Политика в области обработки и обеспечения безопасности персональных данных на ОАО «Волгограднефтемаш»
Предисловие
1. Политика организации разработана в соответствии требований ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных».
2. Политика выпущена впервые.
3. Политика разработана отделом информационной безопасности.
1. Область применения
1.1 В рамках выполнения норм действующего законодательства Российской Федерации в полном объеме ОАО «Волгограднефтемаш» считает важнейшими своими задачами соблюдение принципов законности, справедливости и конфидециальности при обработке персональных данных, а также обеспечение безопасности процессов их обработки.
1.2 Настоящая Политика в области обработки и обеспечения безопасности персональных данных разработана в соответствии с требованиями Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации в области персональных данных.
1.3 Политика определяет основные принципы, цели, условия и способы об-работки персональных данных, перечни субъектов и категории обрабатываемых в Обществе персональных данных, права субъектов персональных данных, а также реализуемые требования к защите персональных данных.
1.4 Используемые в настоящей Политике понятия толкуются согласно их определению в Федеральном законе РФ от 27.07.2006 № 152-ФЗ «О персональных данных».
1.5 Политика действует в отношении всех персональных данных, обрабатываемых в Обществе, и является общедоступным документом.
1.6 Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих вопросы обработки персональных данных в Обществе.
2. Нормативные ссылки
Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных».
3. Термины и сокращения
3.1. Термины и определения
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор - юридическое лицо (ОАО «Волгограднефтемаш»), самостоятельно или совместно с другими лицами организующее или осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
4. Принципы и правовые основания обработки персональных данных
4.1. Обработка персональных данных в Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод работников Общества и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:
- обработка персональных данных должна осуществляться на законной и справедливой основе;
- обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- обработке подлежат только персональные данные, которые отвечают целям их обработки;
- содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
- при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных, или неточных данных;
- хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Законом «О персональных данных», договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
- обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Законом «О персональных данных».
4.2. Общество производит обработку персональных данных при наличии хотя бы одного из следующих условий (правовых оснований):
- субъект персональных данных дал согласие на обработку персональных данных;
- обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, в том числе, но не ограничиваясь, согласно перечню нормативно-правовых актов, указанных в уведомлении об обработке персональных данных;
- обработка персональных данных необходима для осуществления прав и за-конных интересов Общества для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
- обработка персональных данных осуществляется в статистических или
иных исследовательских целях, при условии обязательного обезличивания персональных данных;
- обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
- иных условий, предусмотренных действующим законодательством Российской Федерации о персональных данных.
4.3. Общество вправе обрабатывать персональные данные для осуществления прав и обеспечения своих законных интересов, например, в следующих случаях:
- обеспечение личной безопасности и защита жизни и здоровья работников
(в том числе посредством организации пропускного контроля на объектах Общества);
- проверки контрагентов в соответствии с процедурой, принятой в Обществе, поддержания деловых отношений с контрагентом;
- проведения контрольных и аудиторских проверок предприятия;
- обеспечения пропускного и внутриобъектового режимов в зданиях и помещениях Общества, обеспечения сохранности имущества;
- обеспечения защиты корпоративной информации и организации режима коммерческой тайны;
- подготовки доверенностей, выдаваемых работникам Общества, иных организаций и физическим лицам.
4.4. Обработка персональных данных для обеспечения законных интересов Общества возможна в случаях, когда такая обработка не оказывает существенного влияния на интересы субъектов персональных данных, их фундаментальные права и свободы. При обработке персональных данных на указанном основании Общество всегда будет стремиться поддерживать баланс между своими законными интереса-ми и защитой конфиденциальности персональных данных.
4.5. Перед началом обработки персональных данных для осуществления прав и законных интересов оператора или третьих лиц либо для достижения обще-ственно значимых целей Общество проводит оценку возможности использования указанного правового основания.
