Настоящее поручение на обработку персональных данных (далее – Поручение) разработано в соответствии с Федеральным законом от 27.07.2006. №152-ФЗ «О персональных данных». Настоящее поручение определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в ООО «КардсПроСервис» с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
1) Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
2) Оператор (Заказчик ) - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
3) Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
4) Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
5) Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
6) Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
7) Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
8) Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
9) Уполномоченные лица Заказчика
- лица, действующие в соответствие с соглашением о
конфиденциальности, заключенным с Заказчиком.
10) О безличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
11) Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
12) Трансграничная передача персональных данных
- передача персональных данных на
территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
13) Исполнитель - ООО «КардсПроСервис» (123610, г. Москва, Краснопресненская набережная, дом 12, офисное здание 1, помещение Iд, комната 42; ОГРН 1157746550070).
2. ПОРУЧЕНИЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Заказчик, являясь Оператором персональных данных, в соответствии с п. 3 ст. 6 Федерального закона от 27.07.2006 года № 152-ФЗ «О персональных данных», поручает, а Исполнитель, обязуются осуществлять обработку персональных данных субъектов, в интересах Заказчика и во исполнение
Пользовательского соглашения.
3. ПОРЯДОК ВЗАИМОДЕЙСТВИЯ СТОРОН
3.1. Основанием для Исполнителя на#nbsp;обработку персональных данных субъектов, осуществляемую в интересах Заказчика, является Пользовательское соглашение.
3.2. Порядок организации сбора согласий субъектов персональных данных на обработку и передачу их персональных данных, а также цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными:
3.2.1. Цель обработки персональных данных.
Обработка персональных данных поручается в целях реализации программ лояльности.
3.2.2. Перечень персональных данных, обработка которых поручается Исполнителю
- Фамилия, имя, отчество;
- Место, год и дата рождения;
- Контактный телефон;
- Адрес регистрации;
- Адрес места фактического проживания (пребывания);
- Паспортные данные (серия, номер паспорта, кем и когда выдан);
- Телефонный номер (домашний, рабочий, мобильный).
- Сбор персональных данных.
- Систематизация персональных данных.
- Накопление персональных данных.
- Использование персональных данных для реализации программ лояльности и коммуникации с субъектами персональных данных.
- Хранение персональных данных.
- Уточнение (обновление, изменение) персональных данных:
- Извлечение (выгрузка) - по дополнительному письменному поручению Заказчика.
- Обезличивание персональных данных:
-
- по законному требованию субъекта персональных данных, с обязательным письменным уведомлением Заказчика;
- по требованию органов государственного регулирования по защите прав субъектов персональных данных, с обязательным письменным уведомлением Заказчика. - Блокирование персональных данных:
- по дополнительному письменному поручению Заказчика;
- по законному требованию субъекта персональных данных, с обязательным письменным уведомлением Заказчика;
- по требованию органов государственного регулирования по защите прав субъектов персональных данных, с обязательным письменным уведомлением Заказчика. - Удаление персональных данных:
- по дополнительному письменному поручению Заказчика;
- по законному требованию субъекта персональных данных, с обязательным письменным уведомлением Заказчика;
- по требованию органов государственного регулирования по защите прав субъектов персональных данных, с обязательным письменным уведомлением Заказчика. - Уничтожение персональных данных - по дополнительному письменному поручению Заказчика.
Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
Обработке подлежат только персональные данные, которые отвечают целям их обработки.
Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а также актуальность по отношению целям обработки персональных данных.
Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если иное не определено условиями договора. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное определено условиями договора.
3.2.5. Организация защиты персональных данных
Объекты защиты
- информация, содержащая персональные данные субъектов;
- машинные носители, содержащие персональные данные субъектов;
- информационные системы персональных данных;
- персональные данные субъектов, содержащиеся в электронных базах данных информационных систем персональных данных.
Для обеспечения безопасности персональных данных Исполнителем должны выполняться следующие мероприятия:
- Необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
- Обеспечение доступа работников Исполнителя к персональным данным, обрабатываемым попоручению Заказчика, после подписания ими Обязательства о неразглашении персональных данных, изучения требований Заказчика по порядку обработки и защиты персональных данных, локальных нормативных актов, регламентирующих порядок организации и обеспечения защиты персональных данных и прохождения инструктажа по порядку обращения с персональными данным.
- Определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
- Применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных.
- Оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных.
