Положение об обработке и защите персональных данных

Содержание

Общие положения
Цели и задачи обработки ПДн
Персональные данные, обрабатываемые в ИСПДн
Доступ к ПДн
Основные требования по защите ПДн
Согласие на обработку ПДн
Права субъекта в отношении ПДн, обрабатываемых Оператором
Права и обязанности Оператора ИСПДн
Порядок обработки и защиты ПДн
Особенности управления ПДн сотрудников Оператора
Ответственность за нарушение настоящего Положения

1. Общие положения

1.1. Настоящее Положение разработано в соответствии с законодательством Российской Федерации о персональных данных (далее — ПДн) и нормативно-методическими документами исполнительных органов государственной власти по вопросам безопасности ПДн при их обработке в информационных системах ПДн (далее — ИСПДн).

1.2. В целях настоящего Положения используются следующие термины:

персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн);
оператор — юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПДн, а также определяющее цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн;
обработка ПДн — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн;
автоматизированная обработка ПДн — обработка ПДн с помощью средств вычислительной техники;
распространение ПДн — действия, направленные на раскрытие ПДн неопределённому кругу лиц;
предоставление ПДн — действия, направленные на раскрытие ПДн определённому лицу или определённому кругу лиц;
блокирование ПДн — временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);
уничтожение ПДн — действия, в результате которых становится невозможным восстановить содержание ПДн в ИСПДн и (или) в результате которых уничтожаются материальные носители ПДн;
обезличивание ПДн — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн;
информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств;
трансграничная передача ПДн — передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.3. Настоящее Положение определяет порядок и условия обработки ПДн в Обществе с ограниченной ответственностью «КОМНЭТ» (Rightech) (далее — Оператор), включая порядок передачи ПДн третьим лицам, особенности автоматизированной и неавтоматизированной обработки ПДн, порядок доступа к ПДн, систему защиты ПДн, порядок организации внутреннего контроля, ответственность за нарушения при обработке ПДн и иные вопросы.

1.4. Действие настоящего Положения распространяется на все процессы по сбору, систематизации, накоплению, хранению, уточнению, использованию, распространению (в том числе передаче), обезличиванию, блокированию, уничтожению ПДн, осуществляемым с использованием средств автоматизации и без их использования.

1.5. Настоящее Положение вступает в силу с момента его утверждения Генеральным директором Оператора и действует бессрочно, до замены его новым Положением.

1.6. Все изменения в Положение вносятся приказом.

1.7. Все работники Оператора должны быть ознакомлены с настоящим Положением под роспись.

2. Цели и задачи обработки ПДн

2.1. Обработка ПДн должна ограничиваться достижением конкретных, заранее определённых и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

2.2. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.

2.3. Обработке подлежат только ПДн, которые отвечают целям их обработки.

2.4. Содержание и объём обрабатываемых ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.

2.5. Обработка ПДн сотрудников Оператора может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия сотрудникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности сотрудников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества Оператора.

2.6. Основными целями обработки ПДн являются: заключение, исполнение и прекращение трудовых и гражданско-правовых договоров с сотрудниками, гражданами, юридическими лицами, индивидуальными предпринимателями и другими лицами в ситуациях, предусмотренных законодательством и Уставом; ведение кадрового делопроизводства; исполнение требований налогового и пенсионного законодательства при формировании и передаче в ПФР персонифицированных данных о каждом получателе доходов, которые учитываются при начислении взносов на обязательное пенсионное страхование; заполнение первичной статистической документации в соответствии с Трудовым кодексом, Налоговым кодексом и федеральными законами.

2.7. ИСПДн обеспечивает решение следующих задач: учёт кадрового состава, бухгалтерский учёт и контроль за финансово-хозяйственной деятельностью, исполнение финансовых обязательств по заключённым договорам, обеспечение личной безопасности сотрудников и иные задачи.