5. Категории субъектов персональных данных
5.1. В Обществе осуществляется обработка персональных данных следующих категорий субъектов персональных данных:
- работники Общества (в том числе уволенные);
- кандидаты на вакантные должности Общества;
- родственники работников Общества;
- акционеры и члены Совета директоров Общества;
- лица, с которыми заключены договоры гражданско-правового характера;
- представители контрагентов (физические лица);
- посетители Общества;
- студенты образовательных организаций, проходящих практику в Обществе;
- посетители или пользователи сайта Общества;
- другие субъекты персональных данных (для обеспечения реализации целей обработки персональных данных, указанных в пункте 6.1 Политики).
5.2. Перечень персональных данных, обрабатываемых в Обществе, определяется по каждой категории субъектов персональных данных в соответствии с законодательством Российской Федерации и локальными нормативными актами Общества с учетом целей обработки персональных данных и включает в себя, но не ограничиваясь, следующие персональные данные: фамилия, имя, отчество, дата и место рождения, изображение (фото и видео), номер служебного телефона и адрес служебной электронной почты, адрес электронной почты, номер личного телефона, СНИЛС, ИНН, паспортные данные, гражданство, адрес регистрации, адрес фактического проживания, сведения об образовании, сведения о повышении квалификации и переподготовки, о результатах аттестации и оценочных процедур, сведения об ученой степени, ученом звании, сведения об опыте работы, местах предыдущей работы и осуществления предпринимательской деятельности, сведения о заработной плате, сведения о семейном положении, составе и членах семьи, сведения о состоянии здоровья, включая сведения об инвалидности, сведения о воинском учете, ан-кета и биографические данные, рекомендации, сведения о наградах и званиях, рек-визиты банковского счета, необходимые для перечисления заработной платы, сведения о социальных льготах, компенсациях, гарантиях, пенсионном обеспечении и страховании, сведения о владении акциями (долями в уставном капитале) юридических лиц, в том числе Общества и его аффилированных лиц.
6. Цели и способы обработки персональных данных
6.1. Обработка персональных данных осуществляется в целях:
- содействия работникам и кандидатам в трудоустройстве и продвижении по работе, контроля количества и качества выполняемой работы, соблюдения норм трудового законодательства и иных актов, содержащих нормы трудового права;
- подбора персонала и формирования кадрового резерва;
- осуществление информационного обеспечения Общества, облегчение коммуникаций между работниками посредством выпуска корпоративных СМИ, а также ведения справочников, корпоративного сайта, содержащих контактную и иную деловую информацию, организация корпоративных и спортивных мероприятий;
- организация и осуществление Обществом обучения, повышения квалификации, профессиональной подготовки работников;
- организация и управление служебными поездками и командировками работников (включая помощь в бронировании билетов и гостиниц, оформлении виз); оформление визитных карточек, предоставление услуг такси, организация курьерских услуг;
- выполнение Обществом принятых на себя социальных обязательств в от-ношении работников и членов их семей (добровольное медицинское страхование, выплата материальной помощи, оформление путевок или предоставление компенсаций за путевки, корпоративная программа софинансирования накопительной части пенсии, предоставление подарков);
- обеспечение личной безопасности и защита жизни и здоровья работников (в том числе посредством организации пропускного контроля на объектах Общества), обеспечение защиты корпоративной информации и организации режима коммерческой тайны;
- заключения и исполнения гражданско-правовых договоров, в том числе до-говоров на оказание услуг;
- проверки контрагентов в соответствии с процедурой, принятой в Обществе, поддержания деловых отношений с контрагентом;
- соблюдения законодательства Российской Федерации об акционерных обществах, о раскрытии информации;
- соблюдения антимонопольного законодательства;
- соблюдения законодательства о ценных бумагах;
- защиты прав и законных интересов Общества и их должностных лиц в судах, органах по разрешению споров, административных органах;
- формирования отчетности или подготовки предусмотренных в законодательстве заявлений, уведомлений и т.д. в Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования, Федеральную налоговую службу и другие государственные органы, и службы;
- проведения контрольных и аудиторских проверок предприятия;
- получения лицензий;
- подготовки доверенностей, выдаваемых работникам Общества и иных организаций, физическим лицам, организация выпуска квалифицированной электрон-ной подписи работнику в целях реализации трудовой функции;
- обеспечения пропускного и внутриобъектового режимов в зданиях и помещениях Общества, обеспечения сохранности имущества;
- исполнения иных обязательств в рамках правовых оснований, перечисленных в пункте 4.2 Политики.
