1. Общие положения

Политика Общества с ограниченной ответственностью «ДЖИТРАНС» (далее – Организация, Оператор) в отношении обработки персональных данных (далее – Политика) разработана в соответствии со следующими нормативными правовыми актами:

- Конституция Российской Федерации от 12.12.1993;

- Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ;

- Гражданский кодекс Российской Федерации от 30.11.1994 № 51-ФЗ;

- Федеральный закон от 27 июля 2006г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»;

- Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных»;

- постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

– постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

- иные нормативные правовые акты Российской Федерации и нормативные документы уполномоченных органов государственной власти.

Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в Организации с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

В Политике используются следующие основные понятия:

-     персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);

-     информационная система - совокупность содержащихся в базах данных ПДн, и обеспечивающих их обработку информационных технологий и технических средств;

-     автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники;

-     блокирование ПДн - временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);

-     обезличивание ПДн- действия, в результате которых становится невозможным определить без использования дополнительной информации принадлежность ПДн конкретному субъекту ПДн;

-     обработка ПДн - любое действие (операция) или совокупность действий (операций) с ПДн, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн;

-     оператор - юридическое лицо, самостоятельно или совместно с другими лицами организующая и (или) осуществляющая обработку ПДн, а также определяющая цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с персональными данными. Оператором является ООО «ДЖИТРАНС», зарегистрированное по адресу: 195027, г. Санкт-Петербург, вн.тер.г.муниципальный округ Большая Охта, пр-кт, Шаумяна, д. 4, к. 1, литера А, помещ. 35Н/36Н/37Н;

-     предоставление ПДн – действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;

-     распространение ПДн - действия, направленные на раскрытие ПДн неопределенному кругу лиц;

-     трансграничная передача ПДн - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу;

-     уничтожение ПДн - действия, в результате которых становится невозможно восстановить содержание ПДн в информационной системе персональных данных (ИСПДн) и (или) результате которых уничтожаются материальные носители ПДн.

Организация обязана опубликовать или иным образом обеспечить неограниченный доступ к настоящей Политике оператора в отношении обработки ПДн в соответствии с ч. 2 ст. 18.1. Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

2. Принципы и условия обработки персональных данных

2.1.  Принципы обработки ПДн

Обработка ПДн у Оператора осуществляется на основе следующих принципов:

-законной и справедливой основы;

-ограничения обработки ПДн достижением конкретных, заранее определенных и законных целей;

-недопущения обработки ПДн, несовместимой с целями сбора ПДн;

-недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

-обработки только тех ПДн, которые отвечают целям их обработки;

-соответствия содержания и объема обрабатываемых ПДн заявленным целям обработки;

-недопущения обработки ПДн, избыточных по отношению к заявленным целям их обработки;

-обеспечения точности, достаточности и актуальности ПДн по отношению к целям обработки ПДн;

-уничтожения либо обезличивания ПДн по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Оператором допущенных нарушений ПДн, если иное не предусмотрено законодательством Российской Федерации.

2.2.  Условия обработки ПДн

Оператор производит обработку ПДн при наличии хотя бы одного из следующих условий:

-обработка ПДн осуществляется с согласия субъекта ПДн на обработку его ПДн;

-обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

-обработка ПДн необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

-обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;

-обработка ПДн необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;

-осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;

-иных обязательных условий, указанных в Федеральном законе «О персональных данных» от 27.07.2006 № 152-ФЗ.

2.3.  Конфиденциальность персональных данных

Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации.

2.4.  Специальные категории персональных данных

Обработка Оператором специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни не осуществляется, за исключением случаев, предусмотренных законодательством Российской Федерации.

Обработка специальных категорий допускается в случае если:

- субъект ПДн дал согласие в письменной форме на обработку своих ПДн;

-персональные данные сделаны общедоступными субъектом ПДн;

-обработка ПДн осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;

-обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта ПДн невозможно;

-обработка ПДн осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка ПДн осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

-обработка ПДн необходима для установления или осуществления прав субъекта ПДн или третьих лиц, а равно и в связи с осуществлением правосудия;

-обработка ПДн осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.

