Политика обработки
персональных данных

01Общие положения

Назначение Политики

Настоящая Политика Общества с ограниченной ответственностью Завод «Промышленная Энергетика» в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Политика вступает в силу с момента её утверждения Генеральным директором ООО Завод «ПромЭнергетика» и подлежит пересмотру в ходе периодического анализа со стороны руководства ООО Завод «ПромЭнергетика» (далее — Общество), а также в случаях изменения законодательства Российской Федерации в области персональных данных.

Цели политики

1.1. Целью Политики является обеспечение защиты прав и свобод субъектов персональных данных при обработке их персональных данных Обществом.

Основные понятия

1.2. Для целей Политики используются следующие понятия:

Область действия

Положения Политики распространяются на все отношения, связанные с обработкой персональных данных, осуществляемой Обществом:

• с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка без использования таких средств соответствует характеру действий, совершаемых с использованием средств автоматизации;
• без использования средств автоматизации.

Настоящей Политикой должны руководствоваться все сотрудники Общества, осуществляющие обработку персональных данных или имеющие к ним доступ.

02Цели обработки и сбора персональных данных

Общество обрабатывает персональные данные для восьми заявленных целей. Каждая цель определяет свой состав данных, категории субъектов, правовое основание и перечень действий — разверните карточку, чтобы увидеть детали.

03Правовые основания обработки персональных данных

Перечень нормативных актов

Основанием обработки персональных данных в Обществе являются следующие нормативные акты и документы:

1. Налоговый кодекс Российской Федерации;
2. Трудовой кодекс Российской Федерации;
3. Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
4. Федеральный закон от 15.12.2001 № 166-ФЗ «О государственном пенсионном обеспечении в РФ»;
5. Федеральный закон от 17.12.2001 № 173-ФЗ «О трудовых пенсиях в РФ»;
6. Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в РФ»;
7. Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учёте…»;
8. Федеральный закон от 16.07.1999 № 165-ФЗ «Об основах обязательного социального страхования»;
9. Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»;
10. Устав ООО Завод «ПромЭнергетика»;
11. Гражданский кодекс Российской Федерации;
12. Конституция Российской Федерации;
13. настоящая Политика в отношении обработки персональных данных;
14. договоры, заключаемые между оператором и субъектом персональных данных;
15. согласия субъектов персональных данных на обработку их персональных данных.

Сроки и прекращение обработки

В случаях, прямо не предусмотренных законодательством РФ, но соответствующих полномочиям Общества, обработка персональных данных осуществляется с согласия субъекта. Обработка прекращается при реорганизации или ликвидации Общества.

Обработка данных по гражданско-правовому договору осуществляется в течение срока его исполнения, а также в течение срока исковой давности — трёх (3) лет после исполнения. По истечении срока исковой давности при отсутствии претензий субъекта такие данные уничтожаются.

Условием прекращения обработки может являться достижение целей обработки, истечение срока действия согласия, отзыв согласия субъектом или требование о прекращении обработки, а также выявление неправомерной обработки.

Специальные категории данных

Общество не осуществляет обработку специальных категорий персональных данных и биометрических персональных данных.

04Категории обрабатываемых данных и субъектов

Общество осуществляет обработку персональных данных следующих категорий субъектов:

• работники;
• родственники работников;
• уволенные работники;
• контрагенты;
• представители контрагентов;
• выгодоприобретатели по договорам.

Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение; распространение.

Способы обработки: смешанная; с передачей по внутренней сети юридического лица; с передачей по сети Интернет.

05Порядок и условия обработки персональных данных

Принципы обработки персональных данных

1. обработка персональных данных осуществляется на законной и справедливой основе;
2. обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;
3. не допускается объединение баз данных, обработка которых осуществляется в несовместимых между собой целях;
4. обработке подлежат только данные, которые отвечают целям их обработки;
5. содержание и объём обрабатываемых данных соответствуют заявленным целям и не избыточны по отношению к ним;
6. обеспечиваются точность, достаточность и — в необходимых случаях — актуальность данных; Общество принимает меры по удалению или уточнению неполных или неточных данных;
7. хранение осуществляется не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом или договором; по достижении целей данные подлежат уничтожению.

