Главная Юристы Политика обработки персональных данных. Образец. Что такое политика обработки и защиты персональных данных, кем и как она составляется? Образец документов

Политика обработки персональных данных. Образец. Что такое политика обработки и защиты персональных данных, кем и как она составляется? Образец документов

1. Общие положения
- 1.1. Политика в отношении обработки персональных данных (далее - Политика) направлена на защиту прав и свобод физических лиц, персональные данные которых обрабатывает Общество с ограниченной ответственностью «СИТИЛИНК» (далее - Оператор).
- 1.2. Политика разработана в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее - ФЗ «О персональных данных»).
- 1.3. Политика содержит сведения, подлежащие раскрытию в соответствии с ч. 1 ст. 14 ФЗ «О персональных данных», и является общедоступным документом.
2. Сведения об операторе
- 2.1. Оператор ведет свою деятельность по адресу 107207, г.Москва, Щелковское шоссе, д.77, стр.1, каб. 139
3. Сведения об обработке персональных данных
- 3.1. Оператор обрабатывает персональные данные на законной и справедливой основе для выполнения возложенных законодательством функций, полномочий и обязанностей, осуществления прав и законных интересов Оператора, работников Оператора и третьих лиц.
- 3.2. Оператор получает персональные данные непосредственно у субъектов персональных данных.
- 3.3. Оператор обрабатывает персональные данные автоматизированным и неавтоматизированным способами, с использованием средств вычислительной техники и без использования таких средств.
- 3.4. Действия по обработке персональных данных включают сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.
4. Обработка персональных данных клиентов
- 4.1. Оператор обрабатывает персональные данные клиентов в рамках правоотношений с Оператором, урегулированных частью второй Гражданского Кодекса Российской Федерации от 26 января 1996 г. № 14-ФЗ, (далее - клиентов).
- 4.2. Оператор обрабатывает персональные данные клиентов в целях соблюдения норм законодательства РФ, а также с целью:
  - - информировать о новых товарах, специальных акциях и предложениях;
  - - заключение и исполнение условий договора.
- 4.3. Оператор обрабатывает персональные данные клиентов с их согласия, предоставляемого клиентами и/или их законными представителями путем совершения конклюдентных действий на настоящем интернет-сайте, в том числе, но не ограничиваясь, оформлением заказа, регистрацией в личном кабинете, подпиской на рассылку, в соответствии с настоящей Политикой.
- 4.4. Оператор обрабатывает персональные данные клиентов не дольше, чем того требуют цели обработки персональных данных, если иное не предусмотрено требованиями законодательства РФ.
- 4.5. Оператор обрабатывает следующие персональные данные клиентов:
  - - Фамилия, имя, отчество;
  - - Дата рождения;
  - - Адрес;
  - - Номер контактного телефона;
  - - Адрес электронной почты.
5. Сведения об обеспечении безопасности персональных данных
- 5.1. Оператор назначает ответственного за организацию обработки персональных данных для выполнения обязанностей, предусмотренных ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.
- 5.2. Оператор применяет комплекс правовых, организационных и технических мер по обеспечению безопасности персональных данных для обеспечения конфиденциальности персональных данных и их защиты от неправомерных действий:
  - - обеспечивает неограниченный доступ к Политике, копия которой размещена по адресу нахождения Оператора, а также может быть размещена на сайте Оператора (при его наличии);
  - - во исполнение Политики утверждает и приводит в действие документ «Положение об обработке персональных данных» (далее - Положение) и иные локальные акты;
  - - производит ознакомление работников с положениями законодательства о персональных данных, а также с Политикой и Положением;
  - - осуществляет допуск работников к персональным данным, обрабатываемым в информационной системе Оператора, а также к их материальным носителям только для выполнения трудовых обязанностей;
  - - устанавливает правила доступа к персональным данным, обрабатываемым в информационной системе Оператора, а также обеспечивает регистрацию и учёт всех действий с ними;
  - - производит оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения ФЗ «О персональных данных»;
  - - производит определение угроз безопасности персональных данных при их обработке в информационной системе Оператора;
  - - применяет организационные и технические меры и использует средства защиты информации, необходимые для достижения установленного уровня защищенности персональных данных;
  - - осуществляет обнаружение фактов несанкционированного доступа к персональным данным и принимает меры по реагированию, включая восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
  - - производит оценку эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы Оператора;
  - - осуществляет внутренний контроль соответствия обработки персональных данных ФЗ «О персональных данных», принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, Политике, Положению и иным локальным актам, включающий контроль за принимаемыми мерами по обеспечению безопасности персональных данных и их уровня защищенности при обработке в информационной системе Оператора.
6. Права субъектов персональных данных
- 6.1. Субъект персональных данных имеет право:
  - - на получение персональных данных, относящихся к данному субъекту, и информации, касающейся их обработки;
  - - на уточнение, блокирование или уничтожение его персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
  - - на отзыв данного им согласия на обработку персональных данных;
  - - на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке;
  - - на обжалование действий или бездействия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
- 6.2. Для реализации своих прав и законных интересов субъекты персональных данных имеют право обратиться к Оператору либо направить запрос лично или с помощью представителя. Запрос должен содержать сведения, указанные в ч. 3 ст. 14 ФЗ «О персональных данных».