Обработка специальных категорий ПДн, осуществлявшаяся в случаях, предусмотренных п. 4 ст. 10 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась их обработка, если иное не установлено законодательством Российской Федерации.

Обработка сведений о состоянии здоровья работника касается возможности выполнения им трудовой функции (п. 2.3 ч. 2 ст. 10 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»);

2.5.Поручение обработки персональных данных другому лицу

Оператор вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку ПДн по поручению Оператора, обязано соблюдать принципы и правила обработки ПДн, предусмотренные Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» и настоящей Политикой.

2.6.  Обработка персональных данных граждан Российской Федерации

В соответствии со ст. 2 Федерального закона от 21.07.2014 № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки ПДн в информационно-телекоммуникационных сетях»  при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети "Интернет", оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев:

-     обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

-     обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (исполнение судебного акта);

3.  Права субъекта персональных данных

3.1.  Согласие субъекта персональных данных на обработку его персональных данных

Субъект ПДн принимает решение о предоставлении его ПДн и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством Российской Федерации.

3.2.  Права субъекта персональных данных

Субъект ПДн имеет право на получение у Оператора информации, касающейся обработки его ПДн, если такое право не ограничено в соответствии с законодательством Российской Федерации. Субъект ПДн вправе требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Если субъект ПДн считает, что Оператор осуществляет обработку его ПДн с нарушением требований Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы, субъект ПДн вправе обжаловать действия или бездействие Оператора в Уполномоченный орган по защите прав субъектов ПДн или в судебном порядке.

Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда.

4. Обеспечение безопасности персональных данных

Безопасность ПДн, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований федерального законодательства в области защиты ПДн.

Для предотвращения несанкционированного доступа к персональным данным Оператором могут применяться следующие организационно-технические меры:

-назначение должностных лиц, ответственных за организацию обработки ПДн;

-ограничение состава лиц, допущенных к обработке ПДн;

-ознакомление субъектов с требованиями федерального законодательства и нормативных документов Оператора по обработке и защите ПДн;

-проверка готовности и эффективности использования средств защиты информации;

-разграничение доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации;

-регистрация и учет действий пользователей информационных систем ПДн;

-использование антивирусных средств и средств восстановления системы защиты персональных данных;

-организация пропускного режима на территорию Оператора, охраны помещений с техническими средствами обработки персональных данных.

5. Сроки обработки и хранения персональных данных

5.1. Обработка персональных данных в Обществе прекращается в следующих случаях:

· при выявлении факта неправомерной обработки персональных данных.

Срок прекращения обработки - в течение трех рабочих дней с даты выявления такого факта;

· при достижении целей их обработки (за некоторыми исключениями);

· по истечении срока действия или при отзыве субъектом персональных данных согласия на обработку его персональных данных (за некоторыми исключениями),если в соответствии с Законом о персональных данных их обработка допускается только

с согласия;

· при обращении субъекта персональных данных к Обществу с требованием

о прекращении обработки персональных данных (за исключением случаев, предусмотренных ч. 5.1 ст. 21 Закона о персональных данных). Срок прекращения обработки - не более 10 рабочих дней с даты получения требования (с возможностью продления не более чем на пять рабочих дней, если направлено уведомление о причинах продления).

5.2. Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки. Исключение - случаи, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных.

5.3. Персональные данные на бумажных носителях хранятся в Обществе в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле

в Российской Федерации», Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 № 236)).

5.4. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных

на бумажных носителях.

6. Права и обязанности работника

6.1. Работник имеет право:

6.1.1. На полную информацию о своих персональных данных и обработке

этих данных.

6.1.2. На свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника,

за исключением случаев, предусмотренных законодательством Российской Федерации.

