Помощь по сайту

Настоящее Положение в отношении обработки персональных данных» (далее – Политика) разработано в соответствии с требованиями законодательства Российской Федерации в области персональных данных Действие Политики распространяется на все процессы ООО «АВТОПИТЕР», связанные с обработкой персональных данных

1.1. Целью настоящего положения является развитие комплекса мер, направленных на обеспечение защиты персональных данных, хранящихся в ООО «АВТОПИТЕР», посредством планомерных действий по совершенствованию организации труда.

1.2. Основанием для разработки данного Положения являются:

Конституция РФ от 12.12.1993;
Трудовой Кодекс РФ (гл. 14);
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации»;
Постановление правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Федеральный закон от 25.07.2011 № 261-ФЗ «О внесении изменений в федеральный закон «О персональных данных».
Федеральный закон от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных».
Федеральный закон от 29.11.2010 №326-ФЗ «Об обязательном медицинском страховании в Российской Федерации» (Федеральный закон №326-ФЗ)
Приказ Роскомнадзора от 05.09.2013 №996 «Об утверждении требований и методов по обезличиванию персональных данных».

1.3. Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

1.4. Сведения о персональных данных субъекта персональных данных относятся к числу конфиденциальных (составляющих охраняемую законом тайну организации). Режим конфиденциальности в отношении персональных данных снимается: в случае их обезличивания; по истечении 75 лет срока их хранения; в других случаях, предусмотренных федеральными законами.

1.5. Положение о защите персональных данных и изменения к нему вводятся приказом по общей деятельности ООО «АВТОПИТЕР» и утверждаются генеральным директором. Все работники организации должны быть ознакомлены под расписку с данным Положением и изменениями к нему.

2. Основные понятия и состав персональных данных работников

2.1. Для целей настоящего Положения используются следующие основные понятия:

Персональные данные
- любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
Обработка персональных данных работника
- любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
Распространение персональных данных
- действия, направленные на раскрытие персональных данных работников неопределенному кругу лиц (п. 5 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
Предоставление персональных данных
- действия, направленные на раскрытие персональных данных работников определенному лицу или определенному кругу лиц (п. 6 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
Блокирование персональных данных
- временное прекращение обработки персональных данных работников (за исключением случаев, если обработка необходима для уточнения персональных данных) (п. 7 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
Уничтожение персональных данных
- действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных работников и (или) в результате которых уничтожаются материальные носители персональных данных работников (п. 8 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
Обезличивание персональных данных
- действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному работнику (п. 9 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
Информация
- сведения (сообщения, данные) независимо от формы их представления;
Документированная информация
- зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.

2.2. К персональным данным относятся:

биометрические персональные данные;
фамилия, имя, отчество;
дата рождения;
место рождения;
гражданство;
образование;
специальность, профессия;
стаж работы;
состояние в браке;
состав семьи;
место работы или учебы членов семьи и родственников;
паспортные данные;
наличие судимостей;
адрес места жительства (по паспорту и фактический);
домашний телефон, мобильный телефон;
сведения о воинском учете;
содержание трудового договора и дополнительных соглашений к ним;
сведения о заработной плате;
подлинники и копии приказов по личному составу;
личные дела, личные карточки (форма Т-2), трудовые книжки работников и вкладыши к ним;
основания к приказам по личному составу;
результаты медицинского обследования на предмет годности к осуществлению трудовых обязанностей;
анкета;
фотографии и иные сведения, относящиеся к персональным данным работника.

2.3. Информация, представляемая работником при поступлении на работу в организацию, должна иметь документальную форму. При заключении трудового договора в соответствии со ст. 65 ТК РФ лицо, поступающее на работу, предъявляет:

паспорт или иной документ, удостоверяющий личность;
трудовую книжку, за исключением случаев, когда договор заключается впервые, или работник поступает на работу на условиях совместительства, или трудовая книжка у работника отсутствует в связи с ее утратой или по другим причинам;
страховое свидетельство государственного пенсионного страхования;
документы воинского учета - для лиц, подлежащих воинскому учету;
документ об образовании, о квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки;
свидетельство о присвоении ИНН (при его наличии у работника);
справку, выданную органами МВД России, о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям (при поступлении на работу, к которой в соответствии с Трудовым кодексом РФ или иным федеральным законом не допускаются лица, имеющие или имевшие судимость, подвергающиеся или подвергавшиеся уголовному преследованию).