Условия обработки специальных категорий

Обработка специальных категорий персональных данных осуществляется Обществом с соблюдением следующих условий:

• обработка данных о судимости — государственными или муниципальными органами в пределах установленных полномочий, а также иными лицами в случаях, определяемых федеральными законами;
• обработка осуществляется в соответствии с законодательством РФ о гражданстве;
• обработка осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым и пенсионным законодательством РФ;
• субъект персональных данных дал согласие в письменной форме;
• обработка осуществляется в соответствии с законодательством об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, оперативно-розыскной деятельности, исполнительном производстве, уголовно-исполнительным законодательством РФ;
• обработка осуществляется органами прокуратуры в связи с прокурорским надзором;
• обработка осуществляется по поручению другого лица.

Условия обработки иных категорий

• обработка необходима для достижения целей, предусмотренных международным договором РФ или законом, для выполнения возложенных на оператора функций, полномочий и обязанностей;
• обработка осуществляется с согласия субъекта персональных данных;
• обработка необходима для исполнения или заключения договора, стороной/выгодоприобретателем/ поручителем которого является субъект; договор не может ограничивать права субъекта или допускать обработку данных несовершеннолетних, если иное не предусмотрено законом;
• обработка осуществляется по поручению другого лица.

Поручение обработки персональных данных

Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании заключаемого договора — в том числе государственного или муниципального контракта.

Лицо, осуществляющее обработку по поручению Общества, соблюдает принципы и правила обработки, предусмотренные настоящей Политикой, соблюдает конфиденциальность и принимает необходимые меры по обеспечению выполнения обязанностей, предусмотренных ФЗ «О персональных данных». Поручение определяет перечень персональных данных, перечень действий, способы и цели обработки, требования к защите данных и обязанность по запросу Общества предоставлять подтверждающие документы.

Ответственность перед субъектом персональных данных за действия поручаемого лица несёт Общество; поручаемое лицо несёт ответственность перед Обществом. Если поручение дано иностранному физическому или юридическому лицу, ответственность несут Общество и это лицо совместно.

Передача персональных данных

Общество вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством РФ.

Конфиденциальность персональных данных

Сотрудники Общества, получившие доступ к персональным данным, не раскрывают их третьим лицам и не распространяют без согласия субъекта, если иное не предусмотрено федеральным законом.

Согласие субъекта на обработку данных

Субъект принимает решение о предоставлении своих данных и даёт согласие на их обработку свободно, своей волей и в своём интересе. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным; может быть дано в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

Согласие может быть отозвано субъектом в любой момент. При отзыве Общество вправе продолжить обработку без согласия при наличии оснований, указанных в п. 2–11 ч. 1 ст. 6, п. 2–10 ч. 2 ст. 10 и ч. 2 ст. 11 ФЗ «О персональных данных». Обязанность доказать наличие согласия или соответствующего основания лежит на Обществе.

Согласие в письменной форме субъекта персональных данных должно включать, в частности:

• ФИО, адрес субъекта, реквизиты документа, удостоверяющего личность;
• сведения о представителе субъекта (при получении согласия от представителя);
• наименование и адрес Общества;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых даётся согласие;
• сведения о лице, осуществляющем обработку по поручению Общества (если применимо);
• перечень действий с персональными данными и общее описание способов обработки;
• срок действия согласия и способ его отзыва;
• подпись субъекта персональных данных.

В случае недееспособности субъекта согласие даёт его законный представитель; в случае смерти субъекта — его наследники, если согласие не было дано при жизни.

Трансграничная передача персональных данных

Обработка без использования средств автоматизации

Обработка персональных данных считается неавтоматизированной, если действия с данными в отношении каждого субъекта осуществляются при непосредственном участии человека.

Персональные данные при такой обработке обособляются от иной информации — путём фиксации на отдельных материальных носителях, в специальных разделах или на полях форм (бланков). Не допускается фиксация на одном носителе данных, цели обработки которых заведомо не совместимы; для каждой категории используется отдельный материальный носитель.

Сотрудники, осуществляющие такую обработку, проинформированы о факте обработки, категориях данных и правилах обработки, установленных нормативными актами и локальными актами Общества.