6.2. Обработка персональных данных в Обществе осуществляется с использованием средств автоматизации, в том числе в информационных системах персональных данных, и без использования таких средств (смешанная обработка персональных данных).
6.3. При автоматизированной обработке персональных данных применяется передача персональных данных по внутренней сети Общества и с использованием информационно-телекоммуникационной сети «Интернет».
7. Порядок и условия обработки персональных данных
7.1. К обработке персональных данных допускаются только те работники общества, в должностные обязанности которых входит обработка персональных данных. Указанные работники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.
7.2. Общество осуществляет обработку специальных категорий персональных данных о состоянии здоровья, относящихся к возможности выполнения работниками трудовой функции в соответствии с положениями ст. 10 Закона «О персональных данных». Общество вправе осуществлять обработку специальных категорий персональных данных о состоянии здоровья кандидатов на вакантные должности в случае получения согласия от субъекта персональных данных на такую обработку.
7.3. Во время посещения сайта Общества возможна обработка файлов cookies. Порядок обработки таких данных и согласие на их обработку регулируются отдельным документом, расположенным непосредственно на используемом сайте.
Сбор таких данных необходим для бесперебойного функционирования сайтов, а также для аналитических и рекламных целей, обеспечения информационной без-опасности при посещении сайтов и использовании его функционала. Посетители сайтов могут самостоятельно управлять файлами cookies и разрешать или запрещать их использование путем установления персональных настроек на личных устройствах.
7.4. Общество обеспечивает обработку персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, прямо предусмотренных законодательством Российской Федерации о персональных данных.
7.5. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено действующим законодательством, на основании заключаемого с этим лицом договора.
7.6. В поручении Общества (договоре) определяется перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели обработки, устанавливается обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также указываются требования к защите обрабатываемых персональных данных и иные данные, перечисленные в ст.6 Закона «О персональных данных».
7.7. Лицо, осуществляющее обработку персональных данных по поручению Общества, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.
7.8. Кроме того, Общество вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации, а также третьим лицам, обозначенным в согласиях на обработку персональных данных.
7.9. Персональные данные хранятся в течение периода, необходимого для выполнения целей, для которых такие данные были предоставлены или в течение периода, предусмотренного законодательством. Персональные данные уничтожаются по достижении целей или истечению периода для их обработки персональных данных.
8. Обеспечение защиты и безопасности персональных данных
8.1. Общество предпринимает все необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий. Обеспечение безопасности персональных данных достигается, в частности, следующими способами:
• назначением ответственного лица за организацию обработки и обеспечения защиты персональных данных;
• изданием Оператором документов, определяющих политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели об-работки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
• применением организационных и технических мер по обеспечению без-опасности персональных данных при их обработке в информационных си-стемах персональных данных, на бумажных носителях, необходимых для выполнения требований регуляторов (РКН, ФСТЭК, ФСБ и т.д.) к защите персональных данных;
• осуществлением внутреннего контроля или аудита соответствия обработки персональных данных Закону «О персональных данных» и принятыми в
соответствии с ними нормативными правовыми актами, локальными акта-ми Общества;
• оценкой вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона «О персональных данных», соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом «О персональных данных»;
• ознакомлением работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, локальными актами Общества в отношении обработки персональных данных и обучением указанных работников;
• определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению без-опасности персональных данных при их обработке в информационных си-стемах персональных данных, на бумажных носителях, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федера-ции уровни защищенности персональных данных;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учетом машинных носителей персональных данных;
• обнаружением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
• восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
9. Права и обязанности субъектов персональных данных
9.1. Субъект персональных данных имеет право на получение сведений об обработке его персональных данных Обществом.