Обращаем ваше внимание, что с «01» октября 2018 года юридический адрес ООО «Ситилинк» изменен на: 107497, г. Москва, ул. Амурская, д. 7, стр. 1, пом. II, эт. 1, ком. 21

Приложение

УТВЕРЖДЕНО

ПОЛИТИКА

ГОСУДАРСТВЕННОГО УНИТАРНОГО ПРЕДПРИЯТИЯ МОСКОВСКОЙ ОБЛАСТИ «НАУЧНО-ИССЛЕДОВАТЕЛЬСКИЙ И ПРОЕКТНЫЙ ИНСТИТУТ ГРАДОСТРОИТЕЛЬСТВА»

В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

I . Общие положения

1. Государственное унитарное предприятие Московской области «Научно-исследовательский и проектный институт градостроительства» (ГУП МО «НИиПИ градостроительства») (далее — предприятие), выполняя требования Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее — Федеральный закон), публикует в свободном доступе настоящую политику в отношении персональных данных и сведения о реализуемых требованиях к защите персональных данных.

2. Положения настоящей политики являются основой для организации работы по обработке персональных данных в ГУП МО «НИиПИ градостроительства», в том числе для разработки внутренних локальных нормативных актов, регламентирующих процесс обработки персональных данных.

3. Положения настоящей политики являются обязательными для исполнения всеми работниками ГУП МО «НИиПИ градостроительства», имеющими доступ к персональным данным.

4. Настоящая политика размещается на общедоступном ресурсе предприятия www..

5. Основные понятия:

5.1. персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

5.2. оператор персональных данных, оператор — предприятие (ГУП МО «НИиПИ градостроительства»), самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

5.3. обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования;

5.4. автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;

5.5. распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

5.6. предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

5.7. блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

5.8. уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

5.9. обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

5.10.информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

6. Основные права и обязанности предприятия.

6.1. Предприятие вправе:

6.1.1. отстаивать свои интересы в суде;

6.1.2. предоставлять персональные данные субъектов третьим лицам, если это предусмотрено законодательством Российской Федерации (налоговые, правоохранительные органы и др.);

6.1.3. отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством Российской Федерации;

6.1.4. использовать персональные данные субъекта без его согласия, в случаях, предусмотренных законодательством Российской Федерации.

6.2. Предприятие обязано:

6.2.1. предоставить субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных;

6.2.2. разъяснить субъекту персональных данных юридические последствия отказа предоставить персональные данные, если предоставление персональных данных является обязательным в соответствии с Федеральным законом;

6.2.3. до начала обработки персональных данных (если персональные данные получены не от субъекта персональных данных) предоставить субъекту персональных данных следующую информацию, за исключением случаев, предусмотренных Федеральным законом:

1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;

2) цель обработки персональных данных и ее правовое основание;

3) предполагаемые пользователи персональных данных;

4) установленные законом права субъекта персональных данных;

5) источник получения персональных данных.

6.2.4. опубликовать в сети Интернет или иным образом обеспечить неограниченный доступ к настоящей политики предприятия в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;

6.2.5. принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;

6.2.6. до начала обработки персональных данных уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных Федеральным законом;

6.2.7. сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса;

6.2.8. принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.

12.6. Уставом предприятия, законодательными и нормативными актами Российской Федерации и Московской области, регулирующими основную деятельность предприятия;

12.7. трудовыми договорами, договорами о материальной ответственности, которые предприятие заключает с работниками, договорами о проведении практики со студентами учебных заведений, которые предприятие заключает с учебными заведениями;

12.8. согласием на обработку персональных данных;

12.9. обязательством о неразглашении конфиденциальной информации.

IV . Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

13. Предприятие не осуществляет трансграничную передачу персональных данных.