3. Персональные данные, обрабатываемые в ИСПДн

3.1. В ИСПДн обрабатываются ПДн следующих субъектов ПДн:

сотрудники Оператора;
кандидаты для приёма на работу;
акционеры (учредители) Оператора, лица, связанные с сотрудниками, акционерами, учредителями (дети, в отношении которых выплачиваются алименты, супруги и т. д.);
клиенты (потребители услуг Оператора);
индивидуальные предприниматели — контрагенты Оператора;
клиенты организаций — контрагентов Оператора (обслуживание корпоративных клиентов);
иные физические лица, ПДн которых обрабатываются у Оператора.

3.2. Перечень, указанный в п. 3.1, может пересматриваться по мере необходимости.

3.3. Персональные данные субъектов ПДн включают:

фамилию, имя, отчество;
дату рождения;
гражданство;
номер страхового свидетельства;
ИНН;
сведения о знании иностранных языков;
данные об образовании (номер, серия дипломов, год окончания);
данные о приобретённых специальностях;
семейное положение;
фактическое место проживания;
контактную информацию;
данные о воинской обязанности;
данные о текущей трудовой деятельности (дата начала трудовой деятельности, кадровые перемещения, оклады и их изменения, сведения о поощрениях, данные о повышении квалификации и т. п.).

3.4. Полные списки обрабатываемых ПДн формируются в перечне ПДн, подлежащих защите в ИСПДн Оператора.

4. Доступ к ПДн

4.1. Сотрудники Оператора, которые в силу выполняемых служебных обязанностей постоянно работают с ПДн, получают допуск к необходимым категориям ПДн на срок выполнения ими соответствующих должностных обязанностей на основании перечня лиц, допущенных к работе с ПДн, который утверждается Руководителем Оператора.

4.2. Список лиц, имеющих доступ к ПДн в информационной системе, должен поддерживаться в актуальном состоянии.

4.3. Оператором установлен разрешительный порядок доступа к ПДн. Сотрудникам Оператора предоставляется доступ к работе с ПДн исключительно в пределах и объёме, необходимых для выполнения ими своих должностных обязанностей, на основании решения Руководителя Оператора.

4.4. Временный или разовый допуск к работе с ПДн в связи со служебной необходимостью может быть получен сотрудником Оператора по согласованию с Руководителем Оператора.

4.5. Доступ к ПДн третьих лиц, не являющихся сотрудниками Оператора, без согласия субъекта ПДн запрещён, за исключением доступа сотрудников органов исполнительной власти, осуществляемого в рамках мероприятий по контролю и надзору за исполнением законодательства, реализации функций и полномочий соответствующих органов государственной власти. Предоставление информации по запросу или требованию органа государственной власти осуществляется с ведома Руководителя Оператора.

4.6. Если сотруднику сторонней организации необходим доступ к ПДн, обрабатываемым Оператором, в договоре со сторонней организацией должны быть прописаны условия конфиденциальности ПДн и обязанность сторонней организации и её сотрудников соблюдать требования действующего законодательства в области защиты ПДн. Кроме того, в случае доступа к ПДн лиц, не являющихся сотрудниками Оператора, должно быть получено согласие субъектов ПДн на предоставление их ПДн третьим лицам. Указанное согласие не требуется, если ПДн предоставляются в целях исполнения гражданско-правового договора, заключённого Оператором с субъектом ПДн.

4.7. Доступ сотрудника Оператора к ПДн прекращается с даты прекращения трудовых отношений, либо с даты изменения должностных обязанностей сотрудника и (или) исключения сотрудника из списка лиц, имеющих право доступа к ПДн. В случае увольнения все носители, содержащие ПДн, которые в соответствии с должностными обязанностями находились в распоряжении работника во время работы, должны быть переданы соответствующему должностному лицу.

