ПДн от хищения, утраты, утечки, уничтожения, искажения, подделки и блокирования доступа к ней за счет НСД в зависимости от установленного уровня защищенности ИСПДн, заданных характеристик безопасности обрабатываемых ПДн, угроз безопасности ПДн, структуры ИСПДн, наличия межсетевого взаимодействия и режимов обработки ПДн в рамках средств защиты информации от НСД реализуются функции управления доступом, регистрации и учёта, обеспечения целостности, анализа защищённости, обеспечения безопасного межсетевого взаимодействия и обнаружения вторжений. Меры по защите информации от утечки по техническим каналам (речевой информации и информации, представленной в виде информативных электрических сигналов и физических полей) применяются на основе определяемых угроз (модели угроз) утечки акустической речевой информации, видовой информации и угроз утечки информации по каналам побочных электромагнитных излучений и наводок. Ответственность за выполнение мер защиты ПДн, предусмотренных настоящей Политикой, в структурных подразделениях Общества возлагается на их руководителей.
7. Обязанности лиц, допущенных к обработке ПДн
Работники Общества, допущенные к Обработке ПДн, обязаны:
-осуществлять Обработку ПДн только в установленных целях;
-получать ПДн у Субъекта в установленном порядке;
-знакомиться только с теми ПДн, к которым санкционирован доступ руководством Общества;
-хранить в тайне известные им сведения о ПДн, информировать своего непосредственного руководителя о фактах нарушения порядка Обработки ПДн и о попытках НСД к ним;
-предупредить лиц, получающих ПДн, о том, что эти данные могут быть использованы лишь в целях, для которых они получены;
-выполнять требования по защите полученных ПДн Субъектов;
-знать порядок реагирования на запросы со стороны Субъектов ПДн и предоставления им их ПДн, внесения изменений, прекращения обработки ПДн;
-в случае принятия на основании исключительно Автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении Субъекта ПДн или иным образом затрагивающих его права и законные интересы, разъяснять Субъектам ПДн порядок принятия решения на основании исключительно автоматизированной обработки его ПДн и возможные юридические последствия такого решения. Предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты своих прав и законных интересов. Если обязанность предоставления ПДн Субъектом ПДн установлена федеральным законом, разъяснить Субъекту ПДн юридические последствия отказа предоставить свои ПДн;
-безвозмездно предоставить Субъекту ПДн возможность ознакомления с ПДн, относящимися к соответствующему Субъекту ПДн, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие ПДн по предоставлении субъектом ПДн сведений, подтверждающих, что ПДн являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
-предоставлять письменные объяснения о допущенных нарушениях установленного порядка обработки ПДн, а также о фактах их разглашения;
-информировать уполномоченных должностных лиц Общества об инцидентах, связанных с нарушением порядка обработки ПДн.
8. Права Субъектов персональных данных
8.1 Права Субъектов ПДн
Субъекты, ПДн которых обрабатываются в Обществе, имеют право:
-получать полную информацию о своих ПДн, а также о сведениях, представленных в п. 5.2.4;
-иметь свободный бесплатный доступ к своим ПДн, включая право на безвозмездное получение копий любой записи, содержащей ПДн субъекта. Сведения о наличии ПДн должны быть предоставлены Субъекту ПДн в доступной форме, и они не должны содержать ПДн, относящиеся к другим Субъектам ПДн. Доступ к своим ПДн предоставляется Субъекту ПДн или его представителю Обществом при личном обращении, либо при получении запроса;
-получать сведения об Обществе, о месте его нахождения, о наличии у Общества сведений о ПДн, относящихся к соответствующему Субъекту ПДн;
-требовать от Общества уточнения, исключения или исправления неполных, неверных, устаревших, неточных, незаконно полученных, или не являющихся необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
-получать от Общества следующие сведения:
подтверждение факта Обработки ПДн Обществом, а также цель такой обработки; правовые основания и цели Обработки ПДн;
цели и применяемые Обществом способы Обработки ПДн;
наименование и место нахождения Общества, сведения о лицах (за исключением сотрудников Общества), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Обществом или на основании федерального закона;
обрабатываемые ПДн, относящиеся к соответствующему Субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки ПДн, в том числе сроки их хранения;
порядок осуществления Субъектом ПДн прав, предусмотренных Федеральным законом «О персональных данных»;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего Обработку ПДн по поручению Общества, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
8.2 Ограничения прав Субъектов ПДн
Право Субъекта ПДн на доступ к своим ПДн ограничивается в случае, если:
Обработка ПДн, в том числе ПДн, полученных в результате оперативно-розыскной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
Обработка ПДн осуществляется органами, осуществившими задержание Субъекта ПДн по подозрению в совершении преступления, либо предъявившими Субъекту ПДн обвинение по уголовному делу, либо применившими к Субъекту ПДн меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством РФ случаев, если допускается ознакомление подозреваемого или обвиняемого с такими ПДн;
Обработка ПДн осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
Предоставление ПДн нарушает права и законные интересы третьих лиц.
