Политика обработки персональных данных

УТВЕРЖДАЮ

Генеральный директор

АО «ДЕЛФИН ИНДАСТРИ»

П О Л И Т И К А

в отношении обработки персональных данных АО «ДЕЛФИН ИНДАСТРИ»

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) составлена в соответствии с пунктом 2 статьи 18.1 Федерального закона «О персональных данных» № 152-ФЗ от 27 июля 2006 г., а также иными нормативно-правовыми актами Российской Федерации в области защиты и обработки персональных данных и действует в отношении всех персональных данных, которые АО «ДЕЛФИН ИНДАСТРИ» (далее – Оператор) может получить от субъекта персональных данных. Политика определяет порядок и условия Оператора в отношении обработки персональных данных, устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой персональных данных.

1.2. Целью Политики в отношении обработки персональных данных является информирование субъектов персональных данных и лиц, учувствовавших в обработке персональных данных, о соблюдении АО «ДЕЛФИН ИНДАСТРИ» основополагающих принципов законности, справедливости, соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки.

1.3. Обработка персональных данных осуществляется Оператором на законной и справедливой основе, правовыми основания для обработки являются:

Конституция Российской Федерации;
Гражданский кодекс Российской Федерации;
Федеральный закон от 27.07.2006г. № 152-ФЗ «О персональных данных»;
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федеральный закон от 07.07.2003г. № 126-ФЗ «О связи»;
Устав АО «ДЕЛФИН ИНДАСТРИ»;
иные локальные нормативные акты, в соответствии с которыми Оператор осуществляет обработку персональных данных.

1.4. Настоящая Политика и изменения к нему утверждаются руководителем Оператора и вводятся в действие приказом Оператора.

1.5. Все вопросы, связанные с обработкой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.

2. Термины и принятые сокращения

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Персональные данные, сделанные общедоступными субъектом персональных данных – доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Оператор – организация, самостоятельно или совместно с другими лицами организующая обработку персональных данных, а также определяющая цели обработки персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Оператором является АО «ДЕЛФИН ИНДАСТРИ», расположенное по адресу: 141200, Московская область, Пушкинский район, город Пушкино, Ярославское шоссе, дом 1А.

3. Основные права субъекта персональных данных и обязанности Оператора

3.1. В соответствии с Федеральным законом «О персональных данных» субъект персональных данных имеет право:
1) получить сведения, касающиеся обработки персональных данных Оператором, а именно:  подтверждение факта обработки персональных данных Оператором;

правовые основания и цели обработки персональных данных Оператором;
применяемые Оператором способы обработки персональных данных;
наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных Оператором, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ «О персональных данных»;
информацию об осуществленной или предполагаемой трансграничной передаче данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные ФЗ «О персональных данных» или другими федеральными законами;

2) потребовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
3) отозвать согласие на обработку персональных данных в предусмотренных законом случаях.

3.2. Обращение субъекта персональных данных к оператору в целях реализации его прав, установленных ФЗ «О персональных данных», осуществляется в письменном виде по установленной форме при личном визите к Оператору субъекта персональных данных. Форма обращения выдается субъекту персональных данных работником Оператора и заполняется субъектом персональных данных с проставлением собственноручной подписи в присутствии указанного работника. Ответ на обращение отправляется субъекту персональных данных в письменном виде по почте на адрес, указанный в обращении. Срок формирования ответа и передачи в почтовое отделение для отправки не может превышать тридцати дней с даты получения оператором обращения.

