ПОЛИТИКА
ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ОКАЗАНИИ УСЛУГ В СФЕРЕ ЖКХ
Настоящая Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных», «Положением об особенностях обработки персональных данных, «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», утвержденных постановлением Правительства Российской Федерации от 01.11.2012г. № 1119, и иными нормативными актами в области защиты персональных данных, действующими на территории Российской Федерации.
1. Основные понятия, используемые в Политике
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
1.1) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
(п. 1.1 введен Федеральным законом от 30.12.2020 N 519-ФЗ)
- оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
- автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
- распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
- предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
- блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
- уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
- трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
2. Общие положения
Настоящая Политика, регулирует отношения, связанные с обработкой персональных данных субъектов персональных данных, осуществляемой Оператором с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.
К субъектам персональных данных, персональные данные которых обрабатываются в ООО «МКД-Комплекс», в соответствии с настоящей Политикой относятся:
-
Работников, состоящих в трудовых (договорных) отношениях; близких родственников работников; соискателей вакантных должностей;
-
Собственников и нанимателей жилых (нежилых) помещений многоквартирных домов, являющихся стороной по договору управления.
3. Цели сбора и обработки персональных данных Оператора
Сбор и обработка персональных данных, Работников, состоящих в трудовых (договорных) отношениях; близких родственников работников; соискателей вакантных должностей осуществляется Оператором с целью реализации кадровой административно-хозяйственной деятельности Оператора;
Сбор и обработка персональных данных Собственников и нанимателей жилых (нежилых) помещений многоквартирных домов, являющихся стороной по договору управления, осуществляется Оператором с целью реализации основного вида деятельности, в порядке исполнения норм жилищного законодательства, в том числе: открытие и закрытие лицевых счетов на жилое (нежилое) помещение; осуществление договорных отношений при осуществлении деятельности по содержанию общего имущества в многоквартирном доме в рамках исполнения договора управления; обеспечение эксплуатации (готовность) инженерных сетей многоквартирного дома к предоставлению коммунальных услуг собственникам, а также для начисления платы за жилое помещение и коммунальные услуги в порядке исполнения статьи 153 Жилищного кодекса Российской Федерации, и выставления платежных документов, по форме установленной Приказом Минстроя России от 26.01.2018 N 43/пр "Об утверждении примерной формы платежного документа для внесения платы за содержание и ремонт жилого помещения и предоставление коммунальных услуг" (Зарегистрировано в Минюсте России 14.05.2018 N 51074).
Сбор и обработка персональных данных, пользователей Интернет-сайта, не осуществляется.
В целях обработки обработка персональных данных, Работников, состоящих в трудовых (договорных) отношениях; близких родственников работников; соискателей вакантных должностей, обрабатываются следующие категории персональных данных субъектов персональных данных:
-
Фамилия, имя, отчество (при наличии) в том числе прежние фамилии, имена и (или) отчества (при наличии), в случае их изменения);
-
Дата рождения;
-
Место рождения;
-
Сведения о гражданстве (в том числе о прежних гражданствах, иных гражданствах);
-
Вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, выдавшего его, дата выдачи;
-
Адрес места жительства, дата регистрации по месту жительства (месту пребывания);
-
Номер телефона или сведения о других способах связи;
-
Сведения содержащиеся в страховом свидетельстве обязательного пенсионного страхования или документе, подтверждающем регистрацию в системе индивидуального (персонифицированного) учета;
-
Идентификационный номер налогоплательщика;
-
Реквизиты страхового медицинского полиса обязательного медицинского страхования;
-
Реквизиты свидетельства о государственной регистрации актов гражданского состояния;
-
Сведения о семейном положении; составе семьи и о близких родственниках;
-
Сведения о трудовой деятельности, включая работу по совместительству, предпринимательскую и иную деятельность, военную службу;
-
Отношение к воинской обязанности, сведения о воинском учете и реквизиты документов воинского учета (серия, номер, дата выдачи документов воинского учета (серия, номер, дата выдачи документов воинского учета, наименование органа, выдавшего его);
-
Сведения об образовании с указанием наименования образовательной организации, года ее окончания, квалификации, специальности и (или) направления подготовки, наименования и реквизитов документа об образовании;
-
Сведения об учетной степени, ученом звании;
-
Сведения о прохождении гражданской службы, на прежнем месте работы;
-
Сведения о наличии или отсутствии судимости;
-
Сведения о профессиональной переподготовке и (или) повышении квалификации;
-
Сведения о ежегодных оплачиваемых отпусках, учебных отпусках и отпусках без сохранения денежного пособия;
-
Номер расчетного счета,
-
Номер банковской карты,
-
Иные сведения, которые субъект персональных данных пожелал сообщить о себе и которые отвечают целям обработки персональных данных, указанным настоящем пункте.