6.1.4. Требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований, определенных трудовым законодательством. При отказе Общества исключить

или исправить персональные данные работника он имеет право заявить в письменной форме Обществу о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения.

6.1.5. Требовать извещения Обществом всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных

в них исключениях, исправлениях или дополнениях.

6.1.6. Обжаловать в суд любые неправомерные действия или бездействие Общества при обработке и защите его персональных данных.

6.1.7. Определять своих представителей для защиты своих персональных данных.

6.1.8. Требовать прекратить в любое время передачу (распространение, предоставление, доступ) персональных данных, разрешенных для распространения. Требование оформляется в письменном виде. Оно должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) работника, а также перечень персональных данных, обработка которых подлежит прекращению.

6.2. Работник обязан:

6.2.1. Передавать Обществу или его представителю комплекс достоверных документированных персональных данных, перечень которых установлен Трудовым кодексом Российской Федерации. Общество проверяет достоверность сведений, сверяя данные, представленные работником, с имеющимися у работника документами. Представление работником подложных документов или ложных сведений

при поступлении на работу является основанием для расторжения трудового договора.

6.2.2. Своевременно в разумный срок, не превышающий 5 дней, сообщать Обществу об изменении своих персональных данных.

7. Права и обязанности сотрудников Общества в связи

с обработкой персональных данных

7.1. Лицо, ответственное за обработку персональных данных, обязано:

- организовывать принятие правовых, организационных и технических мер

для обеспечения защиты персональных данных, обрабатываемых Обществом;

- осуществлять внутренний контроль за соблюдением его подчиненными работниками требований законодательства Российской Федерации в области персональных данных, в том числе требований к защите персональных данных;

- доводить до сведения сотрудников Общества положения законодательства Российской Федерации в области персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;

- организовать прием и обработку обращений и запросов субъектов персональных данных или их представителей, а также осуществлять контроль за приемом и обработкой таких обращений и запросов;

- в случае нарушения требований к защите персональных данных принимать необходимые меры по восстановлению нарушенных прав субъектов персональных данных.

7.2. Лицо, ответственное за обработку персональных данных, вправе:

- иметь доступ к информации, касающейся порученной ему обработки персональных данных и включающей:

- цели обработки персональных данных;

- категории обрабатываемых персональных данных;

- категории субъектов, персональные данные которых обрабатываются;

- правовые основания обработки персональных данных;

- перечень действий с персональными данными, общее описание используемых

у Общества способов обработки персональных данных;

- описание мер, предусмотренных ст. ст. 18.1 и 19 Закона о персональных данных,

в том числе сведения о наличии шифровальных (криптографических) средств

и наименования этих средств;

- дату начала обработки персональных данных;

- срок или условия прекращения обработки персональных данных;

- сведения об обеспечении безопасности персональных данных в соответствии

с требованиями к защите персональных данных, установленными Правительством Российской Федерации;

- привлекать к реализации мер, направленных на обеспечение безопасности персональных данных, иных сотрудников Общества с возложением на них соответствующих обязанностей и закреплением ответственности.

7.4. Сотрудники Общества:

- оказывают содействие лицу, ответственному за обработку персональных данных,

в выполнении им своих обязанностей;

- незамедлительно доводят до сведения своего непосредственного руководителя

и лица, ответственного за обработку персональных данных, сведения о предполагаемых нарушениях законодательства Российской Федерации, в том числе нормативных правовых актов уполномоченного федерального органа исполнительной власти, и внутренних документов Общества другими сотрудниками Общества или контрагентами Общества.

8. Доступ к персональным данным работника

8.1. Внутренний доступ.

Право доступа к персональным данным работника и их обработки имеют:

- руководитель Общества;

- работники отдела кадров;

- работники бухгалтерии;

- руководители структурных подразделений по направлению деятельности (доступ

к личным данным только работников своего подразделения) по согласованию

с руководителем Работодателя;

- при переводе из одного структурного подразделения в другое доступ

к персональным данным работника может иметь руководитель нового подразделения;

- сам работник, носитель данных.

