Положение об обработке персональных данных ООО ВТБ Арена

Положение об обработке персональных данных в ООО ВТБ Арена

1.    Назначение и область применения
   1.   Настоящее Положение определяет требования ООО ВТБ Арена в отношении обработки персональных данных, права, обязанности и ответственность должностных лиц при осуществлении обработки персональных данных.
   2.   Требования настоящего Положения обязательны для выполнения всеми работниками, которые допущены к обработке персональных данных в ООО ВТБ Арена.
2.    Термины и сокращения

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Доступ к информации – возможность получения информации и её использования.

Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

Идентификация – присвоение субъектам и объектам доступа идентификатора и/или сравнение предъявляемого идентификатора с Перечнем присвоенных идентификаторов.

Информация – сведения (сообщения, данные) независимо от формы их представления.

Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Материальный носитель персональных данных (далее – материальный носитель) – материальный объект, используемый для закрепления и хранения информации. В рамках настоящего Положения под материальным носителем понимается бумажный документ, диск, дискета, флэш-карта и т.  п.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или с другими лицами организующие и/или осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и/или в результате которых уничтожаются материальные носители персональных данных.

3.    Нормативные ссылки
   1.   Настоящее Положение разработано в соответствии с нормативными правовыми актами Российской Федерации:
      1.   Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
      2.   Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных».
      3.   Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
      4.   Постановление Правительства Российской Федерации от 15.09.2008 №  687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
4.    Принципы обработки персональных данных
   1.   Обработка ПДн осуществляется с соблюдением принципов и правил, установленных законодательством Российской Федерации:
      1.   Не допускается обработка ПДн, несовместимая с целями сбора ПДн.
      2.   Не допускается обработка ПДн, которые не отвечают целям обработки. Содержание и состав обрабатываемых ПДн соответствуют заявленным целям обработки.
      3.   При обработке ПДн обеспечивается точность, достаточность, а в необходимых случаях актуальность ПДн.
      4.   Хранение ПДн осуществляется не дольше, чем этого требуют цели обработки ПДн.
5.    Субъекты и состав персональных данных
   1.   До начала обработки ПДн определяются субъекты ПДн, состав обрабатываемых ПДн и конкретные цели обработки ПДн, которые документируются «Перечнем обрабатываемых персональных данных» и утверждаются приказом Генерального директора ООО ВТБ Арена.
6.    Права и обязанности ООО ВТБ Арена при обработке персональных данных
   1.   ООО ВТБ Арена, как оператор ПДн, обязан:
      1.   Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, связанных с обработкой ПДн, предусмотренных законодательством Российской Федерации. К таким мерам, относятся:

–     назначение в ООО ВТБ Арена лица, ответственного за организацию обработки ПДн;

–     издание документов, определяющих политику ООО ВТБ Арена в отношении обработки ПДн, локальных нормативных актов по вопросам обработки ПДн, а также локальных нормативных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;

–     применение правовых, организационных и технических мер по обеспечению безопасности ПДн;

–     осуществление внутреннего контроля и/или аудита соответствия обработки ПДн действующему законодательству Российской Федерации и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, политике ООО ВТБ Арена в отношении обработки ПДн, локальным нормативных актам ООО ВТБ Арена;

–     оценка вреда, который может быть причинен субъектам ПДн в случае нарушения законодательства Российской Федерации, соотношение указанного вреда и принимаемых в ООО ВТБ Арена мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством Российской Федерации;

–     ознакомление работников, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации о ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику ООО ВТБ Арена в отношении обработки ПДн, локальными нормативных актами по вопросам обработки ПДн.

2.   Разрабатывать, утверждать и обеспечивать неограниченный доступ к документу (опубликовать в информационно-телекоммуникационной сети), определяющему его политику в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн.
3.   Предоставлять документы и локальные нормативные акты по вопросам обработки и защиты ПДн, по запросу уполномоченного органа по защите прав субъектов ПДн.
4.   Осуществлять обработку ПДн субъектов с соблюдением принципов и правил, предусмотренных законодательством Российской Федерации, а именно обрабатывать ПДн в следующих случаях:

–     обработка ПДн осуществляется с согласия субъекта ПДн;

–     обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

–     обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

–     обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;

–     обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта ПДн невозможно;

–     обработка ПДн необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;

–     осуществляется обработка ПДн, сделанных общедоступными субъектом ПДн;

–     осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации.