3.3. В соответствии с требованиями Федерального закона № 152-ФЗ «О персональных данных» Оператор обязан:
1) предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить отказ в течение тридцати дней с даты получения запроса субъекта персональных данных;
2) по требованию субъекта персональных данных уточнять, блокировать или удалять обрабатываемые персональные данные, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки в срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих эти факты;
3) вести журнал учета обращений субъектов персональных данных, в котором должны фиксироваться запросы субъектов персональных данных на получение персональных данных, а также факты предоставления персональных данных по этим запросам;
4) уведомлять субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных. Исключение составляют следующие случаи:

субъект персональных данных уведомлен об осуществлении обработки Оператором его персональных данных;
персональные данные получены Оператором в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных или на основании федерального закона;
персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника;
Оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, если при этом не нарушаются права и законные интересы субъекта персональных данных;
предоставление субъекту персональных данных сведений, содержащихся в Уведомлении об обработке персональных данных, нарушает права и законные интересы третьих лиц;

5) в случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных № 152-ФЗ «О персональных данных» или другими федеральными законами;
6) в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Оператором и субъектом персональных данных. Об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных;
7) в случае поступления требования субъекта персональных данных о прекращении обработки персональных данных, полученных в целях продвижения товаров, работ, услуг на рынке, немедленно прекратить обработку персональных данных.

4. Принципы и цели обработки персональных данных

4.1. Обработка персональных данных Оператором осуществляется с учетом необходимости обеспечения защиты прав и субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:

обработка персональных данных осуществляется Оператором на законной и справедливой основе;
обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
обработке подлежат только персональные данные, которые отвечают целям их обработки;
содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;
при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператором принимаются необходимые меры либо обеспечивается их принятие по удалению или уточнению неполных или неточных персональных данных;
хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4.2. Персональные данные обрабатываются Оператором в целях:

обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Оператора;
осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора;
защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
подготовки, заключения, исполнения и прекращения договоров с контрагентами;
обеспечения пропускного и внутриобъектового режимов на объектах Оператора;
исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;
идентификации субъекта персональных данных, зарегистрированного на Сайте.
предоставления субъекту персональных данных доступа к ресурсам Сайта.
установления с субъектом персональных данных обратной связи, включая направление уведомлений, запросов, касающихся использования Сайта, оказания услуг, обработку запросов и заявок от субъекта персональных данных.
создания учетной записи, если субъект персональных данных дал согласие на создание учетной записи.
предоставления субъекту персональных данных эффективной клиентской и технической поддержки при возникновении проблем, связанных с использованием Сайта.
осуществления рекламной деятельности с согласия субъекта персональных данных.
продвижение товаров, работ, услуг Оператора на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи.
в иных законных целях.

5. Перечень субъектов, персональные данные которых обрабатываются и перечень обрабатываемых персональных данных

5.1. В качестве субъектов персональных данных, персональные данные которых могут обрабатываться Оператором с использованием средств автоматизации или без использования таковых, понимаются нижеперечисленные категории физических лиц:

субъекты, обработка персональных данных которых связана с исполнением условий заключенных договоров;
потенциальным контрагентам;
авторам письменных обращений в адрес Оператора;
другим субъектам персональных данных для обеспечения реализации целей обработки персональных данных, указанных в п. 4.2.

5.2. Перечень персональных данных, обрабатываемых Оператором, определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора с учетом целей обработки персональных данных, указанных в разделе 4 Политики. Перечень персональных данных, обрабатываемых Оператором:

персональные данные, которые субъект персональных данных предоставил при заполнении информационных полей на сайте, в том числе при заполнении контактной формы, при подписке на новостную рассылку;
персональные данные и другую информацию, содержащуюся в сообщениях, которые направил субъект персональных данных;
технические данные, которые автоматически передаются устройством, с помощью которого субъект персональных данных использует сайт, в том числе технические характеристики устройства, IP-адрес, информация, сохраненная в файлах «cookies», которые были отправлены на устройство, информация о браузере, дата и время доступа к сайту, адреса запрашиваемых страниц и иная подобная информация;
данные, полученные при осуществлении гражданско-правовых отношений;
обезличенные и/или общедоступные персональные данные.
иные данные, которые субъект персональных данных пожелал оставить на сайте.

5.3. Для указанных категорий субъектов могут обрабатываться: фамилия, имя, отчество; год, месяц, дата рождения; место рождения, адрес; профессия; контактная информация (телефон, адрес электронной почты), иные сведения, предусмотренные типовыми формами и установленным порядком обработки.

5.4. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, Оператором не осуществляется.