Типовые формы документов, допускающие включение персональных данных, должны: содержать сведения о цели обработки, реквизиты Общества и субъекта, источник получения данных, сроки и перечень действий; предусматривать поле для отметки о согласии; позволять субъекту ознакомиться со своими данными без нарушения прав иных субъектов; исключать объединение полей с несовместимыми целями обработки.

Обработка организована так, чтобы для каждой категории данных можно было определить места хранения материальных носителей и перечень лиц, имеющих к ним доступ; обеспечивается раздельное хранение данных, обрабатываемых в разных целях, и условия, исключающие несанкционированный доступ.

06Права субъектов и обязанности Общества

Право субъекта на доступ к его данным

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе: подтверждение факта обработки; правовые основания и цели обработки; применяемые способы обработки; наименование и место нахождения Общества; сведения о лицах, имеющих доступ к данным; обрабатываемые данные и источник их получения; сроки обработки и хранения; порядок осуществления прав субъекта; сведения об осуществлённой или предполагаемой трансграничной передаче; сведения о лице, осуществляющем обработку по поручению Общества; иные сведения, предусмотренные федеральным законом.

Ограничения права на доступ

Субъект не получает запрашиваемую информацию в случаях, если: обработка осуществляется в целях обороны, безопасности государства и охраны правопорядка; обработка осуществляется органами, задержавшими субъекта по подозрению в преступлении или предъявившими обвинение; обработка осуществляется в связи с противодействием легализации доходов и финансированию терроризма; доступ субъекта нарушает права третьих лиц; обработка осуществляется в целях транспортной безопасности.

Запрашиваемая информация предоставляется субъекту в течение 10 рабочих дней с момента обращения (может быть продлена не более чем на 5 рабочих дней с мотивированным уведомлением). Повторный запрос допускается не ранее чем через 30 дней после первоначального обращения, если иное не установлено законом или договором.

Продвижение товаров и политическая агитация

Автоматизированные решения

Право на обжалование

Если субъект считает, что Общество обрабатывает его данные с нарушением требований ФЗ «О персональных данных» или иным образом нарушает его права, субъект вправе обжаловать действия или бездействие Общества в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, включая возмещение убытков и компенсацию морального вреда.

Обязанности Общества при сборе данных

При сборе персональных данных Общество предоставляет субъекту по его просьбе запрашиваемую информацию в соответствии с ч. 7 ст. 14 ФЗ «О персональных данных» и разъясняет юридические последствия отказа предоставить данные или согласие на обработку.

Если данные получены не от субъекта, до начала обработки Общество предоставляет ему: наименование и адрес Общества; цель обработки и её правовое основание; перечень персональных данных; предполагаемых пользователей данных; права субъекта; источник получения данных — за исключением случаев, когда субъект уже уведомлён, данные получены на основании закона или договора, либо раскрытие нарушит права третьих лиц.

Меры по обеспечению безопасности

Общество принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий, в частности:

• определением угроз безопасности персональных данных при их обработке в ИСПДн;
• применением организационных и технических мер, обеспечивающих установленные Правительством РФ уровни защищённости персональных данных;
• применением прошедших оценку соответствия средств защиты информации;
• оценкой эффективности мер безопасности до ввода ИСПДн в эксплуатацию;
• учётом машинных носителей персональных данных;
• обнаружением фактов несанкционированного доступа и принятием мер;
• восстановлением данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• установлением правил доступа и регистрацией всех действий с данными в ИСПДн;
• контролем за принимаемыми мерами безопасности и уровнем защищённости ИСПДн.

Обязанности при обращении субъекта

Общество сообщает субъекту или его представителю о наличии его персональных данных и предоставляет возможность ознакомления с ними в течение 10 рабочих дней с даты обращения (продление — не более чем на 5 рабочих дней с мотивированным уведомлением). Отказ в предоставлении информации даётся в письменной форме в тот же срок.

Ознакомление предоставляется безвозмездно. В срок, не превышающий 7 рабочих дней со дня подтверждения, что данные неполны, неточны или неактуальны, Общество вносит необходимые изменения; если данные получены незаконно или не нужны для цели обработки — уничтожает их. Субъект и по возможности третьи лица уведомляются о внесённых изменениях.

Устранение нарушений, блокирование и уничтожение

При выявлении неправомерной или неточной обработки по обращению субъекта или запросу уполномоченного органа Общество блокирует соответствующие данные на период проверки. При подтверждении неточности — уточняет данные в течение 7 рабочих дней и снимает блокирование.

