Положение о защите персональных данных

Последнее обновление: декабрь 2025

1. Общие положения

1.1. Положение о защите персональных данных ООО «ПлейсДев» является локальным нормативным актом ООО «ПлейсДев» (далее - Общество), устанавливающим порядок получения, обработки, хранения, передачи и защиты персональных данных Обществом.

1.2. Настоящее Положение разработано в соответствии с Конституцией Российской Федерации, Главой 14 Трудового кодекса Российской Федерации, Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных», Постановлениями Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

1.3. В настоящем Положении используются следующие термины и определения:

Оператор -- ООО «ПлейсДев», вступившее в договорные отношения с работником, клиентом или контрагентом, организующее и осуществляющее в связи с этим обработку персональных данных.

Клиент -- физическое лицо, официальный представитель -- физическое лицо юридического лица и индивидуального предпринимателя, вступившее в договорные отношения по оказанию услуг с Обществом.

Контрагент -- физическое лицо, физическое лицо -- представитель юридического лица или индивидуального предпринимателя, вступившие с Обществом в договорные отношения.

Работник - физическое лицо, вступившее в трудовые отношения с работодателем.

Пользователь сайта - физическое лицо, выступающее от своего имени и в своих интересах или от имени и в интересах представляемого им юридического лица, заполняющее форму обратной связи и (или) подающее заявку на взаимодействие с Обществом на сайте Общества.

Персональные данные -- любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Персональные данные, разрешенные субъектом персональных данных для распространения -- персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Положением;

Обработка персональных данных -- любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Субъект персональных данных -- физическое лицо, персональные данные которого обрабатываются ИП в целях, определенных настоящим Положением.

Защита персональных данных -- комплекс мер, принимаемых Обществом для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Актуальные угрозы безопасности - это совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

Конфиденциальная информация -- информация, содержащая сведения конфиденциального характера, в том числе получаемая, подготавливаемая, обрабатываемая, передаваемая и хранимая в автоматизированных системах, в отношении которой Общество принимает меры по защите от несанкционированного доступа третьих лиц, не имеющих право доступа к такой информации.

Режим конфиденциальности -- правовые, организационные, технические и иные меры по защите конфиденциальной информации, принимаемые ее обладателем на основании закона.

Реестр определения прав доступа к Конфиденциальной информации (далее -- Реестр прав доступа) -- внутренний документ Общества, закрепляющий перечень должностей и категории Конфиденциальной информации, ресурсы информационной системы, криптографические ключи, к которым работники Общества имеют доступ.

Ресурс информационной системы -- именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы.

«Куки» (cookies) - общеотраслевая технология, которую вправе использовать Общество в работе своего сайта, небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере, который использует Пользователь сайта, позволяющий Обществу сохранять персональные настройки и предпочтения Пользователя сайта, а также собирать неличную информацию о нём.

1.4. Настоящее Положение вступает в силу с момента его утверждения Приказом Генерального директора Общества.

1.5. Настоящее Положение является обязательным для исполнения всеми работниками Общества, имеющими доступ к персональным данным, и доводится до их сведения персонально под подпись.

2. Обработка персональных данных

2.1. В целях обеспечения прав и свобод человека и гражданина Обществом и его представителями при обработке персональных данных должны соблюдаться следующие общие требования:

2.1.1. Обработка персональных данных должна осуществляться на законной и справедливой основе, исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия выполнения договорных обязательств в соответствии с законодательством Российской Федерации.

2.1.2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, а также объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой.

2.1.3. Получение Обществом персональных данных может осуществляться как путем представления их самим субъектом персональных данных, так и путем получения их из иных источников. Если персональные данные возможно получить только у третьей стороны, то субъект персональных данных должен быть уведомлен об этом заранее, и от него должно быть получено письменное согласие. Общество должно сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и юридическое последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение Обществом согласия на обработку персональных данных являются обязательными.

2.1.4. Общество не имеет права получать и обрабатывать персональные данные субъекта персональных данных о его политических, религиозных и иных убеждениях, о частной жизни. В необходимых случаях данные о частной жизни работника или клиента (информация о семейных, бытовых, личных отношениях) могут быть получены и обработаны Обществом только с его письменного согласия.

2.1.5. Общество не имеет право получать и обрабатывать персональные данные субъектов персональных данных об их членстве в общественных объединениях или их профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.

2.2. Использование персональных данных возможно только в соответствии с целями, определившими их получение.

2.3. Персональные данные субъекта персональных данных не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено действующим законодательством Российской Федерации.

2.4. При принятии решений, затрагивающих интересы субъекта персональных данных, Общество не имеет права основываться на персональных данных, полученных исключительно в результате их автоматизированной обработки без письменного согласия субъекта персональных данных на такие действия.

2.5. При идентификации клиента или контрагента Общество может затребовать предъявления документов, удостоверяющих личность и подтверждающих полномочия представителя. При заключении договора, как и в ходе выполнения договора, Общество может затребовать предоставление клиентом или контрагентом иных документов, содержащих информацию о нем.

2.6. После принятия решения о заключении договора или предоставления документов, подтверждающих полномочия представителя, а также впоследствии, в процессе выполнения договора, к документам, содержащим персональные данные клиента или контрагента, так же будут относиться:

• договоры;
• приказы по основной деятельности;
• служебные записки;
• другие документы, где включение персональных данных клиента или контрагента необходимо согласно действующему законодательству.

2.7. Не допускается отвечать на вопросы, связанные с предоставлением персональных данных по телефону или факсу, по электронной почте и иным видам связи.

2.8. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.