5.   Получать письменное согласие субъекта ПДн на включение в общедоступные источники ПДн (в том числе справочники, адресные книги) сведений о субъекте ПДн.
6.   При сборе ПДн субъектов ПДн посредством информационно-телекоммуникационной сети Интернет обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн субъектов с использованием баз данных, находящихся на территории Российской Федерации.
7.   Сообщать субъекту ПДн или его законному представителю по его запросу информацию о наличии ПДн, относящихся к соответствующему субъекту ПДн.
8.   Безвозмездно предоставить возможность ознакомления с ПДн субъекта ПДн или его законного представителя в течение 30 дней с момента получения запроса.
9.   В случае отказа в предоставлении субъекту ПДн информации о наличии его ПДн, дать в письменной форме мотивированный ответ в течение 30 дней с момента обращения или получения запроса.
10.   Внести необходимые изменения ПДн в срок, не превышающий 7 рабочих дней с момента предоставления субъектом ПДн или его представителем сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными. О внесенных изменениях и предпринятых мерах ООО ВТБ Арена обязан уведомить субъекта ПДн или его представителя и принять разумные меры для уведомления третьих лиц, которым ПДн этого субъекта были переданы.
11.   В случае достижения цели обработки ПДн прекратить их обработку и уничтожить соответствующие ПДн в срок, не превышающий 30 дней с момента достижения цели обработки ПДн, если иное не предусмотрено договором между ООО ВТБ Арена и субъектом ПДн либо если ООО ВТБ Арена не вправе осуществлять обработку ПДн без согласия субъекта ПДн.
12.   В случае отзыва субъектом ПДн согласия на обработку своих ПДн (согласия на внесение ПДн в общедоступные источники) прекратить обработку ПДн (исключить ПДн из общедоступных источников) и уничтожить ПДн в срок, не превышающий 30 дней с момента поступления указанного отзыва, если иное не предусмотрено договором между ООО ВТБ Арена и субъектом ПДн либо если ООО ВТБ Арена не вправе осуществлять обработку ПДн без согласия субъекта ПДн.
13.   Сообщить в уполномоченный орган по защите прав субъектов ПДн по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение 30 дней с момента получения такого запроса.

2.   ООО ВТБ Арена, как оператор ПДн, имеет право поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта (далее – поручение на обработку ПДн). Лицо, осуществляющее обработку ПДн по поручению ООО ВТБ Арена, обязано соблюдать принципы и правила обработки ПДн, предусмотренные Федеральным законом Российской Федерации от 27.07.2006 г. №152-ФЗ «О персональных данных». В поручении на обработку ПДн должны быть определены перечень действий (операций) с ПДн, которые будут совершаться лицом, осуществляющим обработку ПДн, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн при их обработке, а также должны быть указаны требования к защите обрабатываемых ПДн.
3.   При автоматизированной обработке не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.
4.   ПДн при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельные материальные носители ПДн.
5.   При разработке типовых форм документов для фиксации ПДн необходимо соблюдать следующие требования:
6.   Типовая форма или связанные с ней документы должны содержать сведения о цели обработки ПДн, адрес ООО ВТБ Арена, источник получения ПДн, сроки обработки ПДн, перечень действий и способов обработки ПДн, фамилию, имя, отчество и адрес субъекта ПДн.
7.   Типовая форма должна содержать поле, в котором субъект ПДн может поставить отметку о своем согласии на обработку ПДн при условии необходимости получения письменного согласия на обработку ПДн.
8.   В типовой форме должно быть исключено объединение полей, предназначенных для внесения ПДн, если цели их обработки несовместимы.
9.   Уточнение (изменение) ПДн осуществляется путем фиксации их на новый материальный носитель.

7.    Права субъекта персональных данных
   1.   Субъект ПДн имеет право:
      1.   На получение информации, касающейся обработки его ПДн, в том числе содержащей:

–     подтверждение факта обработки ПДн;

–     правовые основания и цели обработки ПДн;

–     цели и применяемые способы обработки ПДн;

–     полное наименование и местонахождение ООО ВТБ Арена, сведения о лицах (за исключением работников ООО ВТБ Арена), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с ООО ВТБ Арена или на основании законодательства Российской Федерации;

–     обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен законодательством Российской Федерации;

–     сроки обработки ПДн, в том числе сроки их хранения;

–     порядок осуществления субъектом ПДн прав, предусмотренных законодательством Российской Федерации;

–     информацию об осуществленной или о предполагаемой трансграничной передаче ПДн;

–     наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению ООО ВТБ Арена, если обработка поручена или будет поручена такому лицу;

–     иные сведения, предусмотренные законодательством Российской Федерации.

2.   Направить повторный запрос в целях получения информации, касающейся обработки его ПДн, не ранее чем через 30 дней после первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн. В случае если сведения и/или обрабатываемые ПДн не были предоставлены субъекту ПДн для ознакомления в полном объеме по результатам рассмотрения первоначального обращения, повторный запрос должен содержать обоснование направления повторного запроса.
3.   Требовать исправления неверных, неточных, устаревших ПДн, исключения из обработки ПДн в случае неправомерной обработки его ПДн.
4.   Отозвать согласие на обработку ПДн.
5.   Обжаловать в суде любые неправомерные действия или бездействие ООО ВТБ Арена при обработке и защите его ПДн.