2.4. При оформлении работника менеджером по персоналу заполняется унифицированная форма Т-2 "Личная карточка работника", в которой отражаются следующие анкетные и биографические данные работника:

общие сведения (Ф.И.О., дата рождения, место рождения, гражданство, образование, профессия, стаж работы, состояние в браке, паспортные данные);
сведения о воинском учете;
данные о приеме на работу;
сведения об аттестации;
сведения о повышении квалификации;
сведения о профессиональной переподготовке;
сведения о наградах (поощрениях), почетных званиях;
сведения об отпусках;
сведения о социальных гарантиях;
сведения о месте жительства и о контактных телефонах.

2.5. В отделе персонала у менеджера по персоналу создаются и хранятся следующие группы документов, содержащие данные о работниках в единичном или сводном виде:

2.5.1. Документы, содержащие персональные данные работников:

комплексы документов, сопровождающие процесс оформления трудовых отношений при приеме на работу, переводе, увольнении;
комплекс материалов по анкетированию, тестированию, проведению собеседований с кандидатом на должность;
подлинники и копии приказов (распоряжений) по личному составу;
личные дела;
дела, содержащие основания к приказам по личному составу;
дела, содержащие материалы аттестаций работников;
дела, содержащие материалы внутренних расследований;
справочно-информационный банк данных по персоналу (картотеки, журналы);
подлинники и копии отчетных, аналитических и справочных материалов, передаваемых администрации организации, руководителям структурных подразделений;
копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие органы управления и другие учреждения.

2.5.2. Документация по организации работы структурных подразделений:

положения о структурных подразделениях;
должностные инструкции работников;
приказы, распоряжения, указания администрации организации;
документы планирования, учета, анализа и отчетности по вопросам кадровой работы.

2.6. В отделе персонала создаются и хранятся следующие группы документов, содержащие данные о работниках в единичном или сводном виде:

трудовые книжки и книга учета движения трудовых книжек и вкладышей к ним;
документы по учету рабочего времени;

3. Состав персональных данных контрагентов, цели обработки.

3.1. К категории контрагентов с целью обработки персональных данных относятся: покупатели, поставщики, их работники и представители, Пользователи Вебресурсов ООО «АВТОПИТЕР, Пользователи Мобильных приложений ООО «АВТОПИТЕР», выгодоприобретатели по договорам с ООО «АВТОПИТЕР», иные лица, при взаимодействии которых с ООО «АВТОПИТЕР» необходим сбор и обработка персональных данных.

3.2. Целями обработки ПД субъектов ПД являются в том числе:

заключение/исполнение сделок в соответствии с деятельностью ООО «АВТОПИТЕР»;
предоставление отчетности государственным надзорным органам, в соответствии с требованиями действующего законодательства Российской Федерации;
предоставление Субъекту ПД информации о товарах и услугах, а также о проводимых акциях, об оценке качества обслуживания клиентов;
проведение акций, мероприятий, опросов, исследований, заключение, исполнение, изменение и прекращение договоров с Клиентами и/или реализация совместных проектов;
проведение мероприятий по противодействию легализации (отмыванию) доходов, полученных преступным путем и финансированию терроризма, и финансированию распространения оружия массового уничтожения;
проведение мероприятий, необходимых действий по урегулированию заявлений, претензий;
отработке сообщений Клиентов по вопросам качества реализуемых товаров;
выявление случаев мошенничества, хищения денежных средств со счета Клиента, иных противоправных действий, предотвращения таких противоправных действий в дальнейшем и локализации последствий таких действий;
осуществление мероприятий по проверке клиента (лица, осуществляющего функции единоличного исполнительного органа юридического лица/его уполномоченных представителей/ учредителей/ бенефициарных владельцев) до заключения с ними договора;
взыскание просроченной/проблемной задолженности;
исполнение поручения третьего лица на обработку персональных данных в соответствии с требованиями действующего законодательства Российской Федерации; осуществление мероприятий по проверке контрагента; обеспечение пропускного режима на объектах, а также иные цели, результатом которых является взаимодействие субъекта ПД с ООО «АВТОПИТЕР».