5. Основные требования по защите ПДн

5.1. При обработке ПДн в информационной системе должны быть обеспечены:

проведение мероприятий, направленных на предотвращение несанкционированного доступа к ПДн и (или) передачи их лицам, не имеющим права доступа к такой информации;
своевременное обнаружение фактов несанкционированного доступа к ПДн;
недопущение воздействия на технические средства автоматизированной обработки ПДн, в результате которого может быть нарушено их функционирование;
возможность незамедлительного восстановления ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
постоянный контроль за обеспечением уровня защищённости ПДн.

5.2. Оператор обязан принимать необходимые правовые, организационные, технические и другие меры для обеспечения безопасности ПДн.

5.3. Оператором используются технические средства и программное обеспечение для обработки и защиты ПДн.

5.4. Сотрудники обязаны незамедлительно сообщать соответствующему должностному лицу Оператора об утрате или недостаче носителей информации, содержащих ПДн, а также о причинах и условиях возможной утечки ПДн. В случае попытки посторонних лиц получить от сотрудника ПДн, обрабатываемые Оператором, сотрудник обязан незамедлительно известить об этом соответствующее должностное лицо Оператора.

6.1. Субъект ПДн принимает решение о предоставлении своих ПДн и даёт согласие на их обработку свободно, своей волей и в своём интересе. Согласие на обработку ПДн должно быть конкретным, информированным и сознательным. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством РФ. В случае получения согласия на обработку ПДн от представителя субъекта ПДн полномочия данного представителя на дачу согласия от имени субъекта ПДн проверяются Оператором.

6.2. Получение письменного согласия на обработку ПДн осуществляется сотрудником Оператора при получении ПДн от субъекта ПДн путём оформления письменного согласия по форме, установленной у Оператора ИСПДн.

7. Права субъекта в отношении ПДн, обрабатываемых Оператором

7.1. Субъект ПДн имеет право:

на получение информации от Оператора, касающейся обработки его ПДн. Сведения должны быть предоставлены субъекту ПДн Оператором в доступной форме, и в них не должны содержаться ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, если имеются законные основания для раскрытия таких ПДн. Перечень сведений и порядок их получения предусмотрены действующим законодательством РФ;
требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законодательством РФ меры по защите своих прав;
на условие предварительного письменного согласия при обработке ПДн в целях продвижения товаров, работ, услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации;
на условие письменного согласия при принятии на основании исключительно автоматизированной обработки ПДн решений Оператора, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы;
заявлять возражения против решений Оператора, принятых на основании исключительно автоматизированной обработки его ПДн;
обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке.

8. Права и обязанности Оператора ИСПДн

8.1. Оператор ИСПДн вправе:

поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путём принятия государственным или муниципальным органом соответствующего акта;
в случае отзыва субъектом ПДн согласия на обработку ПДн продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в законодательстве РФ;
отказать субъекту ПДн в выполнении повторного запроса сведений, не соответствующего условиям, предусмотренным законодательством РФ. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе;
самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей Оператора ИСПДн, предусмотренных законодательством РФ.

8.2. Оператор ИСПДн обязан:

до начала обработки ПДн уведомить уполномоченный орган по защите прав субъектов ПДн о своём намерении осуществлять обработку ПДн, за исключением случаев, предусмотренных законодательством РФ;
не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом;
представить доказательство получения согласия субъекта ПДн на обработку его ПДн или доказательство наличия законных оснований обработки ПДн без согласия субъекта ПДн;
до начала осуществления трансграничной передачи ПДн убедиться в том, что иностранным государством, на территорию которого осуществляется передача ПДн, обеспечивается адекватная защита прав субъектов ПДн;
прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации;
назначить лицо, ответственное за организацию обработки ПДн.