14. Предприятие не осуществляет обработку специальной категории персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных и философских убеждений, интимной жизни, за исключением случаев, предусмотренных законодательством Российской Федерации.

15. Предприятие осуществляет обработку специальной категории персональных данных, касающихся судимости, состояния здоровья, в пределах полномочий, предоставленных в соответствии с законодательством Российской Федерации, в случаях и в порядке, которые определяются в соответствии с федеральными законами.

16. Предприятие осуществляет обработку биометрических персональных данных с целью установления личности работников при осуществлении пропуска на территорию предприятия.

17. Предприятие осуществляет обработку следующих персональных данных субъектов персональных данных:

17.1. фамилия, имя, отчество, адрес регистрации субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

17.2. дата и место рождения;

17.3. фамилия, имя, отчество, адрес регистрации представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

17.4. номер страхового свидетельства государственного пенсионного страхования;

17.5. номер индивидуального налогового номера;

17.6. информация о государственной регистрации актов гражданского состояния;

17.7. информация об образовании (когда и какие образовательные учреждения закончил, номера дипломов, направление подготовки или специальность по диплому, квалификация по диплому);

17.8. информация о послевузовском профессиональном образовании (наименование образовательного или научного учреждения, год окончания), ученая степень, ученое звание (когда присвоены, номера дипломов, аттестатов);

17.9. информация о дополнительном профессиональном образовании;

17.10. информация о выполняемой работе с начала трудовой деятельности (включая военную службу, работу по совместительству, предпринимательскую деятельность и т.п.)

17.11. сведения о предыдущих местах работы, продолжительности работы, о переводах и других изменениях трудового договора и причинах прекращения трудовых отношений;

17.12. информация о государственных наградах, иных наградах и знаках отличия (кем награжден и когда);

17.13. информация о степени родства, фамилиях, именах, отчествах, датах рождения близких родственников (отца, матери, братьев, сестер и детей), а также супруга (супруги), бывшего супруга (супруги);

17.14. информация о местах рождения, местах работы и домашних адресах близких родственников (отца, матери, братьев, сестер и детей), а также супруга (супруги), бывшего супруга (супруги);

17.15. информация о пребывании за границей (когда, где, с какой целью);

17.16. информация о близких родственниках (отец, мать, братья, сестры и дети), а также супругах, в том числе бывших, постоянно проживающих за границей и (или) оформляющих документы для выезда на постоянное место жительства в другое государство (фамилия, имя, отчество, с какого времени проживают за границей);

17.17. информация об отношении к воинской обязанности, сведения по воинскому учету (для граждан, пребывающих в запасе, и лиц, подлежащих призыву на военную службу);

17.18. информация о наличии (отсутствии) судимости;

17.19. информация о допуске к государственной тайне, оформленном за период работы, службы, учебы (форма, номер и дата);

17.20. информация о наличии (отсутствии) заболевания, препятствующего выполнению должностных обязанностей, подтвержденная заключением медицинского учреждения;

17.21. информация о наличии (отсутствии) медицинских противопоказаний для работы с использованием сведений, составляющих государственную тайну, подтвержденная заключением медицинского учреждения;

17.22. информация о наличии административных и иных наказаниях, о привлечении к ответственности;

17.23. сведения о доходах, о размере заработной платы и других выплат, об учреждении юридических лиц и т.п.;

17.24. биографические и анкетные данные работника, результаты тестирования, прохождения конкурсов, сдачи экзаменов;

17.25. фотография, подпись;

17.26. иных фактах, на основании которых работникам по закону и локальными нормативными актами предприятия должны быть предоставлены гарантии и компенсации.

18. Предприятие осуществляет обработку персональных данных следующих категорий субъектов персональных данных:

18.1. физические лица, являющимися кандидатами на замещение вакантных должностей предприятия;

18.2. физические лица, являющиеся работниками предприятия;

18.3. физические лица, являющиеся бывшими работниками предприятия;

18.4. физические лица, являющиеся родственниками и членами семьи работника;

18.5. физические лица, осуществляющие выполнение работ по оказанию услуг (работ) и заключившие с предприятием договор гражданско-правового характера;

18.6. физические лица, приобретшие услуги предприятия, услуги третьих лиц при посредничестве предприятия (контрагенты и заказчики услуг предприятия);

18.7. представители работников, контрагентов, заказчиков услуг;

18.8. студенты, проходящие практику на предприятия по заключенным договорам между предприятием и учебным заведением.

