Политика обработки ПД | ООО Ланвер

1.  ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

В настоящем документе используются следующие термины и их определения:

• 1) персональные данные (ПНд) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональныхданных);
• 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональныхданных;
• 4) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительнойтехники;
• 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругулиц;
• 6) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругулиц;
• 7) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• 8) уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• 9) обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональныхданных;
• 10) информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и техническихсредств;
• 11) трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическомулицу.

2.  ОБЩИЕ ПОЛОЖЕНИЯ  

• 1 .Настоящее Положение разработано в соответствии с законодательством Российской Федерации о ПДн и нормативно-методическими документами исполнительных органов государственной власти по вопросам безопасности ПДн при их обработке в информационных системахПДн.
• 2 .Основными нормативно-правовыми и методическими документами, на которых базируется настоящее Положение являются:

- Федеральный Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн;
- «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденное Постановлением Правительства

РФ от 17.11.2007 г. № 781;

- «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденное Постановлением Правительства РФ от 15.09.2008 г. № 687;

- «Порядок проведения классификации информационных систем персональных данных», утвержденный совместным Приказом ФСТЭК России № 55, ФСБ России № 86 и Мининформсвязи РФ № 20 от 13.02.2008 г.;

- «Положение о методах и способах защиты информации в информационных системах персональных данных», утвержденное Приказом ФСТЭК России №58 от 5.02.2010 г.;

- Нормативно-методические документы Федеральной службы по техническому и экспортному контролю Российской Федерации (далее - ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн:

• Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08г.;
• Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08г.;
• Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08г.;
• Методика определения актуальных угроз безопасности персональных данных при их обработкевинформационныхсистемахперсональныхданных,утв.Зам.директораФСТЭКРоссии
• 02.08 г.
• 3 .Настоящее Положение определяет порядок и условия обработки ПДн в ООО «Ланвер», включая порядок передачи ПДн третьим лицам, случаи взимания согласий субъектов ПДн и уведомления органа по защите прав субъектов ПДн, особенности автоматизированной и неавтоматизированной обработки ПДн, порядок доступа к ПДн, систему защиту ПДн, порядок организации внутреннего контроля и ответственность за нарушения при обработке ПДн, иные вопросы.
• 4. Действие настоящего Положения распространяется на все процессы по сбору, систематизации, накоплению, хранению, уточнению, использованию, распространению (в том числе передачу), обезличиванию, блокированию, уничтожению ПДн, осуществляемых с использованием средств автоматизации и без ихиспользования.
• 5. Порядок ввода в действие и измененияПоложения.
• 5.1. Настоящее Положение вступает в силу с момента его утверждения генеральный директором ООО «Ланвер» и действует бессрочно, до замены его новымПоложением.
• 5.2. Все изменения в Положение вносятсяприказом.
• 5.3. В соответствии со статьей 18.1 (пункт 1) Федерального закона «О персональных данных» работники ООО «Ланвер», непосредственно осуществляющие обработку ПДн, должны быть ознакомлены с настоящим Положением под роспись. Факт ознакомления фиксируется в Обязательстве (Приложение 5 к настоящемуПоложению).

Положение по обработке и защите ПДн ООО «Ланвер» публикуется на внутреннем сайте общества в соответствии с пунктом 2 статьи 18.1 Федерального закона «О персональных данных».

3.  ЦЕЛИ ОБРАБОТКИ Пдн  

• 1.Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями обработки.
• 2.Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
• 3. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям ихобработки.
• 4. Целями обработки персональных данныхявляются:
• - ведение кадровогоделопроизводства,
• - бухгалтерскийучет,
• - обеспечение взаимодействия подразделений общества при осуществлении заявленных видов деятельности,
• - выполнение договорных отношений с контрагентами ООО«Ланвер».
• 5. Обработка персональных данных работников ООО «Ланвер» может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества ООО«Ланвер».

4.  ПЕРСОНАЛЬНЫЕ ДАННЫЕ, ОБРАБАТЫВАЕМЫЕ В ООО «Ланвер»  

• 1. В ООО«Ланвер» обрабатываются ПДн следующих субъектовПДн:
• - работники ООО«Ланвер»,
• -кандидаты для приема на работу,
• -акционеры/учредители предприятий ООО «Ланвер», лица связанные с сотрудниками, акционерами, учредителями (дети в отношении которых выплачиваются алименты, жены, и т.д.),
• -контактные и ответственные за исполнение договоров лица контрагентов ООО «Ланвер» (потребителей и поставщиков продуктов и услуг, партнеров, представителей),
• -иные физические лица, ПДн которых обрабатываются в ООО «Ланвер». Данный перечень может пересматриваться по мере необходимости.
• 2. Состав персональных данных, обрабатываемых в ООО «Ланвер», указан в Приложении1.

5.УВЕДОМЛЕНИЕ В РОСКОМНАДЗОР ОБ ОБРАБОТКЕ ПДн, СЛУЧАИ И ПОРЯДОК НАПРАВЛЕНИЯ  

• 1. В соответствии с Законом РФ «О персональных данных» ООО «Ланвер» является оператором ПДн.
• 2. В установленных п.1 ст.22 ФЗ «О персональных данных» случаях оператор ПДн обязан уведомить уполномоченный орган по защите прав субъектов ПДн (в настоящее время Роскомнадзор) об обработке ПДн. Форма уведомления и порядок заполнения и направления в Роскомнадзор определены Приказом Роскомнадзора от 19 августа 2011 г. N706.
• 3. В случае неполноты или изменения сведений, указанных в уведомлении, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в порядке, установленномРоскомнадзором.
• 4. ООО «Ланвер» вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональныхданных:
• 1) обрабатываемых в соответствии с трудовым законодательством;
• 2)полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
• 3) сделанных субъектом персональных данныхобщедоступными;
• 4) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
• 5)необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
• 6)обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.

6.  СОГЛАСИЕ НА ОБРАБОТКУ ПДн, СЛУЧАИ И ПОРЯДОК ПОЛУЧЕНИЯ СОГЛАСИЯ  

• 1. Обработка персональных данных в ООО «Ланвер» производится с согласия субъекта персональных данных, за исключением случаев, приведенных в пункте 6.2.
• 2. Обработка персональных данных в ООО «Ланвер» допускается без согласия субъекта ПДН в следующихслучаях:
• 1) обработка персональных данных необходима для исполнения договора (гражданско- правового или трудового), стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем илипоручителем;
• 2) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данныхневозможно;
• 3) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональныхданных;
• 4) обработка общедоступных персональныхданных;
• 5) в других, установленных Законом «О персональных данных» случаях (статья 6, пункт 1, подпункты 2-11 ФЗ «О персональныхданных»).

• 3. Обработка персональных данных, полученных от других операторов, по поручению этих операторов производится в соответствии с договорами между предприятиями ООО «Ланвер» и операторами только в целях исполнения этих договоров. Ответственность за получение согласия на обработку персональных данных в этом случае лежит наоператорах.
• 4. Соискатели на вакансии ООО «Ланвер» при заполнении анкет, должны предоставлять согласие на обработку персональных данных, указанных в анкетах, поскольку на момент прохождения собеседования и заполнения анкеты трудовые отношения между ООО«Ланвер» и соискателем еще невозникли.
• 5. Если требуется обрабатывать ПНд субъекта ПНд до заключения гражданско-правового договора с ним, то необходимо получение согласия субъекта на обработку егоПДн.
• 6. Порядок получения, отзыва и хранения согласия на обработку ПДн:
• 6.1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
• 6.2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных, оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных, если это необходимо в целях исполнения заключенного договора с субъектом ПДн, а также в иных случаях, установленных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона РФ «О персональныхданных».
• 6.3. Соискатели на вакансии ООО «Ланвер» дают согласие на обработку ПНд на анкетах, которые заполняют. В этом случае в конце анкеты субъектом ПНд делаетсязапись:

«Я ———————————————————————————

(фамилия, имя, отчество) ————————————————

Паспорт ————————— выдан ————————————

(серия и номер паспорта, кем и кода выдан) 

согласен с обработкой своих персональных данных ООО «Ланвер» и признаю, что персональные данные, указанные мной в настоящем документе, относятся к общедоступным персональным данным».

6.4. Отзыв согласия на обработку ПДн в случаях, когда законом не предусмотрено согласие в письменной форме, должен содержать те же сведения, которые были указаны при предоставлении согласия.
6.5. Форма письменного согласия на обработку персональных данных в целях организации взаимодействия между сотрудниками в ходе исполнения должностных обязанностей приведена в Приложении 2.

В общем случае, письменное согласие должно включать:

• - фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем егооргане;
• - фамилию, имя, отчество, адрес представителя субъекта персональных данных (при получении согласия от представителя субъекта персональных данных), номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этогопредставителя;
• - наименование оператора, получающего согласие субъекта персональных данных;
• - цель обработки персональныхданных;
• - перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
• - перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
• - срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
• - подпись субъекта персональныхданных.
• 6.6. Для отзыва письменного согласия субъектом ПДн или его законным представителем направляется письменный запрос на имя руководителя ООО «Ланвер». Запрос долженсодержать:
• - ФИО субъекта ПДн или его законногопредставителя;
• - номер основного документа, удостоверяющего личность субъекта персональных данных или его законногопредставителя;
• - сведения о дате выдачи указанного документа и выдавшем егооргане;
• - адрес субъектаПДн;
• - собственноручную подпись субъекта персональных данных или его законного представителя.

Форма отзыва письменного согласия на обработку ПНд приведена в Приложении 2.

• 6.7. Получение письменного согласия на обработку ПДн осуществляется сотрудникомООО «Ланвер», при получении ПДн от субъекта ПДн.
• 6.8. Письменное согласие на обработку ПНд, а также отзыв согласия хранятся в личном деле субъектаПНд.

6.7. В случае формирования и направления заявки на продукты и услуги ООО «Ланвер» через его сайт ООО «Ланвер» получает согласие клиента нажатием им подтверждающей кнопки регистрационной формы, содержащей оговорку о согласии.

6.8.2. Примерная форма согласия при направлении заявки через сайт:

«Регистрируясь, Вы даете ООО "Ланвер" согласие на обработку переданных персональных данных с целью оказания запрашиваемых услуг».

7.  ОБРАБОТКА СПЕЦИАЛЬНЫХ КАТЕГОРИЙ ПЕРСОНАЛЬНЫХДАННЫХ  

7.1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, биометрических персональных данных в ООО «Ланвер» не допускается.

8.  ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМЛИЦАМ  

• 1. ООО «Ланвер» передает ПДн работников для обработки третьим лицам в следующих случаях:
• - Передача ПДн контактных лиц и лиц, ответственных за исполнение договоров, в целях организации исполнения этих договоров. При этом передаче подлежат только общедоступные ПДн, сделанные общедоступными работниками в соответствии с их письменными согласиями. Передача ПДн в этом случае производится на основании договора;
• - Передача ПДн в случаях, установленных федеральными законами и нормативно- правовымиактами.
• 2. В случае передачи ПДн работников в целях исполнения заключаемых договоров в текст договора включаются следующиесведения:
• - Перечень действий с ПДн, осуществляемый сторонами (стороной)договора;
• - Цели обработкиПДн;
• - Обязательства по соблюдению конфиденциальности и обеспечению защиты обрабатываемыхПДн.

Типовая формулировка условий передачи ПДн, включаемая в договоры, приведена в Приложении 3.

9.  ПРАВА СУБЪЕКТА И ОБЯЗАННОСТИ ОПЕРАТОРА В ОТНОШЕНИИПДн, ОБРАБАТЫВАЕМЫХ В ООО«ЛАНВЕР»  

• 1. Субъект персональных данных имеет право на получение информации (далее – сведения), касающейся обработки его персональных данных, в том числесодержащей:
• - подтверждение факта обработки персональных данныхоператором;
• - правовые основания и цели обработки персональных данных;
• - применяемые оператором способы обработки персональныхданных;
• - наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федеральногозакона;
• - обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральнымзаконом;
• - сроки обработки персональных данных, в том числе сроки иххранения;
• - порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональныхданных»;
• - наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такомулицу;
• - иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
• 2. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своихправ.
• 3. Сведения должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональныхданных.
• 4. Сведения предоставляются субъекту персональных данных или его представителю оператором при обращении либо при получении запроса субъекта персональных данных или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации. Срок ответа на запрос – 30дней.
• 5. В случае, если сведения, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе повторно обратиться к оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 9.1 Положения, и ознакомления с такими персональными данными не ранее, чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональныхданных.
• 6. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта былипереданы.
• 7. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такогозапроса.
• 8. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены ООО «Ланвер»на основании федерального закона или если персональные данные являются общедоступными, ООО «Ланвер», за исключением случаев, предусмотренных пунктом 9.9 Положения, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
• - наименование и адрес оператора (ООО«Ланвер»);
• - цель обработки персональных данных и ее правовоеоснование;
• - предполагаемые пользователи персональныхданных;
• - установленные Федеральным законом «О персональных данных» права субъекта персональных данных;
• - источник полученияПНд.
• 9. Если персональные данные были получены не от субъекта персональных данных,ООО «Ланвер» не обязан предоставлять субъекту ПНд информацию по пункту 9.8. Положения, если ПНд получены на основании федерального закона или договора, а также, если ПНд являются общедоступными и получены из общедоступного источника.
• 10. Если обязанность предоставления персональных данных установлена федеральным законом, ООО «Ланвер» обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональныеданные.

10.  ПОРЯДОК ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХДАННЫХ  

• 1. ООО «Ланвер» обязан принимать необходимые организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональныхданных.
• 2. В соответствии с Приказом ФСТЭК России, ФСБ России и Минсвязи России от 13 февраля 2008г. №55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных» на этапе создания ИСПДн или в ходе эксплуатации проводится классификация ИСПДн. Для проведения классификации ИСПДн приказом назначается классификационнаякомиссия.

Классификация ИСПДн проводится в следующей последовательности:

• - Сбор и анализ исходных данных по информационнойсистеме;
• - Присвоение информационной системе соответствующегокласса. Результаты работы комиссии утверждаются в Акте классификации ИСПДн.

10.3.Для разработки требований по обеспечению безопасности и внедрения системы обеспечения безопасности ПДн в ООО «Ланвер» разрабатывается типовая модель угроз на основе нормативно-методического документа ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных».

В соответствии с нормативно-методическим документом ФСТЭК России «Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных» и Положением о методах и способах защиты информации в ИСПДн (Приказ ФСТЭК России от 5.02.2010 № 58) разрабатывается и внедряется комплекс мер по защите и обеспечению безопасности ПДн, который должен соответствовать классу ИСПДн.

Комплекс мер по защите и обеспечению безопасности ПДн включает организационные меры и программно-технические средствазащиты.

• 4. Доступ кПДн.
• 4.1. В ООО «Ланвер» установлен разрешительный порядок доступа к ПДн. СотрудникамООО«Ланвер» предоставляется доступ к работе с ПДн исключительно в пределах и объеме, необходимых для выполнения ими своих должностных обязанностей на основании решения руководителя. Перечень ПДн, обрабатываемых в ООО «Ланвер», установлен Приложением 1 к настоящемуПоложению.
• 4.2. Сотрудники ООО «Ланвер», которые в силу выполняемых служебных обязанностей постоянно работают с ПДн, получают доступ к необходимым категориям ПДн на срок выполнения ими соответствующих должностных обязанностей на основании перечня лиц, допущенных к работе с ПДн, который утверждается руководителем структурного подразделения, обрабатывающего персональные данные. Перечень составляется по форме, приведенной в Приложении 4 к Положению.
• 4.3. Список лиц, имеющих доступ к ПДн для информационной системы, должен поддерживаться в актуальном состоянии. Ответственность за поддержание списка лиц в актуальном состоянии несут руководители подразделений, утвердившиесписки.
• 4.4. Временный или разовый доступ к работе с ПДн в связи со служебной необходимостью может быть получен сотрудником ООО «Ланвер» по решению руководителя подразделения, ответственного за обработкуПНд.
• 4.5. Доступ к ПДн третьих лиц, не являющихся сотрудниками ООО «Ланвер», без согласия субъекта ПДн, запрещен, за исключением доступа сотрудников органов исполнительной власти, осуществляемого в рамках мероприятий по контролю и надзору за исполнением законодательства, реализации функций и полномочий соответствующих органов государственной власти, в других разрешенных законом случаях. Предоставление информации по запросу или требованию органа государственной власти осуществляется с ведома генеральный директора ООО «Ланвер».

В случае доступа к ПДн лиц, не являющихся сотрудниками ООО «Ланвер», должно быть получено согласие субъектов ПДн на предоставление их ПДн третьим лицам. Указанное согласие  не требуется, если ПДн предоставляются в целях исполнения гражданско-правового договора, заключенного Компанией с субъектомПД.

• 4.6. Доступ сотрудника ООО «Ланвер» к ПДн прекращается с даты прекращения трудовых отношений, либо даты изменения должностных обязанностей сотрудника и/или исключения сотрудника из списка лиц, имеющих право доступа к ПДн. В случае увольнения все носители, содержащие ПДн, которые в соответствии с должностными обязанностями находились в распоряжении работника во время работы в ООО «Ланвер», должны быть переданы руководителю подразделения.
• 5. Требования к работникам в связи с обработкой ПДн и ихответственность.
• 5.1. Должностные обязанности работников по обработке ПНд устанавливаются в должностных инструкциях и руководствахпользователей.
• 5.2. Обеспечение конфиденциальности ПДн, обрабатывающихся в ООО «Ланвер», является обязательным требованием для всех сотрудников ООО «Ланвер», которым ПДн сталиизвестны.
• 5.3. Все лица, допущенные к работе с ПДн, а также связанные с эксплуатацией и техническим сопровождением ИСПДн, должны быть под роспись ознакомлены с требованиями настоящего Положения и подписать «Обязательство об обеспечении конфиденциальности персональных данных сотрудниками ООО «Ланвер». Роспись в ознакомлении с Положением производится работником одновременно с подписью обязательства, приведенного в Приложении 5 к настоящему Положению. Обязательство хранится в личномделе.
• 5.4. Лица, имеющие постоянный доступ к ПДн, и лица, эксплуатирующие технические и программные средства ИСПДн и средства защиты ИСПДн должны пройти обучение вООО «Ланвер».
• 5.5. В случае нарушения установленного порядка обработки ПДн работники ООО «Ланвер» несут ответственность в соответствии с разделом 12 настоящегоПоложения.
• 6. ПолучениеПДн.
• 6.1. ПДн поступают в компанию при приеме новых сотрудников, проведении собеседований, заключении и исполнении договоров, а также в иныхслучаях. Сотрудники ООО «Ланвер», осуществляющие оформление документов, обязаны получать в установленных случаях согласие субъектов ПДн на обработку (раздел 6 Положения).
• 6.2. При получении персональных данных сотрудником ООО «Ланвер» в соответствии с должностными обязанностями в обязательном порядке должна проводиться проверка достоверности ПДн. Ввод персональных данных, полученных Компанией, вИСПДн осуществляется сотрудниками, имеющими доступ к соответствующим ПДн (п. 10.4. настоящего Положения). Сотрудники, осуществляющие ввод информации, несут ответственность за достоверность и полноту введенной информации.
• 7. Порядок обращения с носителями, содержащими ПДн.
• 7.1. ПДн субъектов, обрабатываемые Компанией на бумажных и иных носителях, хранятся в подразделениях (у сотрудников), имеющих доступ к обработке соответствующих ПДн. Право доступа сотрудников определяется в соответствии с п. 10.4 настоящегоПоложения.
• 7.2. В ходе работы носители ПДн не должны оставаться без присмотра. При покидании рабочего места, сотрудники, осуществляющие обработку ПДн, должны убирать носители в сейф, запираемый шкаф или иным образом ограничивать несанкционированный доступ кносителям.
• 7.3. Носители информации хранятся в помещениях, где производится их обработка, в шкафах или сейфах. Список помещений утверждается приказом (Приложение 6). В конце рабочего дня помещения закрываются и сдаются подохрану.
• 7.4. Ответственность за хранение носителей, содержащих персональные данные, возлагается на руководителейподразделений.
• 7.5. В ООО «Ланвер» съемные носители информации учитываются в журналах учета и хранения съемных носителей информации по форме, установленной в Приложении 7 к настоящему Положению.
• 7.6. Выдача носителей, содержащих персональные данные, для ознакомления осуществляется лицам, допущенным к соответствующей информации, в целях исполнения должностных обязанностей, на срок, не более одного рабочегодня.
• 7.7. Сотрудники обязаны незамедлительно сообщать руководителю своего подразделения об утрате или недостаче носителей информации, содержащих ПДн, а также о причинах и условиях возможной утечки ПДн или о попытке посторонних лиц получить от работника ПДн, обрабатываемые в ООО «Ланвер».
• 7.8. При работе с ИСПДн в ООО «Ланвер» запрещается передача носителей ПДн, а так же демонстрация экранных форм, содержащих ПДн, лицам, не имеющим соответствующегодопуска.
• 8. Особенности обработки ПДн, содержащихся на бумажных носителях, без использования средств автоматизации (при составлении документов не используется ПЭВМ) установлены в соответствии с постановлением Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средствавтоматизации".
• 8.1. В ООО «Ланвер» ведется учет и систематизация документов, содержащих ПДн – ведутся реестры договоров, личные дела сотрудников и т.п. При утере или порче ПДн осуществляется по возможности ихвосстановление.
• 8.2. Если формируются дела только с документами, содержащими ПДн, то на внутренних описях этих дел должны быть указаны цели обработки и категории ПДн. Документы, содержащие ПДн, имеющие разные цели обработки, подшиваются в разные дела (дела формируются по целям обработкиПДн).
• 8.3. Типовые формы документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее - типовые формы), должны включать сведения о цели неавтоматизированной обработки персональных данных, наименовании и адресе оператора, а также о согласии на обработку ПДн по форме, приведенной в пункте 6.7.3 Положения.
• 8.4. В ООО «Ланвер» при ведении журналов, необходимых для однократного пропуска субъекта персональных данных на территорию, на которой находится ООО «Ланвер», или в иных аналогичных целях, указываются только фамилия, имя и отчество субъектаПДн.
• 9. Хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целейо бработки иливслучае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
• 10. Требования к помещениям, в которых обрабатываются и хранятсяПДн.
• 10.1. Помещения, в которых обрабатываются ПДн, утверждаются приказом директора ООО «Ланвер» (Приложение 6 кПоложению).
• 10.2. Доступ в помещения, в которых ведется обработка, хранение ПДн, располагаются средства обработки ПДн, должен контролироваться. По окончании рабочего дня окна должны быть закрыты, помещения должны запираться и сдаваться под охрану, должна быть включена сигнализация (при наличии).
• 10.3. Серверное и сетевое оборудование должно располагать в местах, недоступных для посторонних лиц (в специальных помещениях, доступ к которым ограничен, в шкафах,коробах).
• 10.4. Уборка помещений и обслуживание технических средств ИСПДн должна осуществляться под контролем ответственных за данные помещения и технические средства лиц с соблюдением мер, исключающих несанкционированный доступ к ПДн, носителям информации, программным и техническим средствам обработки, передачи и защиты информацииИСПДн.
• 11. Уничтожение, блокирование и уточнениеПДн.
• 11.1. В случае выявления недостоверных персональных данных при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных ООО «Ланвер» обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки. Блокированиеосуществляетсянаоснованиираспоряжения(приказа)генеральныйдиректораООО«Ланвер» путем прекращения каких-либо действий с ПДн.

В случае подтверждения факта неточности персональных данных ООО «Ланвер» на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные (внести изменения) и снять их блокирование. Снятие блокирования осуществляется на основании приказа генеральный директора ООО«Ланвер».

• 11.2.В случае выявления неправомерных действий с персональнымид анными ООО «Ланвер» в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных ООО «Ланвер» обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанныйорган.
• 11.3. В случае достижения цели обработки персональных данных либо в случае отзыва субъектомперсональныхданныхсогласиянаобработкусвоихперсональныхданных,ООО «Ланвер» обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий 30 рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором с субъектом ПДн, федеральным законом и нормативно-правовым актом и уведомить об этом субъекта персональных данных или его законного представителя.
• 11.4. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
• 11.5. Уничтожение ПДн осуществляется в следующемпорядке:
• - Уничтожение или обезличивание части персональных данных на бумажномносителе может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание);
• - ПДн на бумажных носителях уничтожаются путем сожжения, переработки в бумагоперерабатывающей машине или разделения вручную на мелкиефрагменты;
• - ПДн, размещенные в памяти ПЭВМ уничтожаются путем стирания программным способом без возможностивосстановления;
• -ПДн, размещенные на флеш-карте, CD-диске, ином съемном носителе информации уничтожаются путем стирания программным способом без возможности восстановления или путем разрушения носителя.

Об уничтожении носителей информации составляется Акт (формы актов приведены в Приложении 8).

• 12. Организация внутреннего контроля обработки и обеспечения безопасностиПДн.
  • - Обеспечение соблюдения сотрудниками ООО «Ланвер» требований настоящего Положения и нормативно-правовых актов, регулирующих сферу персональных данных;
  • - Оценка компетентности персонала, задействованного в обработкеПДн;
  • - Обеспечение работоспособности и эффективности технических средств ИСПДн и средств защиты ПДн, их соответствия требованиям уполномоченных органов исполнительной власти по вопросам безопасностиПДн;
  • - Выявление нарушений установленного порядка обработки ПДн и своевременное предотвращение негативных последствий такихнарушений;
  • - Принятие корректирующих мер, направленных на устранение выявленных нарушений, как в порядке обработки ПДн, так и в работе технических средствИСПДн;
  • - Разработка рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ПДн по результатам контрольныхмероприятий;
  • - Осуществление внутреннего контроля за исполнением рекомендаций и указаний по устранениюнарушений.
• 12.1. Организация внутреннего контроля процесса обработки ПДн в ООО «Ланвер» осуществляется в целях изучения и оценки фактического состояния защищенности ПДн, своевременного реагирования на нарушения установленного порядка их обработки, а также в целях совершенствования этого порядка и обеспечения егособлюдения.
• 12.2. Мероприятия по осуществлению внутреннего контроля обработки и обеспечения безопасности ПДн направлены на решение следующихзадач:
• 12.3. Контроль процесса обработки ПДн в подразделениях ООО «Ланвер» организуется руководителями подразделений, обрабатывающих ПДн ежеквартально. Выполнение мероприятий по обеспечению защиты ПДн, обрабатываемых в ООО «Ланвер», проверяется ежегодно комиссией, назначаемой генеральный директором ООО «Ланвер».

Результаты контрольных мероприятий, проводимых комиссией, оформляются актами и являются основанием для разработки рекомендаций по совершенствованию порядка обработки и обеспечения безопасности ПДн, по модернизации технических средств ИСПДн и средств защиты ПДн, по обучению и повышению компетентности персонала, задействованного в обработке ПДн.

• 13. Требования к администраторамИСПДн.
• 13.1. Для обеспечения обработки и защиты ПДн в ИСПДн в ООО «Ланвер» назначаются администраторы ИСПДн. В обязанности администраторов ИСПДн входит:
• - управление учетными записями пользователейИСПДн;
• - поддержание штатной работыИСПДн;
• - обеспечение резервного копирования данных;
• - установка и    конфигурирование   аппаратного   обеспечения,    общесистемного    и прикладного программного обеспеченияИСПДн;
• - обеспечение соответствия порядка обработки и обеспечения безопасности ПДн в ИСПДн требованиям по конфиденциальности, целостности и доступностиПДн, предъявляемых к конкретной ИСПДн, и общим требованиям по безопасности ПДн, установленных федеральным законодательством;
• - установка, конфигурирование и администрирование аппаратных и программных средств защиты информацииИСПДн;
• - учет и хранение машинных носителейПДн; - периодический аудит журналов безопасности и анализ защищенностиИСПДн;
• - участие в служебных расследованиях фактов нарушения установленного порядка обработки и обеспечения безопасностиПДн.
• 13.2. В ООО «Ланвер» для выполнения отдельных функций администраторов ИСПДн, привлекаются специалисты по техническому обслуживанию систем и системные администраторы (технические специалисты). Доступ технических специалистов к ПДн, обрабатываемым в ИСПДн, устанавливается в соответствии с пунктом 10.4 Положения. На технических специалистов, как правиловозлагается:
• - управление учетными записями пользователейИСПДн;
• - поддержание штатной работыИСПДн;
• - обеспечение резервного копированияданных;
• - установка и    конфигурирование   аппаратного   обеспечения,    общесистемного    и прикладного программного обеспеченияИСПДн;
• - установка, конфигурирование и администрирование аппаратных и программных средств защиты информацииИСПДн;
• - периодический аудит журналов безопасности и анализ защищенностиИСПДн.
• 13.3. Выполнение обязанностей по администрированию ИСПДн с привлечением технических специалистов регламентируется организационнымприказом.
• 14. Технические средства защитыИСПДн.

• 14.1. В целях защиты ИСПДн в ООО «Ланвер» проводится обследование действующих и перспективных систем и разрабатывается документ «Описание системы защиты персональных данных при их обработке в информационных системах персональных данных», в котором указывается перечень ИСПНд и используемых программно-аппаратных средствзащиты.
• 14.2. ТехническиесредствазащитыИСПДнразмещаютсявофисныхпомещенияхООО «Ланвер», расположенных по адресу: г. Челябинск, пл. Революции, д. 7, оф. 609. Перечень помещений, в которых обрабатываются ПДн определяется приказом директора ООО «Ланвер», форма которого приведена в Приложении 6 к настоящему Положению.
• 14.3. Монтаж средств защиты информации и оборудования для обработки Пдн, их проверка выполняется в соответствии с требованиями технической документации наСЗИ.

11.  ОСОБЕННОСТИ ОБРАБОТКИ ПДН РАБОТНИКОВ ООО «ЛАНВЕР»  

В настоящем разделе установлены дополнительные права и обязанности сотрудников ООО «Ланвер» при обработке ПДн работников в ООО «Ланвер».

• 1. Персональные данные работника - информация, необходимая ООО «Ланвер» в связи с трудовыми отношениями и касающаяся конкретного работника. ООО «Ланвер» получает необходимые по трудовому законодательству ПДн от самого работника. Если ПДн можно получить только от третьего лица, то это получение может быть только с письменного согласия работника.
• 2. Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
• 3. ООО «Ланвер» не имеет права получать и обрабатывать специальные персональные данные работника, в том числе о его членстве в общественных объединениях или его профсоюзной деятельности, политических, религиозных убеждениях и частной жизни,за исключением случаев, предусмотренных федеральными законами.
• 4. При принятии решений, затрагивающих интересы работника, ООО «Ланвер» не имеет права основываться на персональных данных работника, полученных исключительно в электронном виде или в результате их только автоматизированнойобработки.
• 5. Работники не должны отказываться от своих прав на сохранение и защитутайны.
• 6. ООО «Ланвер» обязуется не сообщать персональные данные работника третьим лицам в коммерческих и иных целях без письменного согласия субъекта ПДн, если передача ПДн не предусмотрена федеральными законами и иными нормативно-правовыми актами или заключаемыми договорами (передача общедоступных ПДн по договору).
• 7. Доступ к персональным данным работников предоставляется сотрудникамООО «Ланвер» на основании утвержденного списка (Приложение 4 к настоящему Положению) в целях исполнения ими должностных обязанностей по ведению кадрового делопроизводства, выполнения административно-хозяйственных и организационно-распорядительныхфункций.
• 8. ООО «Ланвер» обязуется не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовойфункции;
• 9. В случае необходимости передать ПДн представителю работника, ООО «Ланвер» обязуется передавать персональные данные работника в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, и ограничивать передаваемую информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями ихфункций.
• 10. Работник имеет право на определение своих представителей для защиты своих персональных данных.
• 11. ООО «Ланвер» обязан осуществлять передачу персональных данных сотрудников в пределах ООО «Ланвер» в соответствии с требованиями настоящегоПоложения.
• 12. В соответствии со статьями 86 и 88 Трудового кодекса РФ работник ООО «Ланвер» должен быть ознакомлен под роспись с настоящим Положением, устанавливающим порядок обработки ПДн, права и обязанности в этой области. Об ознакомлении работник расписывается в Согласии на обработку ПДн, которое он дает в целях организации взаимодействия между сотрудниками в ходе исполнения должностных обязанностей (Приложение2).

12.  ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НАСТОЯЩЕГОПОЛОЖЕНИЯ  

• 1. Руководство ООО «Ланвер» несет ответственность за необеспечение конфиденциальности ПДн и несоблюдение прав и свобод субъектов ПДн в отношении их ПДн, в том числе прав на неприкосновенность частной жизни, личную и семейнуютайну.
• 2. Работники ООО «Ланвер» несут персональную ответственность за несоблюдение требований по обработке и обеспечению безопасности ПДн, установленных настоящим Положением, в соответствии с законодательством РоссийскойФедерации.
• 3. Работник ООО «Ланвер» может быть привлечен к ответственности вслучаях:
• -- умышленного или неосторожного раскрытияПДн;
• -- утраты материальных носителейПДн;
• -- нарушения требований настоящего Положения и других нормативных  документов ООО «Ланвер» в части вопросов доступа и работы сПДн.
• 4. В случаях нарушения установленного порядка обработки и обеспечения безопасности ПДн, несанкционированного доступа к ПДн, раскрытия ПДн и нанесения ООО «Ланвер», ее работникам, контрагентам материального или иного ущерба, виновные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерацииответственность.