Защита персональных данных

1. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

В настоящем документе используются следующие термины и их определения:

1) персональные данные (ПНд) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

8) уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

9) обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

10) информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

11) трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

2. ОБЩИЕ ПОЛОЖЕНИЯ

2.1 Настоящее Положение разработано в соответствии с законодательством Российской Федерации о ПДн и нормативно-методическими документами исполнительных органов государственной власти по вопросам безопасности ПДн при их обработке в информационных системах ПДн.

2.2. Основными нормативно-правовыми и методическими документами, на которых базируется настоящее Положение являются:

• — Федеральный Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн;
• — Требования к защите персональных данных при их обработке в информационных системах персональных данных, утверждены постановлением Правительства РФ от 1 ноября 2012 г. № 1119;
• — «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденное Постановлением Правительства РФ от 15.09.2008 г. № 687;
• — Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утверждены приказом Федеральной службы по техническому и экспортному контролю Российской Федерации от 18 февраля 2013 г. № 21.
• — Нормативно-методические документы Федеральной службы по техническому и экспортному контролю Российской Федерации (далее - ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн:

• Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г.;
• Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г.;
• Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г.;
• Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 14.2.8 г.

2.3. Настоящее Положение определяет порядок и условия обработки ПДн в «Spatial.su», включая порядок передачи ПДн третьим лицам, случаи взимания согласий субъектов ПДн и уведомления органа по защите прав субъектов ПДн, особенности автоматизированной и неавтоматизированной обработки ПДн, порядок доступа к ПДн, систему защиты ПДн, порядок организации внутреннего контроля и ответственность за нарушения при обработке ПДн, иные вопросы.

2.4. Действие настоящего Положения распространяется на все процессы по сбору, систематизации, накоплению, хранению, уточнению, использованию, распространению (в том числе передачу), обезличиванию, блокированию, уничтожению ПДн, осуществляемых с использованием средств автоматизации и без их использования.

2.5. Порядок ввода в действие и изменения Положения.

2.5.1. Настоящее Положение вступает в силу с момента его утверждения генеральным директором «Spatial.su» и действует бессрочно, до замены его новым Положением.

2.5.2. Все изменения в Положение вносятся приказом.

2.5.3. В соответствии со статьей 18.1 (пункт 1) Федерального закона «О персональных данных» работники «Spatial.su», непосредственно осуществляющие обработку ПДн, должны быть ознакомлены с настоящим Положением под подпись. Факт ознакомления фиксируется в Обязательстве (Приложение 4 к настоящему Положению).

Положение по обработке и защите ПДн «Spatial.su» публикуется на сайте Общества в соответствии с пунктом 2 статьи 18.1 Федерального закона «О персональных данных».

3. ЦЕЛИ ОБРАБОТКИ Пдн

3.1. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями обработки.

3.2. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

3.3. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

3.4. Целями обработки персональных данных являются:

• ведение кадрового делопроизводства;
• бухгалтерский учет;
• обеспечение взаимодействия подразделений общества при осуществлении заявленных

видов деятельности;

• прием обращений и заявок от субъекта персональных данных;
• информирование о новых товарах, специальных акциях и предложениях;
• рассылка он-лайн версий журналов и газет;
• проведение конкурсов, рекламных акций;
• прием подписки, организация доставки СМИ;
• заключение и исполнение условий договоров с контрагентами.

3.5. Обработка персональных данных работников «Spatial.su» может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества «Spatial.su».

4. ПЕРСОНАЛЬНЫЕ ДАННЫЕ, ОБРАБАТЫВАЕМЫЕ В «Spatial.su»

4.1. В «Spatial.su» обрабатываются ПДн следующих субъектов ПДн:

• — работники «Spatial.su»,
• — кандидаты для приема на работу,
• — учредители (участники) «Spatial.su», лица связанные с сотрудниками, учредителями (участниками) (дети, в отношении которых выплачиваются алименты, супруги, и т.д.),
• — контактные и ответственные за исполнение договоров лица контрагентов «Spatial.su» (потребителей и поставщиков продуктов и услуг, партнеров, представителей),
• — иные физические лица, ПДн которых обрабатываются в «Spatial.su».

 Данный перечень может пересматриваться по мере необходимости.

4.2. Состав персональных данных, обрабатываемых в «Spatial.su», указан в Приложении 1.