В целях обработки обработка персональных данных, Собственников и нанимателей жилых (нежилых) помещений многоквартирных домов, являющихся стороной по договору управления, обрабатываются следующие категории персональных данных субъектов персональных данных:
-
Фамилия, имя, отчество (при наличии) в том числе прежние фамилии, имена и (или) отчества (при наличии), в случае их изменения);
-
Дата рождения;
-
Место рождения;
-
Сведения о гражданстве (в том числе о прежних гражданствах, иных гражданствах);
-
Вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, выдавшего его, дата выдачи;
-
Адрес места жительства, дата регистрации по месту жительства (месту пребывания);
-
Номер телефона или сведения о других способах связи;
-
Идентификационный номер налогоплательщика;
-
Реквизиты свидетельства о государственной регистрации актов гражданского состояния;
-
Сведения о семейном положении; составе семьи и о близких родственниках;
-
Сведения правоустанавливающих документов на жилое помещения, дата регистрации права собственности, кадастровый номер жилого помещения, дата возникновения (прекращения) пава собственности,
-
Номер расчетного счета,
-
Номер банковской карты,
-
Иные сведения, которые субъект персональных данных пожелал сообщить о себе и которые отвечают целям обработки персональных данных, указанным настоящем пункте.
4. Правовое основание обработки персональных данных
Правовым обоснованием обработки персональных данных является: Конституция Российской Федерации, Трудовой кодекс Российской Федерации, Гражданский кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Жилищный кодекс Российской Федерации, Федеральный закон от 21.07.2014 № 209-ФЗ "О государственной информационной системе жилищно-коммунального хозяйства", Федеральный закон от 28.03.1998 № 53-ФЗ "О воинской обязанности и военной службе", Федеральный закон от 01.04.1996 № 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования", постановление Правительства Российской Федерации от 27.11.2006 № 719 "Об утверждении Положения о воинском учете», постановление Правительства Российской Федерации от 06.05.2011 № 354 "О предоставлении коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов", постановление Правительства Российской Федерации от 14.02.2012 № 124 "О правилах, обязательных при заключении договоров снабжения коммунальными ресурсами".
5. Субъекты персональных данных и условия обработки персональных данных
Оператор может обрабатывать персональные данные следующих категорий субъектов персональных данных:
-
Работников, состоящих в трудовых (договорных) отношениях; близких родственников работников; соискателей вакантных должностей;
-
Собственников и нанимателей жилых (нежилых) помещений многоквартирных домов, являющихся стороной по договору управления.
Обработка персональных данных должна осуществляться с согласия субъекта данных на обработку его персональных данных, для работников состоящих в трудовых отношениях, согласно Приложению № 1.1 к настоящей Политике.
Обработка персональных данных собственников и нанимателей для начисления платы за жилое помещение и коммунальные услуги, осуществляется МУП ЕРКЦ г. Комсомольска-на-Амуре Хабаровского края, по договору на расчетно-кассовое обслуживание. Согласие субъекта на обработку персональных данных предоставляется непосредственно в расчетно-кассовые центры г. Комсомольска-на-Амуре (подразделения МУП ЕРКЦ). Согласие субъекта на обработку персональных данных в рамках исполнения договора управления многоквартирным домом, а так же для устранения аварийных ситуаций, отработки заявок и обращений граждан, размещено на официальном сайте ООО «МКД-Комплекс» и считается полученным с момента размещения, до окончания срока действия договора управления и его исполнения.
