Политика обработки персональных данных АО «Ленпромгаз»

Приложение № 2 к Приказу №092от «13» октября 2022 «Об организации обработки персональных данных»

1. Общие положения

Политика обработки персональных данных АО «Ленпромгаз» (далее – Политика) является документом, определяющим направления деятельности в сфере обработки и защиты персональных данных (далее - ПДн) при взаимодействии АО «Ленпромгаз» (далее – Общество), в лице руководства Общества (его представителей) и субъектов ПДн.

Целью Политики является конкретизация требований законодательства Российской Федерации в сфере обработки и защиты ПДн с учетом условий и особенностей деятельности Общества.

2. Основные термины

В соответствии с действующим законодательством в настоящем документе применяются следующие термины:

• персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если прекращение обработки необходимо для уточнения персональных данных);
• уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3. Правовые основания обработки персональных данных

3.1. Политика разработана на основании и в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных», Трудовым кодексом Российской Федерации от 30.12.2001 г. № 197-ФЗ, Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным Постановлением правительства Российской Федерации от 15.09.2008 г. № 687, Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных Постановлением правительства Российской Федерации от 01.11.2012 г. № 1119.

3.2. На основании и во исполнение правовых актов Общество принимает локальные акты по вопросам обработки и защиты ПДн с учетом особенностей и условий деятельности. Локальные акты не могут содержать положения, ограничивающие права субъектов ПДн.
3.3. Обработка ПДн в Обществе должна осуществляться с соблюдением принципов и правил, предусмотренных нормативными правовыми актами РФ и локальными актами Общества.

3.4. Обработка ПДн допускается в случаях:

1. согласия субъекта ПДн на обработку его персональных данных;
2. необходимости исполнения договора, стороной которого является субъект персональных данных;
3. заключения договора по инициативе субъекта персональных данных;
4. необходимости защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта невозможно;
5. предоставления ПДн субъектом неограниченному кругу лиц (общедоступные ПДн);
6. опубликования или обязательного раскрытия ПДн в соответствии с федеральными законами.

4. Цели и принципы обработки персональных данных

4.1. Целями обработки ПДн в Обществе являются:

• исполнение обязательств и реализация прав сторон трудовых договоров (Общества и работников);
• исполнение обязательств и реализация прав сторон договоров, заключаемых и исполняемых в рамках основной деятельности Общества (Общества и физических и/или юридических лиц).

4.2. Обработка персональных данных должна осуществляться с соблюдением следующих принципов:

• обработка ПДн должна осуществляться на законной и справедливой основе;
• обработка ПДн должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только ПДн, которые отвечают целям их обработки;
• содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки;
• при обработке ПДн должны быть обеспечены точность, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки. Общество должно принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;
• хранение ПДн должно осуществляться в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, является субъект ПДн. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

5. Содержание, категории персональных данных и особенности их обработки

5.1. К персональным данным относится любая информация о физическом лице, позволяющая его идентифицировать и получить о нем дополнительные сведения. К таким данным относятся сведения о фамилии, имени, отчестве, дате и месте рождения, адресе проживания и регистрации, семейном и имущественном положении, образовании, трудовой деятельности и любые другие сведения, незаконное распространение которых может нанести вред физическому лицу.

5.2. Все персональные данные делятся на категории:

• общедоступные ПДн – сообщаемые субъектом свои ПДн, включаемые с его письменного согласия в общедоступные источники ПДн, такие как телефонный справочник Общества, адресные книги и др. Сведения о субъекте ПДн должны быть в любое время исключены из общедоступных источников ПДн по требованию субъекта, либо по решению суда или иных уполномоченных государственных органов;
• специальные категории ПДН – ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Обработка в Обществе специальных категорий ПДн допускается в случаях, если работник дал согласие в письменной форме на обработку своих ПДн, сделал эти данные общедоступными или их обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
• биометрические ПДн – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность. Биометрические ПДн могут обрабатываться в Обществе только при наличии согласия работника, данного в письменной форме;
• иные ПДн - персональные данные, не относящиеся ни к специальным, ни к биометрическим категориям ПДн, и не являющиеся общедоступными.

5.3. В Обществе обрабатываются ПДн двух основных групп субъектов ПДн:

1. Соискателей на замещение вакантных должностей и работников Общества – с целью содействия в трудоустройстве, обучения, повышения квалификации и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества в рамках трудовых договоров;
2. граждан (физических лиц) – с целью реализации обязательств и прав сторон при заключении и исполнении договоров в рамках основной деятельности Общества.

5.4. Обработку ПДн работников Общества осуществляют сотрудники подразделений Общества в рамках выполнения определенных им функций.

5.5. Обработку ПДн граждан, являющихся участниками договоров в рамках основных видов деятельности Общества, проводят сотрудники структурных подразделений, которые осуществляют данные виды деятельности. Объем обрабатываемых ПДн должен быть минимально необходимым для реализации договоров.

