1. Общие положения

1.1. Положение об обработке и защите персональных данных Общества с Ограниченной Ответственностью «МПШ Восток» (далее – ООО «МПШ Восток», Организация) разработано в соответствии со ст. 24 Конституции РФ, с положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон), Трудового кодекса Российской Федерации, Федерального закона от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации», других нормативных правовых актов, регулирующих правоотношения в сфере труда.

1.2. Настоящее Положение определяет политику Оператора в отношении обработки персональных данных, и устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.

1.3. Цель настоящего Положения – защита персональных данных работников ООО «МПШ Восток» и иных лиц от несанкционированного доступа и разглашения. Персональные данные являются конфиденциальной, строго охраняемой информацией.

Настоящее Положение утверждается генеральным директором ООО «МПШ Восток» и является обязательным для исполнения всеми работниками, имеющими доступ к персональным данным.

1.5. Настоящее Положение вступает в силу с момента утверждения и действует бессрочно до принятия нового Положения.

1.6. Все изменения и дополнения к настоящему Положению должны быть утверждены генеральным директором ООО «МПШ Восток».

1.7. Все работники ООО «МПШ Восток» должны быть ознакомлены под подпись с данным Положением и изменениями к нему.

2. Основные понятия

2.1. Для целей настоящего Положения используются следующие основные понятия:

• работник – физическое лицо, заключившее трудовой Договор с ООО «МПШ Восток»;
• соискатель на вакантную должность - физическое лицо, занимающееся поиском подходящего места работы самостоятельно или с помощью государственной или частной специализированной сервисной организации (далее – соискатели);
• персональные данные - любая информация, относящаяся к к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) и необходимая Организации, в том числе для исполнения возложенных на нее функций, полномочий, обязанностей;
• контрагенты Организации – уполномоченные представители юридических лиц, физические лица, индивидуальные предприниматели, заключившие с Организацией договоры гражданско-правового характера;
• обработка персональных данных - сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• субъект персональных данных – работники, соискатели, контрагенты и иные физические лица, обработка персональных данных которых осуществляется в Организации и регламентируется настоящим Положением;
• пользователь Сайта –дееспособное физическое лицо, пользующееся Сайтом Организации и его Сервисами, в том числе заполнившее форму обратной связи и направившее свои данные Организации на Сайте.
• сайт Организации - веб-страница, принадлежащая Организации и имеющая следующий адрес в сети Интернет: https://mphvostok.ru;
• информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном законодательством Российской Федерации.

3. Общие условия обработки персональных данных

3.1. Организация обрабатывает персональные данные, перечень, категории, способы обработки, срок хранения которых указан в Приложении № 1 к настоящему Положению.

Обработка персональных данных Пользователей Сайта регулируется Политикой конфиденциальности, размещенной на Сайте.

3.2. При сборе персональных данных Организация обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, блокирование персональных данных с использованием баз данных, находящихся на территории Российской Федерации.

3.3 Персональные данные могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях (не автоматизированная обработка), так и в электронном виде с помощью средств вычислительной техники (автоматизированная обработка).

4. Обработка персональных данных соискателей

4.1. Обработка персональных данных соискателей осуществляется в целях подбора на вакантные должности в Организации в отношении персональных данных, представленных в Приложении 1.

4.2. Персональные данные соискателя могут быть получены:

• непосредственно от соискателя;
• от кадровых агентств;
• на специализированных интернет-сайтах по поиску работы.

4.3. Обработка персональных данных соискателей осуществляется с их согласия, за исключением случаев, при которых от имени соискателя действует кадровое агентство, заключившее с соискателем соответствующий договор, а также при самостоятельном размещении соискателем своего резюме в на интернет-сайте по поиску работы сети Интернет, доступного неограниченному кругу лиц.

4.4. Соискатели самостоятельно принимают решение о предоставлении своих персональных данных и предоставляют согласие на обработку таких персональных данных свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано путем совершения определенных действий, а именно:

• направления резюме на любой электронный адрес ООО «МПШ Восток» (в том числе указанный на официальном сайте ООО «МПШ Восток»);
• направления резюме в качестве отклика на вакансии, размещенные на официальном сайте ООО «МПШ Восток»;
• направления резюме в качестве отклика на вакансии, размещенные на общедоступных интернет-площадках для поиска работы.