8.3. В целях обеспечения безопасности ПДн Оператор:

принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей Оператора, предусмотренных законодательством РФ;
принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
публикует или иным образом обеспечивает неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн, и к сведениям о реализуемых требованиях к защите ПДн;
при сборе ПДн с использованием информационно-телекоммуникационных сетей публикует в соответствующей сети документ, определяющий его политику в отношении обработки ПДн, и сведения о реализуемых требованиях к защите ПДн, а также обеспечивает возможность доступа к указанному документу с использованием средств этой сети.

8.4. Информирование субъекта ПДн

8.4.1. При сборе ПДн Оператор предоставляет субъекту ПДн по его просьбе информацию, предусмотренную законодательством РФ. Если предоставление ПДн является для субъекта ПДн обязательным в соответствии с федеральным законом, Оператор разъясняет ему юридические последствия отказа предоставить ПДн.

8.4.2. Если ПДн получены не от субъекта ПДн, Оператор до начала обработки таких ПДн, за исключением случаев, предусмотренных законодательством РФ, обязан предоставить субъекту ПДн следующую информацию:

наименование либо фамилию, имя, отчество и адрес Оператора или его представителя;
цель обработки ПДн и её правовое основание;
предполагаемых пользователей ПДн;
установленные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» права субъекта ПДн;
источник получения ПДн.

8.4.3. Если решение принимается на основании исключительно автоматизированной обработки ПДн, Оператор разъясняет субъекту ПДн порядок принятия такого решения и его возможные юридические последствия, предоставляет возможность заявить возражение против такого решения и разъясняет порядок защиты субъектом ПДн своих прав и законных интересов. Возражение рассматривается в течение тридцати дней со дня его получения, о результатах рассмотрения Оператор уведомляет субъекта ПДн.

8.5. Рассмотрение обращений и запросов

8.5.1. Оператор безвозмездно сообщает субъекту ПДн или его представителю в порядке, предусмотренном законодательством РФ, информацию о наличии ПДн, относящихся к этому субъекту, и предоставляет возможность ознакомления с ними при обращении субъекта ПДн или его представителя либо в течение тридцати дней с даты получения запроса.

8.5.2. В случае отказа в предоставлении субъекту ПДн или его представителю информации о наличии ПДн или самих ПДн Оператор даёт в письменной форме мотивированный ответ со ссылкой на положение законодательства РФ, являющееся основанием для отказа, в срок не более тридцати дней со дня обращения либо с даты получения запроса.

8.5.3. Если субъект ПДн или его представитель подтвердил, что ПДн являются неполными, неточными или неактуальными, Оператор вносит в них необходимые изменения в срок не более семи рабочих дней со дня представления таких сведений. Если подтверждено, что ПДн незаконно получены или не являются необходимыми для заявленной цели обработки, Оператор уничтожает их в тот же срок. О внесённых изменениях и предпринятых мерах Оператор уведомляет субъекта ПДн или его представителя и принимает разумные меры для уведомления третьих лиц, которым ПДн этого субъекта были переданы.

8.5.4. По запросу уполномоченного органа по защите прав субъектов ПДн Оператор представляет документы и локальные акты, предусмотренные законодательством РФ, и (или) иным образом подтверждает принятие мер, указанных в п. 8.3, а также сообщает необходимую информацию в течение тридцати дней с даты получения запроса.

8.6. Прекращение обработки и уничтожение ПДн

8.6.1. При выявлении неправомерной обработки ПДн, осуществляемой Оператором или лицом, действующим по его поручению, Оператор в срок не более трёх рабочих дней с даты выявления прекращает такую обработку или обеспечивает её прекращение. Если обеспечить правомерность обработки невозможно, Оператор в срок не более десяти рабочих дней с даты выявления уничтожает такие ПДн или обеспечивает их уничтожение. Об устранении нарушений или об уничтожении ПДн Оператор уведомляет субъекта ПДн или его представителя, а если обращение или запрос были направлены уполномоченным органом по защите прав субъектов ПДн — также этот орган.