5. УВЕДОМЛЕНИЕ В РОСКОМНАДЗОР ОБ ОБРАБОТКЕ ПДн, СЛУЧАИ И ПОРЯДОК НАПРАВЛЕНИЯ

5.1. В соответствии с Законом РФ «О персональных данных» «Spatial.su» является оператором ПДн.

5.2. В установленных п.1 ст.22 ФЗ «О персональных данных» случаях оператор ПДн обязан уведомить уполномоченный орган по защите прав субъектов ПДн (в настоящее время Роскомнадзор) об обработке ПДн.

5.3. В случае неполноты или изменения сведений, указанных в уведомлении, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в порядке, установленном Роскомнадзором.

5.4. «Spatial.su» вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1) обрабатываемых в соответствии с трудовым законодательством;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

3) сделанных субъектом персональных данных общедоступными;

4) включающих в себя только фамилии, имена и отчества субъектов персональных данных; 5) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

6) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.

6. СОГЛАСИЕ НА ОБРАБОТКУ ПДн, СЛУЧАИ И ПОРЯДОК ПОЛУЧЕНИЯ СОГЛАСИЯ

6.1. Обработка персональных данных в «Spatial.su» производится с согласия субъекта персональных данных, за исключением случаев, приведенных в пункте 6.2.

6.2. Обработка персональных данных в «Spatial.su» допускается без согласия субъекта ПДн в следующих случаях:

1) обработка персональных данных необходима для исполнения договора (гражданско- правового или трудового), стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

2) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

3) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

4) обработка общедоступных персональных данных;

5) в других, установленных Законом «О персональных данных» случаях (статья 6, пункт 1, подпункты 2-11 ФЗ «О персональных данных»).

6.3. Обработка персональных данных, полученных от других операторов, по поручению этих операторов производится в соответствии с договорами между предприятиями «Spatial.su» и операторами только в целях исполнения этих договоров. Ответственность за получение согласия на обработку персональных данных в этом случае лежит на операторах.

6.4. Соискатели на вакансии «Spatial.su» при заполнении анкет, должны предоставлять согласие на обработку персональных данных, указанных в анкетах, поскольку на момент прохождения собеседования и заполнения анкеты трудовые отношения между «Spatial.su» и соискателем еще не возникли.

6.5. Если требуется обрабатывать ПНд субъекта ПНд до заключения гражданско-правового договора с ним, то необходимо получение согласия субъекта на обработку его ПДн.

6.6. Порядок получения, отзыва и хранения согласия на обработку ПДн:

6.6.1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

6.6.2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных, оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных, если это необходимо в целях исполнения заключенного договора с субъектом ПДн, а также в иных случаях, установленных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона РФ «О персональных данных».

6.6.3. Соискатели на вакансии «Spatial.su» дают согласие на обработку ПНд на анкетах, которые заполняют. В этом случае в конце анкеты субъектом ПНд делается запись: «Я  (ФИО, паспортные данные) согласен с обработкой своих персональных данных «Spatial.su» и признаю, что персональные данные, указанные мной в настоящем документе, относятся к общедоступным персональным данным».

6.6.4. Отзыв согласия на обработку ПДн в случаях, когда законом не предусмотрено согласие в письменной форме, должен содержать те же сведения, которые были указаны при предоставлении согласия.

6.6.5. Форма письменного согласия на обработку персональных данных в целях организации взаимодействия между сотрудниками в ходе исполнения должностных обязанностей приведена в Приложении 2.

В общем случае, письменное согласие должно включать:

• — фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
• — фамилию, имя, отчество, адрес представителя субъекта персональных данных (при получении согласия от представителя субъекта персональных данных), номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя;
• — наименование оператора, получающего согласие субъекта персональных данных («Spatial.su»);
• — цель обработки персональных данных;
• — перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
• — перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
• — срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
• — подпись субъекта персональных данных.

6.6.6.   Для отзыва письменного согласия субъектом ПДн или его законным представителем направляется письменный запрос на имя руководителя «Spatial.su». Запрос должен содержать:

• — ФИО субъекта ПДн или его законного представителя;
• — номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя;
• — сведения о дате выдачи указанного документа и выдавшем его органе;
• — адрес субъекта ПДн;
• — собственноручную подпись субъекта персональных данных или его законного представителя.

Форма отзыва письменного согласия на обработку ПНд приведена в Приложении 2.

6.6.7.      Получение письменного согласия на обработку ПДн осуществляется сотрудником «Spatial.su», при получении ПДн от субъекта ПДн.

6.6.8.   Письменное согласие на обработку ПНд, а также отзыв согласия хранятся в личном деле субъекта ПНд.

