Политика Общества с ограниченной ответственностью «Системные решения» в области конфиденциальности и обработки персональных данных

1       Общие положения и область применения

2       Нормативные ссылки

3       Термины, определения и сокращения

·         Автоматизированная обработка персональных данных: обработка персональных данных с помощью средств вычислительной техники (без непосредственного участия человека).

·         База данных: представленная в объективной форме совокупность самостоятельных материалов (статей, расчетов, нормативных актов, судебных решений и иных подобных материалов), систематизированных таким образом, чтобы эти материалы могли быть найдены и обработаны с помощью электронной вычислительной машины (ЭВМ).

·         Биометрические персональные данные: сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.

·         Блокирование персональных данных временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

·         Информационная система персональных данных: совокупность персональных данных, содержащихся в базах данных, и обеспечивающих их обработку информационных технологий и технических средств.

·         Конфиденциальность персональных данных: обязательное для оператора и иных лиц, получивших доступ к персональным данным, требование не передавать третьим лицам персональные данные без согласия субъекта персональных данных или иного законного основания.

·         Ответственный за организацию обработки персональных данных в Компании: назначенный приказом единоличного исполнительного органа Компании работник Компании, отвечающий за соблюдение Компанией и её работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных.

·         Несанкционированный доступ: доступ к информации, ИТ-системам и компонентам ИТ-инфраструктуры лиц, не имеющих на это право, в нарушение правил разграничения доступа, но с использованием штатных средств, предоставляемых средствами вычислительной техники или информационной системы.

·         Оператор (ПДн): государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.

·         Обезличивание персональных данных: действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

·         Обработка персональных данных: любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

·         Персональные данные: любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

·         Предоставление персональных данных действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

·         Распространение персональных данных: действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

·         Специальные категории персональных данных: персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, о судимости.

·         Структурное подразделение: подразделение Компании, являющееся исполнителем отдельных процессов, функций, работ, участвующее в хозяйственной деятельности Компании, но не имеющее хозяйственной самостоятельности в рамках Компании.

·         Субъект персональных данных: физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.

·         Трансграничная передача персональных данных: передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.

·         Третьи лица: любые физические лица, не являющиеся работниками Компании, любые юридические лица, их объединения, должностные лица, органы государственной власти и местного самоуправления, иные лица, с которыми Компания вступает в какие-либо правоотношения.

·         Угроза безопасности информации: совокупность условий и факторов, определяющих наличие потенциальной или реально существующей опасности, связанной с реализацией риска информационной безопасности.

·         Уничтожение персональных данных: действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

·         Закон – Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

·         ИБ – Информационная безопасность

·         ИСПДн – Информационная система персональных данных

·         Компания – ООО «Системные решения»

·         РМД – Регламентирующие документы (нормативно-методические / организационно-правовые документы)

·         ПДн – Персональные данные

·         Политика – Политика ООО «Системные решения» в области обработки персональных данных

·         РФ – Российская Федерация

4       Правовые основания обработки персональных данных

·         устав Компании;

·         договоры, заключаемые между Оператором и субъектами ПДн;

·         согласие субъектов ПДн на обработку их ПДн.

5       Основные принципы Политики

·         требованиями законодательства РФ в области ПДн, нормативно-методическими документами Компании и организационно-правовыми документами Компании;

·         требованиями Трудового кодекса РФ;

·         с учетом оценки вреда, который может быть причинен субъектам ПДн в случае нарушения действующего законодательства РФ;

·         требованиями ратифицированной РФ Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПДн;

·         с учетом российских и международных стандартов в области ИБ.

·         организация обработки ПДн;

·         взаимодействие с субъектами ПДн;

·         взаимодействие с органами государственной власти;

·         повышение осведомленности пользователей ПДн

·         обеспечение безопасности ПДн;

·         контроль за соблюдением требований в сфере обработки и защиты ПДн.

6       Объекты и субъекты Политики

·         ПДн, обрабатываемые в Компании;

·         ИСПДн, функционирующие в Компании;

·         требования по обеспечению безопасности ПДн при их обработке в ИСПДн, и системы защиты ПДн, функционирующие в Компании;

·         нормативно-методические и организационно-правовые документы Компании в области ПДн.

·         Ответственный за организацию обработки ПДн в Компании;

·         Ответственные за обеспечение безопасности ПДн в Компании;

·         организация разработки РМД Компании по вопросам обработки и обеспечения безопасности ПДн;

·         организация проведения мероприятий по внутреннему контролю и (или) аудита ИБ на соответствие обработки ПДн требованиям законодательства РФ, а также утвержденными РМД Компании в области ПДн;

·         организация оценки вреда, который может быть причинен субъектам ПДн в случае нарушения требований Закона, соотношение указанного вреда и принимаемых Компанией мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом;

·         организация режима обеспечения безопасности помещений, в которых размещены ИСПДн, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

·         организация взаимодействия от имени Компании с Уполномоченным органом по защите прав субъектов ПДн и иными уполномоченными органами в случаях, предусмотренных законодательством РФ о ПДн, с привлечением работников правовых служб Компании;

·         организация формирования и направления в Уполномоченный орган по защите прав субъектов ПДн в сроки, установленные Законом, уведомления об обработке Компанией (о намерении Компании осуществлять обработку) ПДн или информационного письма о внесении изменений в сведения в реестре операторов, осуществляющих обработку ПДн, в случаях, когда это предусмотрено действующим законодательством РФ;

·         осуществление регулярного мониторинга фактов включения Компании в ежегодный сводный план проведения плановых проверок субъектов предпринимательства на предмет соблюдения обязательных требований в области обработки ПДн;

·         разработку и реализацию мероприятий для повышения осведомленности по вопросам обработки и обеспечения безопасности ПДн.

·         вовлеченность руководителей Компании – деятельность по организации обработки и обеспечению безопасности ПДн инициируется и контролируется на уровне руководителей Компании;

·         соответствие мер обеспечения безопасности ПДн требованиям законодательства РФ и РМД Компании в области ПДн;

·         использование для обеспечения безопасности ПДн совокупности организационных и технических мер;

·         повышение уровня осведомленности лиц, допущенных к обработке ПДн по вопросам обеспечения безопасности ПДн;

·         совершенствование процессов обеспечения безопасности ПДн.

·         организация работ по обеспечению безопасности ПДн;

·         организация создания и ввода в эксплуатацию системы защиты ПДн,

·         формирование предложений по модернизации системы защиты ПДн;

·         организация управления инцидентами ИБ в ИСПДн;

·         организация проверок соответствия обработки и обеспечения безопасности ПДн требованиям законодательства РФ и РМД Компании в области ПДн;

·         организация информирования работников Компании о требованиях законодательства РФ в области обеспечения безопасности ПДн, а также РМД Компании по вопросам обеспечения безопасности ПДн.

·         фамилия, имя, отчество;

·         пол;

·         гражданство;

·         дата и место рождения;

·         номер контактного телефона, адрес электронной почты и (или) сведения о других способах связи;

·         сведения об образовании, опыте работы, квалификации;

·         иные персональные данные, сообщаемые кандидатами в резюме и сопроводительных письмах.

·         фамилия, имя, отчество;

·         пол;

·         гражданство;

·         дата и место рождения;

·         изображение (фотография);

·         паспортные данные;

·         адрес регистрации по месту жительства;

·         адрес фактического проживания;

·         контактные данные;

·         индивидуальный номер налогоплательщика;

·         страховой номер индивидуального лицевого счета (СНИЛС);

·         сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;

·         семейное положение, наличие детей, родственные связи;

·         сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий;

·         данные о регистрации брака;

·         сведения о воинском учете;

·         сведения об инвалидности;

·         сведения об удержании алиментов;

·         сведения о доходе с предыдущего места работы;

·         иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

·         фамилия, имя, отчество;

·         степень родства;

·         год рождения;

·         иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

·         фамилия, имя, отчество;

·         дата и место рождения;

·         паспортные данные;

·         адрес регистрации по месту жительства;

·         контактные данные;

·         замещаемая должность;

·         индивидуальный номер налогоплательщика;

·         номер расчетного счета;

·         иные персональные данные, предоставляемые клиентами и контрагентами (физическими лицами), необходимые для заключения и исполнения договоров.

·         фамилия, имя, отчество;

·         паспортные данные;

·         контактные данные;

·         замещаемая должность;

·         иные персональные данные, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров.

7       Основные положения об обработке ПДн

·         достижение целей обработки ПДн и максимальных сроков хранения документов, их содержащих;

·         утрата необходимости в достижении целей обработки ПДн;

·         выявление неправомерной обработки ПДн;

·         отзыв субъектом ПДн согласия на обработку ПДн, за исключением случаев, предусмотренных законодательством РФ в области ПДн.

·         наличия согласия в письменной форме субъекта ПДн на трансграничную передачу его ПДн;

·         предусмотренных международными договорами РФ;

·         исполнения договора, стороной которого является субъект ПДн;

·         защиты жизни, здоровья, иных жизненно важных интересов субъекта ПДн или других лиц при невозможности получения согласия в письменной форме субъекта ПДн;

·         предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя РФ, обеспечения обороны страны и безопасности государства, а также обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

8       Сведения о соблюдении Компанией законодательно установленных прав субъектов ПДн

9       Сведения о принимаемых мерах по обеспечению выполнения Компанией обязанностей оператора при обработке ПДн

10    Ответственность