8.2. Не требуется согласие работника на передачу персональных данных:

- в Фонд пенсионного и социального страхования Российской Федерации в объеме, предусмотренном действующим законодательством Российской Федерации;

- в налоговые органы;

- в военные комиссариаты;

- в органы, осуществляющие миграционный учет;

- по запросу профессиональных союзов в целях контроля за соблюдением трудового законодательства Работодателем;

- по мотивированному запросу органов прокуратуры;

- по мотивированному требованию правоохранительных органов и органов безопасности;

- по запросу от государственных инспекторов труда при осуществлении

ими надзорно-контрольной деятельности;

- по запросу суда;

- в органы и организации, которые должны быть уведомлены о тяжелом несчастном случае, в том числе со смертельным исходом;

- персональные данные работника передаются третьим лицам в случаях, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных федеральными законами.

8.3. Обработка персональных данных без согласия субъекта персональных данных допускается в случаях, предусмотренных Законом о персональных данных, а также в иных случаях, предусмотренных нормативно-правовыми актами РФ и разъяснениями государственных органов, в том числе когда:

- обработка необходима в целях исполнения заключенного с работником договора или возложенных на работодателя обязанностей, функций и полномочий (п. п. 2, 5 ч. 1 ст. 6 Закона о персональных данных);

- это предусмотрено коллективным договором, соглашением, а также локальными актами работодателя, принятыми в установленном ст. 372 ТК РФ порядке (абз. 2 Разъяснений Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве»);

- обязанность по обработке предусмотрена законодательством, в том числе для опубликования и размещения персональных данных работников в Интернете (абз. 1 п. 1 Разъяснений Роскомнадзора);

- обработка сведений о состоянии здоровья работника касается возможности выполнения им трудовой функции (п. 2.3 ч. 2 ст. 10 Закона о персональных данных);

- проводится обработка персональных данных близких родственников работника в случаях, установленных законодательством РФ (при получении алиментов, оформлении социальных выплат, допуска к государственной тайне) (абз. 1 п. 2 Разъяснений Роскомнадзора);

- обработка персональных данных связана с выполнением работником своих трудовых обязанностей (п. 3 Разъяснений Роскомнадзора);

- обработка персональных данных проводится в целях организации работодателем пропускного режима на территорию его служебных зданий и помещений (абз. 1 п. 5 Разъяснений Роскомнадзора);

- обработка персональных данных осуществляется в отношении уволенных работников, например, в рамках бухгалтерского и налогового учета (пп. 5 п. 3

ст. 24 НК РФ, ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ, абз. 6 - 10 п. 5 Разъяснений Роскомнадзора);

 - обработка персональных данных в целях передачи в кредитную организацию, обслуживающую платежные карты работников (абз. 10 п. 4 Разъяснений).

8.4. Другие организации.

Сведения о работнике (в том числе уволенном) могут быть предоставлены другой организации только с письменного запроса на бланке организации с приложением копии заявления работника.

8.5. Родственники и члены семей.

Персональные данные работника могут быть предоставлены родственникам

или членам его семьи только с письменного разрешения самого работника.

9. Порядок блокирования и уничтожения персональных данных

9.1. Общество блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.

9.2. При достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются либо обезличиваются. Исключение может предусматривать федеральный закон.

9.3. Незаконно полученные персональные данные или те, которые не являются необходимыми для цели обработки, уничтожаются в течение семи рабочих дней со дня представления субъектом персональных данных (его представителем) подтверждающих сведений.

9.4. Персональные данные, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 рабочих дней с даты выявления факта неправомерной обработки.

9.5. Персональные данные уничтожаются в течение 30 дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, иным соглашением между ним и Обществом либо если Общество не вправе обрабатывать персональные данные без согласия субъекта персональных данных

на основаниях, предусмотренных федеральными законами.