9.2. Субъект персональных данных вправе требовать от Оператора уточнения своих персональных данных, их блокировки или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
9.3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
9.4. Право субъекта персональных данных на отзыв согласия на их обработку, которое закреплено в части 2 статьи 9 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», о прекращении использования его личных сведений Оператором.
9.5. Для реализации защиты своих прав и законных интересов субъект персональных данных имеет право обратиться к Оператору путем направления соответствующего запроса в письменной форме по адресу: 400011, Российская Федерация, г. Волгоград, ул. Электролесовская, 45.
9.6. Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона «О персональных данных» все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
9.7. Оператор рассматривает любые обращения и жалобы со стороны субъектов персональных данных, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, привлечения виновных лиц к ответственности и урегулирования спорных ситуаций в досудебном порядке.
9.8. Субъект персональных данных вправе обжаловать действия и бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов персональных данных.
9.9. Субъект персональных данных имеет право на защиту своих прав и за-конных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
9.10. Субъекты персональных данных обязуются предоставлять только достоверные данные о себе.
10. Права и обязанности оператора
10.1. Оператор обязан предоставить сведения об обработке персональных данных по запросу субъекта персональных данных.
10.2. Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные, если предоставление данных является обязательным в соответствии с федеральным законом.
10.3. Оператор обязан при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
10.4. Оператор обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним.
10.5. Оператор вправе обрабатывать персональные данные субъекта персональных данных в соответствии с заявленной целью.
11. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных
11.1. Общество обязуется в течение 10 рабочих дней1 с даты получения со-ответствующего запроса или достижения цели обработки персональных данных:
- прекратить обработку или обеспечить прекращение такой обработки, а так-же уничтожить или обеспечить уничтожение персональных данных в случае отзыва субъектом персональных данных согласия на обработку его персональных данных, если иное не предусмотрено Законом «О персональных данных»;
- предоставить возможность ознакомления с персональными данными при обращении субъекта персональных данных или его представителя;
- предоставить мотивированный ответ с обоснованием отказа в предоставлении информации о наличии персональных данных.
11.2. Общество обязуется в течение 30 календарных дней с даты получения соответствующего запроса или достижения цели обработки персональных данных прекратить обработку или обеспечить прекращение такой обработки, а также уничтожить или обеспечить уничтожение персональных данных в случае достижения цели обработки персональных данных, если иное не предусмотрено Законом «О персональных данных».
11.3. Общество обязано предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.
11.4. В срок, не превышающий 7 рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Общество обязано внести в них необходимые изменения.
11.5. В срок, не превышающий 7 рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются не-обходимыми для заявленной цели обработки, Общество обязано уничтожить такие персональные данные.
11.6. Общество обязано уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
1 Указанный срок может быть продлен при определенных обстоятельствах, установленных Законом «О персональных данных», но не более чем на 5 рабочих дней
12. Ответственность и контроль
12.1. Работники Общества, участвующие в обработке персональных данных, несут дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с действующим законодательством Российской Феде-рации за нарушение правил обработки персональных данных и требований к защите персональных данных.
12.2. Настоящая Политика подлежит изменению или дополнению в случае необходимости, в том числе в случае внесения изменений в нормативные правовые акты в сфере персональных данных.
12.3. Все отношения с участием Общества, касающиеся обработки и защиты персональных данных и не получившие непосредственного отражения в настоящей Политике, регулируются согласно положениям действующего законодательства Российской Федерации о персональных данных.
