Положение об обработке и защите персональных данных работников и иных лиц Акционерного общества «БУКА»

• цель, порядок и условия обработки персональных данных;
• категории субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований;
• положения, касающиеся защиты персональных данных, процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в области персональных данных, на устранение последствий таких нарушений.

персональные данные - любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);

оператор персональных данных (оператор) - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

ответственный за обеспечение безопасности персональных данных в информационных системах Организации - должностное лицо подразделения Организации, назначенное приказом, отвечающее за обеспечение безопасности персональных данных, обрабатываемых в информационной системе Организации;

обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передачу (распространение, предоставление, доступ);
• обезличивание;
• блокирование;
• удаление;
• уничтожение;

автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

неавтоматизированная обработка персональных данных - обработка персональных данных, осуществляемая при непосредственном участии работника без использования средств вычислительной техники;

материальный носитель - бумажный или машинный носитель информации, предназначенный для фиксирования, передачи и хранения персональных данных;

машинный носитель - материальный носитель информации, предназначенный для записи и воспроизведения информации средствами вычислительной техники, а также сопрягаемыми с ними устройствами (внутренние и внешние жесткие диски, флеш-накопители, CD/DVD и иные устройства);

несъемный машинный носитель - машинный носитель, установленный в корпус средства вычислительной техники, используемый для хранения и обработки информации (внутренние жесткие диски и иные устройства);

допуск к обработке персональных данных - процедура оформления права на доступ к персональным данным;

доступ к персональным данным - возможность обработки персональных данных;

распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

специальные категории персональных данных - категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни и судимости;

блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах;

субъекты персональных данных - контрагенты, работники Оператора, их близкие родственники, кандидаты для приема на работу (соискатели), а также иные лица, чьи персональные данные стали известны Оператору при осуществлении своей деятельности, в том числе в силу предоставления им со стороны Оператора социальных льгот, гарантий и компенсаций;

контрагент - российское или иностранное юридическое, или физическое лицо, с которым Оператор состоит в договорных отношениях или планирует вступить в договорные отношения, за исключением трудовых отношений;

трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу;

конфиденциальность персональных данных - обязательное для соблюдения требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

разглашение персональных данных - действия (бездействие), в результате которых персональные данные в любой возможной форме (устной, письменной, иной форме, в том числе с использованием технических средств) становятся известными третьим лицам без письменного согласия субъекта персональных данных;

• кандидаты для приема на работу в Организацию;
• работники Организации;
• бывшие работники Организации;
• члены семей работников Организации - в случаях, когда согласно законодательству сведения о них предоставляются работником;
• иные лица, персональные данные которых Организация обязана обрабатывать в соответствии с трудовым законодательством и иными актами, содержащими нормы трудового права;
• контрагенты (физические лица) Организации.

• ведении кадрового, воинского и бухгалтерского учета;
• содействии работникам в получении образования и продвижении по службе;
• оформлении награждений и поощрений;
• предоставлении со стороны Организации установленных законодательством условий труда, гарантий и компенсаций;
• заполнении и передаче в уполномоченные органы требуемых форм отчетности;
• обеспечении личной безопасности работников и сохранности имущества;
• достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
• в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
• для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
• для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;
• осуществлении контроля за количеством и качеством выполняемой работы.

• фамилия, имя, отчество (при наличии), а также прежние фамилия, имя, отчество (при наличии), дата и место их изменения (в случае изменения);
• пол;
• дата (число, месяц, год) и место рождения;
• фотографическое изображение;
• сведения о гражданстве;
• вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;
• страховой номер индивидуального лицевого счета (СНИЛС);
• идентификационный номер налогоплательщика (ИНН);
• адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
• номер контактного телефона, адрес электронной почты и (или) сведения о других способах связи;
• реквизиты свидетельств о государственной регистрации актов гражданского состояния и содержащиеся в них сведения;
• сведения о семейном положении, составе семьи (степень родства, фамилии, имена, отчества (при наличии), даты (число, месяц, год) и места рождения);
• сведения об образовании и (или) квалификации или наличии специальных знаний (в том числе наименование образовательной и (или) иной организации, год окончания, уровень образования, квалификация, реквизиты документа об образовании, обучении);
• информация о владении иностранными языками;
• сведения об отношении к воинской обязанности, о воинском учете и реквизиты документов воинского учета (серия, номер, дата выдачи документа, наименование органа, выдавшего его, звание, состав, ВУС);
• сведения о трудовой деятельности, а также информация о предыдущих местах работы, периодах и стаже работы;
• сведения об инвалидности;
• сведения об удержании алиментов;
• сведения, содержащиеся в документах, дающих право на пребывание и трудовую деятельность на территории РФ (для иностранных граждан, пребывающих в РФ);
• сведения, содержащиеся в разрешении на временное проживание, разрешении на временное проживание в целях получения образования (для иностранных граждан, временно проживающих в РФ), виде на жительство (для иностранных граждан, постоянно проживающих в РФ);
• сведения о доходах, обязательствах по исполнительным документам;
• номера расчетного счета, банковской карты;
• сведения о состоянии здоровья (для отдельных категорий работников);
• иные персональные данные, содержащиеся в документах, представление которых предусмотрено законодательством, если обработка этих данных соответствует цели обработки, предусмотренной п. 3.1 Положения;
• иные персональные данные, которые работник пожелал сообщить о себе и обработка которых соответствует цели обработки, предусмотренной п. 3.1 Положения.

• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка персональных данных.

1. Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных ст. 10.1 Закона о персональных данных. Согласие на обработку таких персональных данных оформляется отдельно от других согласий на обработку персональных данных. Согласие предоставляется субъектом персональных данных лично либо в форме электронного документа, подписанного электронной подписью, с использованием информационной системы Роскомнадзора.

1. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных в Организации осуществляются посредством:
   • получения оригиналов документов либо их копий;
   • копирования оригиналов документов;
   • внесения сведений в учетные формы на бумажных и электронных носителях;
   • создания документов, содержащих персональные данные, на бумажных и электронных носителях;
   • внесения персональных данных в информационные системы персональных данных.
2. В Организации используются следующие информационные системы:
   • корпоративная электронная почта;
   • система электронного документооборота;
   • система поддержки рабочего места пользователя;
   • система нормативно-справочной информации;
   • система управления персоналом;
   • система контроля за удаленным доступом;
   • информационный портал.

• должны быть определены:
• перечень персональных данных;
• перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных;
• цели обработки персональных данных.

• приказ о назначении ответственного за обработку персональных данных;
• обязательство о неразглашении персональных данных, составленное по форме согласно (Приложению № 1 к настоящему Положению), подписанное работником и хранящееся в его личном деле или в деле в соответствии с утвержденной номенклатурой дел подразделения Организации.
• Приказ об утверждении списка уполномоченных работников, имеющих доступ к персональным данным.

• обрабатывать персональные данные, не отвечающие целям их обработки;
• работать под чужими учетными записями в информационных системах Организации, в которых обрабатываются персональные данные, и передавать кому-либо индивидуальные атрибуты доступа;
• допускать несанкционированное использование своего автоматизированного рабочего места другими работниками Организации и посторонними лицами;
• использовать (загружать, запускать и т.п.) для обработки персональных данных программные средства, не разрешенные для применения в информационных системах Организации;
• разглашать ставшие им известными в связи с исполнением своих должностных обязанностей персональные данные лицам, не имеющим права доступа к этим данным;
• делать копии документов, содержащих персональные данные, не требующиеся для исполнения своих должностных обязанностей;
• держать на рабочем месте материальные носители, содержащие персональные данные, дольше времени, необходимого для их обработки (включая хранение);
• хранить материальные носители, содержащие персональные данные, на рабочих местах ненадлежащим образом;
• выносить материальные носители, содержащие персональные данные, из рабочих помещений без служебной необходимости.

• экран монитора автоматизированного рабочего места, используемого для работы с персональными данными, а также бумажные носители, содержащие персональные данные, должны размещаться таким образом, чтобы исключить возможность просмотра информации посторонними лицами, включая других работников Организации;
• для доступа к информационным системам Организации, в которых обрабатываются персональные данные, должны использоваться индивидуальные пароли, отвечающие установленным Организации требованиям;
• автоматизированные рабочие места, используемые уполномоченными работниками для обработки персональных данных, во время перерывов в работе должны блокироваться с помощью защищенной паролем экранной заставки;
• в информационных системах Организации, в которых обрабатываются персональные данные, и (или) на отдельных автоматизированных рабочих местах, предназначенных для работы с персональными данными, в обязательном порядке должны использоваться сертифицированные средства антивирусной защиты;
• индивидуальные пароли доступа уполномоченного работника к информационным системам Организации, в которых обрабатываются персональные данные, в обязательном порядке должны меняться при его переходе на работу в другое подразделение Организации;
• бумажные и съемные машинные носители, содержащие персональные данные, после окончания работы с ними или при оставлении уполномоченным работником своего рабочего места должны помещаться в запираемые ящики столов, шкафы (сейфы);
• работа, связанная с обработкой персональных данных и хранением их носителей, должна осуществляться в находящихся в контролируемой зоне помещениях, включенных в утверждаемый руководителем подразделения Организации перечень помещений;
• бумажные носители персональных данных субъектов персональных данных должны храниться в делах в соответствии с номенклатурой дел подразделения Организации;
• испорченные бланки, черновики и промежуточные редакции документов, содержащие персональные данные, по окончании работы с ними должны уничтожаться без возможности восстановления.

