ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Содержание

Введение……………………………………………………………….……………3

Принципы обработки персональных данных…………………………………….5

Условия обработки персональных данных……………………………………….6

Обязанности АНО ИКСР как оператора персональных данных……………….9

Меры по обеспечению безопасности персональных данных при их обработке..11

Права субъекта персональных данных…………………………………….……….13

Порядок осуществления прав………………………………………………..…….15

Ограничения прав субъектов персональных данных……………………………..16

1. Введение

1.1. Настоящий документ определяет политику Автономной Некоммерческой Организации «Институт консультирования и системных решений» (далее — Институт, АНО «ИКСР») в отношении обработки персональных данных физических лиц, включая:

• клиентов, получающих консультационные (психологические) услуги;
• обучающихся (слушателей программ дополнительного профессионального образования);
• специалистов, привлекаемых для оказания услуг по гражданско-правовым договорам;
• сотрудников Института.

1.2. Институт является оператором персональных данных в соответствии с законодательством Российской Федерации о персональных данных.

1.3. Настоящая Политика разработана в соответствии с действующим законодательством Российской Федерации о персональных данных, в том числе:

– Федеральным законом Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных», устанавливающим основные принципы и условия обработки персональных данных, права, обязанности и ответственность участников отношений, связанных с обработкой персональных данных;

– Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении Требований к защите персональных данных при их обработке в информационных системах персональных данных»;

– Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

1.4. Действие настоящей Политики распространяется на любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.5. Настоящая Политика подлежит пересмотру и, при необходимости, актуализации в случае изменений в законодательстве Российской Федерации о персональных данных.

2. Принципы обработки персональных данных

Обработка персональных данных осуществляется на законной и справедливой основе.

Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей.

 Не допускается обработка персональных данных, несовместимая с целями их сбора.

Объединение баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых целях, не допускается.

Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Обработка избыточных персональных данных не допускается.

При обработке персональных данных обеспечиваются их точность, достаточность (при необходимости) и актуальность по отношению к целям обработки.

Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если иное не предусмотрено федеральным законом, договором или иным нормативным актом.

Персональные данные подлежат уничтожению или обезличиванию после достижения целей их обработки либо при утрате необходимости в их достижении, если иное не предусмотрено федеральным законом.

3. Условия обработки персональных данных

3.1. Обработка персональных данных в АНО «ИКСР» осуществляется с соблюдением принципов и правил, установленных Федеральным законом № 152-ФЗ «О персональных данных». Обработка осуществляется в следующих случаях:

1. с согласия субъекта персональных данных или его законного представителя;
2. если обработка необходима для достижения целей, предусмотренных законодательством Российской Федерации, в том числе в рамках трудовых, налоговых, образовательных и бухгалтерских обязанностей оператора;
3. для исполнения судебного акта, акта иного органа или должностного лица, подлежащего исполнению в соответствии с законодательством Российской Федерации;
4. для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, либо для заключения такого договора по инициативе субъекта;
5. для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение его согласия невозможно;
6. для осуществления прав и законных интересов оператора или третьих лиц, при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
7. при статистической или иной исследовательской обработке, при условии обязательного обезличивания персональных данных (за исключением обработки в целях прямого продвижения услуг);
8. если персональные данные сделаны общедоступными самим субъектом или по его просьбе;
9. если обработка подлежит осуществлению в соответствии с иными федеральными законами (например, в сфере образования в рамках 273-ФЗ «Об образовании в Российской Федерации»).

3.2. Институт может включать персональные данные субъектов в общедоступные источники (например, в списки выпускников, участников мероприятий и пр.) только при наличии письменного согласия субъекта персональных данных.

3.3. АНО «ИКСР» не обрабатывает специальные категории персональных данных, включая данные о состоянии здоровья, за исключением следующих случаев:

– если это предусмотрено трудовым законодательством (например, сведения о временной нетрудоспособности работника);

– если субъект персональных данных добровольно сообщает такие сведения в целях получения консультационной услуги (например, психологической), и даёт соответствующее согласие на их обработку;

– если обработка таких данных необходима для защиты жизненно важных интересов субъекта или третьих лиц, и получение согласия невозможно.

3.4. Институт не осуществляет обработку биометрических персональных данных (сведений, позволяющих установить личность на основании физиологических или биологических особенностей).

3.5. Трансграничная передача персональных данных не осуществляется. Обработка электронных персональных данных осуществляется с использованием сервисов Bitrix24, 1C, дата-центры которых находятся на территории Российской Федерации.