2.9. Период хранения и обработки персональных данных определяется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

3. Обработка персональных данных в целях осуществления предпринимательской деятельности

3.1 Общество осуществляет обработку персональных данных в целях осуществления предпринимательской деятельности.

3.2 Для цели осуществления предпринимательской деятельности Общество обрабатывает персональные данные у следующих категорий субъектов персональных данных:

• клиентов -- физических лиц;
• представителей клиентов - юридических лиц;
• пользователей сайта.

3.2.1 Общество запрашивает у клиентов -- физических лиц следующие персональные данные:

• фамилия, имя, отчество;
• год, месяц, дата и место рождения;
• адрес;
• телефон;
• адрес электронной почты.

3.2.2 Общество запрашивает у представителей клиентов - юридических лиц следующие персональные данные:

• фамилия, имя, отчество;
• телефон;
• адрес электронной почты.
• должность;

3.2.3 Общество запрашивает у пользователей сайта следующие персональные данные:

• фамилия, имя, отчество;
• адрес электронной почты,
• телефон.

3.3 Общество осуществляет обработку персональных данных следующими способами:

• Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
• Обработка персональных данных без использования средств автоматизации (неавтоматизированная) - обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
• Смешанная обработка персональных данных - обработка персональных данных, как с использованием средств автоматизации, так и без использования таких средств.

Общество может использовать общеотраслевую технологию «куки» (cookies). В любое время пользователь сайта может изменить параметры в настройках своего браузера таким образом, чтобы браузер перестал сохранять все файлы cookie, а так же оповещал их об отправке. В этом случае некоторые сервисы и функции сайта могут перестать работать или работать некорректно.

Общество может использовать метрический сервис «Яндекс.Метрика».

«Яндекс.Метрика» -- интернет-сервис компании Яндекс, с помощью которого общество может оценивать посещаемость своего сайта и анализировать поведение пользователей. Пользователь сайта имеет право выразить свое волеизъявление на обработку принадлежащих ему персональных данных с использованием метрического сервиса «Яндекс.Метрика».

3.4. Обработка персональных данных начинается с момента поступления персональных данных Обществом и прекращается:

• в случае выявления неправомерных действий с персональными данными;
• в случае достижения цели обработки персональных данных;
• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных;
• в случае получения Обществом требования субъекта персональных данных о прекращении обработки персональных данных;
• в случае прекращения деятельности Общества.

3.5. Хранение персональных данных осуществляется Обществом:

• в течение пяти лет с момента фактического прекращения отношений с клиентом;
• не более 30 дней с даты достижения цели их обработки в случае если договор оказания услуг не заключен;
• в сейфе на бумажных носителях и на электронных носителях с ограниченным доступом;
• в электронном виде в информационной системе персональных данных сайта Общества, а также в архивных копиях баз данных сайта Общества.

3.6. Уничтожение персональных данных осуществляется Генеральным директором либо лицом, ответственное за организацию обработки персональных данных.

3.6.1 При наступлении любого из событий, повлекших, необходимость уничтожения персональных данных, в соответствии с законодательством Российской Федерации, лицо, ответственное за организацию обработки персональных данных обязано:

• уведомить Генерального директора о дате начала работ по уничтожению персональных данных;
• определить (назначить) время, место работы (время и место уничтожения персональных данных);
• установить перечень, тип, наименование, регистрационные номера и другие данные носителей, на которых находятся персональные данные, подлежащие уничтожению (и/или материальные носители персональных данных);
• произвести уничтожение персональных данных (и/или материальных носителей персональных данных): документы, подлежащие уничтожению, измельчаются в шредере, персональные данные клиентов в электронном виде стираются с электронных носителей, либо физически уничтожаются сами материальные носители, на которых хранится информация;
• в случае необходимости уведомить об уничтожении персональных данных субъекта персональных данных и/или уполномоченный орган.

3.6.2 В целях подтверждения уничтожения персональных данных составляются следующие документы:

1) В случае если обработка персональных данных осуществляется без использования средств автоматизации - Акт об уничтожении персональных данных.

2) В случае если обработка персональных данных осуществляется с использованием средств автоматизации либо одновременно с использованием средств автоматизации и без использования средств автоматизации - Акт об уничтожении персональных данных, и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее - выгрузка из журнала).

2.1) Формы акта об уничтожении персональных данных и выгрузки из журнала утверждаются распоряжением Генерального директора и содержат все обязательные сведения, указанные в Приказе Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28 октября 2022 г. № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

2.2) Акт об уничтожении персональных данных может быть составлен как на бумажном носителе, так и в электронном виде и подписан лицом (лицами), уничтожившими персональные данные, собственноручной либо электронной подписью соответственно.

2.3) Акт об уничтожении персональных данных и выгрузка из журнала хранятся в течение 3 лет с момента уничтожения персональных данных.

3.7. Общество не осуществляет трансграничную передачу персональных данных.

3.8. Общество не обрабатываются биометрические персональные данные и специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

4. Обработка персональных данных в целях заключения и исполнения гражданско-правовых договоров

4.1. Общество осуществляет обработку персональных данных в целях заключения и исполнения гражданско-правовых договоров с физическими, юридическим лицами, индивидуальными предпринимателями и иными лицами, в связи с осуществлением хозяйственной деятельности Общества.

4.2. Для цели заключения и исполнения гражданско-правовых договоров Обществом обрабатывает персональные данные у следующих категорий субъектов персональных данных:

• контрагентов -- физических лиц;
• представителей контрагентов - юридических лиц.

4.2.1 Общество запрашивает у контрагентов - физических лиц следующие персональные данные:

• фамилия, имя, отчество;
• год, месяц, дата и место рождения;
• адрес;
• паспортные данные;
• адрес электронной почты;
• телефон.