4.5. Лица, получающие персональные данные кандидатов, обязаны соблюдать режим конфиденциальности.

4.6. Передача персональных данных кандидатов третьей стороне (заказчикам ООО «МПШ Восток») производится только с письменного согласия кандидата.

4.7. Персональные данные соискателей обрабатываются в течение срока, необходимого для принятия решения о трудоустройстве, но не более 30 дней после истечения такого срока. По истечении указанного срока персональные данные подлежат уничтожению, за исключением случаев, когда соискатель дал согласие на включение своих данных в кадровый резерв организации.

5. Обработка персональных данных работников

5.1. В состав персональных данных, которые работник сообщает работодателю, входят персональные данные, представленные в Приложении 1.

5.2. Документами, которые содержат персональные данные работников, являются:

• комплекты документов, сопровождающих процесс оформления трудовых отношений при приеме на работу, переводе, увольнении;
• комплекты материалов по анкетированию, тестированию, проведению собеседований с кандидатом на должность;
• подлинники и копии приказов (распоряжений) по кадрам;
• личные дела, трудовые книжки, сведения о трудовой деятельности работников;
• дела, содержащие материалы аттестаций работников;
• дела, содержащие материалы внутренних расследований;
• справочно-информационный банк данных по персоналу (картотеки, журналы);
• копии отчетов, направляемых в государственные контролирующие органы.

5.3. Документы, содержащие персональные данные работника, создаются путем:

• а) внесения сведений в учетные формы (на бумажных и электронных носителях);
• б) получения оригиналов необходимых документов.

5.4. Обработка персональных данных работника осуществляется исключительно в целях:

• а) обеспечения соблюдения законов и иных нормативных правовых актов;
• б) содействия работникам в трудоустройстве;
• в) обеспечения личной безопасности работников;
• г) контроля количества и качества выполняемой работы;
• д) обеспечения сохранности имущества работника и работодателя

Согласие работника на обработку его персональных данных в вышеуказанных целях не требуется на основании п. 2, 5 ч. 1 ст. 6 Закона.

5.5. Персональные данные работника работодатель получает непосредственно от работника. Работодатель вправе получать персональные данные работника от третьих лиц только при наличии письменного согласия работника или в иных случаях, прямо предусмотренных действующим законодательством Российской Федерации.

5.6. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

5.7. Работодатель не вправе требовать от работника представления персональных данных, которые не характеризуют работника как сторону трудовых отношений.

5.8. Работник представляет работодателю достоверные сведения о себе. Работодатель проверяет достоверность сведений, сверяя данные, представленные работником, с имеющимися у работника документами.

5.9. При заключении трудового договора лицо, поступающее на работу, предъявляет документы в соответствии со ст. 65 ТК РФ:

• а) паспорт или иной документ, удостоверяющий личность;
• б) трудовую книжку, за исключением случаев, когда договор заключается впервые, или работник поступает на работу на условиях совместительства, или трудовая книжка у работника отсутствует в связи с ее утратой или по другим причинам;
• в) страховое свидетельство государственного пенсионного страхования;
• г) документы воинского учета – для военнообязанных и лиц, подлежащих воинскому учету;
• д) документ об образовании, о квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки.

5.12. Работники обязаны представлять Организации сведения об изменении своих персональных данных, включенных в состав личного дела, в течение 5 рабочих дней с момента изменения данных.

5.13. Организация не имеет права получать и обрабатывать персональные данные работника специальных категорий: о его расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья (за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции), интимной жизни.

5.14. Сведения, содержащие персональные данные работника, включаются в его личное дело, а также содержатся на электронных носителях информации, доступ к которым разрешен лицам, непосредственно использующим персональные данные работника в служебных целях.

5.15. Персональные данные, внесенные в личные дела работников, иные сведения, содержащиеся в личных делах, относятся к информации ограниченного доступа.

5.16. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного поступления. Работодатель также не вправе принимать решения, затрагивающие интересы работника, основываясь на данных, допускающих двоякое толкование. В случае если на основании персональных данных работника невозможно достоверно установить какой-либо факт, работодатель предлагает работнику представить письменные разъяснения.