- Учет машинных носителей персональных данных.
- Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер.
- Восстановление персональных данных, модифицированных или уничтоженных вследстви несанкционированного доступа к ним.
- Установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.
- Контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
Уничтожение персональных данных субъектов может производится Исполнителем, только:
- по дополнительному письменному поручению Заказчика;
- по законному требованию субъекта персональных данных, с обязательным письменным уведомлением Заказчика;
- по требованию органов государственного регулирования по защите прав субъектов персональных данных, с обязательным письменным уведомлением Заказчика.
3.2.8. Порядок прекращения обработки персональных данных
Прекращение обработки персональных данных осуществляется:
- в случае прекращения договорных отношений, являющихся основанием для обработки персональных данных;
- по дополнительному письменному поручению Заказчика;
- по письменному предписанию органов государственного регулирования.
4. ПРАВА И ОБЯЗАННОСТИ СТОРОН
4.1. Заказчик обязуется:
4.1.1. В случае отзыва субъектом персональных данных согласия на обработку персональных данных и отсутствия оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», допускающих обработку
персональных данных без наличия согласия субъекта, направлять Исполнителю письменное поручение на проведение работ по удалению, либо обезличиванию персональных данных субъекта.
4.1.2. При поступлении запроса от субъекта персональных данных на предоставление сведений, указанных в части 7 статьи 14 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», либо требований субъекта об утонении его персональных данных, их блокировании или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, направлять Исполнителю письменное поручение на
предоставление информации, либо совершение конкретных действий с персональными данными субъекта.
4.2. Исполнитель обязуется:
4.2.1. Осуществлять обработку персональных данных на законной основе, в строгом соответствии с условиями настоящего Поручения.
4.2.2. По первому письменному требованию Заказчика произвести передачу (возврат) обрабатываемых по его поручению баз персональных данных, указанным в требовании способом.
4.2.4. По запросу уполномоченного органа по защите прав субъектов персональных данных, предоставить доказательство получения собранных в рамках настоящего Поручения согласий субъектов персональных данных на обработку их персональных данных или доказательство наличия оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», допускающих обработку персональных данных без наличия согласия субъекта.
Этой информации – любое действие или операция с личными данными субъекта: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
Зачем собирать информацию о субъекте и давать согласие на ее анализ?
Для клиента/пациента
Сведения о состоянии здоровья гражданина относятся к специальной категории персональных данных. Согласно ч. 2 п. 4 ст. 10 ФЗ № 152 обработка таких сведений допускается без согласия субъекта при условии, что она осуществляется в целях:
- установления диагноза;
- профилактики заболевания;
- оказания медицинских и медико-социальных услуг.
Это правило справедливо для ситуаций, когда обработка осуществляется профессиональным врачом, обязанным хранить врачебную тайну в соответствии с законодательством РФ.
Исключение составляют те ситуации, когда получить согласие невозможно, но необходима для защиты жизни или здоровья пациента.
Если человек пользуется какой-либо услугой – заключает договор, оформляет кредит – то есть является клиентом, личные сведения о нём также могут быть обработаны согласно ФЗ № 152 .
Данные клиента могут использованы для:
- Оказание консультационных, информационных и посреднических услуг.
- Заключение и исполнение договора с клиентом.
- Ведение кадровой работы и бухгалтерских услуг.
- Иные сделки, не запрещенные законодательством РФ.
Для сотрудника организации
- Оформление гражданско-правовых договоров с гражданами, предусмотренных Законодательством РФ и Уставом предприятия.
- Кадровый учёт, соблюдение законов и , оформление обязательств по трудовым и гражданско-правовым договорам.
- Помощь в трудоустройстве, получении образования или продвижения по службе, оформлении и использовании льгот.
- Обеспечение личной безопасности работника и сохранность имущества.
- Выполнение требований налогового, а также пенсионного законодательства при начислении взносов на пенсионное страхование.
- Формирование статистики в соответствие с Трудовым, Налоговым Кодексами и федеральными законами.
- Контроль выполняемой сотрудником работы.
(Ст. 86 «Трудового Кодекса Российской Федерации» от 30.12.2001 г. № 197-ФЗ). Личные сведения о сотруднике, относящиеся к категории «специальные», не подлежат обработке работодателем.
Обязательно должны быть установлены сроки действия Согласия на обработку персональных данных, это может быть конкретная дата или событие, например, увольнение или отзыв сотрудником своего согласия.
