Обработка данных

Порядок обработки и обеспечения безопасности персональных данных в ООО «Доброго слуха»

1. Общие положения

1. Цель Порядка
   Настоящий документ определяет процессы обработки персональных данных (далее – ПДн), осуществляемые в ООО «Доброго слуха» (далее – Компания), включая:
   • Цели обработки ПДн;
   • Объёмы обрабатываемых ПДн;
   • Субъекты, чьи ПДн обрабатываются;
   • Виды обрабатываемых ПДн;
   • Основания для обработки ПДн;
   • Лица, осуществляющие обработку ПДн.
2. Задачи Порядка
   Документ описывает мероприятия, выполняемые Компанией в целях:
   • Соблюдения требований законодательства РФ в области обработки и защиты ПДн, а также органов власти (Роскомнадзор, ФСБ России, ФСТЭК России);
   • Обеспечения безопасности обрабатываемых ПДн;
   • Защиты законных прав субъектов ПДн.
3. Нормативная база
   Порядок разработан с учётом законодательных актов, указанных в разделе «Нормативные ссылки».

2. Термины и определения

• Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн).
• Оператор – организация или лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку ПДн.
• Обработка ПДн – любое действие (операция) с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, блокирование, удаление и уничтожение.
• Автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники.
• Использование ПДн – действия с ПДн, совершаемые оператором для принятия решений или совершения действий, затрагивающих права и свободы субъекта ПДн.
• Блокирование ПДн – временное прекращение обработки ПДн.
• Уничтожение ПДн – действия, делающие невозможным восстановление содержания ПДн.
• Обезличивание ПДн – действия, делающие невозможным без дополнительной информации определить принадлежность ПДн конкретному субъекту.
• Информационная система ПДн (ИСПДн) – совокупность баз данных и технологий для обработки ПДн.
• Конфиденциальность информации – обязательство лица не передавать информацию третьим лицам без согласия её владельца.

3. Принятые сокращения

• ПДн – персональные данные;
• ИСПДн – информационная система персональных данных;
• ИБ – информационная безопасность;
• 152-ФЗ – Федеральный закон РФ «О персональных данных»;
• ФСБ – Федеральная служба безопасности;
• ФСТЭК – Федеральная служба по техническому и экспортному контролю;
• Роскомнадзор – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций;
• КоАП РФ – Кодекс РФ об административных правонарушениях;
• УК РФ – Уголовный кодекс РФ.

4. Нормативные ссылки

1. Федеральный закон № 152-ФЗ «О персональных данных» (с изменениями и дополнениями);
2. Постановление Правительства РФ № 1119 от 01.11.2012 «Об утверждении Положения об обеспечении безопасности ПДн при их обработке в ИСПДн»;
3. Постановление Правительства РФ № 687 от 15.09.2008 «Об особенностях обработки ПДн без использования средств автоматизации»;
4. Постановление Правительства РФ № 512 от 06.07.2008 «Об утверждении требований к материальным носителям биометрических ПДн»;
5. Кодекс РФ об административных правонарушениях (КоАП РФ);
6. Уголовный кодекс РФ (УК РФ).

5. Основные правила

1. Компания является оператором ПДн.
2. Обработка ПДн осуществляется как с использованием средств автоматизации, так и без них.
3. Виды обрабатываемых ПДн, субъекты и цели обработки указаны в Приложении 1.
4. При обработке ПДн Компания руководствуется следующими принципами:
   • Законность целей и способов обработки;
   • Соответствие объёма и характера обрабатываемых ПДн заявленным целям;
   • Отсутствие избыточных ПДн;
   • Разделение баз данных для несовместных целей обработки.
5. Компания не обрабатывает специальные категории ПДн и биометрические данные.
6. Компания осуществляет трансграничную передачу ПДн.

6. Основания обработки ПДн

1. Обработка ПДн производится на основании:
   • Федеральных законов;
   • Согласия субъекта на обработку его ПДн.
2. Полный перечень целей и оснований обработки ПДн приведён в Приложении 2.

7. Порядок обработки ПДн

1. Обработка ПДн должна соответствовать требованиям законодательства РФ, включая:
   • Получение ПДн у субъекта;
   • Уведомление субъекта о целях и способах обработки;
   • Исключение обработки данных о политических, религиозных убеждениях и частной жизни без письменного согласия.
2. Работники подразделений, указанных в Приложении 3, обеспечивают защиту ПДн от неправомерного использования.
3. Персональные данные хранятся:
   • В электронном виде (на серверах ИСПДн);
   • На бумажных носителях (в запираемых шкафах и сейфах).

8. Передача ПДн третьим лицам

1. Передача ПДн третьим лицам возможна только с согласия субъекта.
2. Лица, получающие ПДн, обязаны соблюдать режим конфиденциальности.
3. Компания несёт ответственность за действия третьих лиц, осуществляющих обработку ПДн по её поручению.

9. Организация доступа к ПДн

1. Доступ к ПДн ограничен и предоставляется только работникам, указанным в Приложении 3.
2. Доступ представителей государственных органов регламентируется законодательством РФ.

10. Обязанности лиц, допущенных к обработке ПДн

1. Лица, работающие с ПДн, обязаны:
   • Соблюдать требования по защите ПДн;
   • Обеспечивать сохранность носителей с ПДн.

11. Соблюдение прав субъектов ПДн

1. Субъект ПДн имеет право требовать:
   • Уточнения, блокирования или уничтожения своих ПДн;
   • Ознакомления с полной информацией о своих ПДн.
2. Компания обязана уведомлять субъекта о результатах запроса.

12. Защита ПДн

1. Компания обеспечивает конфиденциальность ПДн при их обработке.

13. Контроль и надзор за обработкой ПДн

1. Взаимодействие с органами контроля регламентируется внутренними нормативными документами Компании.

14. Ответственность

1. Компания несёт ответственность за:
   • Нарушение требований законодательства РФ;
   • Нарушение конфиденциальности ПДн.
2. Работники, виновные в нарушении норм обработки ПДн, могут быть привлечены к ответственности.

Приложения

Приложение 1. Перечень обрабатываемых ПДн

• Субъект: Клиент
  • Фамилия, имя, отчество;
  • Дата рождения;
  • Адресные данные;
  • Информация о заказах;
  • Адрес электронной почты;
  • Контактный телефон;
  • Паспортные данные.

Приложение 2. Перечень целей обработки ПДн

1. Информирование клиентов о новых акциях;
2. Заключение договора розничной купли-продажи;
3. Анализ базы данных клиентов для маркетинговых целей.

Приложение 3. Перечень подразделений, допущенных к обработке ПДн

1. Бухгалтерия;
2. Департамент УП;
3. Аналитическая группа;
4. Служба по работе с клиентами;
5. Отдел маркетинга;
6. Работники склада и службы доставки;
7. Операторы коллцентра.