4.2.2 Общество запрашивает у представителей контрагентов - юридических лиц следующие персональные данные:

• фамилия, имя, отчество;
• паспортные данные;
• телефон;
• адрес электронной почты.
• должность

4.3. Общество осуществляет обработку персональных данных следующими способами:

• Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
• Обработка персональных данных без использования средств автоматизации (неавтоматизированная) - обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
• Смешанная обработка персональных данных - обработка персональных данных как с использованием средств автоматизации, так и без использования таких средств.

4.4. Обработка персональных данных начинается с момента поступления персональных данных Обществу и прекращается:

• в случае выявления неправомерных действий с персональными данными;
• в случае достижения цели обработки персональных данных;
• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных;
• в случае получения Обществом заявления субъекта персональных данных о прекращении обработки персональных данных;
• в случае прекращения деятельности Общества.

4.5. Хранение персональных данных осуществляется Обществом:

• в течение пяти лет с момента фактического прекращения отношений с контрагентом;
• не более 30 дней с даты достижения цели их обработки, в случае если договор с контрагентом не был заключен;
• в сейфе на бумажных носителях и на электронных носителях с ограниченным доступом;
• в электронном виде в информационной системе персональных данных сайта Общества, а также в архивных копиях баз данных сайта Общества.

4.6. Уничтожение персональных данных осуществляется Обществом либо лицом, ответственное за организацию обработки персональных данных.

При наступлении любого из событий, повлекших, необходимость уничтожения персональных данных, в соответствии с законодательством Российской Федерации, лицо, ответственное за организацию обработки персональных данных обязано:

• уведомить Общество о дате начала работ по уничтожению персональных данных;
• определить (назначить) время, место работы (время и место уничтожения персональных данных);
• установить перечень, тип, наименование, регистрационные номера и другие данные носителей, на которых находятся персональные данные, подлежащие уничтожению (и/или материальные носители персональных данных);
• произвести уничтожение персональных данных (и/или материальных носителей персональных данных): документы, подлежащие уничтожению, измельчаются в шредере, персональные данные клиентов в электронном виде стираются с электронных носителей, либо физически уничтожаются сами материальные носители, на которых хранится информация;
• в случае необходимости уведомить об уничтожении персональных данных субъекта персональных данных и/или уполномоченный орган.

i. В целях подтверждения уничтожения персональных данных составляются следующие документы:

1) В случае если обработка персональных данных осуществляется без использования средств автоматизации - Акт об уничтожении персональных данных.

2) В случае если обработка персональных данных осуществляется с использованием средств автоматизации либо одновременно с использованием средств автоматизации и без использования средств автоматизации - Акт об уничтожении персональных данных, и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее - выгрузка из журнала).

2.4) Формы акта об уничтожении персональных данных и выгрузки из журнала утверждаются Генеральным директором Общества и содержат все обязательные сведения, указанные в Приказе Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28 октября 2022 г. № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

2.5) Акт об уничтожении персональных данных может быть составлен как на бумажном носителе, так и в электронном виде и подписан лицом (лицами), уничтожившими персональные данные, собственноручной либо электронной подписью соответственно.

2.6) Акт об уничтожении персональных данных и выгрузка из журнала хранятся Обществом в течение 3 лет с момента уничтожения персональных данных.

4.7. Общество не осуществляет трансграничную передачу персональных данных.

4.8. Обществом не обрабатываются биометрические персональные данные и специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

5. Обработка персональных данных третьим лицом по поручению Общества

5.1. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта.

5.2. Лицо, осуществляющее обработку персональных данных по поручению Общества, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

5.3. В поручении Общества определяется перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели их обработки, и устанавливаются обязанности:

• соблюдать конфиденциальность персональных данных;
• принимать меры, направленные на обеспечение выполнения обязанностей, предусмотренных локально-нормативными актами Общества;
• при сборе персональных данных в том числе посредством информационно-телекоммуникационной сети \"Интернет\", обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации;
• предоставлять Обществу документы и информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• уведомлять Общество в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных.

5.4. Лицо, осуществляющее обработку персональных данных по поручению Общества, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.

5.5. В случае если Общество поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Общество. Лицо, осуществляющее обработку персональных данных по поручению Общества, несет ответственность перед Обществом.

6. Обработка персональных данных, разрешенных субъектом персональных данных для распространения

6.1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

6.2. П обеспечивает субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

6.3. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных Обществом неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц.

6.4. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.

6.5. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

6.6. Общество в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных публикует информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.

6.7. Общество в любое время по требованию субъекта персональных данных прекращает передачу (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения.

6.8. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления Обществу требования, указанного п. 7.7 настоящего Положения.

7. Защита персональных данных

7.1. Обществом определено, что на информацию, содержащую персональные данные, распространяется режим конфиденциальности.

7.2. Организация работы по защите Конфиденциальной информации, в том числе персональных данных.

7.3. Безопасность персональных данных при их использовании и обработке Обществом обеспечивается с помощью системы защиты Конфиденциальной информации, разработанной самим Обществом (далее -- система защиты).

При разработке системы защиты учитывалась обязанность Общества обеспечивать защиту персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в том числе принимать меры, установленные статьей 19 Федерального закона от 27.07.2006 года №152-ФЗ «О персональных данных».

7.1.1. Система защиты реализуется путем проведения нескольких взаимосвязанных процессов. К ним относятся:

• определение актуальных угроз безопасности персональных данных.

  Порядок определения актуальных угроз безопасности персональных данных, и ответственный за проведение процедуры определения актуальных угроз безопасности, определяется Приказом Генерального дирекора Общества.