8.6.2. При достижении цели обработки ПДн Оператор прекращает обработку ПДн или обеспечивает её прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Оператором и субъектом ПДн либо если Оператор не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных законодательством РФ.

8.6.3. При отзыве субъектом ПДн согласия на обработку его ПДн Оператор прекращает их обработку или обеспечивает прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Оператором и субъектом ПДн либо если Оператор не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных законодательством РФ.

9. Порядок обработки и защиты ПДн

9.1. Общие требования

9.1.1. Обеспечение конфиденциальности ПДн, обрабатываемых Оператором, является обязательным требованием для всех лиц, которым ПДн стали известны.

9.1.2. Сотрудники Оператора, осуществляющие оформление документов, получают в установленных случаях согласие субъектов ПДн на обработку.

9.1.3. В случае нарушения установленного порядка обработки ПДн сотрудники Оператора несут ответственность в соответствии с разделом 11 настоящего Положения.

9.2. Хранение документов и носителей ПДн

9.2.1. ПДн на бумажных носителях хранятся в отделах (у сотрудников), имеющих допуск к обработке соответствующих ПДн. Право допуска сотрудников к неавтоматизированной обработке ПДн определяется приказом Руководителя Оператора. Носители ПДн не должны оставаться без присмотра: покидая рабочее место, сотрудники убирают их в сейф, запираемый шкаф или иным образом ограничивают несанкционированный доступ к ним. При утере или порче ПДн по возможности осуществляется их восстановление.

9.2.2. Места хранения документов и носителей, содержащих ПДн:

ПДн клиентов Оператора (договоры, акты, соглашения, анкеты, копии паспортов и иные подобные документы, а также носители информации — флеш-карты, CD-диски и т. п.) — в основном и запасном офисах Оператора на полках, запираемых на ключ;
ПДн сотрудников Оператора (документы и носители информации) — в сейфе Оператора;
иные носители информации — в основном и запасном офисах Оператора на полках, запираемых на ключ, или в сейфе Оператора.

9.2.3. Контроль за хранением ПДн сотрудников осуществляет Руководитель Оператора. Лица, ответственные за контроль хранения ПДн клиентов и иных носителей информации, определяются приказом Руководителя Оператора.

9.2.4. Выдача документов для ознакомления осуществляется лицам, допущенным к соответствующей информации в целях исполнения должностных обязанностей, на срок не более одного рабочего дня.

9.2.5. ПДн хранятся в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.

9.3. Работа с ПДн в информационной системе

9.3.1. При работе с программными средствами автоматизированной системы Оператора, реализующей функции просмотра и редактирования ПДн, запрещается демонстрация экранных форм, содержащих такие данные, лицам, не имеющим соответствующего допуска.

9.3.2. ПДн, полученные сотрудником Оператора от клиента, сотрудника или иного лица, в обязательном порядке проверяются на достоверность. Ввод ПДн в информационную систему осуществляют сотрудники, имеющие доступ к соответствующим ПДн. Они несут ответственность за достоверность и полноту введённой информации.

9.4. Обработка ПДн без использования средств автоматизации

9.4.1. Особенности обработки ПДн, содержащихся на бумажных носителях, без использования средств автоматизации (при составлении документов не используется ПЭВМ) установлены в соответствии с Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

9.4.2. Для каждой категории ПДн используется отдельный материальный носитель.

9.4.3. При обработке ПДн на бумажных носителях:

не допускается фиксация на одном бумажном носителе ПДн, цели обработки которых заведомо не совместимы;
ПДн должны обособляться от иной информации, в частности путём фиксации их на отдельных бумажных носителях, в специальных разделах или на полях форм (бланков).