Примеры
Банковская сфера
Банк «Финансовый». Цель обработки персональных данных клиента – осуществление банковских и других операций, в том числе:
- Открытие и ведение банковских счетов.
- Перевод денежных средств по банковским счетам.
- Перевод денежных средств от лиц – физических и юридических без открытия банковского счёта.
- Купля-продажа иностранной валюты.
- Оказание услуг консультирования и информирования, в том числе посредством адреса электронной почты.
Медицинская организация
Медицинская организация «Здоровье». Цель обработки:
- Организация оказания медицинской помощи.
- Выписка льготных рецептов.
- Оплата счетов в системе ОМС и ДМС.
- Использования для статистики и при проведении научно-исследовательской работы.
- Информирование посредством смс-оповещения о результатах анализов, проводимых акциях и расписании работы специалистов.
Заключение
С , клиента или пациента не всё так просто, как кажется на первый взгляд. Просто так, без согласия и предупреждения, они не могут быть переданы третьим лицам или использованы в тех целях, с которыми субъект не согласен. Если человек столкнулся с тем, что произошла утечка его личных данных, он всегда может обратиться в Роскомнадзор или в суд.
Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему - позвоните прямо сейчас:
В соответствии с ч. 2 ст. 85 ТК РФ обработка персональных данных работника - это получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.
Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работнику в трудоустройстве, обучении и продвижении по службе, обеспечения столичной безопасности, а также контроля количества и качества выполняемой им работы и обеспечения сохранности имущества (п. 1 ст. 86 ТК РФ).
Согласно п. 3 ст. 3 Федерального закона «О персональных данных» обработка персональных данных — это действия (операции) с персонатьными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных. Следует иметь в виду, что независимо от количества перечисляемых в законодательстве функциональных операций правовое регулирование должно охватывать все стадии обработки персональных данных — от получения до уничтожения без каких-либо изъятий и исключений.
К принципам обработки персональных данных указанный Закон относит следующие:
- законность целей и способов обработки и добросовестность;
- соответствие целей обработки целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора;
- соответствие объема и характера обрабатываемых данных, способов обработки целям их обработки;
- достоверность персональных данных, их достаточность для целей обработки, недопустимость обработки персональных данных, не имеющих отношения к целям, заявленным при сборе данных;
- недопустимость объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.
Обработка персональных данных работника начинается с их получения. По общему правилу все персональные данные следует получать у самого работника. В исключительных случаях, когда персональные данные работника можно получить только у третьей стороны, работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель обязан сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение (п. 3 ст. 86 ТК РФ). Однако персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни работодатель не имеет права получать и обрабатывать (п. 4 ст. 86 ТК РФ). Также работодатель не может запрашивать информацию о состоянии здоровья работника, если это не относится к решению вопроса о возможности выполнения работником трудовой функции (ст. 88 ТК РФ).
Отдельные требования ТК РФ предъявляет к организации и технологии обработки персональных данных работодателем. Обязанность ознакомления работников и их представителей под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области, предполагает необходимость разработки и принятия соответствующего локального нормативного правового акта. Такой акт в зависимости от специфики деятельности и усмотрения работодателя может именоваться положением или инструкцией и, как правило, включает следующие разделы:
- основные понятия и положения;
- обработка персональных данных работника;
- формирование персональных данных работника;
- учет, хранение и передача персональных данных работника;
- права и обязанности работника в области обработки и защиты его персональных данных.
Такой локальный нормативный правовой акт определяет режим конфиденциальности (ограниченного доступа) персональных данных работника у определенного работодателя. Сотрудники работодателя, получающие персональные данные работника, обязаны соблюдать этот режим, о чем необходимо указать не только в их должностных инструкциях, но и в заключаемых с ними трудовых договорах. Положение (инструкция) о защите персональных данных является основным документом, отражающим специфику обработки и передачи персональных данных работника в пределах конкретной организации, у определенного индивидуального предпринимателя. В случае наличия в рамках этой деятельности автоматизированной составляющей работодатель не имеет права принимать в отношении работника решения, основанные на персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получения (п. 6 ст. 86 ТК РФ). Работодатель может не ограничиваться принятием положения о защите персональных данных работников в своей организации. Однако наличие этого локального акта является обязательным, а его отсутствие рассматривается государственной инспекцией труда как серьезное нарушение трудового законодательства.
