Защита персональных данных

9.1. Под защитой персональных данных понимается ряд правовых, организационных и технических мер, направленных Обществом на:

— обеспечение защиты персональных данных от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении таких сведений о субъекте персональных данных;

— соблюдение конфиденциальности персональных данных;

— реализацию права на доступ к персональным данным.

9.2. Для защиты персональных данных Общество обеспечивает безопасность и конфиденциальность персональных данных в соответствии с требованиями законодательства Российской Федерации в области персональных данных, в частности устанавливаются и соблюдаются следующие меры, в том числе обеспечительные меры согласно установленному уровню защищенности, персональных данных:

— назначение Обществом лица, ответственного за организацию обработки персональных данных, и подразделения, ответственного за обеспечение безопасности информации (включая персональные данные);

— издание локальных актов по вопросам обработки и защиты персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;

— осуществление внутреннего контроля и (или) аудита соответствия порядка обработки персональных данных Обществом требованиям Федерального закона от 27.07.2006

— № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Общества в отношении обработки персональных данных, локальным актам Общества;

— ознакомление работников Общества, осуществляющих обработку персональных данных, с правилами и требованиями законодательства Российской Федерации, с локальными нормативными актами Общества, касающимися обработки персональных данных, и требованиями по обеспечению безопасности, а также при необходимости — обучение указанных работников;

— проведение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения ими Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», соотношение указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных указанным Федеральным законом;

— определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз и их нейтрализация;

— применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации для нейтрализации актуальных угроз безопасности персональных данных;

— оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

— учет машинных носителей персональных данных;

— обнаружение фактов несанкционированного доступа к персональным данным и принятие соответствующих мер;

— восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

— установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

— контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных;

— организация режима обеспечения безопасности помещений, в которых размещены информационные системы персональных данных, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

— обеспечение сохранности материальных носителей персональных данных;

— утверждение руководством Общества документа, определяющего перечень лиц, доступ которым к персональным данным, обрабатываемым в информационных системах персональных данных, необходим для выполнения ими служебных (трудовых) обязанностей;

— иные требования, предусмотренные законодательством Российской Федерации в области персональных данных.

9.3. Реализация мер по обеспечению безопасности персональных данных осуществляется с помощью разработанной системы защиты персональных данных, которая в том числе нейтрализует актуальные угрозы безопасности персональных данных и обеспечивает защиту персональных данных в соответствии с уровнем их защищенности.

9.4. Уровень защищенности персональных данных устанавливается комиссией, назначенной приказом Общества, и утверждается генеральным директором или другим уполномоченным лицом.

Предоставление и передача персональных данных

10.1. При предоставлении Обществом персональных данных третьим лицам должны выполняться следующие условия:

— передача (предоставление) персональных данных третьей стороне осуществляется на основании договора, условием которого является обеспечение третьей стороной конфиденциальности и безопасности персональных данных при их обработке в соответствии с требованиями законодательства Российской Федерации;

— в договоре с третьим лицом определены цели обработки и перечень действий (операций) с персональными данными;

— наличие письменного согласия субъекта персональных данных на передачу его персональных данных третьей стороне, за исключением случаев, предусмотренных законодательством Российской Федерации.

10.2. Общество не осуществляет трансграничную передачу персональных данных на территории иностранных государств.

Сроки обработки (хранения) персональных данных

11.1. Порядок хранения персональных данных, обрабатываемых в Обществе, определяется нормативными документами Общества в соответствии с положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

11.2. Сроки обработки (хранения) персональных данных определяются в соответствии со сроком действия договора с субъектом персональных данных, приказом Минкультуры России от 25.08.2010 № 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения», сроками исковой давности, а также иными сроками, установленными законодательством Российской Федерации и нормативными документами Общества.

11.3. Персональные данные, срок обработки (хранения) которых истек, должны быть уничтожены, если иное не предусмотрено федеральным законом или нормативными документами Общества.

Уточнение, изменение, блокирование и уничтожение

12.1. В случае выявления неправомерной обработки персональных данных, осуществляемой Обществом или лицом, действующим по поручению Общества, в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, Общество обязано прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению Общества. В случае если обеспечить правомерность обработки персональных данных невозможно, Общество в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, обязано уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Общество обязано уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

12.2. В случае достижения цели обработки персональных данных Общество обязано прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных законодательством Российской Федерации.