Обработка персональных данных Собственника и нанимателя, обратившегося за предоставлением услуги в рамках исполнения договора управления, посредством ГИС ЖКХ, и (или) другие официальные государственные сайты, подтвердившего регистрацию в регистре физических лиц единой системы идентификации и аутентификации (ЕСИА), давшего согласие на обработку своих персональных данных в системе ЕСИА, дополнительного согласия на обработку персональных данных для предоставления услуги, не требуется. Обработка персональных данных осуществляется в соответствии со статьей 6 Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 14.07.2022) "О персональных данных".
Дополнительного согласия на обработку персональных данных не требуется, для исполнения функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
Согласие субъекта персональных данные не требуется в случаях, предусмотренных пп. 2-11 ч. 1 ст. 6 Федерального закона, а именно в случаях, если:
1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
3.1) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
8) обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;
10) осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее - персональные данные, сделанные общедоступными субъектом персональных данных);
11) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
Не допускается обработка персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных, философских убеждений, интимной жизни, членства в общественных объединениях (специальные категории персональных данных), за исключением случаев, предусмотренных пунктами 1-10 части 2 статьи 10 Федерального закона № 152.
В случаях, предусмотренных Федеральным законом № 152 субъект персональных данных принимает решение о представлении его персональных данных и дает согласие на их обработку своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой форме, позволяющей подтвердить факт его получения (Приложение №1).
В случаях, предусмотренных Федеральным законом, обработка персональных данных возможна только с согласия в письменной форме субъекта персональных данных.
Согласие в письменной форме субъекта персональных данных на обработку его персональных данных на бумажном носителе должно включать, в частности:
- фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
- фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных;
- наименование оператора, получающего согласие на обработку персональных данных;
- цель обработки персональных данных;
- перечень персональных данных на обработку которых требуется согласие субъекта персональных данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена другому лицу;
- перечень действий с персональными данными на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
- срок в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено Федеральным законом
- подпись субъекта персональных данных.
Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
-
Права субъекта персональных данных
Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных данных;
4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
9.1) информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 настоящего Федерального закона;
10) иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами.
Информация касающаяся обработки персональных данных для предоставления Субъекту персональных данных (Приложение 3).
-
Обязанности Оператора при сборе персональных данных
В соответствии с требованиями ч. 5 ст.18 Федерального закона № 152, при сборе персональных данных Управляющие компании обязаны обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 Федерального закона.
-
Обязанности Оператора по обеспечению безопасности персональных данных при их обработке
При обработке персональных данных Оператор, осуществляющий обработку персональных данных, в соответствии со ст. 18.1, 19 Федерального закона принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
К мерам, направленным на обеспечение выполнения оператором обязанностей предусмотренных ст.18.1 Федерального закона могут, в частности, относиться:
1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных (Приложение № 2);
2) издание оператором, настоящего Локального нормативного акта, определяющего политику оператора в отношении обработки персональных данных, по вопросам обработки персональных данных, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
3) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 Федерального закона № 152;
4) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;
5) оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом;
6) ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, при трудоустройстве на работу.
Обеспечение безопасности персональных данных достигается следующими мерами:
- определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
- учетом машинных носителей персональных данных;
- обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
- восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета действий, совершаемых с персональными данными в информационной системе персональных данных;
- контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных,
-
Условия обработки
Порядок работы с персональными данными Субъектов у Оператора регламентирован действующим законодательством Российской Федерации, настоящим локально-нормативным актом и осуществляется с соблюдением строго определенных правил и условий.
Обработка персональных данных у Оператора осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), обезличивания, блокирования, удаления, уничтожения персональных данных исключительно для обеспечения соблюдения федерального законодательства и иных нормативных правовых актов, соответствия целям, заранее определенным и заявленным при сборе персональных данных, учета результатов выполнения договорных и иных гражданско-правовых обязательств с субъектом персональных данных. При этом используется смешанный (автоматизированный и неавтоматизированный) способ обработки персональных данных.
Обработка персональных данных осуществляется с согласия Субъекта на обработку его персональных данных.
В случае получения Оператором персональных данных из общедоступных источников, в том числе из Росреестра, согласие Субъекта не требуется.
Оператор не осуществляет трансграничную передачу персональных данных Субъектов.
Оператор осуществляет обработку персональных данных с использованием средств автоматизации.
