1. Общие положения

1.1. Назначение и область действия документа

1.1.1. Положение о защите и обработке персональных данных в ООО «РуПост» (далее - Положение) определяет цели, содержание и порядок обработки персональных данных, меры, направленные на защиту персональных данных, а также процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в области персональных данных в Обществе с ограниченной ответственностью «РуПост» (ООО «РуПост»; ИНН: 7726472944)

Адрес местонахождения: 117105, г. Москва, вн.тер.г. муниципальный округ Нагорный, ш Варшавское, д. 26, этаж Т, помещ. 10, офис 40 (далее – Организация или Оператор).

1.1.2. Положение определяет политику Организации как оператора, осуществляющего обработку персональных данных, в отношении обработки персональных данных, включая порядок передачи персональных данных третьим лицам, особенности автоматизированной и неавтоматизированной обработки, порядок доступа к персональным данным, систему защиту персональных данных, порядок организации внутреннего контроля и ответственность за нарушения при обработке персональных данных.

1.1.3. Действие Положения распространяется на любые действия (операции) или совокупности действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

1.1.4. Положение разработано в соответствии с Трудовым кодексом Российской Федерации, Федеральным законом от 27 июля 2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27 июля 2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 02 сентября 2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации», Федеральным законом от 04 мая 2011 № 99-ФЗ «О лицензировании отдельных видов деятельности», постановлением Правительства Российской Федерации от 01 ноября 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», постановлением Правительства Российской Федерации от 15 сентября 2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

1.1.5. Обработка персональных данных в Организации осуществляется с соблюдением принципов и условий, предусмотренных Положением и законодательством Российской Федерации в области персональных данных.

1.1.6. Сведения о персональных данных относятся к числу конфиденциальных и составляют охраняемую законом тайну.

1.1.7. Положение вступает в силу с момента его утверждения Генеральным директором Организации и действует бессрочно.

1.1.8. Все изменения в Положение вносятся приказом Генерального директора Организации.

1.1.9. Все работники Организации, имеющие доступ к персональным данным субъектов персональных данных, в обязательном порядке должны быть ознакомлены с Положением под роспись для последующего его исполнения или в электронной форме.

1.2. Перечень основных понятий

1.3. Общие принципы обработки персональных данных

1.3.1. Обработка персональных данных должна осуществляться на основе принципа соответствия объема и характера обрабатываемых персональных данных, а также способов обработки персональных данных заявленным целям обработки персональных данных.

1.3.2. Сбор, накопление, хранение, изменение, использование и распространение, а также другие действия, понимаемые под обработкой персональных данных, могут осуществляться только при условии согласия физического лица, за исключением случаев, предусмотренных действующим законодательством.

1.3.3. Обработка персональных данных обрабатывается как с помощью средств автоматизации, так и без использования таких средств.

1.3.4. Правила обработки и защиты персональных данных без использования средств автоматизации и Правила обработки персональных данных в информационной системе персональных данных установлены в соответствующих внутренних актах ООО «РуПост».

1.4. Правовые основания обработки персональных данных

• Конституция РФ;
• Трудовой кодекс РФ;
• Гражданский кодекс РФ;
• Федеральный закон от 27 июля 2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27 июля 2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 02 сентября 2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»
• Постановление Правительства Российской Федерации от 1 ноября 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказ ФСТЭК России от 18 февраля 2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• уставные документы Организации;
• договоры, заключаемые между Организацией и субъектами персональных данных;
• согласия субъектов персональных данных на обработку персональных данных;
• иные основания, когда согласие на обработку персональных данных не требуется в силу закона.

2. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

2.1. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей:

• не допускается обработка персональных данных, несовместимая с целями сбора.
• не допускается объединение баз данных, содержащих персональных данных, обработка которых осуществляется в целях, несовместимых между собой.
• обработке подлежат только персональных данных, которые отвечают целям их обработки.
• содержание и объем, обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональных данных не должны быть избыточными по отношению к заявленным целям их обработки.
• обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.

2.2. Оператор может обрабатывать персональные данные следующих субъектов персональных данных, в составе и для целей, указанных ниже:

3. Порядок и условия обработки персональных данных 

3.1. Способы обработки персональных данных

3.1.1. Обработка персональных данных Организацией осуществляется следующими способами:

• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка персональных данных – совокупность неавтоматизированного и автоматизированного способов обработки персональных данных.