• при выявлении факта неправомерной обработки персональных данных. Срок прекращения обработки - в течение трех рабочих дней с даты выявления такого факта;
• при достижении целей их обработки (за некоторыми исключениями);
• по истечении срока действия или при отзыве субъектом персональных данных согласия на обработку его персональных данных (за некоторыми исключениями), если в соответствии с Законом о персональных данных их обработка допускается только с согласия;
• при обращении субъекта персональных данных к Организации с требованием о прекращении обработки персональных данных (за исключением случаев, предусмотренных ч. 5.1 ст. 21 Закона о персональных данных. Срок прекращения обработки - не более 10 рабочих дней с даты получения требования (с возможностью продления не более чем на пять рабочих дней, если направлено уведомление о причинах продления).

1. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются в течение 30 дней.

1. Комиссия составляет список с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
2. Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
3. Комиссия подтверждает уничтожение персональных данных, указанных в п. п. 9.4, 9.5, 9.6 Положения, согласно Требованиям, к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 N 179, а именно:
   • актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;
   • актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств. Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями. Формы акта и выгрузки из журнала с учетом сведений, которые должны содержаться в указанных документах, утверждаются приказом генерального директора (Приложение № 4 к настоящему Положению).
4. После составления акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных комиссия передает их в общий отдел для последующего хранения. Акты и выгрузки из журнала хранятся в течение трех лет с момента уничтожения персональных данных.
5. Уничтожение персональных данных, не указанных в п. 9.8.3 Положения, подтверждается актом, который оформляется непосредственно после уничтожения таких данных. Форма акта утверждается приказом генерального директора.

• организацию работы с персональными данными, обеспечивающей сохранность носителей персональных данных и средств защиты информации;
• определение угроз безопасности персональных данных при их обработке в информационных системах Организации;
• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке;
• проверку соответствия применяемых мер защиты информации законодательству Российской Федерации в области персональных данных и оценку их эффективности;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие соответствующих мер реагирования;
• восстановление персональных данных, измененных или уничтоженных вследствие несанкционированного доступа к ним;
• установление правил доступа к персональным данным, обрабатываемым в информационных системах Организации;
• разграничение доступа пользователей к информационным системам Организации;
• размещение информационных систем Организации в помещениях, исключающих возможность неконтролируемого пребывания в них посторонних лиц;
• хранение и использование документов, машинных носителей, информационных систем Организации, в которых обрабатываются персональные данные, исключающие их хищение, подмену, уничтожение, а также несанкционированный доступ к ним;
• внутренний контроль за соблюдением подразделениями Организации при обработке персональных данных законодательства Российской Федерации и нормативных документов Организации в области персональных данных;
• оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных".

• при необходимости обработки определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется их копирование;
• при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется весь материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию.

• описание компьютерного инцидента: дата, время и место инцидента, Ф.И.О. работника Организации и способ выявления им инцидента;
• сведения о лицах, действия которых стали причиной компьютерного инцидента (в случае наличия такой информации);
• полное название автоматизированной информационной системы Организации, в которой выявлен компьютерный инцидент, и подразделение, выполняющее роль функционального заказчика (в случае наличия такой информации);
• описание используемых уязвимостей (в случае наличия такой информации);
• краткое описание последствий компьютерного инцидента;
• принятые меры по устранению компьютерного инцидента;
• иная информацию, связанная с компьютерным инцидентом.

• определяется обоснованность отнесения переданной, разглашенной либо утраченной информации к персональным данным;
• устанавливаются обстоятельства расследуемого нарушения и причастные к нему лица;
• принимаются меры по определению местонахождения материальных носителей;
• устанавливаются причины и условия, которые привели к нарушению;
• оценивается причиненный или возможный вред субъекту персональных данных Организации вследствие нарушения.

• опрашивать работников подразделений Организации, которые допустили нарушение, а также работников подразделений Организации, которые могут оказать содействие в установлении обстоятельств допущенного нарушения или в определении местонахождения утраченных материальных носителей, и требовать от них письменные объяснения;
• запрашивать информацию и документы, имеющие отношение к проведению служебного расследования обстоятельств возникновения нарушения;
• проводить осмотр помещений, в которых хранятся и обрабатываются персональные данные, рабочих мест уполномоченных работников, обследование средств вычислительной техники, используемых для обработки персональных данных, мест, где могут находиться утраченные материальные носители;
• проверять наличие материальных носителей персональных данных, учетную документацию, отражающую их поступление и движение;
• привлекать к работе комиссии с разрешения руководителя подразделения Организации, назначившего служебное расследование, работников (экспертов), обладающих специальными знаниями.

• о возможности привлечения виновных работников к дисциплинарной и (или) материальной ответственности;
• об обращении в правоохранительные органы с заявлением о привлечении работников, допустивших нарушение, к административной или уголовной ответственности;
• о принятии мер по устранению причин и условий, повлекших нарушение.