9.4.4. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них ПДн (далее — типовые формы), соблюдаются следующие условия:

типовая форма или связанные с ней документы (инструкция по её заполнению, карточки, реестры и журналы) должны содержать сведения о цели неавтоматизированной обработки ПДн, имя (наименование) и адрес Оператора, фамилию, имя, отчество и адрес субъекта ПДн, источник получения ПДн, сроки обработки ПДн, перечень действий с ПДн, которые будут совершаться в процессе их обработки, общее описание используемых Оператором способов обработки ПДн;
типовая форма должна предусматривать поле, в котором субъект ПДн может поставить отметку о своём согласии на неавтоматизированную обработку ПДн, — при необходимости получения письменного согласия на обработку ПДн;
типовая форма должна быть составлена таким образом, чтобы каждый из субъектов ПДн, содержащихся в документе, имел возможность ознакомиться со своими ПДн, содержащимися в документе, не нарушая прав и законных интересов иных субъектов ПДн;
типовая форма должна исключать объединение полей, предназначенных для внесения ПДн, цели обработки которых заведомо не совместимы.

9.4.5. Уничтожение и уточнение ПДн на материальных носителях:

уничтожение или обезличивание части ПДн, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих ПДн с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание);
уточнение ПДн при осуществлении их обработки без использования средств автоматизации производится путём обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя — путём фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путём изготовления нового материального носителя с уточнёнными ПДн.

9.5. Носители, содержащие ПДн, уничтожаются следующим образом:

бумажные носители — с помощью шредера (уничтожителя документов), установленного в офисе Оператора;
ПДн в памяти ПЭВМ — путём их удаления из памяти ПЭВМ;
ПДн на флеш-карте, CD-диске или ином носителе информации — путём удаления файла с носителя, при необходимости — путём приведения носителя в неработоспособное состояние.

9.6. Физическая защита помещений и оборудования

9.6.1. Офис и помещения Оператора по окончании рабочего дня и в отсутствие сотрудников запираются, окна закрываются, включается сигнализация (при наличии).

9.6.2. Сетевое оборудование и серверы располагаются в местах, недоступных для посторонних лиц (в специальных помещениях, шкафах, коробах).

9.6.3. Уборка помещений и обслуживание технических средств ИСПДн осуществляются под контролем лиц, ответственных за данные помещения и технические средства, с соблюдением мер, исключающих несанкционированный доступ к ПДн, носителям информации, программным и техническим средствам обработки, передачи и защиты информации ИСПДн.

9.7. Администраторы ИСПДн

9.7.1. В обязанности администраторов ИСПДн входят:

управление учётными записями пользователей ИСПДн;
поддержание штатной работы ИСПДн и обеспечение резервного копирования данных;
установка и конфигурирование аппаратного и программного обеспечения ИСПДн;
установка, конфигурирование и администрирование аппаратных и программных средств защиты информации ИСПДн;
учёт и хранение машинных носителей ПДн;
периодический аудит журналов безопасности и анализ защищённости ИСПДн;
обеспечение соответствия порядка обработки и обеспечения безопасности ПДн требованиям по конфиденциальности, целостности и доступности ПДн, предъявляемым к конкретной ИСПДн, и общим требованиям по безопасности ПДн, установленным федеральным законодательством;
участие в служебных расследованиях фактов нарушения установленного порядка обработки и обеспечения безопасности ПДн.

9.7.2. В целях распределения полномочий, взаимного контроля и недопущения сосредоточения критичных для безопасности ПДн полномочий у одного лица не рекомендуется совмещать роли пользователя ИСПДн и администратора ИСПДн в лице одного сотрудника.

9.7.3. Квалификационные требования и детальный перечень прав и обязанностей администраторов ИСПДн закрепляются в должностных инструкциях, с которыми сотрудники, назначаемые на эти роли, знакомятся под роспись.

9.8. Внутренний контроль

9.8.1. Внутренний контроль обработки ПДн организуется в целях изучения и оценки фактического состояния защищённости ПДн, своевременного реагирования на нарушения установленного порядка их обработки, а также совершенствования этого порядка и обеспечения его соблюдения.