6. Порядок и условия обработки персональных данных

6.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных. Персональные данные, обрабатываемые Оператором, относятся к информации конфиденциального характера.

6.2. Обработка персональных данных Оператором осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации в области персональных данных. Оператор без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено федеральным законом. Оператор должен сообщить субъекту о целях, предполагаемых источниках и способах получения персональных данных, характере подлежащих получению персональных данных, перечне действий с персональными данными, сроке, в течение которого действует согласие, и порядке его отзыва, а также о последствиях отказа субъекта дать письменное согласие на их получение.

6.3. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании заключаемого с этим лицом договора поручения на обработку персональных данных. Договор должен содержать перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели обработки, обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их 5 обработке, а также требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных».

6.4. Обработка персональных данных Оператором осуществляется следующими способами:

с использованием средств автоматизации;
без использования средств автоматизации.

6.5. Оператор приказом назначает лицо, ответственное за организацию обработки персональных данных, как в информационных системах в которых обрабатываются персональные данные, так и при обработке без использования средств автоматизации. Лицо, ответственное за организацию обработки персональных данных, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей, обязано соблюдать конфиденциальность обрабатываемых персональных данных и информируется о том, что в соответствии со ст.24 ФЗ-152 "О персональных данных" лица, виновные в нарушении требований закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

6.6. Обработка и хранение персональных данных осуществляются не дольше, чем этого требуют цели обработки персональных данных, если отсутствуют законные основания для дальнейшей обработки, например, если федеральным законом или договором с субъектом персональных данных не установлен соответствующий срок хранения. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию при наступлении следующий условий:

достижение целей обработки персональных данных или максимальных сроков хранения — в течение 30 дней;
утрата необходимости в достижении целей обработки персональных данных — в течение 30 дней;
предоставление субъектом персональных данных или его законным представителем подтверждения того, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки — в течение 7 дней;
отзыв субъектом персональных данных согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных — в течение 30 дней;
отзыв субъектом персональных данных согласия на использование персональных данных для контактов с потенциальными потребителями при продвижении товаров и услуг — в течение 2 дней;
истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных;
ликвидация (реорганизация) Оператора.

6.7. Персональные данные субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде. Персональные данные, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа. Персональные данные субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках. Не допускается хранение и размещение документов, содержащих персональные данные, в открытых электронных каталогах (файлообменниках) в ИСПД.

6.8. Особенности обработки персональных данных, осуществляемой с использованием средств автоматизации: Обеспечение безопасности персональных данных при их обработке с использованием средств автоматизации должно производиться в соответствии с Федеральным законом «О персональных данных» и требованиями, изложенными в подзаконных актах, принятых во исполнение указанного закона. Безопасность персональных данных при их обработке с использованием средств автоматизации обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с частью 5 статьи 19 Федерального закона «О персональных данных». Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий. Безопасность персональных данных при их обработке обеспечивает Оператор, или лицо, осуществляющее обработку персональных данных по поручению Оператора на основании заключаемого с этим лицом договора (далее — уполномоченное лицо). Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке с использованием средств автоматизации.

6.9. Особенности обработки персональных данных, осуществляемой без использования средств автоматизации: Обработка персональных данных, осуществляемая без использования средств автоматизации, строится на принципах, изложенных в «Положении об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденном Постановлением Правительства Российской Федерации от 15.09.2008 г. № 687. 6 При разработке формы обратной связи, содержащих персональные данные, ответственные за разработку этих форм Оператора должны учитывать следующие положения:

а) фиксация на одном материальном носителе персональных данных субъекта, цели обработки которых несовместимы, не допускается (форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых несовместимы);

б) в случаях необходимости получения письменного согласия субъекта на обработку его персональных данных форма должна предусматривать поле, в котором субъект персональных данных может собственноручно поставить отметку о своем согласии на обработку персональных данных: «согласен/не согласен»;

в) форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;

г) в формах персональные данные должны быть обособлены от иной информации, в частности, путем фиксации их в специальных разделах или на полях форм документов.