3.3. Перечень персональных данных включает в себя фамилия, имя, отчество, пол, число, месяц, год рождения, место рождения, страна рождения, гражданство, семейное положение, социальное положение (в т.ч. сведения о социальных льготах), сведения о принадлежащем клиенту имуществе, образование, должность, место работы, доходы, сведения о трудовой деятельности, данные документов, удостоверяющих личность; и иных документов, выданных на имя Субъекта ПД (трудовые книжки, водительские удостоверения, миграционные карты, разрешение на временное проживание и др.), дата регистрации и адрес (проживания, регистрации), сведения об ИНН, СНИЛС, контактные данные (телефон, адрес электронной почты, почтовый адрес), сведения, содержащиеся в документах, подтверждающих право на льготы фотоизображение, сведения, указанные в актах гражданского состояния (в том числе в свидетельстве о регистрации / расторжении брака), сведения, указанные в свидетельстве о рождении детей, сведения из трудового договора работника, данные разрешения на работу или патент, отношение к воинской обязанности иные сведения о Субъекте ПД.

4. Порядок создания, обработки, хранения персональных данных

4.1. При обработке персональных данных субъектов персональных данных ООО «АВТОПИТЕР» в лице генерального директора, вправе определять способы обработки, документирования, хранения и защиты персональных данных работников ООО «АВТОПИТЕР» на базе современных информационных технологий.

4.2. Источником информации обо всех персональных данных работника является непосредственно субъект персональных данных.

4.3. Все персональные данные получаются и обрабатываются на основании письменного согласия работника на обработку его персональных данных (Приложение 1).

4.4. Персональные данные субъектов персональных данных могут быть получены, проходить дальнейшую обработку и передаваться на хранение, как на бумажных носителях, так и в электронном виде (посредством локальной компьютерной сети).

4.5. Если персональные данные субъекта персональных данных, возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. ООО «АВТОПИТЕР» должно сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа субъекта персональных данных дать письменное согласие на их получение.

4.6. Не допускаются получение и обработка персональных данных субъекта персональных данных о его политических, религиозных и иных убеждениях и частной жизни, а также о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных законодательством РФ. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции РФ возможно получение и обработка данных о частной жизни работника только с его письменного согласия.

4.7. Работники, ответственные за документационное обеспечение кадровой деятельности, принимают от принимаемого на работу работника документы, проверяют полноту их заполнения и правильность указываемых сведений в соответствии с предъявленными документами.

4.8. Обработка персональных данных субъекта персональных данных возможна только с их согласия либо без их согласия в следующих случаях:

персональные данные являются общедоступными;
персональные данные относятся к состоянию здоровья работника, и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия работника невозможно;
по требованию полномочных государственных органов - в случаях, предусмотренных федеральным законом.

4.9. Работодатель вправе обрабатывать персональные данные работников только с их письменного согласия.

4.10. Письменное согласие работника на обработку своих персональных данных должно включать в себя:

фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
цель обработки персональных данных;
перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
срок, в течение которого действует согласие, а также порядок его отзыва.

4.11. Согласие работника не требуется в следующих случаях:

обработка персональных данных осуществляется на основании Трудового кодекса РФ или иного федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определенного полномочия работодателя;
обработка персональных данных в целях исполнения трудового договора;
обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов работника, если получение его согласия невозможно.

4.12. Работник обязан:

передавать работодателю или его представителю комплекс достоверных, документированных персональных данных, состав которых установлен Трудовым кодексом РФ;
своевременно, в разумный срок, не превышающий 5 рабочих дней, сообщать работодателю об изменении своих персональных данных, и предъявлять оригиналы документов.