13. Порядок хранения документов
Документы, указанные в настоящей Политике, хранятся в отделе по работе с персоналом в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ.
1. Политика организации разработана в соответствии требований ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных».
2. Политика выпущена впервые.
3. Политика разработана отделом информационной безопасности.
1. Область применения
1.1 В рамках выполнения норм действующего законодательства Российской Федерации в полном объеме ОАО «Волгограднефтемаш» считает важнейшими своими задачами соблюдение принципов законности, справедливости и конфидециальности при обработке персональных данных, а также обеспечение безопасности процессов их обработки.
1.2 Настоящая Политика в области обработки и обеспечения безопасности персональных данных разработана в соответствии с требованиями Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации в области персональных данных.
1.3 Политика определяет основные принципы, цели, условия и способы об-работки персональных данных, перечни субъектов и категории обрабатываемых в Обществе персональных данных, права субъектов персональных данных, а также реализуемые требования к защите персональных данных.
1.4 Используемые в настоящей Политике понятия толкуются согласно их определению в Федеральном законе РФ от 27.07.2006 № 152-ФЗ «О персональных данных».
1.5 Политика действует в отношении всех персональных данных, обрабатываемых в Обществе, и является общедоступным документом.
1.6 Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих вопросы обработки персональных данных в Обществе.
2. Нормативные ссылки
Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных».
3. Термины и сокращения
3.1. Термины и определения
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор - юридическое лицо (ОАО «Волгограднефтемаш»), самостоятельно или совместно с другими лицами организующее или осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
4. Принципы и правовые основания обработки персональных данных
4.1. Обработка персональных данных в Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод работников Общества и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:
- обработка персональных данных должна осуществляться на законной и справедливой основе;
- обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- обработке подлежат только персональные данные, которые отвечают целям их обработки;
- содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
- при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных, или неточных данных;
- хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Законом «О персональных данных», договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
- обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Законом «О персональных данных».
4.2. Общество производит обработку персональных данных при наличии хотя бы одного из следующих условий (правовых оснований):
- субъект персональных данных дал согласие на обработку персональных данных;
- обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, в том числе, но не ограничиваясь, согласно перечню нормативно-правовых актов, указанных в уведомлении об обработке персональных данных;
- обработка персональных данных необходима для осуществления прав и за-конных интересов Общества для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
- обработка персональных данных осуществляется в статистических или
иных исследовательских целях, при условии обязательного обезличивания персональных данных;
- обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
- иных условий, предусмотренных действующим законодательством Российской Федерации о персональных данных.
4.3. Общество вправе обрабатывать персональные данные для осуществления прав и обеспечения своих законных интересов, например, в следующих случаях:
- обеспечение личной безопасности и защита жизни и здоровья работников
(в том числе посредством организации пропускного контроля на объектах Общества);
- проверки контрагентов в соответствии с процедурой, принятой в Обществе, поддержания деловых отношений с контрагентом;
- проведения контрольных и аудиторских проверок предприятия;
- обеспечения пропускного и внутриобъектового режимов в зданиях и помещениях Общества, обеспечения сохранности имущества;
- обеспечения защиты корпоративной информации и организации режима коммерческой тайны;
- подготовки доверенностей, выдаваемых работникам Общества, иных организаций и физическим лицам.
4.4. Обработка персональных данных для обеспечения законных интересов Общества возможна в случаях, когда такая обработка не оказывает существенного влияния на интересы субъектов персональных данных, их фундаментальные права и свободы. При обработке персональных данных на указанном основании Общество всегда будет стремиться поддерживать баланс между своими законными интереса-ми и защитой конфиденциальности персональных данных.
4.5. Перед началом обработки персональных данных для осуществления прав и законных интересов оператора или третьих лиц либо для достижения обще-ственно значимых целей Общество проводит оценку возможности использования указанного правового основания.