6.7. В случае формирования и направления заявки на продукты и услуги «Spatial.su» через его сайт «Spatial.su» получает согласие клиента нажатием им подтверждающей кнопки регистрационной формы, содержащей оговорку о согласии.

6.8.2. Примерная форма согласия при направлении заявки через сайт:

«Регистрируясь, Вы даете «Spatial.su» согласие на обработку переданных персональных данных с целью оказания запрашиваемых услуг».

7. ОБРАБОТКА СПЕЦИАЛЬНЫХ КАТЕГОРИЙ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, биометрических персональных данных в «Spatial.su», за исключением данных, обрабатываемых в соответствии с трудовым законодательством, не допускается.

8. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ

8.1.   «Spatial.su» передает ПДн работников для обработки третьим лицам в следующих случаях:

• — Передача ПДн контактных лиц и лиц, ответственных за исполнение договоров, в целях организации исполнения этих договоров. При этом передаче подлежат только общедоступные ПДн, сделанные таковыми работниками в соответствии с их письменными согласиями. Передача ПДн в этом случае производится на основании договора;
• — Передача ПДн в случаях, установленных федеральными законами и нормативно- правовыми актами.

8.2. В «Spatial.su» при обработке персональных данных не допускается трансграничная передача Пдн.

9. ПРАВА СУБЪЕКТА И ОБЯЗАННОСТИ ОПЕРАТОРА В ОТНОШЕНИИ ПДн, ОБРАБАТЫВАЕМЫХ В «Spatial.su»

9.1. Субъект персональных данных имеет право на получение информации (далее – сведения), касающейся обработки его персональных данных, в том числе содержащей:

• — подтверждение факта обработки персональных данных оператором;
• — правовые основания и цели обработки персональных данных;
• — применяемые оператором способы обработки персональных данных;
• — наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
• — обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральным законом;
• — сроки обработки персональных данных, в том числе сроки их хранения;
• — порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
• — наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
• — иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.

9.2. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

9.3. Сведения должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

9.4. Сведения предоставляются субъекту персональных данных или его представителю оператором при обращении либо при получении запроса субъекта персональных данных или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации. Срок ответа на запрос – 30 дней.

9.5. В случае, если сведения, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе повторно обратиться к оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 9.1 Положения, и ознакомления с такими персональными данными не ранее, чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

9.6. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные.  Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

9.7. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса.

9.8. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены «Spatial.su» на основании федерального закона или если персональные данные являются общедоступными, «Spatial.su», за исключением случаев, предусмотренных пунктом 9.9 Положения, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

• — наименование и адрес оператора («Spatial.su»);
• — цель обработки персональных данных и ее правовое основание;
• — предполагаемые пользователи персональных данных;
• — установленные Федеральным законом «О персональных данных» права субъекта персональных данных;
• — источник получения ПНд.

9.9. Если персональные данные были получены не от субъекта персональных данных, «Spatial.su» не обязан предоставлять субъекту ПНд информацию по пункту 9.8. Положения, если ПНд получены на основании федерального закона или договора, а также, если ПНд являются общедоступными и получены из общедоступного источника.

9.10. Если обязанность предоставления персональных данных установлена федеральным законом, «Spatial.su» обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные.

10. ПОРЯДОК ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1. «Spatial.su» обязано принимать необходимые организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

10.2. Для разработки требований по обеспечению безопасности и внедрения системы обеспечения безопасности ПДн в «Spatial.su» разрабатывается типовая модель угроз на основе нормативно-методического документа ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных».

Комплекс мер по защите и обеспечению безопасности ПДн включает организационные меры и программно-технические средства защиты.

10.3. Доступ к ПДн.

10.3.1. В «Spatial.su» установлен разрешительный порядок доступа к ПДн. Сотрудникам «Spatial.su» предоставляется доступ к работе с ПДн исключительно в пределах и объеме, необходимых для выполнения ими своих должностных обязанностей на основании решения руководителя. Перечень ПДн, обрабатываемых в «Spatial.su», установлен Приложением 1 к настоящему Положению.

10.3.2. Сотрудники «Spatial.su», которые в силу выполняемых служебных обязанностей постоянно работают с ПДн, получают доступ к необходимым категориям ПДн на срок выполнения ими соответствующих должностных обязанностей на основании перечня лиц, допущенных к работе с ПДн, который утверждается руководителем организации. Перечень составляется по форме, приведенной в Приложении 3 к Положению.

