Политика обработки персональных данных

СОДЕРЖАНИЕ

1. Общие положения

1.1. Настоящая Политика акционерного общества «Дальлеспром» в отношении обработки персональных данных (далее - Политика) разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон о персональных данных) и с учетом Рекомендаций Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом о персональных данных, в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика является основой для организации обработки и защиты персональных данных в акционерном обществе «Дальлеспром» (далее - Оператор, Общество) и определяет:

принципы обработки персональных данных, которыми руководствуется Оператор при осуществлении деятельности;
правовые основания обработки персональных данных;
цели обработки персональных данных, категории и перечень обрабатываемых персональных данных, категории субъектов персональных данных, персональные данные которых обрабатываются, способы, сроки обработки и хранения персональных данных, прядок их уничтожения;
меры, направление на исполнение Оператором требований законодательства РФ о персональных данных, в том числе на обеспечение безопасности персональных данных;
основные права и обязанности Оператора и субъектов персональных данных.

1.3. Политика действует в отношении всех персональных данных, которые обрабатывает Общество.

1.4. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.

1.5. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети «Интернет» на сайте Оператора.

1.6. Основные понятия, используемые в Политике:

субъект персональных данных – прямо или косвенно определенное или определяемое физическое лицо;
персональные данные - любая информация, относящаяся к субъекту персональных данных;
оператор персональных данных (оператор) - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
информационная безопасность – защищенность информационных систем Общества (информации и обрабатывающей ее инфраструктуры) от любых случайных или злонамеренных воздействий, результатом которых может являться нанесение ущерба самой информации, ее владельцам или инфраструктуре;
родственник – близкие родственники: родители и дети, бабушки и внуки, братья и сестры (полнородные и неполнородные, т.е. имеющие общих отца или мать); супруг/супруга, в том числе бывшие; усыновители и усыновленные.

1.7. Основные права и обязанности Оператора.

1.7.1. Оператор имеет право:

1) самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством РФ о персональных данных;

2) осуществлять передачу персональных данных субъектов персональных данных третьим лицам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, иным лицам при наличии соответствующих правовых оснований и с соблюдением требований Закона о персональных данных;

3) поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных;

4) в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных;

5) реализовывать иные права, предусмотренные законодательством РФ о персональных данных.

1.7.2. Оператор обязан:

1) при обработке персональных данных соблюдать законодательство РФ о персональных данных;

2) при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, указанных в Законе о персональных данных;

3) в случае, если в соответствии с федеральным законом предоставление персональных данных и (или) получение Оператором согласия на обработку персональных данных являются обязательными, и субъект персональных данных отказывается предоставить персональные данные и/или предоставить согласие на их обработку, разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку;

4) в случае получения персональных данных не от субъекта персональных данных предоставить субъекту персональных данных информацию, предусмотренную ч. 3 ст. 18 Закона о персональных данных, с учетом установленных указанным законом исключений;

5) отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;

6) принимать меры по обеспечению безопасности персональных данных при ох обработке;

7) выполнять обязанности по устранению нарушений законодательства РФ о персональных данных, если такие нарушения были допущены при обработке персональных данных, а также выполнять обязанности по уточнению, блокированию, уничтожению персональных данных в случаях, предусмотренных законодательством РФ о персональных данных;

8) выполнять обязанности, установленные Законом о персональных данных для операторов персональных данных, в случае получения от субъекта персональных данных требования о прекращении обработки персональных данных и/или отзыва согласия на обработку персональных данных;

9) сообщать в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) по запросу этого органа необходимую информацию в установленный законом срок;

10) взаимодействовать с Роскомнадзором по вопросам, связанным с обработкой и защитой персональных данных, в случаях, предусмотренных Законом о персональных данных;

11) выполнять иные обязанности, предусмотренные законодательством РФ о персональных данных.

1.8. Основные права субъекта персональных данных.