12.3. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Общество обязано прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных законодательством Российской Федерации.

12.4. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пункте 11 настоящей Политики, Общество осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен законодательством Российской Федерации.

Порядок обработки обращений

13.1. Работником, ответственным за взаимодействие с субъектами персональных данных в соответствии с требованиями законодательства Российской Федерации в области обработки и защиты персональных данных, является лицо, ответственное за организацию обработки персональных данных.

13.2. Субъект персональных данных может направить обращение как на бумажном носителе, так и в форме электронного документа.

13.3. К письменным обращениям субъектов персональных данных относятся любые письменные обращения субъектов персональных данных, направленные в адрес Общества, в том числе обращения, отправленные через отделения почтовой связи.

13.4. Первичный учет поступивших обращений от субъектов персональных данных осуществляется в соответствии с правилами внутреннего документооборота Общества.

13.5. Письменные обращения, а также ответы на них хранятся в порядке и в течение срока, определенными правилами внутреннего документооборота Общества.

13.6. Ответ субъекту персональных данных (или его представителю) направляется Обществом вне зависимости от формы обращения субъекта (письменная или электронная) и результатов рассмотрения обращения.

13.7. В случае если обращение направлено субъектом персональных данных (или его представителем) повторно с целью получения информации об обработке его персональных данных, Общество осуществляет проверку временного периода, прошедшего с даты последнего обращения субъекта персональных данных (или его представителя). Если данный временной период составляет менее 30 (тридцати) рабочих дней и по предыдущему обращению субъекта персональных данных была предоставлена полная информация в соответствии с его обращением, Общество готовит и направляет письменный ответ субъекту персональных данных (или его представителю) с отказом в предоставлении запрашиваемых субъектом персональных данных сведений со ссылкой на пункт 6 статьи 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

13.8. Обращения субъектов персональных данных (или их представителей) проверяются на наличие:

— Ф.И.О. заявителя (представителя субъекта персональных данных — если применимо); — Ф.И.О. субъекта персональных данных;

— номера основного документа, удостоверяющего личность субъекта персональных данных (и его законного представителя — если применимо), сведений о дате выдачи указанного документа и выдавшем органе, а также документа, подтверждающего право представления интересов субъекта (для законного представителя);

— сведений, подтверждающих участие субъекта персональных данных в отношениях с Обществом (факт обработки персональных данных Обществом);

— собственноручной подписи субъекта персональных данных (или его представителя) — для письменных обращений.

13.9. В случае необходимости работник, ответственный за организацию обработки персональных данных, запрашивает дополнительную информацию у субъекта персональных данных (или его представителя).

13.10. Срок предоставления ответа субъекту персональных данных (или его представителю) не превышает 30 (тридцати) дней с даты получения обращения. Контроль за своевременным предоставлением ответа осуществляется подразделением, ответственным за обеспечение безопасности персональных данных.

13.11. Сведения предоставляются субъекту персональных данных (или его представителю) с использованием всех доступных средств доставки с подтверждением приема-передачи (почта с уведомлением о получении, электронная почта с электронной подписью и подтверждением получения письма и другие). Сведения не должны содержать персональных данных, относящихся к другим субъектам персональных данных.

Ответственность за нарушение законодательства

14.1. Общество ответственно за обеспечение безопасности персональных данных субъектов персональных данных. В случае поручения (частичного поручения) обработки персональных данных третьему лицу Общество обязано предусмотреть в договоре обязанность третьего лица соблюдать требования по конфиденциальности, правила обработки и обеспечивать безопасность полученных персональных данных при их обработке.

14.2. Общество несет ответственность за нарушение законодательства Российской Федерации в области персональных данных, настоящей Политики и других локальных нормативных актов Общества в отношении обработки и защиты персональных данных.

14.3. Работники Общества, виновные в нарушении норм, регулирующих обработку, в том числе сбор (получение), хранение персональных данных, и защиту персональных данных субъектов персональных данных, несут дисциплинарную, административную, уголовную, гражданско-правовую ответственность в соответствии с законодательством Российской Федерации.

Политика конфиденциальности