V . Порядок и условия обработки персональных данных

19. Предприятие не предоставляет и не раскрывает сведения, содержащие персональные данные субъектов персональных данных, третьей стороне без согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.

20. Доступ к персональным данным на предприятии имеют только те специалисты, кому это необходимо для исполнения должностных обязанностей, и назначенные приказом руководителя предприятия.

21. Все персональные данные предприятие получает только у субъекта персональных данных. В случае, когда персональные данные можно получить только у третьих лиц, это делается исключительно с письменного согласия субъекта.

22. В случаях, предусмотренных законодательством Российской Федерации, предприятие обрабатывает персональные данные без специального согласия субъекта персональных данных.

23. Предприятие вправе поручить обработку персональных данных третьему лицу с согласия субъекта персональных данных, если иное не предусмотрено законом. Такая обработка персональных данных осуществляется на основании договора, заключенного между предприятием и третьим лицом, в котором определены:

23.1. перечень действий (операций) с персональными данными, которые будут совершаться третьим лицом, осуществляющим обработку персональных данных;

23.2. цели обработки персональных данных;

23.3. обязанности третьего лица соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке, а также требования к защите обрабатываемых персональных данных.

24. Предприятие осуществляет передачу персональных данных государственным органам в рамках их полномочий в соответствии с законодательством Российской Федерации.

25. Предприятие осуществляет обработку персональных данных, которая включает в себя: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

26. Предприятие обрабатывает персональные данные в автоматизированной системе АИС «Финансы и кадры» и неавтоматизированным способом.

27. На предприятии обеспечивается защита персональных данных в рамках единого комплекса организационно-технических и правовых мероприятий по охране информации, составляющей персональные данные. При обеспечении защиты персональных данных учитываются требования Федерального закона, принятых в соответствии с ним нормативных правовых актов и Трудового кодекса Российской Федерации. Система информационной безопасности предприятия непрерывно развивается и совершенствуется на базе требований национальных стандартов информационной безопасности. На предприятии в предусмотренных нормативными актами и локальными нормативными актами случаях проводится аттестация информационных систем на соответствие требованиям по защите информации.

28. Хранение персональных данных на предприятии осуществляется в рамках конфиденциального производства в порядке, исключающем их утрату или неправомерное использование, в форме, позволяющей определить субъекта персональных данных.

29. Сроки обработки и архивного хранения персональных данных определяются в соответствии с требованиями законодательства Российской Федерации (Гражданским кодексом Российской Федерации, Трудовым кодексом Российской Федерации, Налоговым кодексом Российской Федерации, Федеральным законом от 27.07.2006 г. №152-ФЗ «О персональных данных», Федеральным законом от 22.10.2004 г. №125-ФЗ «Об архивном деле», Приказом Минкультуры РФ от 25.08.2010 № 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения», а также иными требованиями законодательства Российской Федерации), нормативными актами и локальными нормативными актами предприятия.

VI . Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

30. Предприятие при обращении или по запросу субъекта персональных данных либо его представителя, а также по запросу уполномоченного органа по защите прав субъекта персональных данных блокирует неправомерно обрабатываемые персональные данные этого субъекта с момента обращения или получения запроса на период проверки.

31. Предприятие на основании сведений, предоставленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъекта персональных данных, или иных необходимых документов подтверждающих, что персональные данные являются неполными, неточными или неактуальными, вносит в них необходимые изменения в течение семи рабочих дней со дня предоставления таких сведений.

32. Предприятие, со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, в срок, не превышающий семи рабочих дней, осуществляет уничтожение персональных данных и уведомляет субъекта персональных данных или его представителя о предпринятых мерах.

33. Предприятие прекращает обработку персональных данных субъекта и осуществляет уничтожение этих персональных данных:

33.1. при изъятии полномочий по обработке персональных данных; ликвидации предприятия;

33.2. при достижении цели обработки персональных данных, в срок, не превышающий тридцати дней со дня достижения цели обработки персональных данных, если иное не предусмотрено Федеральным законом или другими федеральными законами;

33.3. при изменении, признании утратившими силу нормативных правовых актов, устанавливающих правовые основания обработки персональных данных;

33.4. при истечении срока согласия субъекта на обработку персональных данных;

33.5. при отзыве субъектом персональных данных согласия на обработку его персональных данных, если в соответствии с Федеральным законом обработка персональных данных допускается только с согласия субъекта персональных данных, в срок, не превышающий тридцати дней со дня поступления указанного отзыва, если иное не предусмотрено Федеральным законом или другими федеральными законами;

33.6. при выявлении неправомерной обработки персональных данных, осуществляемой предприятием.