3.2. Обработка персональных данных работников и граждан, претендующих на замещение вакантных должностей

3.2.1. Обработка персональных данных работников и граждан, претендующих на замещение вакантных должностей, а также стажеров, практикантов и лиц, проходящих обучение, осуществляется с согласия субъекта персональных данных в рамках целей, определенных пунктом 2.1. настоящего Положения, в соответствии с п. 1 ч. 1 ст. 6 Федерального закона «О персональных данных», Трудовым кодексом Российской Федерации.

Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных работников, граждан, претендующих на замещение вакантных должностей, осуществляется путём:

• получения персональных данных непосредственно от работников, граждан, претендующих на замещение вакантных должностей;
• получения оригиналов необходимых документов (заявление, трудовая книжка, иные документы, предоставляемые в кадровое подразделение Организации);
• копирования оригиналов документов;
• внесения сведений в учетные формы (на бумажных и электронных носителях);
• формирования персональных данных в ходе кадровой работы;
• внесения персональных данных в информационные системы Организации, используемые кадровым подразделением Организации.

3.2.2. При заключении трудового договора лицо, поступающее на работу, предъявляет Организации, если иное не установлено Трудовым кодексом Российской Федерации или другими федеральными законами, следующие документы:

• паспорт или иной документ, удостоверяющий личность;
• трудовую книжку, за исключением случаев, когда договор заключается впервые, или работник поступает на условиях совместительства, или трудовая книжка у работника отсутствует в связи с её утратой, повреждением или по другим причинам;
• страховое свидетельство обязательного пенсионного страхования;
• документы воинского учёта – для военнообязанных и лиц, подлежащих призыву на военную службу;
• документ об образовании и (или) квалификации или наличии специальных знаний – при поступлении на работу, требующую специальные знания или специальной подготовки;
• дополнительные документы – в отдельных случаях, предусмотренных Трудовым кодексом Российской Федерации, иными федеральными законами, указами Президента Российской Федерации и постановлениями Правительства Российской Федерации.

Если трудовой договор с работником заключается впервые, трудовая книжка и страховое свидетельство государственного пенсионного страхования оформляются Организацией.

Запрещается получать, обрабатывать и приобщать к личному делу работника персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

3.2.3. Все персональные данные работника следует получать непосредственно от него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено согласие на получение его персональных данных у третьей стороны. Организация должна сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать согласие на их получение. Работник при изменении персональных данных письменно уведомляет работодателя о таких изменениях в срок, не превышающий трех рабочих дней.

3.2.4. В соответствии со статьей 86 главы 14 Трудового кодекса Российской Федерации в целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника должны соблюдать следующие общие требования:

• обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
• при определении объема и содержания обрабатываемых персональных данных работодатель должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом РФ и иными федеральными законами;
• защита персональных данных работника от неправомерного их использования или утраты обеспечивается работодателем за счет его средств в порядке, установленном Трудовым кодексом РФ и Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• работники и их представители должны быть ознакомлены под роспись с документами предприятия, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

3.2.5. В Отделе кадров Организации создаются, обрабатываются и хранятся следующие документы, содержащие персональные данные работников:

• карточка (ф. Т-2), в которой отражаются следующие анкетные и биографические данные работника, которые относятся к персональным данным:
  • общие сведения (ФИО работника, дата рождения, место рождения, пол, гражданство, знание иностранного языка, образование, профессия, общий трудовой стаж, состояние в браке, паспортные данные, адрес места жительства, дата регистрации по месту жительства, номер телефона);
  • сведения о воинском учете;
  • данные о приеме на работу.
• в дальнейшем в карточку ф. Т-2 вносятся:
  • сведения о переводах на другую работу;
  • сведения об аттестации;
  • сведения о повышении квалификации;
  • сведения о профессиональной переподготовке;
  • сведения о наградах (поощрениях), почетных званиях;
  • сведения об отпусках;
  • сведения о социальных льготах и гарантиях.
• анкета, которая заполняется работником при приеме на работу (содержатся анкетные и биографические данные работника).
• трудовой договор (содержит сведения о должности работника, заработной плате, месте работы, рабочем месте, а также иные персональные данные работника).
• подлинники и копии приказов по личному составу и основания к ним (содержат информацию о приеме, переводе, увольнении и иных событиях, относящихся к трудовой деятельности работника).
• трудовая книжка или ее копия (содержит сведения о трудовом стаже, предыдущих местах работы).
• копии свидетельств о заключении брака, рождении детей (необходимы работодателю для предоставления работнику определенных льгот, предусмотренных трудовым и налоговым законодательством).
• справка о доходах с предыдущего места работы (необходима работодателю для предоставления работнику определенных льгот и компенсаций в соответствии с налоговым законодательством).
• справка о сумме заработной платы, иных выплат и вознаграждений за 2 последние календарные года для начисления пособия по временной нетрудоспособности.
• копии документов об образовании (подтверждают квалификацию работника, обосновывают занятие определенной должности).

3.2.6. Персональные данные соискателей на вакантные должности попадают в Организацию через специализированные веб-сайты (электронные биржи труда) или направляются соискателями непосредственно на электронную почту Организации. В случае приглашения соискателя на собеседование, данные в резюме могут подтверждаться документально. Копии подтверждающих документов могут храниться в Организации, но не дольше чем до достижения цели их обработки, то есть до замещения вакантной должности.

3.2.7. Персональные данные работников и граждан, претендующих на замещение вакантных должностей, обрабатываются в системах 1С Предприятие, life. astralinux, nextcloud, jira, системе контроля управления доступом в Организации, а также информационных системах персональных данных (ИСПДн «РуПост»), утвержденных локальными актами Организации. Копии документов вместе с бумажным оригиналом трудового договора хранятся в Отделе кадров в офисе Организации.

3.3. Обработка персональных данных субъектов персональных данных

3.3.1. Персональные данные стажеров, практикантов, лиц, проходящих обучение, участников олимпиад и научных мероприятий, сотрудников, работающих по договору гражданско-правового характера, самозанятых индивидуальных предпринимателей, контрагентов, учредителей Оператора, подрядчиков, партнеров, клиентов, их работников и представителей обрабатываются в ИСПДн «РуПост» согласно, утвержденному перечиню информационных систем ООО «РуПост». При оформлении договорных отношений на бумаге, оригиналы документов обрабатываются хранятся в Бухгалтерии в офисе Организации.

Персональные данные пользователей (посетителей) сайта и участников акций и мероприятий Организации, субъектов, давших согласие на маркетинговые рассылки, обрабатываются в системе - ИСПДн «РуПост», согласно перечню ИСПДн Организации.

3.3.2. Перечень действий, совершаемых Организацией с персональными данными: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (доступ), блокирование, уничтожение.

3.3.3. Персональные данные контрагентов поступают в Организацию при заключении договора, подтверждаются оригиналами документов и хранятся в течение исполнения договорных обязательств.

3.4. Согласие на обработку персональных данных

3.4.1. Обработка персональных данных осуществляется Организацией при условии получения согласия субъекта персональных данных за исключением установленных законодательством Российской Федерации случаев, когда обработка персональных данных может осуществляться без такого Согласия.

3.4.2. Субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие свободно, своей волей и в своём интересе.

3.4.3. Согласие даётся в любой позволяющей подтвердить факт его получения форме. В предусмотренных законодательством Российской Федерацией случаях Согласие оформляется в письменной форме:

• на передачу персональных данных работников третьим лицам, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым Кодексом или иными федеральными законами;
• на распространение персональных данных субъекта персональных данных в соответствии с ч. 1 ст. 10.1 Федерального закона «О персональных данных»;
• на включение персональных данных в общедоступные источники персональных данных в соответствии с ч. 1 ст. 8 Федерального закона «О персональных данных»;
• на передачу персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных в соответствии со ст. 12 Федерального закона «О персональных данных» (трансграничная передача);
• при автоматизированной обработке персональных данных субъекта, на основании которой может быть принято решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы (ч. 2 ст. 16 Федерального закона «О персональных данных»).

Формы письменных согласий утверждены в Приложении 6 к настоящему Положению.

3.4.4. С контрагентов согласия на обработку персональных данных не берутся, поскольку обработка их персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных. В соответствии с пп. 5, п. 1 статьи 6 Федерального закона № 152-ФЗ «О персональных данных» согласие на обработку персональных данных в таких случаях не требуется.

3.5. Передача персональных данных третьим лицам

3.5.1. Передача персональных данных третьим лицам, в том числе с целью поручения Оператором обработки персональных данных третьим лицам, не допускается без согласия субъектов персональных данных, за исключением случаев, установленных федеральными законами. Передача персональных данных внутри ООО «РуПост» осуществляется только между работниками, имеющими доступ к соответствующей категории субъектов персональных данных. Также персональные данные могут передаваться работниками ООО «РуПост», имеющими доступ к персональным данным, лицам, оказывающим Оператору услуги по договорам гражданско-правового характера и самозанятым.

3.5.2. Передача персональных данных третьим лицам осуществляется в порядке, установленном действующим законодательством, и настоящим Положением, образец согласия на передачу персональных данных представлен в Приложении 6 настоящего Положения.

3.5.3. Передача персональных данных субъекта в коммерческих целях без его письменного согласия исключается. Обработка персональных данных субъекта в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только с его предварительного согласия.

3.5.4. Лица, получившие доступ к персональным данным субъекта, должны быть предупреждены о том, что эти данные могут быть использованы лишь в целях, для которых они переданы, и обязаны соблюдать это правило. Лица, получившие персональные данные, обязаны соблюдать режим конфиденциальности.

3.5.5. Персональные данные работников передаются в государственные контролирующие органы в соответствии с федеральными законами (ФНС, ФСС, ПФР и др.), а также:

• в рамках зарплатного проекта в банк ПАО «Сбербанк». Передача персональных данных в финансовую организацию производится с информированного и осознанного согласия работника;
• в рамках повышения квалификации и обучения, персональные данные работников (при наличии согласия) могут передаваться в организации, проводящие обучение сотрудников ООО «РуПост»;
• при предоставлении услуг корпоративной связи, персональные данные работников (при наличии согласия) могут передаваться соответствующему Оператору связи;
• при предоставлении услуг дополнительного медицинского страхования (ДМС) персональные данные работников (при наличии согласия) могут передаваться страховщику и организация здравоохранения для оказания соответствующих медицинских услуг;
• в рамках оформления служебных командировок, персональные данные работников (при наличии согласия) могут передаваться подрядчикам Оператора для размещения сотрудников в отеле и иных нужд, связанных с исполнением работником своей трудовой функции во время командировки;
• в рамках ведения совместных проектов внутри группы компаний ПАО Группа Астра (ИНН 7726476459; адрес места нахождения: 117105, г. Москва, Варшавское шоссе, д. 26, этаж Т, офис 31), персональные данные работников (при наличии согласия) могут передаваться: ПАО Группа Астра и Общество с ограниченной ответственностью «РусБИТех-Астра» (ИНН: 7726388700, адрес: 117105, г. Москва, Варшавское шоссе, д. 26, стр. 11);
• для обеспечения безопасности ИСПДн «РуПост» компанией ООО «РусБИТех-Астра» в рамках внутригрупповых соглашений с Оператором.

3.5.6. В соглашениях между ООО «РуПост» и организациями, обеспечивающими зарплатный проект, повышение квалификации или обучение, услуги ДМС и связи предусмотрена обязанность третьего лица обеспечения конфиденциальности полученной от Организации информации, в том числе и персональных данных.

3.5.7. Передача данных по совместным проектам с ПАО Группа Астра и ООО «РусБИТех-Астра» регламентируется внутригрупповыми соглашениями и соглашениями о неразглашении конфиденциальной информации и персональных данных, а также соглашениями об обеспечении информационной безопасности.

3.6. Трансграничная передача персональных данных

3.6.1. Трансграничная передача персональных данных Организацией не осуществляется.

3.6.2. Все технические средства обработки персональных данных (рабочие станции и сервера) находятся в пределах Российской Федерации по адресу: Москва г, Варшавское ш, д. 26.

3.7. Прекращение обработки персональных данных, уничтожение и блокирования персональных данных

3.7.1. Условием прекращения обработки персональных данных может являться достижение или отсутствие необходимости в достижении целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных. Согласие может быть отозвано путём направленного в адрес Организации заявления.

3.7.2. В целях оперативной организации уничтожения персональных данных на бумажных носителях приказом Генерального директора Организации назначена комиссия по уничтожению персональных данных, а также настоящим Положением утверждены формы актов уничтожения персональных данных (Приложение 3 и Приложение 4).

3.7.3. Персональные данные, обрабатываемые в информационной системе персональных данных, удаляются путем стирания записи в базах данных администратором информационной безопасности Организации по запросу субъекта или при достижении целей обработки персональных данных.

3.7.4. Временное прекращение операций по обработке персональных данных (блокирование) должно возникать по требованию субъекта персональных данных при выявлении им недостоверности обрабатываемых сведений или неправомерных действий в отношении его данных.

4. Сроки обработки и хранения персональных данных 

4.1. В ООО «РуПост» обеспечено раздельное хранение персональных данных на разных материальных носителях, обработка которых осуществляется в различных целях, определенных настоящим Положением.

Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных в рамках договора, соглашения/политики сайта, кроме случаев, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. По истечении срока договора, по которому предоставлялся товар или оказывалась услуга, данные перемещаются в архив Оператора, где хранятся не менее пяти лет, как установлено налоговым законодательством РФ.

4.2. Сроки обработки и хранения персональных данных работников, граждан, претендующих на замещение вакантных должностей, определяются в соответствии с законодательством Российской Федерации. С учетом положений законодательства Российской Федерации, устанавливаются следующие сроки обработки и хранения персональных данных работников:

- Персональные данные, содержащиеся в приказах по личному составу работников Организации (о приеме, о переводе, об увольнении, об установлении надбавок), подлежат хранению в Отделе кадров ООО «РуПост» в течение двух лет, с последующим формированием и передачей указанных документов в архив в порядке, предусмотренном законодательством Российской Федерации, где хранятся в течение 75 лет.

- Персональные данные, содержащиеся в личных делах работников ООО «РуПост», а также личных карточках работников Организации, хранятся в Отделе кадров в течение десяти лет, с последующим формированием и передачей указанных документов в архив, где хранятся в течение 75 лет.

- Персональные данные, содержащиеся в приказах о поощрениях, материальной помощи работников ООО «РуПост», подлежат хранению в течение двух лет в Отделе кадров Организации с последующим формированием и передачей указанных документов в архив, где хранятся в течение 75 лет.

- Персональные данные, содержащиеся в приказах о предоставлении отпусков, о краткосрочных внутрироссийских и зарубежных командировках, о дисциплинарных взысканиях работников ООО «РуПост», подлежат хранению в Отделе кадров Организации в течение пяти лет с последующим уничтожением.

- Персональные данные, содержащиеся в документах претендентов на замещение вакантной должности, не принятых на работу в ООО «РуПост», хранятся в Отделе кадров Организации в течение 3 лет со дня подачи заявления, после чего подлежат уничтожению.

4.3. Сроки обработки и хранения персональных данных, предоставляемых субъектами персональных данных в Организацию в связи с получением услуг и исполнением функций, указанных в пункте 2.2. настоящего Положения, определяются нормативными правовыми актами (договоры, политики интернет-ресурса), регламентирующими порядок их сбора и обработки, а также локальными актами Организации по хранению персональных данных.

4.4. Персональные данные граждан, обратившихся в Организацию лично, а также направивших письменные обращения или обращения в форме электронного документа, хранятся в течение пяти лет.

4.5. Персональные данные, предоставляемые субъектами на бумажном носителе в связи с предоставлением Организацией программных продуктов и услуг, исполнением функций, хранятся на бумажных носителях в структурных подразделениях Организации, к полномочиям которых относится обработка персональных данных в связи с предоставлением услуги или исполнением функции.

4.6. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, обособлены от иной информации, в частности путем фиксации их на разных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).

4.7. Срок хранения персональных данных, внесенных в информационные системы персональных данных Организации, соответствует сроку хранения бумажных оригиналов.

4.8. При осуществлении хранения персональных данных Организация использует базы данных, находящиеся на территории Российской Федерации.

5. Доступ к персональным данным

5.1. Организация доступа работников к персональным данным субъектов

5.1.1. Должностные лица Организации должны иметь доступ только к тем персональным данным, которые необходимы им для выполнения своих функциональных обязанностей.

5.1.2. В Организации разработана и утверждена разрешительная система допуска к персональным данным (Положение о разграничении прав доступа к персональным данным). Круг лиц, допущенных к обработке персональных данных, определяет руководство Организации на основании данных, представленных руководителями подразделений, в которых ведется обработка персональных данных. Данный Перечень утверждается приказом Генерального директора Организации.

5.1.3. Должностные лица Организации допускаются к обработке персональных данных после ознакомления с Положением, инструкцией пользователя информационных систем персональных данных и утвержденным в Организации перечнем ИСПДн, а также с иной организационно-распорядительной документацией Организации по защите персональных данных.

Должностные лица Организации перед началом обработки персональных данных подписывают соглашение о неразглашении персональных данных по форме Приложения 2 к данному Положению.

Доступ должностных лиц к обработке персональных данных осуществляется в соответствии с Перечнем лиц, должностей, служб и процессов, допущенных к работе с персональными данными.

В случае обнаружения нарушений правил обработки персональных данных в Организации руководство Организации и/или директор по информационной безопасности, ответственный за организацию обработки персональных данных (согласно приказу Генерального директора Организации) обязаны приостановить предоставление персональных данных пользователям до выявления и устранения причин нарушений.

5.1.4. Работники Организации имеют право на свободный бесплатный доступ к своим персональным данным, а также на получение копий любой записи о своих персональных данных, обрабатываемых в Организации.

Лица, не имеющие доступа к персональным данным в соответствии с Перечнем подразделений и сотрудников, допущенных к работе с персональными данными, могут быть допущены к ним на основании приказа, подписанного Генеральным директором Организации либо руководителем подразделения данного лица.

5.2. Организация доступа субъекту персональных данных к его персональным данным

5.2.1. Организация, обрабатывающая персональные данные, должна обеспечивать бесплатный доступ субъекта к персональным данным, ему соответствующим, за исключением случаев получения персональных данных в результате оперативно-розыскной деятельности, а также других случаев, предусмотренных федеральным законодательством.

Для получения доступа к своим персональным данным субъекту необходимо направить в Организацию запрос, в бумажной или электронной форме, подписанные собственноручно или квалифицированной электронной подписью.

Работники Организации должны предоставить персональные данные субъекту в доступной форме, в них не должны содержаться персональные данные, относящиеся к другим субъектам.

5.2.2. В случае если персональные данные субъекта являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, Организация обязана удовлетворить требование субъекта по устранению нарушений обработки персональных данных.

5.2.3. С целью организации своевременной обработки запросов и обращений субъектов персональных данных в Организации разработан и утвержден документ «Правила рассмотрения запросов субъектов персональных данных или их представителей»

6. Меры, направленные на обеспечение безопасности данных при их обработке 

6.1. Основной задачей обеспечения безопасности персональных данных при их обработке Оператором является предотвращение несанкционированного доступа к ним третьих лиц, предупреждение преднамеренных программно-технических и иных воздействий с целью хищения персональных данных, разрушения (уничтожения) или искажения их в процессе обработки.

6.2. Оператор принимает необходимые и достаточные меры для защиты обрабатываемых персональных данных от неправомерного или случайного доступа к ним, от уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ними со стороны третьих лиц. Работники Оператора, имеющие доступ к персональным данным, обязаны в случаях, предусмотренных законодательством и настоящим Регламентом, получать согласие субъектов персональных данных на обработку.

6.3. Обеспечение безопасности персональных данных достигается, в частности:

• определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
• применением средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
• оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
• восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных.

Доступ работников Оператора к обрабатываемым персональным данным осуществляется в соответствии с их должностными обязанностями и требованиями локальных нормативных актов Оператора. Допущенные к обработке персональных данных работники под роспись знакомятся с локальными нормативными актами Оператора, устанавливающими порядок обработки персональных данных, включая документы, устанавливающие права и обязанности конкретных работников.

Факты получения доступа к информационным системам персональных данных, а также факты обработки персональных данных регистрируются, в том числе с использованием средств обеспечения информационной безопасности. Информация о фактах обработки персональных данных хранится Оператором в течение трех лет.

6.4. Мероприятия по защите персональных данных реализуются Оператором в следующих направлениях:

• предотвращение утечки информации, содержащей персональные данные, по техническим каналам связи и иными способами;
• предотвращение несанкционированного доступа к содержащей персональные данные информации, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней;
• защита от вредоносных программ;
• обеспечение безопасного межсетевого взаимодействия;
• анализ защищенности информационных систем персональных данных;
• обнаружение вторжений и компьютерных атак;
• осуществления контроля за реализацией системы защиты персональных данных.

Мероприятия по обеспечению безопасности персональных данных включают в себя:

• реализацию разрешительной системы допуска работников к информационным ресурсам информационных систем и связанным с их использованием работам, документам;
• разграничение доступа пользователей информационных систем персональных данных и обслуживающих информационные системы персональных данных работников к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
• регистрацию действий пользователей и обслуживающих информационные системы персональных данных работников, контроль несанкционированного доступа и действий пользователей и обслуживающих работников, а также третьих лиц;
• использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
• предотвращение внедрения в информационные системы вредоносных программ и программных закладок, анализ принимаемой по информационно-телекоммуникационным сетям (сетям связи общего пользования) информации, в том числе на наличие компьютерных вирусов;
• ограничение доступа в помещения, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители информации, содержащие персональные данные;
• размещение технических средств, позволяющих осуществлять обработку персональных данных, в пределах охраняемой территории;
• организацию физической защиты помещений и технических средств, позволяющих осуществлять обработку персональных данных;
• учет и хранение съемных носителей информации и их обращение, исключающее хищение, подмену и уничтожение;
• резервирование технических средств, дублирование массивов и носителей информации;
• реализацию требований по безопасному межсетевому взаимодействию информационных систем;
• использование защищенных каналов связи, защита информации при ее передаче по каналам связи;
• межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры информационной системы;
• обнаружение вторжений в информационные системы, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;
• периодический анализ безопасности установленных межсетевых экранов на основе имитации внешних атак на информационные системы;
• активный аудит безопасности информационных систем на предмет обнаружения в режиме реального времени несанкционированной сетевой активности;
• анализ защищенности информационных систем с применением специализированных программных средств (сканеров безопасности);
• централизованное управление системой защиты персональных данных в информационных системах.

С целью поддержания состояния защиты персональных данных на надлежащем уровне Оператором осуществляется внутренний контроль за эффективностью системы защиты персональных данных и соответствием порядка и условий обработки и защиты персональных данных установленным требованиям.

6.5. Внутренний контроль включает:

• мониторинг состояния технических и программных средств, входящих в состав средств защиты персональных данных;
• контроль соблюдения требований по обеспечению безопасности персональных данных (требований нормативных правовых актов и локальных нормативных актов в области обработки и защиты персональных данных, требований договоров).

7. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных на доступ к персональным данным 

7.1. В случае подтверждения факта неточности персональных данных или неправомерности их обработки персональные данные подлежат их актуализации Организацией, или их обработка должна быть прекращена соответственно.

7.2. Факт неточности персональных данных или неправомерности их обработки может быть установлен либо субъектом персональных данных, либо компетентными государственными органами Российской Федерации.

7.3. По письменному запросу субъекта персональных данных или его представителя Организация обязана сообщить информацию об осуществляемой им обработке персональных данных указанного субъекта. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных и его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Организацией (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

7.4. Если в запросе субъекта персональных данных не отражены все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

7.5. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

7.6. При достижении или отсутствии необходимости в достижении целей обработки персональных данных, персональные данные подлежат уничтожению.

7.7. Вопрос об уничтожении выделенных документов, содержащих персональные данные, рассматривается комиссией, состав которой утверждается приказом Организации.

По итогам заседания составляются протокол и Акт о выделении к уничтожению документов, опись уничтожаемых дел, проверяется их комплектность, акт подписывается председателем и членами комиссии и утверждается.

7.8. Уничтожение материальных носителей, содержащих персональные данные производится без возможности восстановления данных, такими способами как: измельчение, размагничивание, многократное затирание (не менее 5 проходов) с составлением Акта об уничтожении.

7.9. Уничтожение по окончании срока обработки персональных данных на электронных носителях производится путём механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.

8. Рассмотрение запросов субъектов персональных данных или их представителей

8.1. Граждане, персональные данные которых обрабатываются в Организации в связи с предоставлением услуг и осуществлением функций, имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных в Организации;
• правовые основания и цели обработки персональных данных;
• применяемые в Организации способы обработки персональных данных;
• наименование и место нахождения Организации, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Организацией или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки персональных данных, в том числе сроки их хранения в Организации;
• порядок осуществления субъектом персональных данных прав, предусмотренных законодательством Российской Федерации в области персональных данных;
• информацию об осуществленной или предполагаемой трансграничной передаче данных;
• наименование организации или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Организации, если обработка поручена или будет поручена такой организации или лицу;
• иные сведения, предусмотренные законодательством Российской Федерации в области персональных данных.

8.2. Лица, указанные в пункте 8.1. настоящего Положения (далее - субъекты персональных данных), вправе требовать от Организации уточнения их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

8.3. Сведения, указанные в п. 8.1 настоящего Положения, должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

8.4. Сведения, указанные в п. 8.1 настоящего Положения, предоставляются субъекту персональных данных или его представителю уполномоченным должностным лицом структурного подразделения Организации, осуществляющего обработку соответствующих персональных данных при обращении либо при получении запроса субъекта персональных данных или его представителя. Запрос должен содержать:

• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в правоотношениях с Оператором (документ, подтверждающий прием документов на участие в конкурсе на замещение вакантных должностей Организации, оказание Организацией услуги или осуществление функции), либо сведения, иным образом подтверждающие факт обработки персональных данных в Организации, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

8.5. В случае, если сведения, указанные в п. 8.1. настоящего Положения, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно в Организацию или направить повторный запрос в целях получения указанных сведений и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

8.6. Субъект персональных данных вправе обратиться повторно в Организацию или направить повторный запрос в целях получения сведений, указанных в п. 8.1 настоящего Положения, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в п. 8.5. настоящего Положения, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в п. 8.4. настоящего Положения, должен содержать обоснование направления повторного запроса.

8.7. Организация (уполномоченное должностное лицо Организации) вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным п. 8.5. и 8.6. настоящего Положения. Такой отказ должен быть мотивированным.

8.8. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

9. Права и обязанности организации

9.1. Организация имеет право

• получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;
• требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данных;
• предоставлять персональные данные третьим лицам, если на это дано согласие субъекта персональных данных или если это предусмотрено действующим законодательством.