4.13. Работник имеет право на:

полную информацию о своих персональных данных и обработке этих данных;
свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренным законодательством РФ;
определение своих представителей для защиты своих персональных данных;
доступ к относящимся к нему медицинским данным с помощью медицинского специалиста по своему выбору;
требование об исключении или исправлении неверных, или неполных персональных данных, а также данных, обработанных с нарушением требований. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;
требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.

4.14. Представление работником подложных документов или ложных сведений при поступлении на работу является основанием для расторжения трудового договора.

4.15. В соответствии со ст. 86 ТК РФ в целях обеспечения прав и свобод человека и гражданина генеральный директор и его законные полномочные представители при обработке персональных данных работника должны выполнять следующие общие требования:

4.15.1. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов или иных правовых актов, содействия работникам в трудоустройстве, обучении и профессиональном продвижении, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
4.15.2. При определении объема и содержания, обрабатываемых персональных данных работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами.
4.15.3. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных, полученных о нем исключительно в результате их автоматизированной обработки или электронного получения.
4.15.4. Защита персональных данных работника от неправомерного их использования, утраты обеспечивается работодателем за счет его средств в порядке, установленном федеральным законом.
4.15.5. Работники и их представители должны быть ознакомлены под расписку с документами организации, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях в этой области.
4.15.6. Во всех случаях отказ работника от своих прав на сохранение и защиту тайны недействителен.

5. Доступ к персональным данным

5.1. Персональные данные добровольно передаются субъектом персональных данных непосредственно держателю этих данных и потребителям внутри ООО «АВТОПИТЕР» исключительно для обработки и использования в работе.

5.2. Внешний доступ. Массовые потребители персональных данных вне ООО «АВТОПИТЕР», не требующих письменного согласия субъекта персональных данных , государственные и негосударственные функциональные структуры:

налоговые инспекции;
правоохранительные органы;
органы статистики;
страховые агентства;
военкоматы;
органы социального страхования;
пенсионные фонды;
подразделения муниципальных органов управления.

5.3. Внутренний доступ. Внутри ООО «АВТОПИТЕР» к разряду потребителей персональных данных относятся работники функциональных структурных подразделений, которым эти данные необходимы для выполнения должностных обязанностей:

администрация организации;
работники бухгалтерии;
служба персонала;
отдел внутреннего аудита;
юридический отдел;
работники отдела информационных технологий;
руководители структурных подразделений по направлению деятельности (доступ к персональным данным только работников своего подразделения).

Потребители персональных данных должны подписать обязательство о неразглашении персональных данных работников (Приложение №3). В противном случае до обработки персональных данных работников не допускаются.

5.4. Родственники и члены семей. Персональные данные работника могут быть предоставлены родственникам или членам его семьи только с письменного согласия самого работника;

5.5. Другие организации.

при передаче персональных данных субъекта персональных данных потребителям (в том числе и в коммерческих целях) за пределы ООО «АВТОПИТЕР» работодатель не должен сообщать эти данные третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника или в случаях, установленных федеральным законом;
передача персональных данных от держателя или его представителей внешнему потребителю может допускаться в минимальных объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных;
ответы на правомерные письменные запросы других фирм, учреждений и организаций даются с разрешения генерального директора и только в письменной форме и в том объеме, который позволяет не разглашать излишний объем персональных сведений;
допускается отвечать на вопросы, связанные с передачей персональной информации по телефону или факсу с письменного согласия работника;
по возможности персональные данные обезличиваются.

6. Защита персональных данных

Под угрозой или опасностью утраты персональных данных понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующие воздействие на защищаемую информацию.

Риск угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.

Защита персональных данных представляет собой жестко регламентированный технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных и, в конечном счете, обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности предприятия.

6.1. «Внутренняя защита»

6.1.1.Персональные данные на бумажных носителях хранятся в сейфе и шкафах.