5. Категории субъектов персональных данных
5.1. В Обществе осуществляется обработка персональных данных следующих категорий субъектов персональных данных:
- работники Общества (в том числе уволенные);
- кандидаты на вакантные должности Общества;
- родственники работников Общества;
- акционеры и члены Совета директоров Общества;
- лица, с которыми заключены договоры гражданско-правового характера;
- представители контрагентов (физические лица);
- посетители Общества;
- студенты образовательных организаций, проходящих практику в Обществе;
- посетители или пользователи сайта Общества;
- другие субъекты персональных данных (для обеспечения реализации целей обработки персональных данных, указанных в пункте 6.1 Политики).
5.2. Перечень персональных данных, обрабатываемых в Обществе, определяется по каждой категории субъектов персональных данных в соответствии с законодательством Российской Федерации и локальными нормативными актами Общества с учетом целей обработки персональных данных и включает в себя, но не ограничиваясь, следующие персональные данные: фамилия, имя, отчество, дата и место рождения, изображение (фото и видео), номер служебного телефона и адрес служебной электронной почты, адрес электронной почты, номер личного телефона, СНИЛС, ИНН, паспортные данные, гражданство, адрес регистрации, адрес фактического проживания, сведения об образовании, сведения о повышении квалификации и переподготовки, о результатах аттестации и оценочных процедур, сведения об ученой степени, ученом звании, сведения об опыте работы, местах предыдущей работы и осуществления предпринимательской деятельности, сведения о заработной плате, сведения о семейном положении, составе и членах семьи, сведения о состоянии здоровья, включая сведения об инвалидности, сведения о воинском учете, ан-кета и биографические данные, рекомендации, сведения о наградах и званиях, рек-визиты банковского счета, необходимые для перечисления заработной платы, сведения о социальных льготах, компенсациях, гарантиях, пенсионном обеспечении и страховании, сведения о владении акциями (долями в уставном капитале) юридических лиц, в том числе Общества и его аффилированных лиц.
6. Цели и способы обработки персональных данных
6.1. Обработка персональных данных осуществляется в целях:
- содействия работникам и кандидатам в трудоустройстве и продвижении по работе, контроля количества и качества выполняемой работы, соблюдения норм трудового законодательства и иных актов, содержащих нормы трудового права;
- подбора персонала и формирования кадрового резерва;
- осуществление информационного обеспечения Общества, облегчение коммуникаций между работниками посредством выпуска корпоративных СМИ, а также ведения справочников, корпоративного сайта, содержащих контактную и иную деловую информацию, организация корпоративных и спортивных мероприятий;
- организация и осуществление Обществом обучения, повышения квалификации, профессиональной подготовки работников;
- организация и управление служебными поездками и командировками работников (включая помощь в бронировании билетов и гостиниц, оформлении виз); оформление визитных карточек, предоставление услуг такси, организация курьерских услуг;
- выполнение Обществом принятых на себя социальных обязательств в от-ношении работников и членов их семей (добровольное медицинское страхование, выплата материальной помощи, оформление путевок или предоставление компенсаций за путевки, корпоративная программа софинансирования накопительной части пенсии, предоставление подарков);
- обеспечение личной безопасности и защита жизни и здоровья работников (в том числе посредством организации пропускного контроля на объектах Общества), обеспечение защиты корпоративной информации и организации режима коммерческой тайны;
- заключения и исполнения гражданско-правовых договоров, в том числе до-говоров на оказание услуг;
- проверки контрагентов в соответствии с процедурой, принятой в Обществе, поддержания деловых отношений с контрагентом;
- соблюдения законодательства Российской Федерации об акционерных обществах, о раскрытии информации;
- соблюдения антимонопольного законодательства;
- соблюдения законодательства о ценных бумагах;
- защиты прав и законных интересов Общества и их должностных лиц в судах, органах по разрешению споров, административных органах;
- формирования отчетности или подготовки предусмотренных в законодательстве заявлений, уведомлений и т.д. в Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования, Федеральную налоговую службу и другие государственные органы, и службы;
- проведения контрольных и аудиторских проверок предприятия;
- получения лицензий;
- подготовки доверенностей, выдаваемых работникам Общества и иных организаций, физическим лицам, организация выпуска квалифицированной электрон-ной подписи работнику в целях реализации трудовой функции;
- обеспечения пропускного и внутриобъектового режимов в зданиях и помещениях Общества, обеспечения сохранности имущества;
- исполнения иных обязательств в рамках правовых оснований, перечисленных в пункте 4.2 Политики.