5.17. Согласие на обработку персональных данных, разрешенных работником для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

6. Обработка персональных данных работников, с которыми трудовой договор расторгнут (далее – уволенные работники)

6.1. Обработка персональных данных уволенных работников осуществляется в порядке, определенном Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации».

6.2. Организация вправе обрабатывать персональные данные уволенного работника в случаях и в сроки, предусмотренные законодательством Российской Федерации. Персональные данные, не требующие хранения, полежат уничтожению в соответствии с требованиями ч. 4, 5 ст. 21 Федерального Закона № 152-ФЗ.

7. Обработка персональных данных контрагентов

7.1 В целях ведения уставной деятельности Организация заключает гражданско-правовые договоры с контрагентами: физическими лицами, юридическими лицами и индивидуальными предпринимателями.

7.2 Организация обрабатывает персональные данные контрагентов в рамках правоотношений, урегулированных частью второй Гражданского Кодекса Российской Федерации от 26 января 1996 г. №14 ФЗ.

7.3 Организация обрабатывает персональные данные контрагентов в течение сроков действия, заключённых с ними договоров. Организация обрабатывает персональные данные контрагентов после окончания сроков действия заключённых с ними договоров в течение срока, установленного п.5 ч.3 ст. 24 части первой НК РФ, ч.1 ст.29 ФЗ «О бухгалтерском учёте» и иными нормативными актами.

7.4 Для подготовки договора в целях идентификации Контрагента Организация может затребовать предъявления документов, подтверждающих полномочия представителя и содержащих персональные данные Контрагента или его представителя.

7.5 Персональные данные Контрагентов могут содержаться в следующих документах, образующихся в процессе исполнения договорных обязательств:

• а) в договорах, приложениях и дополнительных соглашениях к ним;
• б) в доверенностях;
• в) в претензионных и иных обращениях;
• г) в электронных сообщениях;
• д) в документах, подтверждающих факт исполнения обязательств.

7.6 Персональные данные контрагентов вносятся в базы данных информационных систем и обрабатываются смешанным способом.

8. Рассмотрение запросов субъектов персональных данных

8.1 Субъект персональных данных имеет право на получение информации в Организации касающейся обработки его персональных данных (ч. 7 ст. 14 Федерального Закона № 152-ФЗ), в том числе содержащей:

• подтверждение факта обработки персональных данных Организацией;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Организацией способы обработки персональных данных;
• наименование и место нахождения Организации, сведения о лицах (за исключением работников Организации), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Организацией или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных;
• источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки персональных данных, в том числе сроки их хранения.
• порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом № 152-ФЗ;
• информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Организации, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральным законом № 152-ФЗ или другими федеральными законами.

8.2 Вышеуказанная информация, должна быть предоставлена субъекту персональных данных Организацией в доступной форме, и в ней не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.

8.3 Информация предоставляется субъекту персональных данных Организацией при обращении либо при получении запроса субъекта персональных данных и содержащего: номер, серию документа, удостоверяющего личность субъекта персональных данных или его представителя, дату выдачи, наименование органа, выдавшего его; сведения, подтверждающие субъекта персональных данных в правоотношениях с Организацией (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо информацию, иным образом подтверждающую факт обработки персональных данных в Организации, заверенную подписью субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

8.4 Факт обращения с запросом фиксируется в Журнале учета обращения субъектов персональных данных, который должен содержать следующую информацию: дату и время обращения субъекта; фамилию, имя, отчество субъекта персональных данных; суть запросов субъекта; действия, предпринятые по запросу субъекта (отказ в предоставлении, предоставление информации, исправление данных и т.д.); дату и время выполнения запроса.

8.5 Журнал учета обращения субъектов персональных данных должен храниться в соответствии с требованиями законодательства о персональных данных.

9. Хранение персональных данных

9.1 Хранение и учет личных дел работников и уволенных работников организуются Специалистом по кадровому делопроизводству.

9.2 Личные дела хранятся на бумажных носителях в помещении Организации. Для хранения носителей используются специально оборудованные шкафы и сейфы.