6.1.2. При наборе специалистов документы, находящиеся в работе, могут находиться на рабочих столах или специальных полках в течение рабочего дня. По окончании рабочего дня данные документы убираются в шкафы. Кабинет закрывается на ключ и сдается под охрану.

6.1.3. Документы претендентов, которые не были приняты на работу, скрепляются по профилям специалистов и хранятся в шкафах в течение 12 месяцев, далее документы подлежат уничтожению.

6.1.4. Персональные данные на электронных носителях защищены паролем доступа, доступ к специализированной программе осуществляется только через личный доступ пароль, право на использование персональных данных имеют только работники, ответственные за обработку персональных данных.

6.1.5. Для внутренней защиты персональных данных работников необходимо соблюдать следующие меры:

ограничивать и регламентировать состав работников, функциональные обязанности которых требуют конфиденциальных знаний;
строго избирательно и обоснованно распределять документы и информацию между работниками;
рационально размещать рабочие места работников, при котором исключалось бы бесконтрольное использование защищаемой информации;
знать работникам требования нормативно-методических документов по защите информации и сохранении тайны;
своевременно выявлять нарушения требований разрешительной системы доступа работниками подразделения;
проводить воспитательную и разъяснительную работу с работниками подразделений по предупреждению утраты ценных сведений при работе с конфиденциальными документами;
не допускать выдачу личных дел работников на рабочие места руководителей. Личные дела могут выдаваться на рабочие места только генеральному директору, и в исключительных случаях, по письменному разрешению генерального директора, руководителю структурного подразделения;
обеспечить защиту персональных компьютеров и баз данных, в которых содержатся персональные данные, паролями доступа и прочими средствами защиты.

6.1.6. В целях защиты персональных данных на бумажных носителях работодатель:

приказом назначает ответственного за обработку персональных данных;
ограничивает допуск в помещения, где хранятся документы, которые содержат персональные данные работников;
хранит документы, содержащие персональные данные работников в шкафах в помещении запирающемся на ключ;
хранит трудовые книжки работников в сейфе в отделе кадров.

6.1.7. В целях обеспечения конфиденциальности документы, содержащие персональные данные работников, оформляются, ведутся и хранятся только работниками отдела кадров, бухгалтерии и службы охраны труда работодателя.

6.2 «Внешняя защита» Для внешней защиты персональных данных работников необходимо соблюдать следующие меры:

порядок приема, учета и контроля деятельности посетителей;
пропускной режим организации;
порядок охраны территории, зданий, помещений, транспортных средств.

6.3. Персональные данные, представленные субъекта персональных данных, обрабатываются автоматизированным и без использования средств автоматизации способами. ООО «АВТОПИТЕР» не принимает, не снимает и не хранит копии личных документов субъекта персональных данных.

6.4. После истечения срока нормативного хранения документов, которые содержат персональные данные субъекта персональных данных, документы подлежат уничтожению. Для этого создается экспертная комиссия и проводит экспертизу ценности документов. В ходе проведения экспертизы комиссия отбирает дела с истекшими сроками хранения и по итогам отбора составляет акт о выделении к уничтожению дел, не подлежащих хранению. После чего документы измельчаются в шредере. Персональные данные субъекта персональных данных в электронном виде стираются с информационных носителей, либо физически уничтожаются сами носители, на которых хранится информация.

6.5. Передача информации, содержащей сведения о персональных данных субъекта персональных данных, по телефону, в связи с невозможностью идентификации лица, запрашивающего информацию, запрещается.

7. Ответственность за разглашение конфиденциальной информации, связанной с персональными данными

Персональная ответственность - одно из главных требований к организации функционирования системы защиты персональной информации и является обязательным условием обеспечения эффективности этой системы.

Руководитель, разрешающий доступ сотрудника к конфиденциальному документу, несет персональную ответственность за данное разрешение.

Каждый работник организации, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации. Нарушение установленного законом порядка сбора, хранения, использования и распространения информации о гражданах (персональных данных) влечет дисциплинарную, административную, гражданско-правовую или уголовную ответственность граждан и юридических лиц.