6.9.1. В случае принятия Оператором решения о необходимости ведения журналов (реестров, книг), содержащих персональные данные, используемые для однократного пропуска субъекта персональных данных на территорию (в здания и помещения), на которой размещается Оператор, или в иных аналогичных целях, должны соблюдаться следующие условия:

а) необходимость ведения такого журнала (реестра, книги) должна определяться соответствующим документом, в котором должны содержаться сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, способы фиксации и состав информации, запрашиваемой у субъектов персональных данных, перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответственных за ведение и сохранность журнала (реестра, книги), сроки обработки персональных данных, а также сведения о порядке пропуска субъекта персональных данных на территорию (в здания и помещения), на которой находится Оператор;

б) копирование содержащейся в таких журналах (реестрах, книгах) информации не допускается;

в) персональные данные каждого субъекта персональных данных могут заноситься в такой журнал (книгу, реестр) не более одного раза в каждом случае пропуска субъекта персональных данных на территорию (в здания и помещения), на которой находится Оператор.

Для организации физического доступа субъекта персональных данных на территорию, в здания и помещения Оператора, инициировавшее в установленном порядке пропуск субъекта персональных данных, должно быть истребовать от него Согласие на обработку персональных данных до момента их фиксации в бюро пропусков перед выдачей ему пропуска для прохода, при условии, что соответствующее согласие не было получено от данного субъекта персональных данных ранее и срок его действия не истек.

6.9.2. Для решения задачи обеспечения безопасности Оператора, связанной с физическим доступом субъектов персональных данных (посетителей, сотрудников, иных субъектов персональных данных) на территорию Оператора, в здания и помещения Оператора, в которых производится обработка персональных данных, возможно применение системы видеонаблюдения. При этом материалы видеозаписи системы видеонаблюдения не являются биометрическими персональными данными, поскольку технические характеристики применяемого оборудования не позволяют получать видеозаписи с привязкой к конкретному физическому лицу и использоваться Оператором для установления личности субъекта персональных данных. С целью информирования субъектов персональных данных о ведущейся видеозаписи Оператор размещает об этом уведомление в помещениях, в которых ведется видеонаблюдение.

7. Прекращение обработки, уточнение, блокирование и уничтожение персональных данных

7.1. В соответствии с Федеральным законом «О персональных данных» (ч.1, ч.3 ст. 21) в случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных (субъекта персональных данных) или его Представителя либо по запросу субъекта персональных данных или его Представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки. Решение о блокировании предположительно неправомерно обрабатываемых персональных данных, о проведении проверки факта неправомерности обработки и о последующем уничтожении (или обеспечении уничтожения) неправомерно обрабатываемых персональных данных (в случае подтверждения факта неправомерности обработки по результатам проверки) или разблокировании (в случае не подтверждения факта неправомерности обработки) принимается лицом, ответственным за организацию обработки персональных данных. Выполнение процедуры уничтожения (блокирования) персональных данных субъекта персональных данных Оператором оформляется Актом об уничтожении (блокировании) персональных данных, который составляет комиссия, формируемая распоряжением руководителя Оператора из состава сотрудников, допущенных к работе с персональными данными. 7 Акт об уничтожении (блокировании) персональных данных хранится у Оператора в течение 3 лет. В случае, если уничтожение (блокирование) персональных данных выполняется, в том числе другим лицом, действующим по поручению Оператора на договорной основе, то Оператор должен обеспечивать процедурные вопросы взаимодействия в рамках выполнения требований настоящей Политики, в том числе получение Оператором копии Акта об уничтожении (блокировании) персональных данных.

7.2. В соответствии с Федеральным законом «О персональных данных» (ч.1, ч. 2 ст. 21) в случае выявления неточных (неполных, устаревших) персональных данных при обращении субъекта персональных данных или его Представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. Решение о блокировании предположительно неточных обрабатываемых персональных данных, о проведении проверки факта их неточности и о последующем уточнении (или обеспечении уточнения) обрабатываемых неточных персональных данных (в случае подтверждения факта неточности по результатам проверки) и последующем разблокировании ранее заблокированных персональных данных принимается лицом, ответственным за организацию обработки персональных данных. Если при обращении субъекта персональных данных (его Представителя) будут обнаружены неточные (неполные, устаревшие) персональные данные, которые можно в присутствии обратившегося и с его согласия оперативно откорректировать, то действия, приведенные в настоящем пункте, допускается не выполнять.