9.6. Персональные данные уничтожаются (если их сохранение не требуется

для целей обработки персональных данных) в течение 30 дней с даты поступления отзыва субъектом персональных данных согласия на их обработку. Иное может предусматривать договор, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, иное соглашение между ним и Обществом.

Кроме того, персональные данные уничтожаются в указанный срок, если Общество не вправе обрабатывать их без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.

9.7. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются на основании Положения Общества об архиве.

9.8. Отбор материальных носителей (документы, жесткие диски, флеш-накопители

и т.п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют подразделения Общества, обрабатывающие персональные данные.

9.9. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора.

9.9.1. Комиссия составляет список с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.

9.9.2. Персональные данные на бумажных носителях уничтожаются

с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных

с электронных носителей методами и средствами гарантированного удаления остаточной информации.

9.9.3. Комиссия подтверждает уничтожение персональных данных, указанных

в п. п. 9.4, 9.5, 9.6 Положения, согласно Требованиям к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 № 179,

а именно:

·                 актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;

·                 актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если данные обрабатываются с использованием средств автоматизации либо одновременно

с использованием и без использования таких средств.

Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями.

Формы акта и выгрузки из журнала с учетом сведений, которые должны содержаться в указанных документах, утверждаются приказом генерального директора.

После составления акта об уничтожении персональных данных и выгрузки

из журнала регистрации событий в информационной системе персональных данных комиссия передает их лицу, ответственномудля последующего хранения. Акты

и выгрузки из журнала хранятся в течение трех лет с момента уничтожения персональных данных.

9.9.4. Уничтожение персональных данных, не указанных в п. 9.9.3 Положения, подтверждается актом, который оформляется непосредственно после уничтожения таких данных. Форма акта утверждается приказом генерального директора.

10. Защита персональных данных. Процедуры, направленные на предотвращение и выявление нарушений

законодательства, устранение последствий таких нарушений

10.1. Без письменного согласия субъекта персональных данных Общество

не раскрывает третьим лицам и не распространяет персональные данные, если иное

не предусмотрено федеральным законом.

10.1.1. Запрещено раскрывать и распространять персональные данные субъектов персональных данных по телефону, факсу. Возможно раскрытие, передача

и распространение персональных данных субъектов персональных данных через официальную почту Общества. 

10.1.2. Ответы на письменные запросы других организаций и учреждений

в пределах их компетенции и предоставленных полномочий даются в письменной форме на бланке Общества и в том объеме, который позволяет не разглашать излишний объем персональных сведений о работниках.

10.2. В целях обеспечения сохранности и конфиденциальности персональных данных работников все операции по оформлению, формированию, ведению и хранению данной информации должны выполняться только теми работниками, осуществляющими данную работу в соответствии с Положением, приказами генерального директора Общества, а также со своими служебными обязанностями, зафиксированными

в их должностных инструкциях.

В должностные инструкции работников Общества, обрабатывающих персональные данные, включаются, в частности, положения о необходимости сообщать о любых случаях несанкционированного доступа к персональным данным.

10.3. С целью защиты персональных данных в Обществе приказами генерального директора либо в настоящем Положении назначаются (утверждаются):

·                 работник, ответственный за организацию обработки персональных данных;

·                 порядок передачи персональных данных в пределах Общества;

·                 форма согласия на обработку персональных данных, форма согласия

на обработку персональных данных, разрешенных субъектом персональных данных

для распространения;

·                 порядок защиты персональных данных при их обработке в информационных системах персональных данных;

·                 порядок проведения внутренних расследований, проверок;

·                 иные локальные нормативные акты, принятые в соответствии с требованиями законодательства в области персональных данных.

10.4. Работники, которые занимают должности, предусматривающие обработку персональных данных, допускаются к ней после подписания обязательства

об их неразглашении.