34. Предприятия предоставляет субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящихся к соответствующему субъекту персональных данных, в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя или на законных основаниях предоставляет в письменной форме мотивированный отказ, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя.

VII . Заключительные положения

35. Настоящая политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных актов по обработке и защите персональных данных.

36. Контроль над исполнением требований настоящей политики осуществляется ответственным лицом предприятия, назначаемым в установленном порядке локальным нормативным актом.

37. Ответственность должностных лиц предприятия, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации в области персональных данных и локальными нормативными актами предприятия.

Краткое оглавление:

Пора ставить галочки. Чем грозят нарушения закона о "О персональных данных" № 152-ФЗ

После 1 июля 2017 года вопрос обработки и хранения персональных данных стал особенно актуальным. Виной всему - новая таблица штрафов за нарушения в этой области. Получить 75-300 тысяч рублей штрафа теперь стало не просто, а очень просто - достаточно, например, не взять согласие пользователя на обработку его персональных данных при отправке заявки с лендинга. Так еще вчера вы должны были описать на своем сайте политику обработки персональных данных и просить пользователей соглашаться с ней при отправке любой формы с сайта.

Как правильно написать Политику обработки персональных данных

Если подходить к делу основательно, желательно прочитать упомянутый выше закон, ознакомиться с рекомендациями Роскомнадзора (тыц) и составить объемный документ, регламентирующий все нюансы работы с персональными данными пользователей именно на вашем сайте. Некоторые не заморачиваются и берут чужие правила обработки персональных данных, вставляют туда имя своей организации и выкладывают на своем сайте. Это не совсем красиво и к тому же может привести к конфликту с тем, кто эту Политику писал. Как ни крути, но это, интеллектуальная собственность (причем, не ваша). Мы решили подарить вам еще один, самый простой способ - ниже есть образец Политики обработки персональных данных.

Образец Политики обработки персональных данных для сайта

Представленный ниже образец Политики обработки персональных данных для сайта является универсальным и подходит для большинства интернет-ресурсов в рунете. Он составлен юристами, претензий со стороны проверяющих органов к нему быть не должно. Однако, обращаем ваше внимание - не надо выкладывать его не глядя. Хотя бы ради приличия внимательно прочитайте этот образец Политики - мало ли, вдруг он чем-то не подойдет в вашем конкретном случае - будете потом нас винить:)
Желтым цветом для удобства в документе выделены те места, которые вам нужно заменить на свои данные.

Сгенерировать политику обработки персональных данных для сайта

Вы можете с помощью представленного ниже конструктора сгенерировать свою собственную политику обработки персональных данных для вашего сайта. Просто введите нужные данные в форму и нажмите "Сгенерировать". Всё, ваша уникальная Политика готова!

Разработка seo-сайтов с пожизненной гарантией Создаем невероятные SEO-сайты, оптимизированные по 69 параметрам уже на этапе разработки. Прочитайте подробно о наших SEO-сайтах!



Какие персональные данные вы будете собирать?Учтите - закон №152-ФЗ гласит, что нельзя указывать все данные без разбора, "с запасом". Можно указывать только те, которые вы реально собираете и которые вам действительно нужны в работе.

УТВЕРЖДЕНА приказом ЗАО «ПФ «СКБ Контур» от 29.12.2012 № 299

1. Назначение и область действия

1.1. Настоящий документ (далее — Политика) определяет цели и общие принципы обработки персональных данных, а также реализуемые меры защиты персональных данных в ЗАО «ПФ «СКБ Контур» (далее — Оператор). Политика является общедоступным документом Оператора и предусматривает возможность ознакомления с ней любых лиц.

1.2. Политика действует бессрочно после утверждения и до ее замены новой версией.

1.3. В Политике используются термины и определения в соответствии с их значениями, как они определены в ФЗ-152 «О персональных данных».

1.4. Политика распространяется на всех сотрудников Оператора (включая работников по трудовым договорам и сотрудников, работающих по договорам подряда) и все структурные подразделения Общества, включая обособленные подразделения. Требования Политики также учитываются и предъявляются в отношении иных лиц при необходимости их участия в процессе обработки персональных данных Оператором, а также в случаях передачи им в установленном порядке персональных данных на основании соглашений, договоров, поручений на обработку.

2. Сведения об обработке персональных данных

2.1. Обработка персональных данных Оператором ведется смешанным способом: с использованием средств автоматизации и без.