За это и другие нарушения норм, регулирующих получение, обработку и работника, работодатель может привлекать виновных лиц к материальной, дисциплинарной ответственности, а соответствующие государственные органы — к гражданско-правовой, административной и уголовной.
Осуществляется на основании исполнения законов и иных нормативных актов.
Что является обработкой персональных данных? В этот процесс включаются следующие действия:
Правовое регулирование работы с персональными данными охватывает все процессы и стадии работы с ними.
Цель
Для чего нужна обработка персональных данных? Обработка персональных данных работника осуществляется на предприятии, в организации в целях содействия ему.
Основные цели обработки персональных данных:
- в устройстве на работу;
- в устройстве в учебное заведение или на обучение, по повышению квалификации;
- в целях охраны организации труда;
- для продвижения по службе и контроля, за возможностью карьерного роста;
- для осуществления контроля, за количеством и качеством выполненных работ.
Законодательство предусматривает аккумуляцию и трансляцию личных данных работника исключительно в целях его развития и целесообразного применения его способностей и опыта. ,
включают в себя многофункциональные цели.
В цели обработки персональных данных работников входит использование и обработки персональных данных путём их синтеза и взаимосвязи, определяющих актуальность возможностей работника в условиях организации производственного процесса.
Поставленные и озвученные цели для обработки персональных данных не могут изменяться без уведомления работника.
Кем осуществляется?
Под персональными данными понимается такая информация, которая содержит основные сведения о лице, представляющем интерес для определённого круга представителей государственных и иных служб.
В частности, на производстве (в организации), персональные данные представляют интерес для работодателя, который осуществляет управление организацией труда на производстве на основании сведений о своих сотрудниках.
Работодатель имеет право затребовать любые персональные данные, имеющиеся в учётных записях о работнике. Кроме него, доступ к персональным данным имеет ограниченный круг лиц, который осуществляет операционную работу. Как правило, это секретариат и сотрудники кадровой службы.
Оператор, осуществляющий информационную деятельность с персональными данными, прежде, чем приступить к обозначенной работе, проходит инструктаж. Он знакомится с правилами работы и принципами, запрещающими разглашение сведений, содержащихся в персональных данных.
Осуществление перечисленных видов работ может преследовать исключительно те цели, которые явились причиной сбора информации. Нецелевое использование персональных данных или их разглашение считается грубым нарушением, за которое вменяется ответственность.
Нарушения
Как было рассмотрено ранее, нарушениями в обработке персональных данных считаются:
Работа оператора с персональными данными подлежит строгому контролю со стороны уполномоченных служб, а за недочёты, неумышленные или предумышленные нарушения, оператору вменяется ответственность.
За все неправомочные действия при обработке персональных данных, может последовать наказание: дисциплинарное, административное, в некоторых случаях – уголовное.
1 июля 2017 года вступил в силу Федеральный закон от 07.02.2017 № 13-ФЗ, который вносит поправки в ст. 13.11 КоАП и предусматривает расширение перечня оснований для привлечения к административной ответственности за незаконную х и существенное увеличение штрафов.
Один из обязательных документов, который должен подготовить оператор персональных данных, чтобы соблюсти требования Федерального закона от 27.07.2006 № 152-ФЗ, называется Политика в отношении обработки персональных данных, она объясняет, как компания работает с данными работников, клиентов и других физических лиц. Этот файл находится в свободном доступе практически на всех сайтах, которые имеют какие-либо формы сбора персональных данных.
Как правильно составить Политику обработки персональных данных, какие разделы нужно обязательно включить? Разъяснения по этим вопросам дает Роскомнадзор.
Структура Политики обработки персональных данных
- Общие положения
- Цели сбора персональных данных
- Правовые основания обработки персональных данных
- Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
- Порядок и условия обработки персональных данных
- Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным
1. Общие цели
В этом разделе вы фактически отвечаете на вопрос — для чего предназначена Политика обработки персональных данных? Здесь же разъясняются основные понятия, которые используются в документе, а также права и обязанности оператора и субъекта персональных данных.
2. Цели сбора персональных данных
Ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ требует определения конкретных, законных целей сбора данных. Следовательно, нельзя обрабатывать персональные данные, которые не соответствуют этим целям.