С целью защиты персональных данных при их обработке в информационных системах персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий с ними Оператором применяются организационные и технические меры.
Руководитель Оператора утверждает перечень сотрудников Оператора, имеющих доступ к персональным данным Субъектов (Приложение № 2).
Персональные данные Работников, состоящих в трудовых (договорных) отношениях; близких родственников работников; соискателей вакантных должностей хранятся на бумажных носителях в служебных помещениях Оператора в условиях, исключающих ознакомление лиц, не имеющих допуска к работе с персональными данными Субъекта, срок хранения устанавливается на время действия трудового договора.
Персональные данные Собственников и нанимателей жилых (нежилых) помещений многоквартирных домов, являющихся стороной по договору управления хранятся в электронном виде в локальной компьютерной сети Оператора, в электронных папках и файлах в персональных компьютерах сотрудников, допущенных к обработке персональных данных Субъектов и защищенных индивидуальным паролем. Разглашение пароля доступа к персональному компьютеру сотрудника Оператора не допускается. Срок хранения устанавливается на время действия договора управления и исполнения обязательств по этому договору сторонами договора.
-
Оценка степени вреда
Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - оценка вреда), осуществляется ответственным за организацию обработки персональных данных.
Оператор для целей оценки вреда определяет одну из степеней вреда, который может быть причинен субъекту персональных данных в случае нарушения Закона о персональных данных:
Высокую в случаях: обработки сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, за исключением случаев, установленных федеральными законами, предусматривающими цели, порядок и условия обработки биометрических персональных данных; обработки специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, сведений о судимости, за исключением случаев, установленных федеральными законами, предусматривающими цели, порядок и условия обработки специальных категорий персональных данных; обработки персональных данных несовершеннолетних для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является несовершеннолетний, а также для заключения договора по инициативе несовершеннолетнего или договора, по которому несовершеннолетний будет являться выгодоприобретателем или поручителем в случаях, не предусмотренных законодательством Российской Федерации, - обезличивания персональных данных, в том числе с целью проведения оценочных (скоринговых) исследований, оказания услуг по прогнозированию поведения потребителей товаров и услуг, а также иных исследований, не предусмотренных пунктом 9 части 1 статьи 6 Закона о персональных данных; - поручения иностранному лицу (иностранным лицам) осуществлять обработку персональных данных граждан Российской Федерации; - сбора персональных данных с использованием баз данных, находящихся за пределами Российской Федерации.
Среднюю в случаях: распространения персональных данных на официальном сайте в информационно-телекоммуникационной сети "Интернет" оператора, а равно предоставление персональных данных неограниченному кругу лиц, за исключением случаев, установленных федеральными законами, предусматривающими цели, порядок и условия такой обработки персональных данных; обработки персональных данных в дополнительных целях, отличных от первоначальной цели сбора; продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с использованием баз персональных данных, владельцем которых является иной оператор; получения согласия на обработку персональных данных посредством реализации на официальном сайте в информационно-телекоммуникационной сети "Интернет" функционала, не предполагающего дальнейшую идентификацию и (или) аутентификацию субъекта персональных данных; осуществления деятельности по обработке персональных данных, предполагающей получение согласия на обработку персональных данных, содержащего положения о предоставлении права осуществлять обработку персональных данных определенному и (или) неопределенному кругу лиц в целях, несовместимых между собой .
Низкую в случаях: ведения общедоступных источников персональных данных, сформированных в соответствии со статьей 8 Закона о персональных данных; назначения в качестве ответственного за обработку персональных данных лица, не являющегося штатным сотрудником оператора.
Вред, степень которого не идентифицирована как высокая, средняя, низкая, вредом в смысле нарушения закона «О персональных данных» не является.
Результаты оценки вреда оформляются актом оценки вреда (Приложение 4).
Акт оценки вреда должен содержать:
а) наименование или фамилию, имя, отчество (при наличии) и адрес оператора;
б) дату издания акта оценки вреда;
в) дату проведения оценки вреда;
г) фамилию, имя, отчество (при наличии), должность лиц (лица) (при наличии), проводивших оценку вреда, а также их (его) подпись;
д) степень вреда, которая может быть причинена субъекту персональных данных, в соответствии с настоящими Требованиями.