  Результатом проведения процедуры определения актуальных угроз безопасности персональных данных, является составление акта определения актуальных угроз безопасности;

• оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;

• определение необходимых правовых, организационных и технических мер по обеспечению безопасности персональных данных, при их обработке в информационных системах, исполнение которых обеспечивает необходимый уровень защищенности;

  Необходимый уровень защищенности персональных данных при обработке в информационных системах определяется Обществом при выявлении актуальных угроз безопасности с учетом результатов проведенной оценки вреда, который может быть причинен субъектам персональных данных и фиксируется в акте определения актуальных угроз безопасности.

• надлежащее применение определенных правовых, организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах, а так же применение прошедших в установленном порядке процедуру оценки соответствия средств защиты персональных данных;

• проведение оценки эффективности принимаемых мер по обеспечению безопасности персональных данных с установленной в настоящем Положении периодичностью;
• обеспечение контроля надлежащей реализации мер по обеспечению безопасности персональных данных.

7.1.2. Порядок оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее в подпункте -- вред, оценка вреда).

1) Оценка вреда осуществляется ответственным за организацию обработки персональных данных либо комиссией, образуемой оператором.

2) Общество для целей оценки вреда определяет одну из следующих степеней вреда: высокую, среднюю или низкую, в зависимости от критериев, установленных в Приказе Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 27 октября 2022 г. № 178 «Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных» (далее в подпункте -- Требования).

При этом в случае, если по итогам проведенной оценки вреда установлено, что в рамках деятельности по обработке персональных данных субъекту персональных данных могут быть причинены различные степени вреда, подлежит применению более высокая степень вреда.

1) Результаты оценки вреда оформляются актом оценки вреда, форма которого утверждается распоряжением Генерального директора Общества и содержит все обязательные сведения, указанные в Требованиях.

2) Акт оценки вреда может быть составлен как на бумажном носителе, так и в электронном виде и подписан лицом (лицами), проводившими оценку вреда, собственноручной либо электронной подписью соответственно.

7.1.3. В целях обеспечения функционирования системы защиты Общество выполняет следующие функции:

• организация разработки проектов и утверждение внутренних документов Общества по вопросам обеспечения режима конфиденциальности, определения режима порядка обращения с персональными данными с привлечением иных работников Общества;
• организация взаимодействия с органами государственной власти, правоохранительными и надзорными органами по вопросам обеспечения и соблюдения режима конфиденциальности;
• утверждение Реестра прав доступа, в том числе при внесении изменений и дополнений;
• рассмотрение вопроса о передаче персональных данных третьим лицам;
• определение требований к техническому оснащению помещений, в которых осуществляется работа с персональными данными;
• осуществление контроля за обеспечением режима безопасности помещений;
• принятие решений о необходимости проведения обучений для работников Общества;
• проведение плановых и внезапных проверок на предмет соблюдения режима конфиденциальности Обществом и работниками Общества;
• принятие решений о необходимости отстранения от работы с конфиденциальной информации работников Общества, нарушающих режим конфиденциальности;
• рассмотрение иных вопросов обеспечения и соблюдения режима конфиденциальности.

7.1.4. Защите подлежат все персональные данные, определенные в разделе 2 настоящего Положения, в том числе:

• персональные данные субъекта, содержащиеся в копиях документов;
• персональные данные субъекта, содержащиеся в документах, созданных Обществом;
• персональные данные субъекта, занесенные в учетные формы;
• записи, содержащие персональные данные субъекта;
• персональные данные субъекта, содержащиеся на электронных носителях;
• персональные данные субъекта, обрабатываемые в информационных системах персональных данных;
• персональные данные субъекта, разрешенные субъектом для распространения.

7.2. Правовые меры защиты персональных данных.

7.2.1. К правовым мерам защиты персональных данных относится:

1) Разработка и утверждение локальных нормативных актов Общества: Политики в отношении обработки и защиты персональных данных, Положения о защите персональных данных, которыми регламентируется порядок организации системы защиты Общества (далее -- Регламентирующие документы).

2) Обязанность Общества осуществлять мониторинг действующего законодательства.

7.2.2. Регламентирующие документы разрабатываются самим Обществом или с привлечением третьих лиц и утверждаются Приказом Генерального директора Общества.

7.2.3. Регламентирующие документы должны пересматриваться на предмет их актуальности и необходимости внесения изменений не реже одного раза в год, а также:

• в случае изменения законодательства, регламентирующего порядок обращения организаций с Конфиденциальной информацией и устанавливающего требования к защите информации, в том числе законодательства о персональных данных;
• в случае установления фактов несанкционированного доступа к персональным данным, грубого нарушения работниками Общества режима конфиденциальности, разглашения и утечки информации, содержащей персональные данные;
• на основании заключения, сформированного по результатам проведения очередной оценки достаточности принятых мер по защите персональных данных.

7.3. Организационные меры защиты персональных данных.

К организационным мерам защиты персональных данных относятся:

7.3.1. Определение правил доступа к информации, содержащей персональные данные.

7.3.1.1. К работе с информацией, содержащей персональные данные, могут быть допущены работники Общества при одновременном выполнении следующих условий:

• должность работника указана в Реестре прав доступа;
• работник ознакомлен под подпись с Реестром прав доступа и настоящим Положением;
• работником Общества подписано Обязательство о неразглашении конфиденциальной информации.

7.3.1.2. Распоряжением Генерального директора Общества с целью определения перечня лиц, доступ которых к информации, содержащей персональные данные, необходим для выполнения ими своих должностных обязанностей, и определения необходимого объема информации, содержащей персональные данные, с которым вправе работать каждый из таких работников, утверждается Реестр прав доступа.

1) При утверждении Реестра прав доступа Общество руководствуется правилом о том, что доступ к персональным данным должен предоставляться только тем лицам, которым персональные данные необходимы для выполнения возложенных на них должностных обязанностей и только в том объеме (к той ее части), который необходим для выполнения определенных функций.