3.6. Решения, порождающие юридические последствия для субъекта персональных данных или иным образом затрагивающие его права и законные интересы, не принимаются на основании исключительно автоматизированной обработки персональных данных.

3.7. При отсутствии необходимости в письменной форме согласие субъекта персональных данных может быть получено в любой форме, позволяющей подтвердить факт его получения.

3.8. Обработка персональных данных может быть поручена третьим лицам (например, облачным сервисам или подрядчикам) при наличии заключённого договора и согласия субъекта персональных данных (если требуется). Такое поручение осуществляется с соблюдением требований законодательства.

3.9. В случае поручения обработки персональных данных третьим лицам ответственность перед субъектом персональных данных несёт АНО «ИКСР». Лица, осуществляющие обработку по поручению, несут ответственность перед Институтом и обязуются соблюдать конфиденциальность и безопасность персональных данных.

3.10. Все сотрудники, специалисты и иные лица, получившие доступ к персональным данным в ходе выполнения своих обязанностей, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

4. Обязанности АНО «ИКСР» как оператора персональных данных

В соответствии с требованиями Федерального закона № 152-ФЗ «О персональных данных», АНО «ИКСР» обязуется:

1. Предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо — при наличии оснований — предоставить мотивированный отказ в течение 30 календарных дней с момента получения запроса от субъекта или его представителя.
2. По требованию субъекта персональных данных уточнять, блокировать или удалять обрабатываемые персональные данные, если они являются неполными, устаревшими, неточными, незаконно полученными или не соответствуют заявленным целям обработки. Такие действия должны быть произведены в срок не более 7 рабочих дней с момента предоставления подтверждающих сведений.
3. Уведомлять субъект персональных данных об их обработке, если данные были получены не от него лично, за исключением случаев, когда:

– субъект уже уведомлён о факте обработки его персональных данных;

– данные были получены в рамках исполнения договора, стороной которого является субъект;

– данные были сделаны субъектом общедоступными или получены из открытых источников;

– обработка осуществляется в статистических или исследовательских целях и не нарушает прав и законных интересов субъекта;

– предоставление сведений нарушит права и законные интересы третьих лиц.

4. После достижения целей обработки персональных данных прекратить их обработку и уничтожить в срок не более 30 календарных дней, если иное не предусмотрено договором, соглашением с субъектом или законодательством Российской Федерации.
5. В случае отзыва согласия на обработку персональных данных — прекратить обработку и уничтожить персональные данные в срок не более 30 календарных дней с момента получения отзыва, если иное не предусмотрено действующим соглашением. Об уничтожении персональных данных субъект уведомляется.
6. Немедленно прекратить обработку персональных данных, если от субъекта поступило требование о прекращении обработки данных, полученных в целях продвижения товаров, работ или услуг на рынке.

5. Меры по обеспечению безопасности персональных данных при их обработке

5.1. При обработке персональных данных АНО «ИКСР» принимает необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных и их защиты от:

•  неправомерного или случайного доступа;
• уничтожения, изменения, блокирования, копирования, предоставления или распространения;
• а также иных неправомерных действий, способных привести к нарушению прав и свобод субъектов персональных данных.

5.2. Безопасность персональных данных обеспечивается, в частности, за счёт:

1. определения актуальных угроз безопасности персональных данных при их обработке в информационных системах;
2. применения организационных и технических мер, обеспечивающих соответствие требованиям по защите ПДн, установленным Правительством Российской Федерации (включая Постановления № 1119 и № 687);
3. использования технических средств защиты информации, прошедших оценку соответствия в установленном порядке (например, антивирусное ПО, контроль доступа);
4. ведения учёта машинных и бумажных носителей персональных данных, включая архивные и действующие документы;
5. обнаружения и реагирования на случаи несанкционированного доступа к персональным данным, с фиксацией инцидентов и принятием корректирующих мер;
6. установления чётких правил доступа к персональным данным как в информационных системах, так и на бумажных носителях, с разграничением прав и регистрацией действий;
7. использования паролей и ограниченного доступа к рабочим компьютерам, содержащим или обрабатывающим персональные данные, с авто-блокировкой и индивидуальными учётными записями сотрудников;
8. хранения бумажных документов с персональными данными (включая личные дела сотрудников, договоры с клиентами и слушателями) в закрывающихся шкафах или архивных помещениях, доступ к которым имеют только уполномоченные сотрудники;
9. контроля за соблюдением мер безопасности, регулярного пересмотра правил и актуализации мер защиты, в том числе в рамках внутреннего аудита и обучения персонала.

5.3. Электронные персональные данные клиентов и слушателей хранятся в сервисах Bitrix24, 1С, дата-центры которых размещены на территории Российской Федерации. Обработка таких данных осуществляется в соответствии с договором и политикой конфиденциальности провайдера, с соблюдением требований законодательства РФ.

6. Права субъекта персональных данных

В соответствии с Федеральным законом № 152-ФЗ «О персональных данных» каждый субъект персональных данных имеет право:

1. Получить от АНО «ИКСР» сведения, касающиеся обработки его персональных данных, в том числе:

– подтверждение факта обработки персональных данных Институтом;

– правовые основания и цели обработки персональных данных;

– применяемые способы обработки персональных данных;

– наименование и местонахождение оператора (АНО «ИКСР»), а также сведения о третьих лицах (за исключением сотрудников Института), которым могут быть раскрыты персональные данные на основании договора с оператором или в соответствии с федеральным законом;

– сведения о персональных данных, относящихся к субъекту, и об источнике их получения (если иной порядок не установлен федеральным законом);

– сроки обработки персональных данных, включая сроки хранения;

– информацию о порядке реализации субъектом своих прав, установленных законом;

– информацию о предполагаемой или фактически осуществлённой трансграничной передаче данных (в случае, если она осуществляется);

– сведения о лице, осуществляющем обработку персональных данных по поручению АНО «ИКСР», в случае передачи обработки третьим лицам;

– иные сведения, предусмотренные законодательством Российской Федерации.

1. Потребовать от АНО «ИКСР» уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не соответствуют заявленным целям обработки.
2. Отозвать ранее данное согласие на обработку персональных данных в случаях, предусмотренных законом. В этом случае обработка будет прекращена, а персональные данные — уничтожены, если иное не установлено федеральным законом или договором с субъектом.

7. Порядок осуществления прав

7.1. Обращение субъекта персональных данных к АНО «ИКСР» в целях реализации его прав, установленных Федеральным законом № 152-ФЗ «О персональных данных», осуществляется в письменной форме по установленному образцу. Обращение подаётся лично субъектом персональных данных либо его законным представителем (родителем, опекуном, попечителем или иным лицом, действующим на основании закона), при посещении Института.

7.2. Форма обращения предоставляется ответственным за обработку персональных данных сотрудником (или иным уполномоченным лицом, например, секретарём). Обращение заполняется заявителем с собственноручной подписью в присутствии ответственного лица.

7.3. Ответственный за обработку персональных данных (или иное уполномоченное лицо), получив обращение, проверяет данные, указанные в заявлении, а также документы, удостоверяющие личность субъекта персональных данных и подтверждающие полномочия представителя (если обращение подаёт не сам субъект).

7.4. В случае невозможности личного визита, субъект персональных данных вправе направить обращение в форме электронного документа, подписанного квалифицированной электронной подписью, в соответствии с требованиями законодательства Российской Федерации.

7.5. Ответ на обращение направляется субъекту персональных данных в письменной форме по адресу, указанному в обращении, в срок, не превышающий 30 календарных дней с момента получения обращения АНО «ИКСР».

7.6. Изменения в персональные данные, признанные неполными, неточными или неактуальными, вносятся не позднее 7 рабочих дней с момента предоставления подтверждающих сведений.

7.7. Персональные данные, признанные незаконно полученными или не соответствующими заявленной цели обработки, подлежат уничтожению в срок не более 10 рабочих дней с момента предоставления подтверждающих оснований.

8. Ограничения прав субъектов персональных данных

9. Право субъекта персональных данных на доступ к своим персональным данным может быть ограничено в случае, если предоставление таких данных нарушает права и законные интересы других лиц.
10. В случае, если сведения о порядке обработки персональных данных, а также сами персональные данные были предоставлены субъекту персональных данных по его запросу, он вправе повторно обратиться за получением этих сведений не ранее чем через 30 календарных дней после направления первоначального запроса, если иное не предусмотрено федеральным законом, подзаконным актом или договором, стороной которого является субъект персональных данных.
11. Повторный запрос может быть направлен и ранее указанного срока, если сведения или персональные данные не были предоставлены в полном объёме. В таком случае субъект персональных данных должен указать в повторном запросе обоснование для его досрочного направления.
12. АНО «ИКСР» вправе отказать в удовлетворении повторного запроса, если он не соответствует условиям, изложенным в пунктах 8.2 и 8.3 настоящей Политики.