5.6. Обработка ПДн в Обществе может осуществляться как с использованием средств вычислительной техники, так и без ее использования. Автоматизацию обработки ПДн обеспечивают работники структурных подразделений автоматизации производственных процессов и технического сопровождения информационных технологий Общества.

6. Основные требования к обработке персональных данных

6.1. Обработка ПДн может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.

6.2. Все ПДн работника следует получать у него самого. Если ПДн возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения ПДн, а также о характере подлежащих получению ПДн и последствиях отказа работника дать письменное согласие на их получение.

6.3. Общество обязано принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных федеральными законами и принятыми в соответствии с ними нормативными правовыми актами.

6.4. При обработке ПДн в Обществе должны быть приняты необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении ПДн.

6.5. В Обществе должно быть:

• назначено должностное лицо, ответственное за организацию обработки ПДн;
• изданы документы, определяющие политику в отношении обработки ПДн, локальные акты по вопросам обработки и защиты ПДн;
• реализованы правовые, организационные и технические меры по обеспечению безопасности ПДн;
• организован внутренний контроль и (или) аудит соответствия обработки ПДн требованиям федеральных законов и принятым в соответствии с ними нормативным правовым актам, требованиям к защите ПДн, политике обработки ПДн, локальных актов Общества.

6.6. Работники Общества, непосредственно осуществляющие обработку ПДн, должны быть ознакомлены с положениями законодательства Российской Федерации о ПДн, документами, определяющими политику Общества в отношении обработки ПДн, локальными актами по вопросам обработки и защиты ПДн.

6.7. В случае выявления в Обществе неправомерной обработки ПДн в срок, не превышающий трех рабочих дней с даты этого выявления, обработка ПДн должна быть прекращена.

7. Доступ к персональным данным

7.1. Право доступа к ПДн работников в полном объеме имеет генеральный директор Общества.

7.2. К обработке ПДн допускаются работники Общества в рамках исполнения ими должностных обязанностей.

7.3. К обработке ПДн могут быть допущены работники с целью и в объеме, необходимыми для исполнения отдельных поручений руководства Общества.

7.4. К ПДн граждан (физических лиц, представителей юридических лиц) в целях заключения и исполнения договоров в рамках основных видов деятельности Общества допускаются работники подразделений, осуществляющих заключение и исполнение этих договоров.

7.5. Списки работников, допущенных к обработке ПДн, подписываются генеральным директором Общества.

7.6. Работники, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральными законами.

7.7. ПДн работников в соответствии с федеральными законами по решению генерального директора Общества могут быть предоставлены по мотивированному запросу государственным органам и органам местного самоуправления.

8. Права субъектов персональных данных

8.1. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:

1. подтверждение факта обработки его ПДн;
2. правовые основания и цели обработки ПДн;
3. цели и применяемые способы обработки ПДн;
4. фамилию, имя, отчество работника, осуществляющего обработку ПДн в Обществе;
5. обрабатываемые ПДн, источник их получения;
6. сроки обработки ПДн, в том числе сроки их хранения;
7. информацию об осуществленной или о предполагаемой трансграничной передаче данных;
8. иные сведения, предусмотренные федеральными законами.

8.2. Субъект ПДн вправе требовать уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

8.3. Если субъект ПДн считает, что обработка его ПДн в Обществе осуществляется с нарушением требований или иным образом нарушает его права и свободы, субъект ПДн вправе обжаловать действия или бездействие Общества в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке.

8.4. Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

9. Защита персональных данных

9.1. Защита ПДн в Обществе организуется и обеспечивается с целью защиты прав и свобод граждан, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

9.2. Защита ПДн основывается на реализации в Обществе требований федеральных законов, нормативных правовых актов в области защиты ПДн.

9.3. Защите подлежат бумажные, магнитные, магнитно-оптические и иные носители с нанесенными на них ПДн, видеоинформация отображаемая мониторами технических средств, содержащая ПДн, технические средства (компьютеры, копировальные устройства и т.п.), информационные системы и обрабатываемые с их помощью базы ПДн.
9.4. В Обществе должна быть создана система защиты ПДн, включающая в себя организационные и технические меры, обеспечивающие предотвращение неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также иных неправомерных действий в отношении ПДн.

9.5. Перечень, содержание мер и применяемых средств защиты должны соответствовать актуальным угрозам и принятым в Обществе технологиям обработки ПДн.

9.6. Обработка ПДн без принятия мер защиты запрещается.

10. Ответственность за нарушения правил обработки персональных данных

10.1. Ответственность за организацию обработки и обеспечение защиты ПДн возлагается на руководителей подразделений, организующих работу с ПДн.

10.2. Должностные лица, работники Общества, имеющие доступ к ПДн несут ответственность за нарушение установленного порядка обработки ПДн в соответствии с действующим административным, гражданским и уголовным законодательством Российской Федерации.

11. Заключительные положения

11.1. Политика вводится приказом генерального директора.

11.2. Изменения настоящей Политики оформляются приказом генерального директора.

11.3. Политика обязательна для исполнения всеми сотрудниками, осуществляющими обработку и защиту ПДн, и доводится до сведения каждого.