6.2. Обработка персональных данных в Обществе осуществляется с использованием средств автоматизации, в том числе в информационных системах персональных данных, и без использования таких средств (смешанная обработка персональных данных).
6.3. При автоматизированной обработке персональных данных применяется передача персональных данных по внутренней сети Общества и с использованием информационно-телекоммуникационной сети «Интернет».
7. Порядок и условия обработки персональных данных
7.1. К обработке персональных данных допускаются только те работники общества, в должностные обязанности которых входит обработка персональных данных. Указанные работники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.
7.2. Общество осуществляет обработку специальных категорий персональных данных о состоянии здоровья, относящихся к возможности выполнения работниками трудовой функции в соответствии с положениями ст. 10 Закона «О персональных данных». Общество вправе осуществлять обработку специальных категорий персональных данных о состоянии здоровья кандидатов на вакантные должности в случае получения согласия от субъекта персональных данных на такую обработку.
7.3. Во время посещения сайта Общества возможна обработка файлов cookies. Порядок обработки таких данных и согласие на их обработку регулируются отдельным документом, расположенным непосредственно на используемом сайте.
Сбор таких данных необходим для бесперебойного функционирования сайтов, а также для аналитических и рекламных целей, обеспечения информационной без-опасности при посещении сайтов и использовании его функционала. Посетители сайтов могут самостоятельно управлять файлами cookies и разрешать или запрещать их использование путем установления персональных настроек на личных устройствах.
7.4. Общество обеспечивает обработку персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, прямо предусмотренных законодательством Российской Федерации о персональных данных.
7.5. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено действующим законодательством, на основании заключаемого с этим лицом договора.
7.6. В поручении Общества (договоре) определяется перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели обработки, устанавливается обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также указываются требования к защите обрабатываемых персональных данных и иные данные, перечисленные в ст.6 Закона «О персональных данных».
7.7. Лицо, осуществляющее обработку персональных данных по поручению Общества, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.
7.8. Кроме того, Общество вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации, а также третьим лицам, обозначенным в согласиях на обработку персональных данных.
7.9. Персональные данные хранятся в течение периода, необходимого для выполнения целей, для которых такие данные были предоставлены или в течение периода, предусмотренного законодательством. Персональные данные уничтожаются по достижении целей или истечению периода для их обработки персональных данных.
8. Обеспечение защиты и безопасности персональных данных
8.1. Общество предпринимает все необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий. Обеспечение безопасности персональных данных достигается, в частности, следующими способами:
• назначением ответственного лица за организацию обработки и обеспечения защиты персональных данных;
• изданием Оператором документов, определяющих политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели об-работки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
• применением организационных и технических мер по обеспечению без-опасности персональных данных при их обработке в информационных си-стемах персональных данных, на бумажных носителях, необходимых для выполнения требований регуляторов (РКН, ФСТЭК, ФСБ и т.д.) к защите персональных данных;
• осуществлением внутреннего контроля или аудита соответствия обработки персональных данных Закону «О персональных данных» и принятыми в
соответствии с ними нормативными правовыми актами, локальными акта-ми Общества;
• оценкой вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона «О персональных данных», соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом «О персональных данных»;
• ознакомлением работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, локальными актами Общества в отношении обработки персональных данных и обучением указанных работников;
• определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению без-опасности персональных данных при их обработке в информационных си-стемах персональных данных, на бумажных носителях, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федера-ции уровни защищенности персональных данных;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учетом машинных носителей персональных данных;
• обнаружением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
• восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
9. Права и обязанности субъектов персональных данных
9.1. Субъект персональных данных имеет право на получение сведений об обработке его персональных данных Обществом.
