Политика в отношении обработки персональных данных ООО «Техноавиа-Иркутск»

Оглавление

1 Общие положения

1.1. Назначение документа

1.2. Нормативно-правовые  акты

1.3. Термины и определения

2 Основные положения

2.1. Порядок и условия обработки персональных данных

2.2. Цели сбора и обработки персональных данных (Приложение к Политике)

2.3. Категории  персональных  данных (Приложение к Политике)

2.4. Правовые основания  и сроки обработки персональных данных

2.5. Права субъектов персональных данных

2.6. Порядок  ответа на  запросы  субъектов персональных данных

2.7. Сведения о  реализуемых мерах по защите  персональных данных

2.8. Хранение   персональных  данных

2.9. Уничтожение  персональных  данных

2.10. Изменение Политики

Приложение:

«Цели сбора и обработки персональных  данных,  перечень категорий персональных данных, правовые основания  обработки  персональных данных, обрабатываемых в ООО «Техноавиа-Иркутск» и  сроки их хранения»

1. ОБЩИЕ ПОЛОЖЕНИЯ

1. Назначение документа
   1. Политика ООО «Техноавиа-Иркутск» (далее Общество, оператор)  в отношении обработки персональных данных (далее – Политика) является локальным внутренним нормативным документом  Общества.
   2. Действие Политики распространяется на все персональные данные субъектов, обрабатываемые Обществом с применением средств автоматизации и без применения таких средств, в том числе полученных ПДн  с использованием интернет-сайта  ПВ ООО «Фирма «Техноавиа»: https://www.technoavia.ru.

1.1.3. Настоящая Политика разработана в соответствии с пп. 2 ч.1 статьи 18.1 Федерального закона от 27.07.2006  №152 «О персональных данных» и предназначена для ознакомления неограниченного круга лиц.

1. Нормативно-правовые  акты:

При обработке персональных данных Общество руководствуется:

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (в редакции ФЗ от 25.11.2009 № 266-ФЗ)
• Федеральный закон от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации"
• Статьи 86-89  Трудового кодекса РФ;
• Указ Президента РФ от 06.03.1997 N 188 "Об утверждении Перечня сведений конфиденциального характера"
• Приказ ФСБ от 10.07.2014  N 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности"
• Постановление Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";
• Постановление Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации"
• Приказ ФСТЭК от 18.02.2013 № 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";
• Методический документ "Методика оценки угроз безопасности информации" (утв. ФСТЭК  05.02.2021 г.)
• "Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных" (Выписка) (утв. ФСТЭК России 15.02.2008) - Текст документа официально опубликован не был
• Приказ Роскомнадзора от 28.10.2022  N 179 "Об утверждении Требований к подтверждению уничтожения персональных данных"
• Приказ Роскомнадзора от 27.10.2022 г. N 178 "Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"
• Приказ Роскомнадзора от 24.12.2021 №253 "Об утверждении формы проверочного листа (списка контрольных вопросов, ответы на которые свидетельствуют о соблюдении или несоблюдении контролируемым лицом обязательных требований), применяемого при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций и ее территориальными органами"
• Приказ Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения»

Госконтроль:

• Федеральный закон от 31.07.2020 № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации»
• Постановление Правительства РФ от 29.06.2021 № 1046 «О федеральном государственном контроле (надзоре) за обработкой персональных данных»
• Перечень индикаторов риска нарушения обязательных требований при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных, утв. Приказом Минцифры и от 15.11.2021 № 1187