10.3.3. Список лиц, имеющих доступ к ПДн, должен поддерживаться в актуальном состоянии. Ответственность за поддержание списка лиц в актуальном состоянии несет лицо, ответственное за организацию обработки персональных данных.

10.3.4. Временный или разовый доступ к работе с ПДн в связи со служебной необходимостью может быть получен сотрудником «Spatial.su» по решению руководителя организации.

10.3.5. Доступ к ПДн третьих лиц, не являющихся сотрудниками «Spatial.su», без согласия субъекта ПДн, запрещен, за исключением доступа сотрудников органов исполнительной власти, осуществляемого в рамках мероприятий по контролю и надзору за исполнением законодательства, реализации функций и полномочий соответствующих органов государственной власти, в других разрешенных законом случаях. Предоставление информации по запросу или требованию органа государственной власти осуществляется с ведома генерального директора «Spatial.su».

В случае доступа к ПДн лиц, не являющихся сотрудниками «Spatial.su», должно быть получено согласие субъектов ПДн на предоставление их ПДн третьим лицам. Указанное согласие не требуется, если ПДн  предоставляются в целях исполнения гражданско-правового  договора, заключенного компанией с субъектом ПД.

10.3.6. Доступ сотрудника «Spatial.su» к ПДн прекращается с даты прекращения трудовых отношений, либо даты изменения должностных обязанностей сотрудника и/или исключения сотрудника из списка лиц, имеющих право доступа к ПДн. В случае увольнения все носители, содержащие ПДн, которые в соответствии с должностными обязанностями находились в распоряжении работника во время работы в «Spatial.su», должны быть переданы руководителю подразделения.

10.4. Требования к работникам в связи с обработкой ПДн и их ответственность.

10.4.1. Должностные обязанности работников по обработке ПНд устанавливаются в должностных инструкциях и руководствах пользователей.

10.4.2. Обеспечение конфиденциальности ПДн, обрабатывающихся в «Spatial.su», является обязательным требованием для всех сотрудников «Spatial.su», которым ПДн стали известны.

10.4.3. Все лица, допущенные к работе с ПДн, должны быть под подпись ознакомлены с требованиями настоящего Положения и подписать «Обязательство об обеспечении конфиденциальности персональных данных сотрудниками «Spatial.su». Подпись в ознакомлении с Положением производится работником одновременно с подписью обязательства, приведенного в Приложении 4 к настоящему Положению. Обязательство хранится в личном деле.

10.4.4. Лица, имеющие постоянный доступ к ПДн, и лица, эксплуатирующие технические и программные  средства  защиты   должны  пройти  обучение  в  «Spatial.su».

10.4.5. В случае нарушения установленного порядка обработки ПДн работники «Spatial.su» несут ответственность в соответствии с разделом 12 настоящего Положения.

10.5. Получение ПДн.

10.5.1. ПДн поступают в компанию при приеме новых сотрудников, проведении собеседований, заключении и исполнении договоров, а также в иных случаях.

Сотрудники «Spatial.su», осуществляющие оформление документов, обязаны получать в установленных случаях согласие субъектов ПДн на обработку (раздел 6 Положения).

10.6. При получении персональных данных сотрудником «Spatial.su» в соответствии с должностными обязанностями в обязательном порядке должна проводиться проверка достоверности ПДн.

10.7. Порядок обращения с носителями, содержащими ПДн.

10.7.1. ПДн субъектов, обрабатываемые Компанией на бумажных и иных носителях, хранятся в подразделениях (у сотрудников), имеющих доступ к обработке соответствующих ПДн. Право доступа сотрудников определяется в соответствии с п. 10.4 настоящего Положения.

10.7.2. В ходе работы носители ПДн не должны оставаться без присмотра. При покидании рабочего места, сотрудники, осуществляющие обработку ПДн, должны убирать носители в сейф, запираемый шкаф или иным образом ограничивать несанкционированный доступ к носителям.

10.7.3. Носители информации хранятся в помещениях, где производится их обработка, в шкафах или сейфах.

10.7.4. Ответственность за хранение носителей, содержащих персональные данные, возлагается на руководителя организации.

10.7.5. Выдача носителей, содержащих персональные данные, для ознакомления осуществляется лицам, допущенным к соответствующей информации, в целях исполнения должностных обязанностей, на срок, не более одного рабочего дня.

10.7.6. Сотрудники обязаны незамедлительно сообщать руководителю своего подразделения об утрате или недостаче носителей информации, содержащих ПДн, а также о причинах и условиях возможной утечки ПДн или о попытке посторонних лиц получить от работника ПДн, обрабатываемые в «Spatial.su».