9.2. Субъект персональных данных вправе требовать от Оператора уточнения своих персональных данных, их блокировки или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
9.3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
9.4. Право субъекта персональных данных на отзыв согласия на их обработку, которое закреплено в части 2 статьи 9 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», о прекращении использования его личных сведений Оператором.
9.5. Для реализации защиты своих прав и законных интересов субъект персональных данных имеет право обратиться к Оператору путем направления соответствующего запроса в письменной форме по адресу: 400011, Российская Федерация, г. Волгоград, ул. Электролесовская, 45.
9.6. Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона «О персональных данных» все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
9.7. Оператор рассматривает любые обращения и жалобы со стороны субъектов персональных данных, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, привлечения виновных лиц к ответственности и урегулирования спорных ситуаций в досудебном порядке.
9.8. Субъект персональных данных вправе обжаловать действия и бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов персональных данных.
9.9. Субъект персональных данных имеет право на защиту своих прав и за-конных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
9.10. Субъекты персональных данных обязуются предоставлять только достоверные данные о себе.
10. Права и обязанности оператора
10.1. Оператор обязан предоставить сведения об обработке персональных данных по запросу субъекта персональных данных.
10.2. Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные, если предоставление данных является обязательным в соответствии с федеральным законом.
10.3. Оператор обязан при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
10.4. Оператор обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним.
10.5. Оператор вправе обрабатывать персональные данные субъекта персональных данных в соответствии с заявленной целью.
11. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных
11.1. Общество обязуется в течение 10 рабочих дней1 с даты получения со-ответствующего запроса или достижения цели обработки персональных данных:
- прекратить обработку или обеспечить прекращение такой обработки, а так-же уничтожить или обеспечить уничтожение персональных данных в случае отзыва субъектом персональных данных согласия на обработку его персональных данных, если иное не предусмотрено Законом «О персональных данных»;
- предоставить возможность ознакомления с персональными данными при обращении субъекта персональных данных или его представителя;
- предоставить мотивированный ответ с обоснованием отказа в предоставлении информации о наличии персональных данных.
11.2. Общество обязуется в течение 30 календарных дней с даты получения соответствующего запроса или достижения цели обработки персональных данных прекратить обработку или обеспечить прекращение такой обработки, а также уничтожить или обеспечить уничтожение персональных данных в случае достижения цели обработки персональных данных, если иное не предусмотрено Законом «О персональных данных».
11.3. Общество обязано предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.
11.4. В срок, не превышающий 7 рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Общество обязано внести в них необходимые изменения.
11.5. В срок, не превышающий 7 рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются не-обходимыми для заявленной цели обработки, Общество обязано уничтожить такие персональные данные.
11.6. Общество обязано уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
1 Указанный срок может быть продлен при определенных обстоятельствах, установленных Законом «О персональных данных», но не более чем на 5 рабочих дней
12. Ответственность и контроль
12.1. Работники Общества, участвующие в обработке персональных данных, несут дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с действующим законодательством Российской Феде-рации за нарушение правил обработки персональных данных и требований к защите персональных данных.
12.2. Настоящая Политика подлежит изменению или дополнению в случае необходимости, в том числе в случае внесения изменений в нормативные правовые акты в сфере персональных данных.
12.3. Все отношения с участием Общества, касающиеся обработки и защиты персональных данных и не получившие непосредственного отражения в настоящей Политике, регулируются согласно положениям действующего законодательства Российской Федерации о персональных данных.
13. Порядок хранения документов
Документы, указанные в настоящей Политике, хранятся в отделе по работе с персоналом в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ.