ПОЛОЖЕНИЕ об обработке персональных данных в обществе с ограниченной ответственностью «АйЭсТи»

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Целью настоящего Положения является определение для каждой цели обработки персональных данных, установленной Политикой в отношении обработки персональных данных в обществе с ограниченной ответственностью «АйЭсТи», утвержденной приказом от 03 сентября 2024 г. № 101 (далее – Политика), категории и перечня обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способов, сроков их обработки и хранения, порядка уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований. Настоящее Положение также устанавливает правила обработки персональных данных субъектов персональных данных, персональные данные которых подлежат обработке в обществе с ограниченной ответственностью «АйЭсТи» (далее – ООО «АйЭсТи», Общество).

1.2. Настоящее Положение разработано в соответствии с:

Трудовым кодексом Российской Федерации;
Гражданским кодексом Российской Федерации;
Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.11.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»;
приказом Федеральной службы по техническому и экспортному контролю от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
приказом Генерального директора общества с ограниченной ответственностью «АйЭсТи» от 03.09.2024 № 101 «Об утверждении Политики в отношении обработки персональных данных в обществе с ограниченной ответственностью «АйЭсТи».

1.3. Настоящее Положение распространяется на все процессы, связанные с обработкой и защитой персональных данных в Обществе.

1.4. Настоящее Положение распространяется на всех работников Общества и является обязательным для исполнения.

1.5. Мероприятия по организации обработки персональных данных реализуются отделами Общества по согласованию и под контролем ответственного за организацию обработки персональных данных в Обществе.

1.6. Для целей реализации настоящего Положения используются следующие термины с соответствующими определениями:

персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных – временное прекращение обработки персональных данных;
уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
конфиденциальность персональных данных – обязательное для соблюдения Обществом или получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

2. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Обработка персональных данных осуществляется в соответствии с целями обработки персональных данных, установленными Политикой.

2.2. Объем обрабатываемых персональных данных, категории субъектов персональных данных в зависимости от целей обработки персональных данных определены в Приложении № 1 к настоящему Положению.

2.3. Обработка персональных данных в Обществе осуществляется с согласия на обработку персональных данных субъекта персональных данных. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.

2.4. Персональные данные субъектов персональных данных, не являющихся работниками Общества, обрабатываются в соответствии с условиями гражданско-правовых договоров и (или) соглашений с физическими и юридическими лицами, индивидуальными предпринимателями и иными лицами (контрагентами).

2.5. Персональные данные предоставляются непосредственно субъектом персональных данных.
В случае, если персональные данные субъекта персональных данных возможно получить только у третьей стороны, то субъекта персональных данных информируют об этом заранее и от него требуется получение письменного согласия на получение его персональных данных у третьей стороны. Общество сообщает субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

2.6. При обработке персональных данных Общество обеспечивает точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных.

2.7. Обработка персональных данных в Обществе осуществляется с использованием информационных систем персональных данных.

3. ДОСТУП РАБОТНИКОВ К ПЕРСОНАЛЬНЫМ ДАННЫМ

3.1. Перечень работников, осуществляющих обработку персональных данных или имеющих к ним доступ, определяется организационно-распорядительными документами Общества.

3.2. Работники допускаются только к тем персональным данным, которые необходимы им для выполнения своих трудовых функций, определенных в трудовом договоре с работником и в должностной инструкции работника.

3.3. Доступ работников к персональным данным незамедлительно прекращается в случае их исключения из перечня работников, осуществляющих обработку персональных данных или имеющих к ним доступ, либо изменения их трудовой функции на не связанную с обработкой персональных данных.

3.4. Работники, осуществляющие обработку персональных данных, должны быть проинформированы о:

факте обработки ими персональных данных, обработка которых осуществляется Обществом,
категориях обрабатываемых персональных данных,
правилах осуществления такой обработки, установленных действующим законодательством,
а также должны быть ознакомлены с организационно-распорядительными документами Общества.

3.5. До предоставления доступа к персональным данным и их обработке работники изучают:

положения законодательства Российской Федерации о персональных данных,
Политику,
локальные акты Общества по вопросам обработки персональных данных,
правила по использованию информационных систем персональных данных (в случае их применения).

3.6. Работники, осуществляющие обработку персональных данных или имеющие к ним доступ, несут персональную ответственность за соблюдение конфиденциальности персональных данных в пределах их трудовой функции и должностных обязанностей.

3.7. Работники, осуществляющие обработку персональных данных или имеющие к ним доступ, допускаются к персональным данным после подписания обязательства о соблюдении конфиденциальности персональных данных. Обязательство о соблюдении конфиденциальности персональных данных должно храниться в личном деле работника.

4. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Сбор персональных данных осуществляется путем:

получения сведений и документов от субъектов персональных данных;
получения сведений в рамках исполнения гражданско-правовых договоров и соглашений с контрагентами;
получения сведений из информационных систем персональных данных.

4.2. Персональные данные при их обработке работниками обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее – материальные носители), в специальных разделах или на полях форм (бланков).

4.3. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных используется отдельный материальный носитель для каждой категории.

4.4. При использовании типовых форм документов, предполагающих или допускающих включение в них персональных данных (далее – типовая форма), соблюдаются следующие условия:

типовая форма содержит сведения о цели обработки, наименование и адрес Общества, ФИО и адрес субъекта, источники, сроки и перечень действий с персональными данными, описание способов обработки;
предусматривается поле для отметки о согласии субъекта на обработку данных (при необходимости письменного согласия);
типовая форма должна позволять субъекту ознакомиться со своими персональными данными без нарушения прав других субъектов;
исключается объединение полей с несовместимыми целями обработки данных.

4.5. При несовместимости целей обработки данных на одном материальном носителе принимаются меры по их раздельной обработке:

копирование подлежащих распространению или использованию данных без копирования лишних данных;
уничтожение или блокировка носителя с предварительным копированием нужных данных способом, исключающим перенос лишней информации.

4.6. Обработка персональных данных осуществляется таким образом, что можно определить места хранения каждого типа данных и лиц, имеющих к ним доступ.

4.7. Общество обеспечивает раздельное хранение персональных данных, обрабатываемых в различных целях.

4.8. При хранении материальных носителей соблюдаются условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ.

4.9. Уточнение персональных данных осуществляется путем обновления или изменения сведений на материальном носителе. При технической невозможности – через фиксацию изменений или создание нового носителя.

4.10. Передача персональных данных третьим лицам осуществляется только с письменного согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

4.11. Доступ работников сторонних организаций к персональным данным рассматривается как поручение на обработку. Представители сторонних организаций допускаются к обработке данных только по договору, в соответствии с требованиями законодательства.

5. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Сроки обработки и хранения персональных данных определяются в соответствии с законодательством Российской Федерации, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

5.2. Сроки обработки и хранения персональных данных определены в приложении № 1 к настоящему Положению.

5.3. Общество прекращает обработку персональных данных при достижении целей обработки персональных данных, истечении срока действия согласия или отзыве согласия субъекта персональных данных на обработку его персональных данных, а также выявлении неправомерной обработки персональных данных, если иное не предусмотрено федеральным законодательством.

5.4. Контроль за хранением и использованием материальных носителей персональных данных, препятствующий несанкционированному использованию, уточнению, распространению и уничтожению персональных данных, находящихся на этих носителях, осуществляют руководители структурных подразделений Общества.

6. ПОРЯДОК УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Уничтожение персональных данных с истекшими сроками хранения обеспечивается руководителями отделов, в которых осуществляется обработка персональных данных.

6.2. Накапливаемые для уничтожения документы, копии документов, черновики, содержащие персональные данные, хранятся отдельно от других документов.

6.3. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных обеспечивается блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных с момента такого обращения или получения указанного запроса на период проверки.

В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных обеспечивается блокирование персональных данных, относящихся к этому субъекту персональных данных с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. В случае подтверждения факта неточности персональных данных Общество на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.

6. ПОРЯДОК УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.4. В случае выявления неправомерной обработки персональных данных, осуществляемой Обществом, в срок, не превышающий трех рабочих дней с даты этого выявления, обеспечивается прекращение неправомерной обработки персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, такие персональные данные уничтожаются. Об устранении допущенных нарушений или об уничтожении персональных данных Общество уведомляет субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

6.5. Уничтожение персональных данных производится в следующие сроки, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами:

в случае достижения цели обработки персональных данных прекращается обработка персональных данных и уничтожаются персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных;
в случае отзыва субъектом персональных данных согласия на обработку его персональных данных прекращается их обработка и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожаются персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва.
в случае, невозможности обеспечить правомерность обработки персональных данных, Общество в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обеспечивает уничтожение таких персональных данных.

6.6. В случае отсутствия возможности уничтожения персональных данных в течение сроков, указанных в настоящем Положении, обеспечивается блокирование таких персональных данных или обеспечивается их блокирование и уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иное не установлено действующим законодательством.

6.7. Уничтожение документов на бумажных носителях, содержащих персональные данные, производится через шредирование (измельчение) документов.

6.8. Уничтожение персональных данных, хранящихся в электронном виде на материальных носителях, производится путем выполнения процедуры специальной подготовки материальных носителей (многократное форматирование разделов, выделенных под хранение данных) или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.

6.9. Уничтожение персональных данных, хранящихся в электронном виде на материальных носителях, производится путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, в случае невозможности их иным способом.

6.10. Уничтожение персональных данных, обрабатываемых в информационных системах персональных данных, осуществляется путем стирания записи в базах данных по запросу субъекта персональных данных или при достижении целей обработки персональных данных.

6.11. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

6.12. При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.

6.13. По окончании процедуры уничтожения персональных данных составляется акт об уничтожении персональных данных, который подписывается ответственным за организацию обработки персональных данных и работником, уничтожившим персональные данные.

6.14. Факт уничтожения персональных данных фиксируется в соответствии с Требованиями к подтверждению уничтожения персональных данных, утвержденными приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.11.2022 № 179 (далее – Требования).

6.15. Документами, подтверждающими уничтожение персональных данных, являются:

акт об уничтожении персональных данных, в случае если обработка персональных данных осуществляется без использования средств автоматизации (Приложение № 2);
акт об уничтожении персональных данных (Приложение № 3) и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее – выгрузка из журнала) (Приложение № 4), в случае если обработка персональных данных осуществляется с использованием средств автоматизации.

6.16. В случае если обработка персональных данных осуществляется Обществом одновременно с использованием средств автоматизации и без использования средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются акт об уничтожении персональных данных, и выгрузка из журнала, соответствующая Требованиям.

6.17. Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению Обществом в течение 3 лет с даты уничтожения персональных данных.

7. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

7.1. Настоящее Положение подлежит изменению в случае изменения действующих и (или) появления новых законодательных и нормативных правовых актов Российской Федерации, в том числе специальных нормативных актов по обработке и защите персональных данных.

7.2. Актуализация настоящего Положения обеспечивается лицом, ответственным за организацию обработки персональных данных в Обществе.

7.3. В случае выявления нарушений правил обработки персональных данных в информационных системах персональных данных Обществом незамедлительно принимаются меры по установлению причин нарушений и их устранению.

7.4. Общество осуществляет внутренний контроль и аудит соответствия обработки персональных данных требованиям Федерального закона и принятым в соответствии с ним нормативных правовых актов, требованиям к защите персональных данных, Политики, локальных актов Общества.