9.2. Организация обязана

• обрабатывать персональные данные в порядке, установленном действующим законодательством Российской Федерации;
• рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;
• предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным;
• принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями;
• организовывать защиту персональных данных в соответствии с требованиями законодательства Российской Федерации;
• не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;
• в случае выявления недостоверных персональных данных или неправомерных действий с ними устранить допущенные нарушения или, в случае невозможности устранения, уничтожить персональные данные, а также уведомить о своих действиях субъекта персональных данных или уполномоченный орган;
• по запросу уполномоченного органа по защите прав субъектов персональных данных предоставить ему необходимую информацию.

10. Права и обязанности работников ООО «РуПост»

10.1. Общие положения

10.1.1. Работники, допущенные к обработке персональных данных, обязаны ознакомиться с документами Организации, которые устанавливают порядок обработки персональных данных в Организации, и подписать лист ознакомления с ними, а также подписать соглашение о неразглашении персональных данных, полученных в ходе исполнения своих должностных обязанностей.

10.2. Права работника

10.2.1. В целях защиты персональных данных, хранящихся в Организации, работник имеет право:

• требовать исключения или исправления неверных, или неполных персональных данных;
• на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные;
• определять своих представителей для защиты своих персональных данных;
• на сохранение и защиту своей личной и семейной тайны;
• на обжалование в суде любых неправомерных действий или бездействия Организации при обработке и защите его персональных данных.

10.2.2. В целях защиты персональных данных, хранящихся в Организации, работник, осуществляющий обработку персональных данных, имеет право:

• получать и вводить информацию в соответствии с его полномочиями;
• требовать оповещения Организацией субъекта персональных данных обо всех произведенных в них исключениях, исправлениях или дополнениях.

10.3. Обязанности работника

10.3.1. В части своих персональных данных:

• передавать Организации достоверные документы, содержащие персональные данные, состав которых установлен Трудовым кодексом РФ;
• не предоставлять неверные персональные данные, а в случае изменений в персональных данных или обнаружения ошибок, или неточностей в них (фамилия, место жительства и т.д.), незамедлительно сообщить об этом в Организацию.

10.3.2. В части обработки персональных данных субъекта:

• соблюдать режим конфиденциальности;
• не сообщать персональные данные субъекта персональных данных в коммерческих целях без его письменного согласия;
• не сообщать персональные данные субъекта третьей стороне без письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральным законом;
• разрешать доступ к персональным данным субъектов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций;
• не запрашивать дополнительную информацию, содержащую персональные данные, за исключением тех сведений, которые необходимы для достижения целей обработки персональных данных.

11. Права субъектов персональных данных

11.1. Получение сведений об Организации

11.1.1. Субъект персональных данных имеет право на получение сведений об Организации, о месте ее нахождения, о наличии у Организации персональных данных, относящихся к нему, а также на ознакомление с такими персональными данными. Субъект персональных данных вправе требовать от Организации уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

11.2. Доступ к своим персональным данным

11.2.1. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю Организацией при обращении либо при получении запроса субъекта персональных данных или его законного представителя.

11.2.2. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных Организацией, а также цель такой обработки;
• способы обработки персональных данных, применяемые Организацией;
• сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
• перечень обрабатываемых персональных данных и источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

11.2.3. Если субъект персональных данных считает, что Организация осуществляет обработку его персональных данных с нарушением требований федерального законодательства или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Организации в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

11.2.4. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

11.3. Ограничение прав субъектов персональных данных

11.3.1. Право субъекта персональных данных на доступ к своим персональным данным ограничивается в случае, если:

• обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
• предоставление персональных данных нарушает конституционные права и свободы других лиц.

12. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных 

12.1. Общие положения

12.1.1. Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о гражданах, получающие и использующие ее, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность за нарушение режима защиты, обработки и порядка использования этой информации.

12.1.2. Неправомерность деятельности органов государственной власти и организаций по сбору персональных данных может быть установлена в судебном порядке по требованию субъекта персональных данных, действующего на основании законодательства о персональных данных.

12.2. Персональная ответственность должностных лиц ООО «РуПост»

12.2.1. Должностные лица Организации, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъекта, несут дисциплинарную административную, гражданско-правовую или уголовную ответственность, предусмотренную федеральным законодательством.

12.2.2. Руководитель подразделения, разрешивший доступ должностному лицу к персональным данным несет персональную ответственность за данное решение.

12.2.3. Должностные лица Организации, получающие доступ к персональным данным, несут персональную ответственность за обеспечение конфиденциальности, предоставленной им информации. Кроме того, должностные лица Организации, получающие для работы документы, содержащие персональные данные, несут персональную ответственность за их сохранность.

12.2.4. В случае, когда нарушение конфиденциальности, целостности или доступности персональных данных повлекло за собой какие-либо финансовые потери для Организации, виновные должностные лица обязаны возместить причиненный ущерб.

13. Приложение