1.8.1. Субъект персональных данных имеет право:

1) свободно, своей волей и в своем интересе предоставлять согласие на обработку персональных данных с учетом требований Закона о персональных данных к форме и содержанию согласий на обработку персональных данных (примерная форма согласия на обработку персональных данных представлена в Приложении № 1 к настоящей Политике);

2) направлять запросы и/или обращения и получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;

3) требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

4) обратиться с требованием к Оператору прекратить обработку своих персональных данных, а также отозвать предоставленное согласие на обработку персональных данных (примерная форма отзыва согласия на обработку персональных данных представлена в Приложении № 2 к настоящей Политике);

5) обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных;

6) осуществлять иные права, предусмотренные законодательством РФ о персональных данных.

1.9. Контроль за исполнением требований настоящей Политики осуществляется лицом, ответственным за организацию обработки персональных данных у Оператора.

2. Принципы обработки персональных данных

2.1. Обработка персональных данных в Обществе осуществляется на законной и справедливой основе и ограничивается достижением конкретных, заранее определенных и законных целей. Обработке подлежат только те персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых в Обществе персональных данных соответствуют заявленным целям обработки, избыточность обрабатываемых персональных данных не допускается.

2.2. При обработке персональных данных в Обществе обеспечивается их точность, достаточность и, в необходимых случаях, актуальность по отношению к целям обработки персональных данных. Общество принимает необходимые меры (обеспечивает их принятие) по удалению или уточнению неполных или неточных персональных данных.

2.3. Хранение персональных данных в Обществе в форме, позволяющей определить субъекта персональных данных, осуществляется не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются при достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

2.4. Общество обеспечивает надлежащую защиту обрабатываемых персональных данных с использованием соответствующих технических или организационных мер, включая защиту от несанкционированной или незаконной обработки и случайной потери, уничтожения или повреждения персональных данных. Цели обработки, состав и содержание персональных данных, а также категории субъектов персональных данных, чьи данные обрабатываются в Обществе, обновляются в случае их изменения.

2.5. Общество в ходе своей деятельности может предоставлять и (или) поручать обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. При этом обязательным условием предоставления и (или) поручения обработки персональных данных другому лицу является обязанность сторон по соблюдению конфиденциальности и обеспечению безопасности персональных данных при их обработке, предусмотренных законодательством РФ.

2.6. Общество не размещает персональные данные субъекта в общедоступных источниках без его предварительного согласия.

2.7. Общество не допускает объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

3. Правовые основания обработки персональных данных

3.1. Правовым (законным) основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных.

3.2. Такими правовыми (законными) основаниями обработки персональных данных являются:

согласие субъекта персональных данных на обработку персональных данных с учетом требований, предусмотренных Законом о персональных данных для соответствующей категории персональных данных;
федеральные законы и принятые на их основе нормативные правовые акты, во исполнение которых и в соответствии с которыми Общество осуществляет обработку персональных данных, в том числе (но не ограничиваясь) положения Гражданского кодекса РФ, Налогового кодекса РФ, Трудового кодекса РФ, Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», Федерального закона от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования», Федерального закона от 24.07.1998 № 125-ФЗ «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний», Федерального закона от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации», Федерального закона от 26.12.1995 № № 208-ФЗ «Об акционерных обществах», Федерального закона от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью», Федерального закона от 08.08.2001 № 129-ФЗ «О государственной регистрации юридических лиц и индивидуальных предпринимателей», Гражданского процессуального кодекса РФ, Арбитражного процессуального кодекса РФ, Федерального закона от 02.10.2007 № 229-ФЗ «Об исполнительном производстве», Лесного кодекса РФ, Постановления Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете», Приказа Минтруда России № 988н, Минздрава России № 1420н от 31.12.2020 «Об утверждении перечня вредных и (или) опасных производственных факторов и работ, при выполнении которых проводятся обязательные предварительные медицинские осмотры при поступлении на работу и периодические медицинские осмотры»;
положения устава Общества;
судебные акты, акты другого органа или должностного лица, подлежащие исполнению Обществом;
договор, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, если обработка персональных данных необходима для заключения указанного договора или исполнения обязательств по договору;
обеспечение и/или осуществление защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
права и законные интересы Общества, третьих лиц либо достижение общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
обработка персональных данных в статистических или иных исследовательских целях при условии обязательного обезличивания персональных данных;
иные правовые основания, установленные действующим законодательством РФ.