10.7.7. При работе с ПДн в «Spatial.su» запрещается передача носителей ПДн, а так же демонстрация экранных форм, содержащих ПДн, лицам, не имеющим соответствующего допуска.

10.8. Особенности обработки ПДн, содержащихся на бумажных носителях, без использования средств автоматизации (при составлении документов не используется ПЭВМ) установлены в соответствии с постановлением Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации".

10.8.1. В «Spatial.su» ведется учет и систематизация документов, содержащих ПДн – ведутся реестры договоров, личные дела сотрудников и т.п. При утере или порче ПДн осуществляется по возможности их восстановление.

10.8.2. В «Spatial.su» при ведении журналов, необходимых для однократного пропуска субъекта персональных данных на территорию, на которой находится «Spatial.su», или в иных аналогичных целях, указываются только фамилия, имя и отчество субъекта ПДн.

10.9. Хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

10.10. Уничтожение, блокирование и уточнение ПДн.

10.10.1. В случае выявления недостоверных персональных данных при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных «Spatial.su» обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки. Блокирование осуществляется на основании распоряжения (приказа) генеральный директора «Spatial.su» путем прекращения каких-либо действий с ПДн.

В случае подтверждения факта неточности персональных данных «Spatial.su» на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные (внести изменения) и снять их блокирование. Снятие блокирования осуществляется на основании приказа генеральный директора «Spatial.su».

10.10.2. В случае выявления неправомерных действий с персональными данными «Spatial.su» в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных «Spatial.su» обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.

10.10.3. В случае достижения цели обработки персональных данных либо в случае отзыва субъектом  персональных  данных  согласия  на  обработку  своих  персональных  данных,  «Spatial.su» обязано незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий 30 рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором с субъектом ПДн, федеральным законом и нормативно-правовым актом и уведомить об этом субъекта персональных данных или его законного представителя.

10.10.4. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

10.10.5. Уничтожение ПДн осуществляется в следующем порядке:

• — Уничтожение или обезличивание части персональных данных на бумажном носителе может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание);
• — ПДн на бумажных носителях уничтожаются путем сожжения, переработки в бумагоперерабатывающей машине или разделения вручную на мелкие фрагменты;
• — ПДн, размещенные в памяти ПЭВМ уничтожаются путем стирания программным способом без возможности восстановления;
• — ПДн, размещенные на флеш-карте, CD-диске, ином съемном носителе информации уничтожаются путем стирания программным способом без возможности восстановления или путем разрушения носителя.

10.12. Организация внутреннего контроля обработки и обеспечения безопасности ПДн.

10.12.1. Организация внутреннего контроля процесса обработки ПДн в «Spatial.su» осуществляется в целях изучения и оценки фактического состояния защищенности ПДн, своевременного реагирования на нарушения установленного порядка их обработки, а также в целях совершенствования этого порядка и обеспечения его соблюдения.

10.12.2. Мероприятия по осуществлению внутреннего контроля обработки и обеспечения безопасности ПДн направлены на решение следующих задач:

• — Обеспечение соблюдения сотрудниками «Spatial.su» требований настоящего Положения и нормативно-правовых актов, регулирующих сферу персональных данных;
• — Оценка компетентности персонала, задействованного в обработке ПДн;
• — Обеспечение работоспособности и эффективности технических средств ИСПДн и средств защиты ПДн, их соответствия требованиям уполномоченных органов исполнительной власти по вопросам безопасности ПДн;
• — Выявление нарушений установленного порядка обработки ПДн и своевременное предотвращение негативных последствий таких нарушений;
• — Принятие корректирующих мер, направленных на устранение выявленных нарушений, как в порядке обработки ПДн;
• — Разработка рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ПДн по результатам контрольных мероприятий;
• — Осуществление внутреннего контроля за исполнением рекомендаций и указаний по устранению нарушений.

10.12.3. Контроль процесса обработки ПДн в подразделениях «Spatial.su» организуется лицом, ответственным за организацию обработки ПДн, ежегодно.

10.13. Требования к администраторам ИСПДн.