7.3. В соответствии с Федеральным законом «О персональных данных» в случае достижения цели обработки персональных данных (ч. 4 ст. 21) или в случае утраты необходимости в достижении этих целей (ч. 7 ст. 5) Оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и уничтожить персональные данные (либо провести обезличивание — ч. 7 ст. 5) или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами. Решение о прекращении обработки персональных данных соответствующего субъекта персональных данных на основании отзыва его согласия, о проведении проверки и о последующем возможном уничтожении персональных данных принимает Ответственный за организацию обработки персональных данных. Процедура уничтожения (обезличивания) персональных данных или обеспечения их уничтожения (обезличивания) выполняется в законодательно установленный срок только в том случае, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных, либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами. Выполнение в установленном порядке процедуры уничтожения (обезличивания) персональных данных субъекта персональных данных Оператором оформляется Актом об уничтожении (обезличивания) персональных данных, который составляется комиссией, формируемая распоряжением руководителя Оператора из состава сотрудников, допущенных к работе с персональными данными. Акт об уничтожении (обезличивании) персональных данных хранится Оператором в течение трех лет. В случае, если уничтожение (обезличивание) персональных данных выполняется в том числе другим лицом, действующим по поручению Оператора на договорной основе, то Оператор должен обеспечивать процедурные вопросы взаимодействия в рамках выполнения требований настоящей Политики, в том числе получение Оператором копии Акта об уничтожении (обезличивании) персональных данных.

7.4. В соответствии с Федеральным законом «О персональных данных» в случае отзыва субъектом персональных данных согласия на обработку его персональных данных (ч. 5 ст. 21) Оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий 30 дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на 8 основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами. Выполнение работниками Оператора этих законодательных требований производится в порядке, аналогичном изложенному в п. 7.3. настоящей Политики.

7.5. В соответствии с Федеральным законом «О персональных данных» (ч.3 ст. 20, ч.3 ст. 21) об устранении допущенных нарушений, в результате которых персональные данные были неполными, неточными или неактуальными и подлежали изменению, или об уничтожении персональных данных (в случае неправомерной обработки персональных данных, т.е. когда они являются незаконно полученными или не являются необходимыми для заявленной цели обработки), Оператор обязан уведомить субъекта персональных данных или его Представителя, а в случае, если обращение субъекта персональных данных или его Представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

8. Меры по обеспечению безопасности персональных данных при их обработке

8.1 При обработке персональных данных Оператор применяет необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

8.2 Обеспечение безопасности персональных данных достигается следующими мерами:

1) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

2) применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

3) применение прошедших в установленном порядке процедур оценки соответствия средств защиты информации;

4) оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

5) учет машинных носителей персональных данных;

6) обнаружение фактов несанкционированного доступа к персональных данных и принятие мер;

7) восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

8) установление правил доступа к персональным данных, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

9) контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

8.3. Меры, необходимые и достаточные для обеспечения выполнения Оператором обязанностей оператора, предусмотренных законодательством Российской Федерации в области персональных данных, включают:

назначение лица, ответственного за организацию обработки персональных данных;
принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;
получение согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации;
обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации, в частности путем их фиксации на отдельных материальных носителях персональных данных, в специальных разделах;
обеспечение раздельного хранения персональных данных и их материальных носителей, обработка которых осуществляется в разных целях и которые содержат разные категории персональных данных;
установление запрета на передачу персональных данных по открытым каналам связи и сетям Интернет без применения установленных Оператором мер по обеспечению безопасности персональных данных (за исключением общедоступных и (или) обезличенных персональных данных);
хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике, локальным нормативным актам Оператора;
иные меры, предусмотренные законодательством Российской Федерации в области персональных данных.