4. Цели обработки персональных данных

4.1. Обработка Оператором персональных данных осуществляется в следующих целях:

привлечение и отбор кандидатов для предоставления возможности их трудоустройства в Обществе;
организация, обеспечение и регулирование трудовых и непосредственно связанных с ними отношений;
обеспечение доступа к социальному и медицинскому обслуживанию, предоставление корпоративных привилегий;
привлечение и отбор кандидатов для формирования кадрового резерва в Обществе;
заключение, сопровождение, исполнение, изменение, расторжение трудовых договоров, которые являются основанием для возникновения или прекращения трудовых отношений между работниками и работодателем;
заключение, сопровождение, изменение, расторжение ученических договоров;
обеспечение эффективности деловых коммуникаций в Обществе (размещение информации в корпоративных справочниках, адресных книгах и т.п.; выявление/предупреждение мошеннических и иных противоправных действий);
обеспечение доступа на территорию (объекты) и в помещения Общества;
исполнение обязательств, предусмотренных федеральным законодательством и иными нормативными правовыми актами (в том числе выполнение решений судов и иных государственных органов).
обеспечение и осуществление взаимодействия с третьими лицами по вопросам заключения и исполнения договоров;
реализация корпоративных процедур в Обществе;
обеспечение претензионно-исковой работы в Обществе.

4.2. В целях реализации требований ч. 1 ст. 18.1 Закона о персональных данных Общество обеспечивает издание отдельных локальных нормативных актов, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований.

5. Категории и виды обрабатываемых персональных данных, категории субъектов персональных данных

5.1. Общество (Оператор) в рамках выполнения своей деятельности может обрабатывать персональные данные следующих категорий субъектов персональных данных:

а) работники Оператора и их родственники;

б) бывшие работники Оператора и их родственники;

в) члены советов директоров, кандидаты в совет директоров Оператора;

г) кандидаты на замещение вакантных должностей в Общество и их родственники;

д) физические лица, заключившие с Оператором договоры гражданско-правового характера, а также ученический договор;

е) физические лица, в том числе студенты, проходящие практику в Обществе;

ж) представители работников и контрагентов Оператора;

з) представители потенциальных контрагентов Оператора;

и) посетители объектов и помещений Оператора;

к) другие субъекты персональных данных (для обеспечения реализации целей обработки, указанных в разделе 4 настоящей Политики).

5.2. В зависимости от целей, указанных в разделе 4 настоящей Политики, в Обществе могут обрабатываться следующие персональные данные субъектов персональных данных:

общие сведения (ФИО, дата и место рождения, пол, гражданство и т.д.);
контактная информация (номер контактного телефона, адрес личной электронной почты и т.д.);
сведения о паспорте или ином документе, удостоверяющем личность (серия, номер, дата выдачи, адрес места регистрации и места жительства и т.д.);
сведения о военном билете / удостоверении гражданина, подлежащего призыву на военную службу (серия, номер, звание и т.д.);
сведения об образовании (специальность, квалификация и т.д.);
сведения об опыте работы (рабочий стаж, должность, предыдущие места работы, специальность и т.д.);
сведения, содержащиеся в документах справочного характера (о заработной плате сотрудника, о социальных льготах и удержаниях (например, алиментах) и т.д.);
сведения о семейном положении и составе семьи (состояние в браке, сведения о детях и т.д.);
сведения о страховом номере индивидуального лицевого счета (СНИЛС);
сведения об идентификационном номере налогоплательщика (ИНН);
сведения об отчислениях (размер отчислений в Социальный фонд России и т.д.);
сведения о состоянии здоровья;
иные персональные данные, необходимые для достижения целей, предусмотренных разделом 4 настоящего Положения.

5.3. Обработка Оператором биометрических персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) осуществляется в соответствии с законодательством РФ.

5.4. Оператором не осуществляется обработка:

специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных законодательством РФ;
сведений о членстве в общественных объединениях и о профсоюзной деятельности субъекта персональных данных (работников), за исключением случаев, установленных законодательством.

6. Порядок и условия обработки персональных данных

6.1. Общество осуществляет обработку персональных данных - операции, совершаемые с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

6.2. Обработка персональных данных в Обществе осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством РФ в области персональных данных, следующими способами:

неавтоматизированная обработка персональных данных;
автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
смешанная обработка персональных данных.

6.3. Обработка персональных данных осуществляется Обществом с учетом всех принципов и целей их обработки, заявленных в настоящей Политике.

6.4. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.

6.5. Работники Общества, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, утверждены Приказом Роскомнадзора от 24.02.2021 № 18.

6.6. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд России и другие уполномоченные органы государственной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.

6.7. Трансграничная передача персональных данных на территории иностранных государств, являющихся сторонами Конвенции о защите физических лиц при автоматизированной обработке персональных данных, а также иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с Законом о персональных данных и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства. Трансграничная передача персональных данных на территорию иностранного государства, не являющегося стороной указанной Конвенции, осуществляется в соответствии с законодательными актами Российской Федерации при условии соответствия действующих в этом государстве норм права и применяемых мер безопасности персональных данных положениям Конвенции.

6.8. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором.

6.9. Персональные данные на бумажных носителях хранятся в Обществе в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 № 236)).

6.10. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

6.11. Оператор прекращает обработку персональных данных в следующих случаях:

1) выявлен факт их неправомерной обработки. Срок - в течение трех рабочих дней с даты выявления;

2) достигнута цель их обработки;

3) истек срок действия или отозвано согласие субъекта персональных данных на обработку указанных данных, когда по Закону о персональных данных обработка этих данных допускается только с согласия.

6.12. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку Оператор прекращает обработку этих данных, если:

иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.

6.13. При обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных в срок, не превышающий 10 рабочих дней с даты получения Оператором соответствующего требования, обработка персональных данных прекращается, за исключением случаев, предусмотренных Законом о персональных данных. Указанный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока.

6.14. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, указанных в Законе о персональных данных.

6.15. При обработке персональных данных Оператор принимает необходимые и достаточные меры для обеспечения выполнения обязанностей, предусмотренных законодательством РФ в области персональных данных, в том числе по обеспечению безопасности персональных данных, в соответствии с разделом 7 настоящей Политики.

7. Основные меры для обеспечения выполнения обязанностей, предусмотренных законодательством РФ в области персональных данных

7.1. Общество самостоятельно определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей, предусмотренных законодательством РФ в области обработки и обеспечения безопасности персональных данных.

7.2. Целями таких мер является обеспечение конфиденциальности и безопасности персональных данных, защита персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, предотвращений финансовых потерь, ущерба репутации.

7.3. Для достижения обозначенных целей Общество принимает, в том числе следующие меры:

1) Назначает ответственное лицо за организацию обработки персональных данных.

Указанное лицо получает указания непосредственно от единоличного исполнительного органа Общества, и подотчетно ему. В обязанности указанного лица входит:

осуществление внутреннего контроля за соблюдением Оператором и его работниками законодательства РФ о персональных данных, в том числе требований к защите персональных данных;
доведение до сведения работников Оператора положений законодательства РФ о персональных данных, локальных нормативных актов по вопросам обработки персональных данных, требований к защите персональных данных;
организация приема и обработки обращений и запросов субъектов персональных данных или их представителей и (или) осуществление контроля за приемом и обработкой таких обращений и запросов;
выполнение иных возложенных на него обязанностей.

2) Издает и регулярно актуализирует документ, определяющий политику Общества в отношении обработки персональных данных, а также локальные акты по вопросам обработки персональных данных в соответствии с п. 4.2 настоящей Политики.

3) Применяет правовые, организационные и технические меры для защиты персональных данных, в том числе обрабатываемых в информационных системах персональных данных, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других неправомерных действий.

4) Издает политику информационной безопасности в Обществе, определяющую систему обеспечения информационной безопасности в Обществе, цели и задачи защиты информационных ресурсов в Обществе, основные принципы построения системы управления информационной безопасностью Общества.

5) Определяет структурное подразделение Общества, на которое возложены функции обеспечения информационной безопасности, в том числе по реализации политики информационной безопасности; определению требований к защите информации, включая персональные данные; организации мероприятий и координацию работ всех подразделений по вопросам комплексной защиты информации; контролю и оценке эффективности принятых мер и применяемых средств защиты; оказанию методической помощи работникам в вопросах обеспечения информационной безопасности; регулярной оценке и управлению рисками информационной безопасности в соответствии с установленными процедурами в области управления рисками; выбору и внедрению средств защиты информации; обеспечению минимально необходимого доступа к информационным ресурсам, расследованию инцидентов информационной безопасности.

6) Обеспечивает пропускной режим и управление доступом в помещения и сооружения, в которых расположены информационные системы персональных данных.

7) Организует учет технических средств, входящих в состав информационных систем персональных данных, а также машинных носителей персональных данных.

8) Осуществляет внутренний аудит соответствия обработки персональных данных законодательства РФ о персональных данных, требованиям к защите персональных данных, настоящей Политике и иным локальным нормативным актам Общества. Порядок и периодичность такого аудита определяется структурным подразделением Общества, в полномочия которого входит проведение внутреннего аудита деятельности Общества, с обязательным учетом мнения лица, ответственного за организацию обработки персональных данных, назначенным в Обществе.

9) Проводит оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона о персональных данных, соотношение указанного вреда и принимаемых Оператором мер по обеспечению безопасности персональных данных.

10) Проводит обучение работников Общества, непосредственно осуществляющих обработку персональных данных, положениям законодательства РФ о персональных данных, издаваемых в Обществе политик в отношении персональных данных, иных локальных нормативных актов Общества в области обработки персональных данных.

11) Организует прием и обработку обращений и запросов субъектов персональных данных или их законных представителей, а также осуществляет контроль за приемом и обработкой таких обращений и запросов.

8. Организация работы по обращениям и запросам субъектов персональных данных. Актуализация, исправление, удаление, уничтожение персональных данных

8.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю в течение 10 рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору следует направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.

В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.

Запрос должен содержать:

номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
подпись субъекта персональных данных или его представителя.

Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.

Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

8.2. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.

8.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.

8.4. При выявлении Оператором, Роскомнадзором или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Оператор:

в течение 24 часов - уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесенном правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом;
в течение 72 часов - уведомляет Роскомнадзор о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).

8.5. Условия и сроки уничтожения персональных данных Оператором:

достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение 30 дней;
достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение 30 дней, если иное не предусмотрено законодательством РФ;
предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение 7 рабочих дней;
отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.

8.6. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:

иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.

8.7. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора Общества.

8.8. Способы уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.

9. Заключительные положения

9.1. Политика обязательна для исполнения всеми работниками Оператора, участвующими в процессе обработки персональных данных.

9.2. Политика является основополагающим внутренним нормативным документом для Оператора и его работников. На основе Политики Оператор утверждает и вводит в действие иные локальные нормативные акты в области обработки персональных данных.

9.3. Настоящая Политика является локальным нормативным документом постоянного действия. Иные локальные нормативные акты Общества не должны противоречить Политике.

9.4. В случае, если отдельные положения настоящей Политики будут противоречить положениям законодательства РФ о персональных данных, в указанной части следует руководствоваться положениями законодательства РФ о персональных данных вплоть до внесения необходимых изменений в настоящую Политику либо издания новой политики в отношении персональных данных.

9.5. Ответственность за нарушение требований законодательства Российской Федерации и нормативных актов Общества в сфере обработки и защиты персональных данных определяется в соответствии с законодательством РФ.

9.6. Политика утверждается, вводится в действие, изменяется и признается утратившим силу на основании приказа генерального директора Общества.

Политика АО Дальлеспром в отношении обработки персональных данных.pdf