9.8.2. Мероприятия внутреннего контроля направлены на решение следующих задач:

обеспечение соблюдения сотрудниками Оператора требований настоящего Положения и нормативных правовых актов, регулирующих сферу ПДн;
оценка компетентности персонала, задействованного в обработке ПДн;
обеспечение работоспособности и эффективности технических средств ИСПДн и средств защиты ПДн, их соответствия требованиям уполномоченных органов исполнительной власти по вопросам безопасности ПДн;
выявление нарушений установленного порядка обработки ПДн и своевременное предотвращение негативных последствий таких нарушений;
принятие корректирующих мер, направленных на устранение выявленных нарушений как в порядке обработки ПДн, так и в работе технических средств ИСПДн;
разработка рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ПДн по результатам контрольных мероприятий;
осуществление внутреннего контроля за исполнением рекомендаций и указаний по устранению нарушений.

9.8.3. Результаты контрольных мероприятий оформляются актами и являются основанием для разработки рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ПДн, по модернизации технических средств ИСПДн и средств защиты ПДн, по обучению и повышению компетентности персонала, задействованного в обработке ПДн.

10. Особенности управления ПДн сотрудников Оператора

10.1. В настоящем разделе установлены дополнительные права и обязанности Оператора и сотрудников при обработке ПДн сотрудников Оператора.

10.2. ПДн сотрудника — информация, необходимая Оператору в связи с трудовыми отношениями и касающаяся конкретного сотрудника.

10.3. Обработка ПДн сотрудника может осуществляться исключительно в целях, указанных в п. 2.5 настоящего Положения.

10.4. При обработке ПДн сотрудников Оператор:

не получает и не обрабатывает ПДн сотрудника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами;
не основывается при принятии решений, затрагивающих интересы сотрудника, на ПДн, полученных исключительно в результате их автоматизированной обработки или электронного получения;
не сообщает ПДн сотрудника в коммерческих целях без его письменного согласия;
не запрашивает информацию о состоянии здоровья сотрудника, за исключением сведений, которые относятся к вопросу о возможности выполнения им трудовой функции;
передаёт ПДн сотрудника его представителям в порядке, установленном законодательством РФ, и ограничивает эту информацию только теми ПДн, которые необходимы для выполнения представителями их функций.

10.5. Оператор предупреждает лиц, получающих ПДн сотрудника (при его согласии), — сотрудников Оператора и третьих лиц — о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требует от этих лиц подтверждения соблюдения этого правила. Лица, получающие ПДн сотрудника, обязаны соблюдать режим конфиденциальности, который обеспечивается подписанием с ними соглашения о конфиденциальности. Данное правило не распространяется на обмен ПДн сотрудников в порядке, установленном законодательством РФ.

10.6. Доступ к ПДн сотрудников осуществляется на основании приказов и положений, утверждённых Оператором.

10.7. Сотрудник имеет право определять своих представителей для защиты своих ПДн и не должен отказываться от своих прав на сохранение и защиту тайны.

11. Ответственность за нарушение настоящего Положения

11.1. Руководство Оператора несёт ответственность за необеспечение конфиденциальности ПДн и несоблюдение прав и свобод субъектов ПДн в отношении их ПДн, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.

11.2. Сотрудники Оператора несут персональную ответственность за несоблюдение требований по обработке и обеспечению безопасности ПДн, установленных настоящим Положением, в соответствии с законодательством Российской Федерации.

11.3. Сотрудник Оператора может быть привлечён к ответственности в случаях:

умышленного или неосторожного раскрытия ПДн;
утраты материальных носителей ПДн;
нарушения требований настоящего Положения и других нормативных документов Оператора в части вопросов доступа и работы с ПДн.

11.4. В случаях нарушения установленного порядка обработки и обеспечения безопасности ПДн, несанкционированного доступа к ПДн, раскрытия ПДн и нанесения Оператору, его сотрудникам, клиентам и контрагентам материального или иного ущерба виновные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.