1. Общие положения.
- 1.1. Политика в отношении обработки персональных данных в (далее — Политика обработки ПДн) MyPard (далее – Оператор), расположенного по адресу: г. Санкт-Петербург определяет основные принципы, цели, условия и способы обработки персональных данных, перечни субъектов и обрабатываемых Оператором персональных данных, функции Оператора при обработке персональных данных, права субъектов персональных данных, а также реализуемые Оператором требования к защите персональных данных.
- 1.2. Политика разработана с учетом требований Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации в области персональных данных.
- 1.3. Политика обработки ПДн разработана с целью обеспечения защиты прав и свобод субъекта персональных данных при обработке его персональных данных (далее – ПДн).
- 1.4. Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих в MyPard вопросы обработки персональных данных работников MyPard и других субъектов персональных данных.
2. Основные термины и определения, используемые в локальных нормативных актах Оператора, регламентирующих вопросы обработки персональных данных
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Информация – сведения (сообщения, данные) независимо от формы их представления.
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемые с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
3. Цели обработки персональных данных.
- Персональные данные обрабатываются в целях:
- - обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Оператора;
- - осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора, в том числе по предоставлению персональных данных в органы государственной власти, в Пенсионный фонд Российской Федерации, в Фонд социального страхования Российской Федерации, в Федеральный фонд обязательного медицинского страхования, а также в иные государственные органы;
- - регулирования трудовых отношений с работниками Оператора (содействие в трудоустройстве, обучение и продвижение по службе, обеспечение личной безопасности, контроль количества и качества выполняемой работы, обеспечение сохранности имущества);
- - защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
- - подготовки, заключения, исполнения и прекращения договоров с контрагентами;
- - выполнение требований действующего законодательства по определению порядка обработки и защиты персональных данных граждан, являющихся клиентами или контрагентами Оператора;
- - исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
- - осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;
- - в иных законных целях.
4. Правовое основание обработки персональных данных.
- Политика обработки персональных данных определяется в соответствии со следующими нормативными правовыми актами:
- - Конституции Российской Федерации;
- - Трудового кодекса Российской Федерации;
- - Федерального закона от 27 июля 2006 года № 152-ФЗ "О персональных данных";
- - Федерального закона "Об информации, информационных технологиях и о защите информации" от 27.07.2006 N 149-ФЗ.
- - Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации. Утверждено постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687.
- - Постановления от 1 ноября 2012 г. N 1119 об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных.
- - приказ ФСТЭК России № 55, ФСБ России № 86, Мининформсвязи России № 20 от 13 февраля 2008 г. "Об утверждении Порядка проведения классификации информационных систем персональных данных";
- - приказ ФСТЭК России от 18 февраля 2013 г. № 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";
- - приказ Роскомнадзора от 05 сентября 2013 г. № 996 "Об утверждении требований и методов по обезличиванию персональных данных";
- - Приказ ФНС от 17 ноября 2010 г. № ММВ-7-3/611 "Об утверждении формы сведений о доходах физических лиц и рекомендации по ее заполнению, формата сведений о доходах физических лиц в электронном виде, справочников".
- - Иные нормативные правовые акты Российской Федерации и нормативные документы уполномоченных органов государственной власти.
5. Перечень действий с персональными данным.
- Перечень действий с персональными данными и способы их обработки
- 5.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
- 5.2. Обработка персональных данных Оператором осуществляется следующими способами:
- - неавтоматизированная обработка персональных данных;
- - автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
- - смешанная обработка персональных данных.
6. Перечень субъектов, персональные данные которых обрабатываются Оператором.
- 6.1. Оператором обрабатываются персональные данные следующих категорий субъектов:
- - работники Оператора;
- - клиенты Оператора;
- - контрагенты Оператора;
- - физические лица, обратившиеся к Оператору в порядке, установленном Федеральным законом «О порядке рассмотрения обращений граждан Российской Федерации
- - другие субъекты персональных данных (для обеспечения реализации целей обработки, указанных в разделе 3Политики).
7. Перечень персональных данных, обрабатываемых Оператором.
- 7.1. Перечень персональных данных, обрабатываемых Оператором, определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора с учетом целей обработки персональных данных, указанных в разделе 3 Политики.
- 7.2. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.
8. Обеспечение защиты персональных данных при их обработке Оператором.
- 8.1. Оператор принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 года № 152-ФЗ "О персональных данных"; и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 года № 152 "О персональных данных", постановлением Правительства от 15 сентября 2008 года № 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", постановлением Правительства от 01 ноября 2012 года № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", приказом ФСТЭК от 18 февраля 2013 года № 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных", и другими нормативными правовыми актами, если иное не предусмотрено федеральными законами. К таким мерам относятся:
- - назначение Оператором ответственного за организацию обработки персональных данных;
- - издание Оператором документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
- - применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
- - осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Федеральному закону "О персональных данных" и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора;
- - определение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных", соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных";
- - ознакомление сотрудников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных сотрудников.
- 8.2. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
9. Право субъекта персональных данных на доступ к его персональным данным.
- 9.1. Права субъекта персональных данных регулируются действующим законодательством и в частности определяются статьям 14 - 17 Федерального закона от 27.06.2006 г. № 152-ФЗ «О персональных данных».
- 9.2. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
- - подтверждение факта обработки персональных данных оператором;
- - правовые основания и цели обработки персональных данных;
- - цели и применяемые оператором способы обработки персональных данных;
- - наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
- - обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
- - сроки обработки персональных данных, в том числе сроки их хранения;
- - порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
- - информацию об осуществленной или о предполагаемой трансграничной передаче данных;
- - наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
- - иные сведения, предусмотренные федеральными законами.