2.2. Действия с персональными данными включают сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.3. Обработка персональных данных осуществляется Оператором на законной и справедливой основе, правовыми основания для обработки являются:

Конституция Российской Федерации;
Трудовой кодекс Российской Федерации;
Гражданский кодекс Российской Федерации;
Налоговый кодекс Российской Федерации;
Федеральный закон от 27.07.2006г. № 152-ФЗ «О персональных данных»;
Федеральный закон от 10.01.2002г. № 1-ФЗ «Об электронной цифровой подписи»;
Федеральный закон от 06.04.2011г. № 63-ФЗ «Об электронной подписи»;
Федеральный закон от 04.05.2011г. № 99-ФЗ «О лицензировании отдельных видов деятельности»;
Федеральный закон от 07.07.2003г. № 126-ФЗ «О связи»;
Федеральный закон от 01.04.1996г. № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
Федеральный закон от 24.07.2009г. № 212-ФЗ «О страховых взносах в Пенсионный Фонд РФ, Фонд социального страхования РФ, Федеральный Фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования»;
Федеральный закон от 22.10.2004г. № 125-ФЗ «Об архивном деле в РФ»;
Закон РФ от 10.07.1992г. № 3266-1 «Об образовании»;
Устав ЗАО «ПФ «СКБ Контур»;
Регламент Удостоверяющего центра ЗАО «ПФ «СКБ Контур».

заключение трудовых отношений с физическими лицами;
выполнение договорных обязательств Оператора;
выполнение функций удостоверяющего центра;
соблюдение действующего трудового, бухгалтерского, пенсионного, иного законодательства Российской Федерации.

физические лица, состоящие в трудовых и гражданско-правовых отношениях с Оператором;
физические лица, состоящие в трудовых и гражданско-правовых отношениях с контрагентами Оператора;
кандидаты на замещение вакантных должностей.

2.6. Для указанных категорий субъектов могут обрабатываться: фамилия, имя, отчество; год, месяц, дата рождения; место рождения, адрес; семейное положение; социальное положение; имущественное положение; образование; профессия; доходы; ИНН, СНИЛС, контактная информация (телефон, адрес электронной почты), иные сведения, предусмотренные типовыми формами и установленным порядком обработки.

2.7. При обработке обеспечиваются точность персональных данных, их достаточность и актуальность по отношению к целям обработки персональных данных. При обнаружении неточных или неполных персональных данных производится их уточнение и актуализация.

2.8. Для персональных данных, не являющихся общедоступными, обеспечивается конфиденциальность.

2.9. Обработка и хранение персональных данных осуществляются не дольше, чем этого требуют цели обработки персональных данных, если отсутствуют законные основания для дальнейшей обработки, например, если федеральным законом или договором с субъектом персональных данных не установлен соответствующий срок хранения. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию при наступлении следующий условий:

достижение целей обработки персональных данных или максимальных сроков хранения — в течение 30 дней;
утрата необходимости в достижении целей обработки персональных данных — в течение 30 дней;
предоставление субъектом персональных данных или его законным представителем подтверждения того, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки — в течение 7 дней;
невозможность обеспечения правомерности обработки персональных данных — в течение 10 дней;
отзыв субъектом персональных данных согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных — в течение 30 дней;
отзыв субъектом персональных данных согласия на использование персональных данных для контактов с потенциальными потребителями при продвижении товаров и услуг — в течение 2 дней;
истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных;
ликвидация (реорганизация) Оператора.

2.10. Обработка персональных данных на основании договоров и иных соглашений Оператора, поручений Оператору и поручений Оператора на обработку персональных данных осуществляется в соответствии с условиями этих договоров, соглашений Оператора, а также соглашений с лицами, которым поручена обработка или которые поручили обработку на законных основаниях. Такие соглашения могут определять, в частности:

цели, условия, сроки обработки персональных данных;
обязательства сторон, в том числе меры по обеспечению конфиденциальности;
права, обязанности и ответственность сторон, касающиеся обработки персональных данных.

2.11. В случаях, не предусмотренных явно действующим законодательством или договором, обработка осуществляется после получения согласия субъекта персональных данных. Согласие может быть выражено в форме совершения действий, принятия условий

договора-оферты, проставления соответствующих отметок, заполнения полей в формах, бланках, или оформлено в письменной форме в соответствии с законодательством. Обязательным случаем получения предварительного согласия является, например, контакт с потенциальным потребителем при продвижении товаров и услуг Оператора на рынке.

