ПОЛОЖЕНИЕ О РАБОТЕ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ КЛИЕНТОВ И КОНТРАГЕНТОВ
ИНДИВИДУАЛЬНОГО ПРЕДПРИНИМАТЕЛЯ
УГРИМОВОЙ ЕЛЕНЫ АНАТОЛЬЕВНЫ
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящее положение регулирует отношения, связанные с обработкой персональных данных, включающие в себя производимые Индивидуальным предпринимателем Угримовой Е.А. (далее - организация, работодатель) действия по получению, обработке, хранению, передаче персональных данных клиентов и контрагентов или иному их использованию, с целью защиты персональных данных клиентов и контрагентов от несанкционированного доступа, а также неправомерного их использования и утраты.
1.2. Положение разработано в соответствии с Конституцией Российской Федерации, Федеральным законом от 27 июля 2006 г. № 149-ФЗ "Об информации, информационных технологиях и о защите информации", Федеральным законом от 27 июля 2006 г. № 152-ФЗ "О персональных данных" (далее - Закон о персональных данных) и иными нормативно-правовыми актами в области обработки и защиты персональных данных.
2. ПОНЯТИЕ И СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. В целях настоящего положения используются следующие основные понятия:
- персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных) (п.1 ст. 3 Федерального закона от 27.07.2006 №152-ФЗ);
- персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом от 27.07.2006 №152-ФЗ (далее - персональные данные, разрешенные для распространения) (п. 1.1. ст. 3 Федерального закона от 27.07.2006 №152 ФЗ);
- оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ);
- обработка персональных данных клиента/контрагента - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или использования таких средств систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ);
- распространение персональных данных - действия, направленные на раскрытие персональных данных клиента/контрагента неопределенному кругу лиц (п. 5 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ);
- предоставление персональных данных - действия, направленные на раскрытие персональных данных клиента/контрагента определенному лицу или определенному кругу лиц (п. 6 ст, 3 Федерального закона от 27.07.2006 № 152-ФЗ);
- блокирование персональных данных - временное прекращение обработки персональных данных клиента/контрагента (за исключением случаев, если обработка необходима для уточнения персональных данных) (п. 7 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ);
- уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных клиента/контрагента и (или) в результате которых уничтожаются материальные носители персональных данных клиентов/контрагентов (п. 8 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ);
- обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному клиенту/контрагенту (п. 9 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ).
2.2. К персональным данным клиента/контрагента относятся:
- фамилия, имя, отчество;
- дата и место его рождения;
- паспортные данные;
- свидетельство о присвоении идентификационного номера налогоплательщика (ИНН);
- банковские реквизиты;
- адрес места жительства;
- контактный телефон.
Документы, содержащие персональные данные клиентов/контрагентов:
- договоры, контракты между ИП Угримовой Е.А. и клиентом/контрагентом;
- бухгалтерская и отчетная документация;
- документы, содержащие статистическую информацию и иное.
2.3. Указанные сведения и документы являются конфиденциальными. Организация как оператор персональных данных не вправе распространять персональные данные без согласия клиента или контрагента, если иное не предусмотрено федеральным законом.
3. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ И ИХ ЗАЩИТА
3.1. Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
3.2. В целях обеспечения прав и свобод человека и гражданина организация при обработке персональных данных клиента или контрагента соблюдает следующие общие требования:
- обработка персональных данных клиента или контрагента осуществляется исключительно в целях заключения и исполнения гражданско-правовых и иных договоров, обеспечения соблюдения законов и иных нормативных правовых актов;
- при определении объема и содержания обрабатываемых персональных данных клиента или контрагента организация руководствуется Конституцией Российской Федерации и иными федеральными законами;
- все персональные данные клиента или контрагента следует получать у него самого. Если персональные данные клиента или контрагента возможно получить только у третьей стороны, то клиент или контрагент должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Организация сообщает клиенту или контрагенту о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа клиента или контрагента дать письменное согласие на их получение;
- организация не вправе получать и обрабатывать персональные данные клиента или контрагента о его политических, религиозных и иных убеждениях и частной жизни;
- организация не вправе получать и обрабатывать персональные данные клиента или контрагента о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.
3.3. Обработка персональных данных клиента/контрагента осуществляется с его письменного согласия, которое должно быть конкретным, предметным, информированным, сознательным и однозначным.
3.4. Защита персональных данных клиента или контрагента от неправомерного их использования или утраты обеспечивается организацией за счет ее средств в порядке, установленном федеральными законами и настоящим положением.
3.5. Клиенты и контрагенты организации должны быть ознакомлены под роспись с документами организации, устанавливающими порядок обработки персональных данных клиентов и контрагентов, а также об их правах и обязанностях в этой области.
3.6. Организация при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
3.7. Организация осуществляет внутренний контроль и (или) аудит соответствия обработки персональных данных Закону о персональных данных, требованиям к защите персональных данных, политике организации в отношении обработки персональных данных, настоящему положению.