8.    Порядок сбора персональных данных
   1.   ПДн субъекта следует получать у самого субъекта ПДн. Если ПДн возможно получить только у третьей стороны, то субъект ПДн должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие, в котором указываются: цель, предполагаемые источники и способы получения ПДн, а также сведения о характере подлежащих получению ПДн и последствиях отказа дать письменное согласие на получение ПДн.
   2.   ООО ВТБ Арена не имеет права собирать и обрабатывать ПДн о политических, религиозных и иных убеждениях и частной жизни субъекта ПДн. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции Российской Федерации Филиал вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.
   3.   ООО ВТБ Арена не имеет права собирать и обрабатывать ПДн о членстве субъекта ПДн в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Законодательством Российской Федерации.
9.    Доступ к обработке персональных данных
   1.   Доступ к обработке ПДн ограничивается в соответствии с законодательством Российской Федерации и настоящим Положением.
   2.   Доступ к обработке ПДн с использованием и/или без использования средств автоматизации разрешен работникам в соответствии с Перечнем подразделений и работников, допущенных к обработке ПДн, утверждаемым приказом Руководителя ООО ВТБ Арена. При этом указанным лицам предоставляется доступ к обработке только тех ПДн, которые им необходимы для выполнения служебных обязанностей.
   3.   Изменения в Перечень подразделений и работников, допущенных к обработке ПДн, утверждаются приказом Руководителя ООО ВТБ Арена.
   4.   Работники, получившие доступ к ПДн, принимают обязательства по обеспечению конфиденциальности ПДн, которые определены:

–     трудовым договором, договором;

–     обязательством о неразглашении ПДн;

–     должностными инструкциями в части обеспечения безопасности ПДн.

5.   Доступ к материальным носителям ПДн и местам их хранения определяется в соответствии с Перечнем мест хранения материальных носителей ПДн, обрабатываемых без использования средств автоматизации, утверждаемым приказом Руководителя ООО ВТБ Арена.
6.   Органам государственной власти, иным государственным органам, органам местного самоуправления, обладающим правом на получение информации, содержащей ПДн в соответствии с действующим законодательством Российской Федерации, ПДн передаются в пределах, необходимых для выполнения ими своих функций.
7.   Обязательный доступ к ПДн предоставляется в следующих случаях, предусмотренных федеральными законами:

–     в целях предупреждения угрозы жизни и здоровью субъекта ПДн;

–     в целях защиты основ конституционного строя, нравственности, прав и законных интересов других лиц;

–     в целях обеспечения обороны страны и безопасности государства, в том числе при поступлении официальных запросов в соответствии с положениями Федерального закона Российской Федерации от 12.08.1995  г. № 144-ФЗ «Об оперативно-розыскной деятельности».

10.    Порядок хранения и уничтожения персональных данных
    1.   Подразделения ООО ВТБ Арена обеспечивают сохранность носителей ПДн в течение срока, предусмотренного Приказом Минкультуры Российской Федерации от 25.08.2010 №  558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения», сроком исковой давности, а также иными требованиями законодательства Российской Федерации и локальными нормативными актами ООО ВТБ Арена.
    2.   Сроки хранения ПДн, обрабатываемых в ИСПДн ООО ВТБ Арена, соответствуют срокам хранения ПДн, содержащихся на материальных носителях.
    3.   ПДн, обрабатываемые в ИСПДн, а также материальные носители ПДн должны быть уничтожены по достижении целей их обработки или в случае утраты необходимости в достижении цели обработки, в случае получения отзыва согласия субъекта ПДн на обработку ПДн, если ООО ВТБ Арена не вправе продолжить обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных Федеральным законом Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных».
    4.   Уничтожение ПДн осуществляется в соответствии с требованиями Регламента уничтожения ПДн.
11.    Уведомление уполномоченного органа по защите прав субъектов персональных данных
    1.   В случаях, установленных Федеральным законом Российской Федерации от 27.07.2006  г. № 152-ФЗ «О персональных данных», ООО ВТБ Арена направляет уведомление в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор).
    2.   В случае изменений сведений об обработке ПДн, а также в случае прекращения обработки ПДн ООО ВТБ Арена обязано уведомить об этом уполномоченный орган по защите прав субъектов ПДн.
12.    Ответственность
    1.   Работники, виновные в нарушении требований настоящего Положения и нормативных правовых актов, регулирующих обработку и защиту ПДн, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.
13.    Порядок внесения изменений
    1.   Настоящее Положение пересматривается раз в три года и в случае изменения законодательства в области защиты ПДн.
    2.   Измененное Положение утверждается в установленном порядке.