10.5. Работники Общества, обрабатывающие персональные данные, периодически проходят обучение требованиям законодательства в области персональных данных.

10.6. Личные дела и документы, содержащие персональные данные работников, хранятся в запирающихся шкафах (сейфах), обеспечивающих защиту

от несанкционированного доступа. Помещения Общества, в которых они размещаются, оборудуются запирающими устройствами.

10.7. Персональные компьютеры, в которых содержатся персональные данные, должны быть защищены паролями доступа.

10.8. В Обществе используется сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.

10.9. В Обществе проводятся внутренние расследования в следующих ситуациях:

·                 при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов персональных данных;

·                 в иных случаях, предусмотренных законодательством в области персональных данных.

10.10. Лицо, ответственное за организацию обработки персональных данных, осуществляет внутренний контроль:

·                 за соблюдением работниками, уполномоченными на обработку персональных данных, требований законодательства в области персональных данных, локальных нормативных актов;

·                 соответствием указанных актов требованиям законодательства в области персональных данных.

10.10.1. Внутренний контроль проходит в виде внутренних проверок.

Внутренние проверки осуществляются по решению лица, ответственного

за организацию обработки персональных данных. Основанием

для них служит информация о нарушении законодательства в области персональных данных, поступившая в устном или письменном виде.

10.10.2. По итогам внутренней проверки оформляется докладная записка на имя генерального директора. Если выявлены нарушения, в документе приводится перечень мероприятий по их устранению и соответствующие сроки.

10.11. Внутреннее расследование проводится, если выявлен факт неправомерной

или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее - инцидент).

10.11.1. В случае инцидента Общество в течение 24 часов уведомляет Роскомнадзор:

·                 об инциденте;

·                 его предполагаемых причинах и вреде, причиненном правам субъекта (нескольким субъектам) персональных данных;

·                 принятых мерах по устранению последствий инцидента;

·                 представителе Общества, который уполномочен взаимодействовать

с Роскомнадзором по вопросам, связанным с инцидентом.

При направлении уведомления нужно руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора

от 14.11.2022 № 187.

10.11.2. В течение 72 часов Общество обязано сделать следующее:

·                 уведомить Роскомнадзор о результатах внутреннего расследования;

·                 предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).

При направлении уведомления также необходимо руководствоваться Порядком

и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 № 187.

10.12. В случае предоставления субъектом персональных данных

(его представителем) подтвержденной информации о том, что персональные данные являются неполными, неточными или неактуальными, в них вносятся изменения в течение семи рабочих дней. Общество уведомляет в письменном виде субъекта персональных данных (его представителя) о внесенных изменениях и сообщает (по электронной почте)

о них третьим лицам, которым были переданы персональные данные.

10.13. Общество уведомляет субъекта персональных данных (его представителя)

об устранении нарушений в части неправомерной обработки персональных данных. Уведомляется также Роскомнадзор, если он направил обращение субъекта персональных данных (его представителя) либо сам сделал запрос.

10.13.1. В случае уничтожения персональных данных, которые обрабатывались неправомерно, уведомление направляется в соответствии с п. 10.13 Положения.

10.14. В случае уничтожения персональных данных, незаконно полученных

или не являющихся необходимыми для заявленной цели обработки, Общество уведомляет субъекта персональных данных (его представителя) о принятых мерах в письменном виде. Общество уведомляет по электронной почте также третьих лиц, которым были переданы такие персональные данные.

11. Ответственность за нарушение норм, регулирующих

обработку персональных данных

11.1. Лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных, привлекаются

к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами. Кроме того, они привлекаются

к административной, гражданско-правовой или уголовной ответственности в порядке, установленном федеральными законами.

11.2. Руководители структурных подразделений Оператора несут персональную ответственность за исполнение обязанностей их подчиненными работниками.

11.3. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных,

а также несоблюдения требований к их защите, установленных Законом о персональных данных, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда

и понесенных субъектом персональных данных убытков.