2.12. Оператор зарегистрирован в реестре уполномоченного органа по защите прав субъектов персональных данных за номером № 09-0066830. В реестре указаны сведения об Операторе, в том числе: полное наименование, контактная информация для обращений, сведения об обработке персональных данных и мерах по обеспечению безопасности.

3. Меры по обеспечению безопасности персональных данных

3.1. Оператор предпринимает необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных для их защиты от несанкционированного (в том числе, случайного) доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий. К таким мерам, в частности, относятся:

назначение сотрудников, ответственных за организацию обработки и обеспечение безопасности персональных данных;
проверка наличия в договорах и включение при необходимости в договоры пунктов об обеспечении конфиденциальности персональных данных;
издание локальных актов по вопросам обработки персональных данных, ознакомление с ними работников, обучение пользователей;
обеспечение физической безопасности помещений и средств обработки, пропускной режим, охрана, видеонаблюдение;
ограничение и разграничение доступа сотрудников и иных лиц к персональным данным и средствам обработки, мониторинг действий с персональными данными;
определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;
применение средств обеспечения безопасности (антивирусных средств, межсетевых экранов, средств защиты от несанкционированного доступа, средств криптографической защиты информации), в том числе прошедших процедуру оценкисоответствия в установленном порядке;
учёт и хранение носителей информации, исключающее их хищение, подмену, несанкционированное копирование и уничтожение;
резервное копирование информации для возможности восстановления;
осуществление внутреннего контроля за соблюдением установленного порядка, проверка эффективности принятых мер, реагирование на инциденты.

4. Права субъектов персональных данных

4.1. Субъект персональных данных имеет право отозвать согласие на обработку персональных данных, направив соответствующий запрос Оператору по почте или обратившись лично.

4.2. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных Оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые Оператором способы обработки персональных данных;
наименование и место нахождения Оператора, сведения о лицах (за исключением сотрудников/работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
информацию об осуществленной или о предполагаемой трансграничной передаче данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.

4.3. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

4.4. Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций — Роскомнадзор) или судебном порядке.

4.5. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

5. Роли и ответственность

5.1. Права и обязанности Оператора определяются действующим законодательством и соглашениями Оператора.

5.2. Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки персональных данных и Отделом информационной безопасности Оператора в пределах их полномочий.

5.3. Ответственность лиц, участвующих в обработке персональных данных на основании поручений Оператора, за неправомерное использование персональных данных устанавливается в соответствии с условиями заключенного между Оператором и контрагентом гражданско-правового договора или Соглашения о конфиденциальности информации.

5.4. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами, локальными актами, соглашениями Оператора.

5.5. Политика разрабатывается ответственным за организацию обработки персональных данных и вводится в действие после утверждения руководителем Оператора. Предложения и замечания для внесения изменений в Политику следует направлять по адресу . Политика пересматривается ежегодно для поддержания в актуальном состоянии и актуализируется по мере необходимости.

Политика персональных данных (ППД) организации в отношении обработки и сохранения конфиденциальности сведений – это документ, в который структурно входит несколько разделов. В этих разделах прописывается информация о субъекте, проводящем обработку собранной информации , также о третьих лицах, принимающих участие в текущем процессе, процедура защиты информации, ссылки на правовую составляющую, права носителей личных сведений.

ППД дает возможность реализовать принципы законности, конфиденциальности и безопасности информации.

СПРАВКА! Существует ряд обязательных к пониманию и изучению понятий, связанных с действием политики.

К таким понятиям относят:

Персональные данные – любые сведения, относящиеся прямо или косвенно к физическому лицу.
Оператор – государственный, муниципальный орган, юр. или физ. лицо, организующее обработку и сбор ПД, формирующее цели и состав обрабатываемых данных, а также совершающее действия в отношении персональных сведений.
Обработка персональных данных – любые манипуляции, производящиеся при помощи автоматизированных систем или без них, с личными сведениями пользователей.

Кто утверждает?

Политика в отношении обработки персональных сведений утверждается лицом, находящимся в статусе руководителя той или иной организации: директор, председатель и т.п.

Для обработки

Для защиты

Контролирующие и обрабатывающие лица.
Сбор.
Использование.
Предоставление личной информации пользователей компанией.
Куки-файлы (касается веб-сайтов).
Защита учетных записей.
Доступ и изменение ПД пользователей.
Безопасность.
Третьи лица.
Изменения ППД относительно защиты.
Контакты.