При выявлении неправомерной обработки Общество прекращает её не позднее 3 рабочих дней с даты выявления; если обеспечить правомерность невозможно — уничтожает данные в срок, не превышающий 10 рабочих дней.

При достижении цели обработки или отзыве согласия субъектом Общество прекращает обработку и уничтожает данные в срок, не превышающий 30 дней, если иное не предусмотрено договором или законом. При обращении с требованием о прекращении обработки — не позднее 10 рабочих дней с даты получения требования (продление до 5 рабочих дней). Если уничтожение в указанный срок невозможно — данные блокируются, а уничтожение обеспечивается в срок не более 6 месяцев, если иной срок не установлен федеральными законами.

Уведомление уполномоченного органа об инцидентах

В случае неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов, Общество уведомляет уполномоченный орган по защите прав субъектов персональных данных:

• в течение 24 часов — о произошедшем инциденте, предполагаемых причинах и вреде, принятых мерах и лице, ответственном за взаимодействие с уполномоченным органом;
• в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента (при наличии).

Уведомление о намерении осуществлять обработку

Общество, за исключением случаев, предусмотренных федеральным законом, до начала обработки уведомляет уполномоченный орган о своём намерении осуществлять обработку персональных данных. Уведомление содержит: наименование и адрес Общества; цель обработки; описание мер защиты (включая сведения о криптографических средствах); данные ответственного лица; дату начала обработки; срок или условие её прекращения; сведения о трансграничной передаче; место нахождения базы данных; сведения об обеспечении безопасности данных.

Об изменении указанных сведений Общество уведомляет уполномоченный орган не позднее 15-го числа месяца, следующего за месяцем изменений; о прекращении обработки — в течение 10 рабочих дней с даты прекращения.

07Меры по обеспечению выполнения обязанностей

Организационные меры

Общество самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, если иное не предусмотрено федеральными законами. К таким мерам, в частности, относятся:

• назначение ответственного за организацию обработки персональных данных;
• издание Политики и локальных актов по вопросам обработки персональных данных, а также актов, направленных на предотвращение и выявление нарушений и устранение их последствий;
• применение правовых, организационных и технических мер по обеспечению безопасности данных;
• осуществление внутреннего контроля и (или) аудита соответствия обработки требованиям к защите персональных данных, Политике и локальным актам;
• оценка вреда, который может быть причинён субъектам в случае нарушения ФЗ «О персональных данных», и соотношение этого вреда с принимаемыми мерами;
• ознакомление сотрудников, осуществляющих обработку, с законодательством о персональных данных, требованиями к их защите и локальными актами, и (или) их обучение.

Меры безопасности при обработке

Обеспечение безопасности персональных данных достигается определением угроз безопасности, применением организационных и технических мер защиты, использованием прошедших оценку соответствия средств защиты информации, оценкой эффективности мер до ввода ИСПДн в эксплуатацию, учётом машинных носителей, обнаружением фактов несанкционированного доступа и восстановлением данных при их утрате, установлением правил доступа и контролем за уровнем защищённости информационных систем.

08Сферы ответственности

Ответственный за организацию обработки

Общество назначает лицо, ответственное за организацию обработки персональных данных. Это лицо получает указания непосредственно от исполнительного органа Общества и подотчётно ему. Общество предоставляет ему необходимые сведения. В частности, ответственное лицо:

• осуществляет внутренний контроль за соблюдением Обществом и сотрудниками законодательства РФ о персональных данных, в том числе требований к их защите;
• доводит до сведения сотрудников положения законодательства, локальных актов и требований к защите персональных данных;
• организует приём и обработку обращений и запросов субъектов персональных данных или их представителей и (или) контролирует приём и обработку таких обращений.

Ответственность

Лица, виновные в нарушении требований Федерального закона «О персональных данных», несут предусмотренную законодательством Российской Федерации ответственность.

Моральный вред, причинённый субъекту персональных данных вследствие нарушения его прав, правил обработки персональных данных или требований к их защите, подлежит возмещению в соответствии с законодательством РФ независимо от возмещения имущественного вреда и понесённых субъектом убытков.