2) Реестр прав доступа Общества содержит следующую информацию:

• должности работников Общества, допущенных к работе с информацией, содержащей персональные данные;
• категории информации, к которым работники имеют доступ;
• ресурсы информационной системы, к которым работники имеют доступ;
• Криптографические ключи, к которым работники имеют доступ.

3) Реестр прав доступа подлежит обязательному пересмотру не реже одного раза в год, а также в случае:

• изменения штатного расписания Общества;
• изменения функционала определенной должности;
• изменения перечня ресурсов информационной системы;
• приобретения или уничтожения Криптографических ключей.

4) Правом предоставления, ограничения, прекращения доступа ко всей информации, содержащей персональные данные, создаваемой, хранимой и обрабатываемой Обществом, включая информацию, полученную от третьих лиц, обладает Общество.

7.3.1.3. До начала работы с персональными данными работник должен подписать Обязательство о неразглашении конфиденциальной информации.

Обязательство о неразглашении конфиденциальной информации, подписанное работником Общества, приобщается к личному делу работника.

7.3.1.4. Определение обязанностей для работников Общества при работе с персональными данными. Работник Общества, допущенный к работе с информацией, содержащей персональные данные, обязан:

• знать и выполнять требования настоящего Положения, иных внутренних документов по защите информации;
• соблюдать ограничения, установленные Реестром прав доступа: работать только с теми сведениями и использовать только те ресурсы информационной системы, которые определены Реестром прав доступа;
• соблюдать порядок работы и меры по защите ставших ему известными сведений конфиденциального характера;
• соблюдать правила работы с носителями информации, содержащей персональные данные, порядок их учета и хранения, обеспечивать в процессе работы сохранность сведений, содержащихся в них от посторонних лиц;
• незамедлительно в письменной форме, информировать Общество о попытках несанкционированного доступа к информационным ресурсам и сведениям, содержащим персональные данные, о попытках подкупа, угроз, шантажа другими лицами с целью получения доступа к указанной информации;
• давать письменные объяснения о допущенных личных нарушениях установленного порядка работы, учета и хранения документов, содержащих персональные данные, и машинных съемных носителей информации, а также о фактах их утраты, передачи другим лицам.

7.3.1.5. Определение ограничений для работников Общества при работе с персональными данными.

Работнику, допущенному к работе с информацией, содержащей персональные данные, запрещается:

• передавать сведения конфиденциального характера и документы (в устной форме, по телефону, на бумажных и машинных носителях, в электронной виде и т.д.) другим лицам;
• использовать информацию, содержащую персональные данные, в открытой переписке, статьях и выступлениях, а также в личных интересах;
• передавать по незащищенным техническим каналам связи, в том числе сообщать (обсуждать) по телефону сведения, содержащие персональные данные;
• снимать копии с документов, содержащих персональные данные, или производить выписки из них;
• копировать документы Общества, содержащие персональные данные, и хранить их на машинных съемных носителях информации, а также использовать различные технические средства, способные накапливать и хранить информацию в электронном виде (фото, видео и звукозаписывающую аппаратуру, сотовые телефоны и т.п.), за исключением случаев, описанных в настоящем Положении;
• выполнять работы с материальными и машинными носителями, содержащими персональные данные, вне служебных помещений (помещений, где осуществляется деятельность Общество);
• выносить из служебных помещений документы и машинные носители с информацией, содержащей персональные данные.

7.3.2. Назначение лица, ответственного за информационную безопасность.

Распоряжением Генерального директора Общества назначается лицо, ответственное за информационную безопасность. В число его обязанностей входят:

• организация процесса реализации норм, установленных настоящим Положением, в том числе обеспечение работы системы защиты информации, содержащей персональные данные;
• обеспечение применения у Общества определенных мер защиты информации, содержащей персональные данные;
• контроль за соблюдением работниками Общества требований настоящего Положения;
• проведение обучений для работников Общества в целях ознакомления с требованиями настоящего Положения;
• сбор и анализ статистических данных об Актуальных угрозах безопасности, характерных для Общества;
• внесение предложений Обществу о необходимости проведения оценки достаточности принятых мер по защите информации, содержащей персональные данные, предложений по внесению изменений во внутренние документы Общества, регламентирующие деятельность Общества по защите информации, содержащей персональные данные, предложений по иным вопросам, связанным с деятельностью Общества по защите информации, содержащей персональные данные.

7.3.3. Определение порядка передачи персональных данных.

1) Информация, содержащая персональные данные, может быть передана третьим лицам по письменному запросу третьего лица и только с письменного разрешения Генерального директора Общества, при условии соблюдения требований действующего законодательства:

• по требованию органов государственной власти и местного самоуправления, государственных, надзорных и контролирующих органов, а также Обществом в соответствии с действующим законодательством;
• работникам Общества в соответствии с документами Общества;
• другим физическим и юридическим лицам на основании гражданско-правовых договоров, заключенных между ними и Обществом, при условии наличия в этих договорах обязательств по соблюдению режима конфиденциальности в отношении информации, ответственности за разглашение этой информации или заключения с ними отдельного договора о конфиденциальности.

2) При передаче персональных данных Общество должно соблюдать следующие требования:

• не сообщать персональные данные третьей стороне без письменного согласия субъекта персональных данных за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в случаях, установленных законодательством Российской Федерации;
• предупредить лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они получены, и требовать от этих лиц подтверждения того, что это правило соблюдено;
• передавать персональные данные работника представителям работников в порядке, установленном Трудовым кодексом Российской Федерации, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций;

7.3.4. Обеспечение сохранности носителей информации.