9.3 В обязанности Специалиста по кадровому делопроизводству входят:

• а) приобщение документов к личным делам работников;
• б) выполнение операций с персональными данными, в соответствии с порядком установленным настоящим Положением, а также в соответствии с федеральными законами, иными нормативными правовыми актами Российской Федерации;
• в) обеспечение конфиденциальности сведений, содержащихся в личных делах работников;
• г) выдача копий документов из личного дела;
• д) обеспечение сохранности и неизменность персональных данных в случае, если выполняемая задача не предполагает их корректировки или дополнения.

9.4 После увольнения работника в личное дело вносятся: заявление работника, соглашение о расторжении трудового договора (соглашение сторон).

9.5 Личное дело ведется в течение всего периода работы каждого работника в Организации. Срок хранения личных дел составляет 75/50 лет.

9.6 Персональные данные Контрагентов хранятся на бумажных носителях и в электронном виде, доступ к которым ограничен и регламентируется Организацией.

10. Получение персональных данных у третьей Стороны

10.1. Все персональные данные соискателя/работника Организация получает у самого соискателя/работника. Если персональные данные можно получить только у третьей стороны, то Организация обязана уведомить об этом работника/соискателя письменно по форме Приложения № 2 к настоящему Положению и получить письменное согласие. Форма такого согласия приведена в Приложении №3 к настоящему Положению.

10.2. При получении персональных данных не от работника до начала обработки таких персональных данных Организация обязана предоставить работнику следующую информацию:

• наименование либо фамилия, имя, отчество и адрес оператора персональных данных или его представителя;
• цель обработки персональных данных и ее правовое основание;
• предполагаемые пользователи персональных данных;
• установленные законодательством права субъекта персональных данных;
• источник получения персональных данных.

11. Доступ к персональным данным

11.1 Перечень работников Организации, имеющих право доступа к персональным данным, утверждается Приказом Генерального директора.

11.2 Такие работники имеют право получать доступ только к тем персональным данным, которые необходимы им для выполнения их должностных обязанностей.

11.3 Работники Организации, допущенные к обработке персональных данных, несут ответственность в соответствии с законодательством РФ за нарушение режима конфиденциальности персональных данных.

11.4 При обработке персональных данных работники, допущенные к обработке персональных данных, обязаны соблюдать следующие требования:

• а) не сообщать персональные данные третьей стороне без письменного согласия работника/иного лица, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральным законом;
• б) предупредить лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные, обязаны соблюдать конфиденциальность.
• в) осуществлять передачу персональных данных в пределах Организации в соответствии с настоящим Положением;
• г) иметь доступ только к тем персональным данным, которые необходимы для выполнения конкретных обязанностей;
• д) не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
• е) передавать персональные данные работника представителям работников в порядке, установленном действующим законодательством, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций;
• ж) не передавать по незащищенным техническим каналам связи, в том числе сообщать по телефону сведения, содержащие персональные данные;
• з) не снимать копии с документов, содержащих персональные данные, или производить выписки из них;
• и) не копировать документы, содержащие персональные данные, и не хранить на машинных съемных носителях информации, а также не использовать различные технические средства, способные накапливать и хранить информацию в электронном виде, не выполнять работы с материальными и машинными носителями, содержащими персональные данные, вне помещений Организации;
• к) не выносить за пределы помещений Организации документы и машинные носители с информацией̆, содержащей̆ персональные данные.

11.5 Работник Организации, получивший доступ к персональным данным, подписывает Обязательство о неразглашении персональных данных по форме, установленной в Приложении № 4 к настоящему Положению.

12. Передача персональных данных

12.1 Передача персональных данных работника производится с согласия работника. Форма согласия приведена в Приложении № 5.

12.2 Организация вправе осуществить передачу персональных данных работника без его согласия в случаях, предусмотренных законодательством, в том числе по требованию государственных органов.

12.3 Факт передачи персональных данных фиксируется в Журнале учета передачи персональных данных организациям и третьим лицам, и содержит информацию об органе/организации, направившей запрос, наименовании запрашиваемого документа, цели передачи и наличии согласия работника.

12.4. В случае необходимости Организация может осуществлять трансграничную передачу персональных данных с учетом требований ст. 12 Закона.