10.13.1. Для обеспечения обработки и защиты ПДн в «Spatial.su» назначается администратор,  в обязанности которого входит:

• — управление учетными записями пользователей ИСПДн;
• — поддержание штатной работы ИСПДн;
• — обеспечение резервного копирования данных;
• — установка и конфигурирование аппаратного обеспечения, общесистемного и прикладного программного обеспечения ИСПДн;
• — обеспечение соответствия порядка обработки и обеспечения безопасности ПДн в ИСПДн требованиям по конфиденциальности, целостности и доступности ПДн, предъявляемых к конкретной ИСПДн, и общим требованиям по безопасности ПДн, установленных федеральным законодательством;
• — установка, конфигурирование и администрирование аппаратных и программных средств защиты информации ИСПДн;
• — учет и хранение машинных носителей ПДн;
• — периодический аудит журналов безопасности и анализ защищенности ИСПДн;
• — участие в  служебных расследованиях  фактов  нарушения  установленного  порядка обработки и обеспечения безопасности ПДн.

11. ОСОБЕННОСТИ ОБРАБОТКИ ПДН РАБОТНИКОВ «Spatial.su»

В настоящем разделе установлены дополнительные права и обязанности сотрудников «Spatial.su» при обработке ПДн работников в «Spatial.su».

11.1. Персональные данные работника - информация, необходимая «Spatial.su» в связи с трудовыми отношениями и касающаяся конкретного работника. «Spatial.su» получает необходимые по трудовому законодательству ПДн от самого работника. Если ПДн можно получить только от третьего лица, то это получение может быть только с письменного согласия работника.

11.2. Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

11.3. «Spatial.su» не имеет права получать и обрабатывать специальные персональные данные работника, в том числе о его членстве в общественных объединениях или его профсоюзной деятельности,  политических,  религиозных  убеждениях  и  частной  жизни,  за исключением случаев, предусмотренных законодательством.

11.4. При принятии решений, затрагивающих интересы работника, «Spatial.su» не имеет права основываться на персональных данных работника, полученных исключительно в электронном виде или в результате их только автоматизированной обработки.

11.5. «Spatial.su» обязуется не сообщать персональные данные работника третьим лицам в коммерческих и иных целях без письменного согласия субъекта ПДн, если передача ПДн не предусмотрена федеральными законами и иными нормативно-правовыми актами или заключаемыми договорами (передача общедоступных ПДн по договору).

11.6. Доступ к персональным данным работников предоставляется сотрудникам «Spatial.su» на основании утвержденного списка (Приложение 3 к настоящему Положению) в целях исполнения ими должностных обязанностей по ведению кадрового делопроизводства, выполнения административно-хозяйственных и организационно-распорядительных функций.

11.7. «Spatial.su» обязуется не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

11.8. В случае необходимости передать ПДн представителю работника, «Spatial.su» обязуется передавать персональные данные работника в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, и ограничивать передаваемую информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

11.9. Работник имеет право на определение своих представителей для защиты своих персональных данных.

11.10. «Spatial.su» обязано осуществлять передачу персональных данных сотрудников в пределах «Spatial.su» в соответствии с требованиями настоящего Положения.

11.11. В соответствии со статьями 86 и 88 Трудового кодекса РФ работник «Spatial.su» должен быть ознакомлен под подпись с настоящим Положением, устанавливающим порядок обработки ПДн, права и обязанности в этой области. Об ознакомлении работник расписывается в Согласии на обработку ПДн, которое он дает в целях организации взаимодействия между сотрудниками в ходе исполнения должностных обязанностей (Приложение 2).

12. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НАСТОЯЩЕГО ПОЛОЖЕНИЯ

12.1. Руководство «Spatial.su» несет ответственность за необеспечение конфиденциальности ПДн и несоблюдение прав и свобод субъектов ПДн в отношении их ПДн, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.

12.2. Работники «Spatial.su» несут персональную ответственность за несоблюдение требований по обработке и обеспечению безопасности ПДн, установленных настоящим Положением, в соответствии с законодательством Российской Федерации.

12.3. Работник «Spatial.su» может быть привлечен к ответственности в случаях:

• — умышленного или неосторожного раскрытия ПДн;
• — утраты материальных носителей ПДн;
• — нарушения требований настоящего Положения и других нормативных документов «Spatial.su» в части вопросов доступа и работы с ПДн.

12.4.   В случаях нарушения установленного порядка обработки и обеспечения безопасности ПДн, несанкционированного доступа к ПДн, раскрытия ПДн и нанесения «Spatial.su», ее работникам, контрагентам материального или иного ущерба, виновные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

ПЕРЕЧЕНЬ ПЕРСОНАЛЬНЫХ ДАННЫХ, обрабатываемых в «Spatial.su»