7.3.4.1. Режим сохранности материальных носителей информации.

1) Доступ к материальным носителям информации, содержащей персональные данные, имеют только те работники Общества, которым такая информация необходима для выполнения должностных обязанностей.

2) Доступ к материальным носителям информации, содержащей персональные данные, посторонним лицам запрещен.

3) Рабочие места работников размещаются таким образом, чтобы исключить возможность обозрения находящихся на столе документов, а также мониторов компьютеров посторонними лицами.

4) Материальные носители, содержащие персональные данные должны храниться в специальных сейфах или запирающихся металлических шкафах.

5) Персональные данные, обработка, которых осуществляется в различных целях, хранятся раздельно.

7.3.4.2. Режим сохранности машинных носителей информации.

1) Учет машинных носителей информации осуществляется лицом, ответственным за информационную безопасность, путем ведения журнала учета машинных носителей информации. В журнале учета машинных носителей информации каждый машинный носитель информации Общества закрепляется за ответственным работником, который не вправе передавать закрепленный за ним машинный носитель информации третьим лицам.

2) Запрещается копирование файлов с информацией, содержащей персональные данные, и хранение их на жестких дисках рабочих станций (компьютеров, ноутбуков), съемных машинных носителях информации, других устройствах, способных накапливать и хранить информацию в электронном виде, за исключением случаев, описанных в настоящем Положении.

3) Общество приобретает съемные машинные носители информации, способные накапливать и хранить информацию, для использования работниками Общества в рабочих целях. Такие машинные носители должны проверяться на наличие вирусов и вредоносных программ на регулярной основе.

7.3.5. Установление режима использования Криптографических ключей.

7.3.5.1. Общество осуществляет учет Криптографических ключей путем закрепления права их использования за определенным должностным лицом в Реестре прав доступа. При этом каждый Криптографический ключ используется только Генеральным директором или работником, должность которого определена в Реестре прав доступа.

7.3.5.2. Передача Криптографических ключей, в случае если Криптографический ключ размещен на материальном носителе, не допустима.

7.3.5.3. Криптографические ключи должны использоваться пользователями в соответствии с технической документацией.

7.3.6. Установление режима обеспечения безопасности помещений.

7.3.6.1. В целях исключения возможности неконтролируемого проникновения или пребывания в помещениях, в которых обрабатывается и (или) хранится информация, содержащая персональные данные, посторонних лиц, Общество устанавливает режим обеспечения безопасности этих помещений.

7.3.6.2. Требования к помещениям, в которых обрабатывается и (или) хранится информация, содержащая персональные данные, устанавливаются в локальном нормативном акте по обеспечению безопасности помещений, которое утверждается Обществом.

7.3.6.3. Порядок доступа в помещения, в которых ведется обработка персональных данных.

1) Для помещений, в которых обрабатываются персональные данные (далее - Помещения), обеспечивается режим безопасности, при котором исключается возможность неконтролируемого проникновения и пребывания в этом помещении посторонних лиц.

2) Доступ в Помещения имеют работники, непосредственно работающие в этих помещениях.

3) Генеральный директор (ответственные лица) и замещающие лица могут находиться в Помещениях в любое время, в том числе в нерабочие и праздничные дни.

4) Помещения в нерабочее время должны закрываться на ключ.

5) Вскрытие и закрытие Помещений производится лицами, имеющими право доступа.

6) Уборка Помещений должна производиться в присутствии лиц, имеющих право доступа.

7) Перед открытием Помещений лица, имеющие право доступа в помещения, обязаны:

• провести внешний осмотр с целью установления целостности двери и замка;

• открыть дверь и осмотреть Помещение, где хранятся материальные носители.

8) Перед закрытием Помещений по окончании рабочего дня лица, имеющие право доступа в помещения, обязаны:

• убрать материальные носители персональных данных в шкафы или сейфы и закрыть их;

• отключить технические средства (кроме постоянно действующей техники) и электроприборы от сети, выключить освещение;

• закрыть окна.

9) Внутренний контроль за соблюдением порядка доступа в помещения, в которых ведется обработка персональных данных, проводится Ответственным лицом.

7.3.7. Обнаружение фактов несанкционированного доступа к персональным данным, а также фактов нарушения работниками режима конфиденциальности и принятие мер.

7.3.7.1. Общество принимает меры по обнаружению фактов несанкционированного доступа путем:

• установления обязанности работников сообщать о фактах, свидетельствующих о несанкционированном доступе к информации, содержащей персональные данные, в том числе о фактах несанкционированного проникновения в помещения, в которых обрабатывается и (или) хранится информация, содержащая персональные данные;
• применения технических средств обнаружения фактов несанкционированного доступа в информационную систему.

7.3.7.2. Каждый факт несанкционированного доступа фиксируется лицом, ответственным за информационную безопасность, в определенном им порядке.

7.3.7.3. По всем фактам нарушений работниками режима конфиденциальности должны быть проведены расследования, в ходе которых определен круг лиц, виновных в этих нарушениях и причастных к ним, а также причины и условия, способствовавшие совершению данных нарушений. К проведению расследования привлекается лицо, ответственное за информационную безопасность.

7.3.7.4. По каждому факту несанкционированного доступа к персональным данным, а также факту нарушения работниками режима конфиденциальности проводится анализ причин и условий, совершению указанных фактов, по результатам которого составляется заключение, содержащее дополнительные меры по защите персональных данных, а также план по реализации данных мер, включающий сроки их реализации и ответственных лиц.