13. Права и обязанности

13.1. Обязанности Организации:

• осуществлять обработку персональных данных работника исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работнику в трудоустройстве, обучении и продвижении работе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
• при определении объема и содержания обрабатываемых персональных данных руководствоваться Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и иными федеральными законами;
• обеспечить защиту персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий;
• обеспечивать ознакомление работников с документами, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях;

13.2. Субъект персональных данных имеет право на:

• полную информацию о своих персональных данных и обработке этих данных;
• свободный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей такие данные, за исключением случаев, предусмотренных законодательством РФ;
• требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований законодательства;
• обжалование действий или бездействия Организации в уполномоченный орган или судебном порядке;
• установление запретов, ограничений и условий обработки своих персональных данных;
• требование прекратить передачу (распространение, предоставление, доступ) персональных данных.

14. Общие условия фиксации персональных данных на материальных носителях

14.1. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели, обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.

14.2. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных, в частности:

• а) при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных;
• б) при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию;

14.3. Уничтожение части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

15. Процедуры, направленные на предотвращение и выявление нарушений законодательства в области персональных данных и устранение последствий таких нарушений.

15.1. В Организации установлены следующие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ в области персональных данных:

• назначен ответственный за организацию обработки персональных данных;
• приняты и утверждены документы, определяющие политику в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
• обеспечена защита персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных;
• определены угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
• производится оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• обнаруживаются факты несанкционированного доступа к персональным данным и принятие соответствующих мер;
• восстанавливаются персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним;
• установлены правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивается регистрация и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
• осуществляется внутренний контроль и (или) аудита соответствия обработки персональных данных Закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора;
• оценивается вред, который может быть причинен субъектам персональных данных в случае нарушения Закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей̆, предусмотренных Законом;
• работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации о персональных данных;
• с работниками подписаны соглашения о неразглашении конфиденциальной информации.

15.2. В организации установлены следующие процедуры, направленные на устранение последствий нарушений законодательства Российской Федерации в сфере персональных данных:

1. прекращение неправомерной обработки персональных данных или обеспечение прекращения неправомерной обработки персональных данных лицом, действующим по поручению Организации, в случае выявления неправомерной обработки персональных данных, осуществляемой Организацией или лицом, действующим по поручению Организации, Организация, в срок, не превышающий трех рабочих дней с момента такого выявления;
2. в случае если обеспечить правомерность обработки персональных данных невозможно – уничтожение таких персональных данных или обеспечение их уничтожения, в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных;
3. уведомление субъекта персональных данных или его представителя об устранении допущенных нарушений или об уничтожении персональных данных, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанного органа;
4. в случае отсутствия возможности уничтожения персональных данных в течение установленного срока, Организация осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами;
5. уведомление о факте уничтожения субъекта персональных данных и, в случае если уничтожение произведено по запросу уполномоченного органа, указанного органа, после уничтожения персональных данных;
6. восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
7. информирование федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных;
8. уведомление уполномоченного органа по защите прав субъектов персональных данных в случае установления оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных.

16. Порядок доступа сотрудников в помещения, предназначенные для обработки персональных данных

16.1. Для помещений, в которых обрабатываются персональные данные, организуется режим обеспечения безопасности, при котором обеспечивается сохранность носителей персональных данных и средств защиты информации, а также исключается возможность неконтролируемого проникновения и пребывания в этих помещениях посторонних лиц. Данный режим обеспечивается:

• оснащением помещения пожарной сигнализацией;
• обязательным запиранием помещения на ключ, даже при выходе из него в рабочее время;
• закрытием металлических шкафов и сейфов, где хранятся носители информации, содержащие персональные данные.

16.2. В помещения, где размещены информационные системы, позволяющие осуществлять обработку персональных данных, а также хранятся материальные носители информации, допускаются только работники, получившие доступ к персональным данным. Список работников, допущенных к обработке персональных данных, утверждается приказом Генерального директора Общества.