1. Термины и определения

• обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
• оператор - организация, самостоятельно или совместно с другими лицами организующая обработку персональных данных, а также определяющая цели обработки персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
• Оператором является Общество с ограниченной ответственностью «Техноавиа-Иркутск», расположенное по адресу: 664009, г. Иркутск, ул. Ширямова, 10, офис 111.
• Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту  ПДн).
• Категории ПДн:
• Общедоступные персональные данные – ПДн, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.
• Специальные — ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья,  интимной жизни.
• Биометрические — Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта ПДн, могут обрабатываться только при наличии согласия в письменной форме субъекта ПДн.
• Иные — ПДн, которые нельзя определить ни в одну из других групп. Фактически, это дополнительная информация о человеке, которая часто меняется: размер зарплаты, социальный статус, рабочий стаж, длительность и даты отпуска и т.д.
• Доступ к информации - возможность получения информации и ее использования.
• Персональные данные, разрешенные субъектом для распространения – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом о персональных данных (далее - персональные данные, разрешенные для распространения).
• Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
• Распространение персональных данных – любые действия, направленные на раскрытие персональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.
•  Доступ в операционную среду компьютера (информационной системы персональных данных) - получение возможности запуска на выполнение штатных команд, функций, процедур операционной системы (уничтожения, копирования, перемещения и т.п.), исполняемых файлов прикладных программ.
• Доступ к информации - возможность получения информации и ее использования.
• Безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.
• Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.
• Несанкционированный доступ (несанкционированные действия) - доступ к информации или действия с информацией, осуществляемые с нарушением установленных прав и (или) правил доступа к информации или действий с ней с применением штатных средств информационной системы или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам.
• Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
• Уничтожение персональных данных – любые действия, в результате которых персональные данные уничтожаются безвозвратно с невозможностью дальнейшего восстановления содержания персональных данных в информационной системе персональных данных и (или) уничтожаются материальные носители персональных данных.
• Обезличивание персональных данных — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному Пользователю или иному субъекту персональных данных.
• Информационная система персональных данных (ИСПДн)  - это информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.
• Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
• Утечка (защищаемой) информации по техническим каналам - неконтролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации.
• Уязвимость - некая слабость, которую можно использовать для нарушения системы или содержащейся в ней информации.
• Целостность информации - состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право.
• угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных.
• уровни защищенности персональных данных - комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

2. ОСНОВНЫЕ ПОЛОЖЕНИЯ

2.1. Порядок и условия обработки персональных данных

2.1.1. При обработке персональных данных Общество придерживается следующих принципов:

• обработка персональных данных осуществляется на законной и справедливой основе;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
• недопущения избыточности обрабатываемых персональных данных по отношению к заявленным целям обработки;
• обработке подлежат только те персональные данные, которые отвечают целям их обработки;
• обеспечение точности  персональных данных, их достаточности, в  необходимых  случаях и актуальности по отношению к целям обработки персональных данных;
• субъекту персональных данных может предоставляться соответствующая информация, касающаяся обработки его персональных данных;
• осуществления хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных. Обрабатываемые персональные данные подлежат  уничтожению либо обезличиванию  по  достижении целей обработки  или  в случае  утраты   необходимости в достижении  этих целей, если иное  не  предусмотрено федеральным законом;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместных между собой.

2.1.2 Общество не обрабатывает специальные категории персональных данных. Общество не обрабатывает  биометрические  персональные  данные.

2.1.3. Общество не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих права и законные интересы субъектов, на основании исключительно автоматизированной обработки персональных данных. Данные, имеющие юридические последствия или затрагивающие права и законные интересы субъекта персональных данных, подлежат перед их использованием проверке со стороны уполномоченных работников Общества.

2.1.4. Общество не размещает персональные данные субъекта персональных данных в общедоступных источниках без его предварительного согласия.

2.1.5. Общество в ходе своей деятельности  вправе предоставлять и (или) поручать обработку  персональных данные третьим лицам с согласия субъекта персональных  данных  по договору поручения, в том числе хостинг-провайдерам, с соблюдением условий конфиденциальности и требований к поручению обработки персональных данных, предусмотренных Федеральным законом РФ от 27.07.2006 г. № 152-ФЗ. В случае если Общество поручает обработку ПДн другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Общество. Лицо, осуществляющее обработку персональных данных по поручению Общества, несет ответственность перед Обществом.

2.1.6. Общество осуществляет обработку персональных данных с использованием средств автоматизации и без их использования, выполняя требования к автоматизированной и неавтоматизированной обработке персональных данных, предусмотренные Федеральным законом РФ от 27.07.2006 г. № 152-ФЗ  и принятыми в соответствии с ним нормативными правовыми актами.

2.1.7. В рамках указанных в разделе 4 настоящей Политики целей сбора персональных данных Общество вправе совершать любые действия (операции) или совокупность действий (операций), с использованием средств автоматизации или без использования таких средств, предусмотренные п. 3 ч. 1 ст. 3 Федерального закона от 27.07.2006 г. № 152-ФЗ, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение, передачу (распространение, предоставление, доступ) персональных данных третьим лицам с соблюдением мер, обеспечивающих защиту персональных данных от несанкционированного доступа, в объеме, необходимом для достижения целей данного субъектом персональных данных согласия.

2.1.8. Информация, относящаяся к персональным данным, ставшая известной Обществу, является конфиденциальной информацией и охраняется законом.