7.3.7.5. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, с момента выявления такого инцидента самим Обществом или уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом, Общество уведомляет уполномоченный орган по защите прав субъектов персональных данных:

• в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о представителе Общества, уполномоченном на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
• в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

Уведомление направляется одним из следующих способов:

• на бумажном носителе по адресу Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций;
• в форме электронного документа посредством заполнения специализированной формы, размещенной на Портале персональных данных Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций в информационно-телекоммуникационной сети «Интернет», после прохождения процедуры идентификации и аутентификации посредством федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» и подписывается электронной подписью в соответствии с Федеральным законом от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи».

7.4. Технические меры по защите персональных данных:

7.4.1. Приобретение и установка антивирусного программного обеспечения. Обязательным условием для приобретения антивирусного программного обеспечения является наличие лицензии. Антивирусное программное обеспечение должно регулярно обновляться в соответствии с последней версией. Антивирусное программное обеспечение устанавливается на все персональные компьютеры информационной системы Общества.

7.4.2. Создание учетных записей для работников Общества. Каждому пользователю информационной системы Общества, работающему с информацией, содержащей персональные данные, присваиваются личная учетная запись, для входа в которую устанавливается пароль. Пароль для входа в учетную запись не может совпадать с паролем для входа в учетные записи иных работников Общества. Пароль для входа в учетную запись не может передаваться третьим лицам, за исключением случаев, установленных настоящим Положением.

7.4.3. Установление режима защиты сетевого взаимодействия. Обмен данными между элементами информационной системы Общества и другими компьютерами (рабочими станциями, серверами) должен быть организован через защищенные соединения, организованные с использованием протоколов IPSec с проверкой подлинности и шифрованием IP-пакетов.

7.4.5. Осуществление Резервного копирования информации, содержащей персональные данные.

7.4.6. Ограничение доступа к Информационно-коммуникационной сети Интернет.

7.4.7. Пользователям информационной системы Общества (учетным записям пользователей), работающим с информацией, содержащей персональные данные, может быть ограничен доступ к сети Интернет и средствам электронной почты.

7.4.8. Применение технических средств, обеспечивающих восстановление модифицированной или уничтоженной вследствие несанкционированного доступа информации, содержащей персональные данные.

7.5. Проведение оценки эффективности принятых мер по защите информации, содержащей персональные данные.

7.5.1. Оценка эффективности принятых мер по защите информации, содержащей персональные данные, может проводиться Обществом самостоятельно или с привлечением сторонней организации.

7.5.2. Оценка эффективности принятых мер по защите информации, содержащей персональные данные, проводится по результатам внутренней проверки, проводимой лицом, ответственным за информационную безопасность.

7.5.3. Генеральный директор Общества утверждает периодичность проведения проверок (но не реже одного раза в год), сроки проведения плановых проверок, а также их содержание.

7.5.4. По результатам проведения проверок составляется письменный отчет, который должен содержать:

• сведения обо всех фактах несанкционированного доступа к информации, содержащей персональные данные, нарушения работниками режима конфиденциальности;
• предложения по внесению изменений в систему защиты информации, содержащей персональные данные, заключение о проведении оценки достаточности принятых мер по защите информации, содержащей персональные данные.

7.5.5. В случае подтверждения недостаточности принятых мер по защите информации, содержащей персональные данные, Общество принимает решение о необходимости применения дополнительных мер по изменению системы защиты информации, содержащей персональные данные, в целях приведения ее к достаточному уровню.

7.6. Контроль за соблюдением работниками Общества требований, предъявляемых к ним и установленных настоящим Положением, осуществляется лицом, ответственным за информационную безопасность.

8. Права и обязанности субъекта персональных данных

8.1. В целях защиты персональных данных, хранящихся у Общества, субъект персональных данных имеет право на:

• требовать от Общества уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
• требовать перечень своих персональных данных, обрабатываемых Обществом и информацию об источнике их получения;
• получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения;
• требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.

8.2. Для реализации вышеуказанных прав субъект персональных данных, может в порядке, установленном ст. 14 Закона о персональных данных, обратиться к Обществу с соответствующим запросом. Для выполнения таких запросов Общество устанавливает личность субъекта персональных данных и при необходимости запрашивает дополнительную информацию.

8.3. Если субъект персональных данных считает, что Общество осуществляет обработку его персональных данных с нарушением требований законодательства о персональных данных или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Общества в порядке, предусмотренном законодательством Российской Федерации.

8.4. В целях обеспечения достоверности персональных данных субъект персональных данных обязан при заключении договора предоставить Обществу полные и достоверные данные о себе.

9. Права и обязанности Общества как оператора персональных данных

9.1. Общество в соответствии с Законом о персональных данных в том числе, но не исключительно, исполняет следующие обязанности:

• предоставляет субъекту персональных данных или его представителю по их просьбе информацию, предусмотренную Законом о персональных данных, в том числе о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставляет возможность ознакомления с этими персональными данными;
• в случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя дает в письменной форме мотивированный ответ, содержащий ссылку на положение федерального закона, являющееся основанием для такого отказа;
• разъясняет субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение Обществом согласия на обработку персональных данных являются обязательными;
• в случае получения персональных данных не от субъекта персональных данных предоставляет субъекту персональных данных (за исключением установленных Законом о персональных данных случаев) до начала обработки таких персональных данных информацию, предусмотренную Законом о персональных данных;
• при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе о персональных данных;
• вносит необходимые изменения в персональные данные в случае предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, а также уведомляет об этом субъекта персональных данных или его представителя и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы;
• уничтожает персональные данные в случае представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, а также уведомляет об этом субъекта персональных данных или его представителя и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы;
• прекращает обработку персональных данных при достижении целей их обработки.