16.3. Работники, получившие доступ к персональным данным, не должны:

• покидать помещение, в котором ведется обработка персональных данных, оставляя в нем без присмотра посторонних лиц, включая работников, не уполномоченных на обработку персональных данных;
• оставлять в свое отсутствие незапертым помещение, в котором размещены материальные носители и информационные системы;

16.4. По окончании рабочего времени работники, допущенные к обработке персональных данных, обязаны:

• убрать бумажные носители персональных данных и электронные носители персональных данных (диски, флеш-карты) (при наличии) в шкафы, закрыть и опечатать шкафы;
• отключить технические средства (кроме постоянно действующей техники) и электроприборы от сети;
• выключить освещение;
• закрыть окна;
• подключить охранную сигнализацию либо опечатать помещение;
• закрыть помещения на ключ.

16.5. Право самостоятельного входа в помещения, где обрабатываются персональные данные, имеют только работники, непосредственно работающие в данном помещении.

Иные работники имеют право пребывать в помещениях, где обрабатываются персональные данные, только в присутствии работников, непосредственно работающих в данных помещениях.

При невозможности обеспечения отсутствия иных лиц в помещении при обработке персональных данных, необходимо развернуть монитор таким образом, чтобы исключить просматривание информации на мониторе.

16.6. Техническое обслуживание компьютерной и организационной техники, сопровождение программных средств, уборка помещения, в котором ведется обработка персональных данных, а также проведение других работ осуществляются в присутствии работника, работающего в данном помещении или лица, ответственного за данное помещение.

16.7. Ответственность за соблюдение порядка доступа в помещения, в которых ведется обработка персональных данных, возлагается на руководителей отделов, задействованных в обработке персональных данных.

17. Правила осуществления внутреннего контроля и аудита соответствия обработки персональных данных требованиям к защите персональных данных

17.1. Внутренний контроль осуществляется Организацией самостоятельно один раз в год на основании плана, утвержденного генеральным директором, или с привлечением сторонних специалистов один раз в три года. Примерная форма плана контрольных мероприятий приведена в Приложении №6 к настоящему Положению. Внутренний контроль проводится ответственным за организацию обработки персональных данных.

17.2. Результат проведения внутреннего контроля фиксируется Актом, подписываемым ответственным за организацию обработки персональных данных.

18. Уничтожение персональных данных

18.1. Уничтожение персональных данных производится в случаях:

• выявление неправомерной обработки персональных данных, в том числе по обращению субъекта или уполномоченного органа, если обеспечить правомерность обработки персональных данных невозможно - в течение 10 рабочих дней с даты выявления неправомерной обработки персональных данных;
• требования субъекта, если его персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки – в течение 7 рабочих дней со дня представления субъектом данных;
• отзыва согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных - в течение 30 дней с даты поступления указанного отзыва;
• достижения цели обработки персональных данных или утраты необходимости в достижении этих целей - в течение 30 дней с даты достижения цели обработки персональных данных.

18.2. Порядок уничтожения персональных данных.

18.2.1. В случае необходимости уничтожении персональных данных, ответственный за организацию обработки персональных данных в течение 2 рабочих дней принимает решение и уничтожает персональные данные.

18.2.2. После уничтожения данных формируется Акт об уничтожении данных. Форма Акта представлена в Приложении № 6. Факт уничтожения персональных данных фиксируется в Журнале регистрации уничтожения персональных данных.

18.3. Организация вправе продолжить обработку персональных данных без согласия при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона № 152-ФЗ

19. Порядок действий при неправомерной, случайной передаче (предоставления, распространения, доступа) персональных данных

19.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Организация обязана с момента выявления такого инцидента уведомить уполномоченный орган по защите прав субъектов персональных данных:

1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, предполагаемом нанесенном вреде, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;

2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

19.2. При выявлении нарушений в сфере защиты персональных данных и иной конфиденциальной информации, ответственный за организацию обработки персональных данных вносит информацию о таких нарушениях в Журнал регистрации выявленных нарушений в сфере защиты персональных данных и иной конфиденциальной информации.

20. Ответственность за нарушение норм, регулирующих обработку персональных данных

20.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность, а также возмещают субъекту ущерб, причиненный неправомерным использованием информации, содержащей персональные данные, в соответствии с законодательством РФ.

Приложения:

• Приложение № 1 – Перечень обрабатываемых персональных данных;

Приложение № 1 к Положению «Об обработке и защите персональных данных» от 19.05.2025

Перечень обрабатываемых персональных данных