8.3 Обязанность Общества по предоставлению информации Субъекту ПДн
Если ПДн были получены не от самого Субъекта ПДн, за исключением случаев, представленных в подразделе 8.2, если ПДн были предоставлены Обществу на основании федерального закона, или если ПДн являются общедоступными, Общество до начала обработки таких ПДн обязано предоставить субъекту ПДн следующую информацию:
-наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
-цель Обработки ПДн и ее правовое основание;
-предполагаемые пользователи ПДн;
-права Субъекта ПДн в области защиты ПДн;
-источник получения ПДн.
8.4 Освобождение Общества от обязанности предоставления информации
Общество освобождается от обязанности предоставить субъекту ПДн сведения, предусмотренные подразделом 8.1, в случаях, если:
субъект ПДн уведомлен об осуществлении обработки его ПДн соответствующим оператором;
ПДн получены Обществом на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн;
ПДн сделаны общедоступными Субъектом ПДн или получены из общедоступного источника;
Общество осуществляет Обработку ПДн для статистических или иных исследовательских целей, если при этом не нарушаются права и законные интересы субъекта ПДн;
предоставление Субъекту ПДн сведений нарушает права и законные интересы третьих лиц.
9. Ответственность за нарушение порядка обработки и защиты персональных данных
Каждый Работник, осуществляющий Обработку ПДн, несет персональную ответственность за соблюдение требований Политики и обеспечение мер по защите ПДн на своем рабочем месте.
Работники Общества и уполномоченные (третьи) лица, которым ПДн стали известны в силу их служебного положения или выполнения работ в соответствии с договорами, заключёнными с Обществом, несут ответственность в соответствии с действующим законодательством РФ за их разглашение, передачу их посторонним лицам, в том числе, сотрудникам Общества, не имеющим к ним доступа, их публичное раскрытие, утрату документов и иных носителей, содержащих ПДн субъектов ПДн, а также иные нарушения обязанностей по их защите и обработке, установленных настоящей Политикой, локальными нормативными актами (приказами, распоряжениями).
Иные права, обязанности, действия Работников, в трудовые обязанности которых входит обработка ПДн Субъекта ПДн, определяются соответствующим разделом в должностных инструкциях.
Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о ПДн гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством РФ за нарушение режима защиты, обработки и порядка использования этой информации.
Разглашение ПДн субъекта ПДн (передача их посторонним лицам, в том числе, сотрудникам Общества, не имеющим к ним доступа), их публичное раскрытие, утрата документов и иных носителей, содержащих ПДн Субъекта, а также иные нарушения обязанностей по их защите и обработке, установленных настоящей Политикой, локальными нормативными актами (приказами, распоряжениями) Общества, влечет наложение на сотрудника, имеющего доступ к ПДн, дисциплинарного взыскания – замечание, выговор, увольнение. Работники, имеющие доступ к ПДн Субъектов ПДн и совершившие указанный дисциплинарный проступок, несут полную материальную ответственность в случае причинения их действиями ущерба Обществу (п. 7 ст. 243 Трудового кодекса РФ).
10. Контроль выполнения требований Политики
Контроль и надзор за соответствием обработки ПДн требованиям законодательства РФ в области обеспечения безопасности ПДн, локальных нормативных актов, в том числе и данной Политики осуществляет ответственное лицо.
11. Хранение и архивирование
Подлинник данной Политики хранится в ООО «ВГТ».