Пошаговая инструкция по составлению для компании

Как было сказано ранее, каждой компании согласно законодательству необходимо иметь собственную политику о ПД .

Для того чтобы составить документ такого типа, следует пользоваться типовой схемой создания этого вида документа. В самом начале должна находиться титульная страница, в шапке которой присутствуют должность, ФИО и подпись руководителя, печать организации и гриф утверждения. Это обязательные составляющие политики о персональных сведениях.

Пункты документа, которые следует указать :

Определение терминов. В каждом документе такого типа требуется вначале указать перечень терминов и определений, используемых в тексте.
Общие положения. К примеру, для какой компании применяется документ, информация о согласии на обработку и достоверности данных.
Предмет политики конфиденциальности.
ВНИМАНИЕ! В структуре этого пункта прописываются условия предоставления безопасности для личных данных пользователей, и помимо этого фиксируются опции, связанные с неразглашением информации.
Цели сбора информации. Здесь определяются цели политики о персональных данных организации.
Способы и сроки обработки данных.
Права и обязанности сторон.
Ответственность сторон.
Разрешение споров.
Дополнительные условия. На примере ООО «МПК» (Многопрофильная процессинговая компания), это могут быть параметры изменения политики без уведомления клиента, вопросы, касающиеся тех. поддержки; адрес, где размещается действующий документ.

Подготовка документа для сайта

Документ «Политика в отношении обработки персональных данных» интернет-сайта необходимо публиковать в открытом доступе. В тексте документа в обязательном порядке стоит упомянуть следующее :

Следует помнить о том, что важно подписать документ на согласие для обработки личных сведений на сайте с компаниями, которые сотрудничают с вашей организацией (доставщик, банк, хостер, поставщик услуг и т.д.), а также позаботиться о безопасности данных с помощью специального пункта в соглашении.

период хранения информации и меры, предпринимаемые для обеспечения ее безопасности;
меры предосторожности в обращении с персональной информацией;
сведения о контактных лицах администрации сайта, возможные корректурные опции, вносимые в ППД.

СПРАВКА! В завершение документа указывается рабочий e-mail, куда пользователь имеет возможность обратиться для внесения изменений в сведения, их блокировки или удаления.

Администраторам сайт важно периодически проверять почтовый ящик, во избежание пропуска клиентского отклика . Стоит сказать, что для политики для сайта, важно помнить о ссылке на документ ППД, которая должна быть размещена на главной странице ресурса.

Данный факт необходим, для того чтобы каждый посетитель сайта или ревизирующий орган мог видеть, что информация находится в открытом доступе, и поиск ее не занимает много времени. Зачастую достаточно оформить общую ссылку в нижней части страницы. Неотъемлемой составляющей интернет-сайта является дисклеймер. Дисклеймер представляет собой всплывающее предупреждение о сборе статистики на портале.

Речь идет о cookie-файлах и геолокационных данных. Конкретных указаний и рекомендаций на присутствие дисклеймера нигде не прописано, но большинство специалистов советуют его устанавливать. Для зрительной безопасности пользователей сайта дисклеймер не должен резко бросаться в глаза , наилучший выход – его незаметность.

Демонстрация всплывающего окна должна быть настроена для новых клиентов, повторный показ должен быть скрыт. При формировании политики о персональных данных для сайта на территории России следует придерживаться ФЗ-152 .

Важный пункт данного закона, который обязателен для исполнения: физическое расположение хостинга ресурса. Эта информация доступна в отделе технической поддержки портала. По последним параметрам, хостинг обязан находиться в пределах территории Российской Федерации , для хранения данных в компетенции российских служб. В ситуации, когда хостинг расположен за границей, нужно осуществить переход на другой хостинг.

ВАЖНО! Владельцу ресурса необходима регистрация в качестве оператора в структурном подразделении Роскомнадзора.

Данная процедура доступна на официальном портале организации, в специальной форме уведомления. Процедура требует составления определенного пакета документов.

Важно помнить о биометрических параметрах особых категорий пользователей. При условии, что деятельность сайта предполагает работу с информацией такого типа. Согласие пользователя ресурса фиксируется только в письменной форме .

Заключение

В процессе работы в компании или организации важно понимать, что вся деятельность должна быть в рамках законодательства. Одним из параметров закона для компаний является наличие собственной политики в отношении обработки персональных данных. Необходимо иметь собственный документ такого типа, составленный со всеми рекомендациями и пунктами. Работа с клиентами благодаря наличию ППД будет более продуктивной в соответствии с правовыми нормами.