2.2. Цели сбора и обработки персональных данных  указаны  в Приложении к Политике

2.3. Категории  персональных  данных  указаны   в Приложении к Политике

2.4. Правовые основания  и сроки обработки персональных данных:

2.5. Права субъектов персональных данных

2.5.1. Требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

2.5.2. Получать от Общества следующие сведения:

• подтверждение факта обработки персональных данных Обществом;
• правовые основания и цели обработки персональных данных;
• сведения о применяемых Обществом способах обработки персональных данных;
• наименование и место нахождения Общества;
• сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании федерального закона;
• перечень обрабатываемых персональных данных, относящихся к гражданину, от которого поступил запрос и источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральным законом;
• сведения о сроках обработки персональных данных, в том числе о сроках их хранения;
• порядок осуществления гражданином прав, предусмотренных Федеральным законом  № 152-ФЗ;
• информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральным законом № 152-ФЗ или другими федеральными законами.

2.5.3. Отозвать своё согласие на обработку персональных данных;

2.5.4. Требовать устранения неправомерных действий Общества в отношение его персональных данных;

2.5.5. Обжаловать действия или бездействие Общества в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке в случае, если субъект персональных данных считает, что Общество осуществляет обработку его персональных данных с нарушением требований Федерального закона № 152-ФЗ  или иным образом нарушает его права и свободы.

2.5.6. Защищать свои права и законные интересы, в том числе требовать возмещения убытков и/или компенсации морального вреда в судебном порядке.

2.6. Порядок  ответа  на запросы субъектов  персональных  данных

2.6.1.  Субъекты персональных данных могут получить разъяснения по интересующим вопросам обработки персональных данных, в том числе, уточнить персональные данные или отозвать своё согласие на обработку персональных данных, направив запрос в адрес ООО «Техноавиа-Иркутск» в письменном виде по адресу: 664009, город Иркутск, ул. Ширямова, 10, офис 111. В тексте запроса необходимо указать:

• фамилию, имя, отчество субъекта персональных данных;
• реквизиты документа, подтверждающего полномочия представителя субъекта персональных данных (в случае, если субъект персональных данных обращается к Обществу через представителя);
• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, а также сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
• подпись субъекта персональных данных или его представителя.

2.6.2. Запрос, указанный в п. 2.5.1. настоящей Политики, может быть подписан электронной подписью и направлен в форме электронного документа на адрес электронной почты: irkutsk@technoavia.ru

2.6.3. Общество отвечает на поступившие запросы субъектов персональных данных в порядке и в сроки, установленные Федеральным законом РФ от 27.07.2006 г. № 152-ФЗ.

2.7. Сведения о  реализуемых мерах по защите  персональных данных

2.7.1. Общество при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. В частности, Общество принимает следующие меры:

• определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПД;
• применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• регистрация и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности ИСПД;
• учет машинных носителей персональных данных;
• размещение технических средств обработки персональных данных в пределах охраняемой территории; поддержание технических средств охраны, сигнализации в постоянной готовности;
• проведение мониторинга действий пользователей, проведение разбирательств по фактам нарушения требований безопасности персональных данных;
• обучение работников Оператора, непосредственно осуществляющих обработку персональных данных, положениям законодательства РФ о персональных данных, в том числе требованиям к защите персональных данных, документам, определяющим политику Оператора в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных;
• в целях координации действий по обеспечению безопасности персональных данных в Обществе назначены лица, ответственные за обеспечение безопасности персональных данных;
• осуществление внутреннего контроля и аудита.

2.8. Хранение персональных  данных.

2.8.1.  Персональные  данные субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.

2.8.2. Персональные  данные, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.

2.8.3. Персональные  данные субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках.

2.8.4. Не допускается хранение и размещение документов, содержащих персональные  данные, в открытых электронных каталогах (файлообменниках) в ИСПДн.

2.8.5. Хранение персональных  данных в форме, позволяющей определить субъекта персональных  данных, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

2.9. Уничтожение персональных данных.

2.9.1. Уничтожение документов (носителей), содержащих персональные данные, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу. Для уничтожения бумажных документов допускается применение шредера.

2.9.2. Персональные  данные на электронных носителях уничтожаются путем стирания или форматирования носителя.

2.9.3. Факт уничтожения персональных данных подтверждается документально актом об уничтожении носителей.

2.10. Изменение Политики

2.10.1. Общество периодически актуализирует настоящую Политику и вправе в одностороннем порядке в любой момент изменять её условия. При этом, Общество не обязано уведомлять субъектов персональных данных о внесённых изменениях. Общество рекомендует субъектам персональных данных самостоятельно отслеживать настоящую Политику на предмет возможных изменений.