Роскомнадзор указывает на то, что цели обработки персональных данных могут происходить в том числе:
- из анализа правовых актов, регламентирующих деятельность оператора;
- из целей фактически осуществляемой оператором деятельности;
- из деятельности, которая предусмотрена учредительными документами оператора;
- из конкретных бизнес-процессов оператора в конкретных информационных системах персональных данных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных).
3. Правовые основания обработки персональных данных
Федеральный закон от 27.07.2006 № 152-ФЗ не является правовым основанием обработки персональных данных. Эту роль выполняют правовые акты, в соответствии с которыми оператор обрабатывает данные.
Таким образом, в Политике обработки данных в качестве правовых оснований можно указать: федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора; уставные документы оператора; договоры, заключаемые между оператором и субъектом персональных данных; согласие на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям оператора).
4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
Важно, чтобы объем обрабатываемых персональных данных не расходился с заявленными целями обработки.
К категориям субъектов персональных данных могут относиться: сотрудники — как настоящие, так и бывшие, кандидаты на вакансии, родственники работников, клиенты и контрагенты (физлица), представители или работники клиентов и контрагентов.
Роскомнадзор обращает внимание на то, что по каждой категории субъектов и применительно к конкретным целям следует указать все обрабатываемые персональные данные. Отдельно описываются все случаи обработки специальных категорий персональных данных и биометрических персональных данных (если применяются).
5. Порядок и условия обработки персональных данных
Что указывается в этом разделе:
- перечень действий, совершаемых с персональными данными;
- способы обработки персональных данных;
- сроки обработки персональных данных.
Если в рамках достижения целей обработки персональных данных оператор взаимодействует с третьими лицами, то ему нужно:
- пояснить условия передачи персональных данных в адрес третьих лиц (в том числе речь идет и о трансграничной передаче данных);
- указать наименование и местонахождение третьих лиц;
- обозначить цели передачи данных и их объем;
- перечислить действия по обработке, способы и иные условия обработки, включая требования к защите обрабатываемых персональных данных.
Передавать персональные данные оператор вправе органам дознания и следствия, а также иным уполномоченным органам по предусмотренным законодательством основаниям.
В Политику обработки персональных данных следует внести сведения о соблюдении требований конфиденциальности персональных данных (они названы в ст. 7 Федерального закона от 27.07.2006 № 152-ФЗ) и информацию о принятии мер (ч. 2 ст. 18.1, ч. 1 ст. 19).
Кроме того, оператору нужно указать условие прекращения обработки персональных данных. Это может быть достижение целей обработки, истечение срока действия согласия на обработку, отзыв согласия субъекта персональных данных на обработку, выявление неправомерной обработки данных.
Отдельное внимание стоит уделить такому вопросу, как хранение персональных данных. Во-первых, обязательно называются сроки. Во-вторых, используются базы данных, находящиеся на территории РФ. В-третьих, учитывается тот факт, что хранение должно осуществляться в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки. В-четвертых, необходимо упомянуть об иных условия хранения, в том числе, при обработке данных без использования средств автоматизации.
6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным
Согласно ст. 21 № 152-ФЗ, персональные данные должны быть актуализированы оператором, если подтвержден факт неточности персональных данных. То же касается и подтверждения факта неправомерности обработки.
Персональные данные подлежат уничтожению при достижении целей их обработки и в случае отзыва субъектом персональных данных согласия на их обработку, если: иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных; иное не предусмотрено иным соглашением между оператором и субъектом персональных данных. Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ или иными федеральными законами.
На основании ст. 20 оператор обязан сообщить субъекту персональных данных информацию об осуществляемой им обработке персональных данных по запросу.
Роскомнадзор рекомендует включить в Политику обработки персональных данных регламенты реагирования на запросы и обращения субъектов персональных данных, их представителей, уполномоченных органов по поводу неточности данных, неправомерности их обработки, отзыва согласия и доступа к своим данным. Не лишним будет добавить в Политику соответствующие формы запросов и обращений.
Размещение Политики обработки персональных данных в офисе и на сайте
Любой человек, чьи данные обрабатывает компания, имеет право ознакомиться с Политикой обработки персональных данных. Поэтому ее нужно размещать в общедоступном месте. Например, использовать для этого информационный стенд.
Если компания собирает персональные данные через интернет, то она обязана разместить Политику на сайте. Посетитель сайта сможет ознакомиться с ней, кликнув по ссылке.
Чтобы узнавать о самых важных изменениях, касающихся бизнеса, присоединяйтесь к нашему каналу в