3.8. Организация знакомит клиентов/контрагентов, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику организации в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучает указанных клиентов/контрагентов.
3.9. Организация обеспечивает безопасность персональных данных клиента или контрагента следующими способами:
- определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
- оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
- учетом машинных носителей персональных данных;
- обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
- восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
- контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
3.10. Организация при обработке персональных данных клиента или контрагента на бумажных носителях в целях обеспечения их защиты:
- назначает должностное лицо (работника), ответственного за обработку персональных данных;
- ограничивает допуск в помещения, в которых хранятся документы, содержащие персональные данные клиентов и контрагентов.
3.11. В целях обеспечения конфиденциальности документы, содержащие персональные данные клиентов/контрагентов, оформляются, ведутся и хранятся только ИП Угримовой Е.А.
3.12. Работники, допущенные к персональным данным клиентов/контрагентов, подписывают обязательства о неразглашении персональных данных. В противном случае до обработки персональных данных работников не допускаются.
3.13. Право доступа к персональным данным клиентов/контрагентов имеет ИП Угримова Е.А.
4. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. При передаче персональных данных клиентов/контрагентов организация должна соблюдать следующие требования:
- не сообщать персональные данные клиента или контрагента третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью клиента или контрагента, а также в других случаях, установленных федеральными законами;
- не сообщать персональные данные клиента или контрагента в коммерческих целях без его письменного согласия;
- предупредить лиц, получающих персональные данные клиента или контрагента, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные клиента или контрагента, обязаны соблюдать режим секретности (конфиденциальности);
- разрешать доступ к персональным данным клиентов и контрагентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные клиентов и контрагентов, которые необходимы для выполнения конкретных функций;
- не запрашивать информацию о состоянии здоровья клиентов и контрагентов.
4.2. Все сведения о передаче персональных данных клиента или контрагента учитываются для контроля правомерности использования данной информации лицами, ее получившими.
4.3. Передача персональных данных по запросам третьих лиц, если такая передача прямо не предусмотрена законодательством Российской Федерации, допускается исключительно с согласия клиента или контрагента на обработку его персональных данных в части их предоставления или согласия на распространение персональных данных.
4.4. Передача информации, содержащей сведения о персональных данных клиента или контрагента, по телефону, в связи с невозможностью идентификации лица, запрашивающего информацию, запрещается.
4.5. Согласие на обработку персональных данных, разрешенных клиентом или контрагентом для распространения, оформляется отдельно от иных согласий клиента или контрагента на обработку его персональных данных. Организация обеспечивает клиенту или контрагенту возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных им для распространения.
4.6. В согласии на обработку персональных данных, разрешенных клиентом или контрагентом для распространения, он вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных организацией неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц.
4.7. Передача (распространение, предоставление, доступ) персональных данных, разрешенных клиентом или контрагентом для распространения, должна быть прекращена в любое время по его требованию. Указанные в данном требовании персональные данные могут обрабатываться только организацией.
5. ПРАВА КЛИЕНТОВ И КОНТРАГЕНТОВ В ЦЕЛЯХ ОБЕСПЕЧЕНИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. В целях обеспечения защиты персональных данных, хранящихся в организации, клиенты и контрагенты имеют право на:
- полную информацию об их персональных данных и обработке этих данных, в том числе содержащую:
подтверждение факта обработки персональных данных организацией;
правовые основания и цели обработки персональных данных;
цели и применяемые организацией способы обработки персональных данных;
сроки обработки персональных данных, в том числе сроки их хранения;
информацию об осуществленной или о предполагаемой трансграничной передаче данных;
информацию о способах исполнения организацией обязанностей, установленных статьей 18.1 Закона о персональных данных;
- свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные клиента или контрагента, за исключением случаев, предусмотренных федеральным законом;
- определение своих представителей для защиты своих персональных данных;
- требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Закона о персональных данных. При отказе организации исключить или исправить персональные данные клиента или контрагента он имеет право заявить в письменной форме организации о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера клиент или контрагент имеет право дополнить заявлением, выражающим его собственную точку зрения;
- требование об извещении организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные клиента или контрагента, обо всех произведенных в них исключениях, исправлениях или дополнениях;
- обжалование в суд любых неправомерных действий или бездействия организации при обработке и защите персональных данных.
6. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных клиентов и контрагентов организации, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном федеральными законами РФ, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
6.2. Моральный вред, причиненный клиенту или контрагенту вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных федеральным законодательством, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных клиентом или контрагентом убытков.
7. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
7.1. Настоящее Положение вступает в действие с момента утверждения его приказом генерального директора и действует до утверждения нового положения.
7.2. Все изменения и дополнения, вносимые в настоящее Положение, оформляются в письменной форме в соответствии действующим законодательством Российской Федерации.
7.3. Организация обеспечивает неограниченный доступ к настоящему документу.
7.3. Настоящее положение является обязательным для исполнения всеми работниками, имеющими доступ к персональным данным клиента или контрагента, и доводится до их сведения персонально под роспись.