9.2. Общество в соответствии с Законом о персональных данных в том числе, но не исключительно имеет право:

• поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора;
• продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных, в случае отзыва субъектом персональных данных согласия на обработку персональных данных;
• мотивированно отказать субъекту персональных данных в выполнении повторного запроса на предоставление необходимой информации и ознакомления с обрабатываемыми персональными данными, не соответствующего условиям, предусмотренным Законом о персональных данных.

10. ВНУТРЕННИЙ КОНТРОЛЬ СООТВЕТСТВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕБОВАНИЯМ К ЗАЩИТЕ

ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1. Настоящий раздел устанавливает основания, порядок и формы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным у Общества.

10.2. Целями осуществления внутреннего контроля являются:

• оценка общего состояния выполнения требований по защите персональных данных, закрепленных в нормативно-правовых актах, в том числе в локальных актах Общества;

• соответствие обработки персональных данных Федеральному закону от 27 июля 2006 г. N 152-ФЗ \"О персональных данных\" и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике ИП в отношении обработки персональных данных, локальным актам Общества;

• выявление и предотвращение нарушений в сфере персональных данных.

10.3. Порядок осуществления внутреннего контроля.

10.3.1. Внутренний контроль соответствия обработки персональных данных установленным требованиям осуществляется путем проведения проверок. Проверки проводятся лицом, ответственным за организацию обработки персональных данных.

10.3.2. У Общества выделяют два типа проверок: плановые и внеплановые.

10.3.3. Плановые проверки проводятся не реже одного раза в год. Лицо, ответственное за проведение проверки, проверяемый период, срок проведения проверки устанавливается распоряжением Генерального директора Общества. Общий срок проверки не должен превышать 20 (двадцать) рабочих дней, при необходимости может быть продлен приказом руководителя, но не более чем на 10 (десять) рабочих дней.

10.3.4. Непосредственно перед проведением плановой проверки, за пять рабочих дней лицо, ответственное за проведение проверки, направляет уведомление структурным подразделениям, сотрудникам Общества, где планируется проведение внутреннего контроля.

10.3.5. Внеплановые внутренние проверки проводятся в следующих случаях:

• по результатам расследования выявленных нарушений требований законодательства в сфере персональных данных;
• по результатам контрольно-надзорных мероприятий, проводимых уполномоченными органами в сфере защиты персональных данных.

10.3.6. Внутренние проверки представляют собой комплекс мероприятий, состоящий из следующих этапов:

• подготовка к проведению внутренней проверки;
• сбор информации, свидетельств проверки;
• анализ соответствия полученной в ходе проверки информации контрольным параметрам (приложение № 1);
• подготовка и формирование заключения по проверке.

В ходе подготовки к проведению проверки лицо, ответственное за проведение проверки, определяет границу и область, подвергающиеся проверке, перечень контрольных параметров, объекты контроля (подразделения, процессы, информационные системы персональных данных и т.п.), состав сотрудников/участников, привлекаемых для проведения проверки, сроки и этапы проведения проверки.

Сбор информации, свидетельств проверки включает в себя анализ организационно-распорядительных и регламентирующих документов по обработке и защите персональных данных, опрос сотрудников, участвующих в процессах обработки персональных данных, обслуживании и эксплуатации информационных систем персональных данных, наблюдение процедур обработки персональных данных. В результате происходит сопоставление с контрольными параметрами для формирования заключения по проверке.

10.3.7. Внутренние проверки проводятся непосредственно на месте обработки персональных данных путем опроса, осмотра рабочих мест сотрудников, участвующих в процессе обработки персональных данных.

10.4. Лицо, ответственное за проведение проверки, вправе:

• привлекать к проведению проверки сотрудников Общества;
• запрашивать у сотрудников Общества всю необходимую информацию;
• принимать меры по устранению выявленных нарушений выполнения требований к защите персональных данных;
• вносить предложения о совершенствовании организационно-правового регулирования обеспечения безопасности персональных данных при их обработке;
• вносить предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в сфере обработки персональных данных.

10.5. Фиксирование результатов внутренних проверок осуществляется в Журнале проведения проверок.

11. Ответственность за разглашение конфиденциальной информации, связанной с персональными данными

11.1. Лица, виновные в нарушении порядка обращения с персональными данными, несут предусмотренную законодательством Российской Федерации ответственность.

11.1.1. Дисциплинарная ответственность:

a) Разглашение персональных данных субъекта персональных данных Обществом, то есть передача посторонним лицам, не имеющим к ним доступа; публичное раскрытие; утрата документов и иных носителей, содержащих персональные данные работника; иные нарушения обязанностей по их защите, обработке и хранению, установленных настоящим Положением, а также иными локальными нормативными актами Обществом, лицом, ответственным за получение, обработку и защиту персональных данных работника, влекут наложение на него дисциплинарного взыскания - выговора, увольнения (пп. «в» п.6 ч. 1 ст. 81 Трудового кодекса РФ).

б) В случае причинения ущерба Обществом работник, имеющий доступ к персональным данным сотрудников и совершивший указанный дисциплинарный поступок, несет полную материальную ответственность в соответствии с п. 7 ч. 1 ст. 243 Трудового кодекса РФ.

11.1.2. Административная ответственность:

a) За нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст. 13.11 КоАП РФ).

б) За разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей (ст. 13.14 КоАП РФ).

11.1.3. Уголовная ответственность -- за нарушение неприкосновенности частной жизни (в том числе незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия), неправомерный доступ к охраняемой законом компьютерной информации, неправомерный отказ в предоставлении собранных в установленном порядке документов и сведений (если эти деяния причинили правам и законным интересам граждан), совершенные лицом с использованием своего служебного положения.

Приложение № 1

ПЕРЕЧЕНЬ контрольных параметров проверок в области обработки и обеспечения безопасности персональных данных