Акт оценки вреда в электронной форме, подписанный в соответствии с федеральным законом электронной подписью, признается электронным документом, равнозначным акту оценки вреда на бумажном носителе, подписанному собственноручной подписью.
-
Основные мероприятия по обеспечению безопасности обработки персональных данных
Оператор обязан при обработке персональных данных Субъектов принимать необходимые организационные и технические меры для защиты персональных данных от несанкционированного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
Для эффективной защиты персональных данных Субъектов необходимо:
- соблюдать порядок получения, учета и хранения персональных данных Субъектов;
- применять технические средства охраны, сигнализации;
- заключить со всеми сотрудниками, связанными с получением, обработкой и защитой персональных данных Субъекта,
- привлекать к дисциплинарной ответственности сотрудников, виновных в нарушении норм, регулирующих получение, обработку и защиту персональных данных Субъекта.
Допуск к персональным данным Субъектов сотрудников Оператора, не имеющих надлежащим образом оформленного доступа, запрещается.
Документы, содержащие персональные данные Субъектов, хранятся в помещениях Оператора, обеспечивающих защиту от несанкционированного доступа.
Защита доступа к электронным базам данных, содержащим персональные данные Субъектов, обеспечивается:
- использованием лицензионных программных продуктов, предотвращающих несанкционированный доступ третьих лиц к персональным данным Субъектов;
- системой паролей. Пароли устанавливаются системным администратором и сообщаются индивидуально сотрудникам, имеющим доступ к персональным данным Субъектов.
Копировать и делать выписки персональных данных Субъекта разрешается исключительно в служебных целях с письменного разрешения руководителя.
12. Уничтожение персональных данных при достижении целей их обработки.
Персональные данные хранятся не дольше, чем этого требуют цели их обработки, и подлежат уничтожению по достижении целей обработки.
Для Работников, состоящих в трудовых (договорных) отношениях; близких родственников работников; соискателей вакантных должностей, персональные данные хранятся на период действия трудового договора.
Для Собственников и нанимателей жилых (нежилых) помещений многоквартирных домов, являющихся стороной по договору управления, в период действия договора управления.
Хранение персональных данных на съемных электронных носителях не допускается.
Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований:
Уничтожение бумажных и машиночитаемых носителей̆ персональных данных, уничтожаются по акту;
Акт об уничтожении носителей персональных данных, подписывается составителем акта и утверждается исполнительным органом Оператора.
Уничтожение носителей, содержащих персональные данные, осуществляется в следующем порядке:
- уничтожение персональных данных, содержащихся на бумажных носителях, осуществляется путем измельчения на мелкие части (шредер), исключающие возможность последующего восстановления информации;
- уничтожение персональных данных, содержащихся на машиночитаемых носителях, осуществляется путем нанесения им неустранимого физического повреждения, исключающего возможность их использования, а также восстановления данных. Вышеуказанное достигается путем деформирования, нарушения единой целостности носителя;
- подлежащие уничтожению файлы с персональными данными, расположенные на жестком диске, удаляются средствами операционной системы компьютера с последующим «очищением корзины»;
В акте указываются: - дата, место и время уничтожения; - должность ФИО составителя акта; - вид и количество уничтожаемых носителей, содержащих персональные данные; - основание для уничтожения; - способ уничтожения.
13. Ответственность за нарушение требований, регулирующих получение, обработку и хранение персональных данных.
Должностные лица Оператора, обрабатывающие персональные данные, несут ответственность в соответствии с действующим законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.
Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с действующим законодательством Российской Федерации.
14. Заключительные положения
Настоящее Положение вступает в силу с момента ее утверждения руководителем Оператора.
Настоящее Положение подлежит корректировке в случае изменения законодательства Российской Федерации, регулирующих органов в области защиты персональных данных, внутренних документов Оператора в области защиты конфиденциальной информации. При внесении изменений в заголовке Положения указывается номер версии и дата последнего обновления редакции. Новая редакция Положения вступает в силу с момента ее утверждения руководителем Оператора и размещения на сайте Оператора.
В случае изменения законодательства Российской Федерации в области защиты персональных данных, нормы Положения, противоречащие законодательству, не применяются до приведения их в соответствие.
Действующая редакция Положения хранится по адресу: _____________