Положение об обработке и защите персональных данных клиентов ЗАО «Консолидация оздоровления населения»
1. Общие положения
1. Настоящим Положением определяется порядок сбора, хранения, передачи и любого другого использования персональных данных на объекте информатизации Закрытого акционерного общества «КОНСОЛИДАЦИЯ ОЗДОРОВЛЕНИЯ НАСЕЛЕНИЯ» (далее по тексту – Фирма).
2. Клиентами Фирмы являются:
- физические лица (субъекты персональных данных), заключившие с Фирмой письменный договор (далее по тексту Клиент);
- физические лица (субъекты персональных данных), от имени которых заказчик продукта заключил с Фирмой письменный договор.
3. Цель данного Положения – определение порядка обработки персональных данных Сотрудников Фирмы и Клиентов Фирмы, персональные данные которых подлежат обработке; обеспечение защиты прав и свобод человека и гражданина, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.
4. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и наказывается в соответствии с федеральным законодательством.
2. Понятие и состав персональных данных
1. ЗАО «КОН» обрабатывает персональные данные собственных Сотрудников и Клиентов Фирмы (Субъектов персональных данных).
2. Под персональными данными Клиентов понимается информация, необходимая Фирме в связи с исполнением ей договорных обязательств. Состав персональных данных Клиента:
- фамилия, имя, отчество;
- адрес регистрации;
- номер паспорта, удостоверяющего мою личность, сведения о дате выдачи и выдавшем паспорт органе;
- фамилия и имя, как они указаны в загранпаспорте;
- год, месяц, день рождения;
- пол;
- номер заграничного паспорта и срок его действия;
- контактный телефон и адрес электронной почты;
- прочая информация в целях исполнения договора.
3. При необходимости получения в интересах Клиента визы в посольстве страны планируемого пребывания, состав персональных данных, указанный в п.2. настоящей статьи, может быть дополнен сведениями, которые запрашиваются консульскими службами посольства страны планируемого посещения для рассмотрения вопроса о выдаче визы.
3. Конфиденциальность персональных данных
1. Сведения, перечисленные в статье 2. Положения, содержащие сведения о персональных данных Субъекта, являются конфиденциальными. Фирма обеспечивает конфиденциальность персональных данных, и обязана не допускать их распространения без согласия Субъекта персональных данных, либо наличия иного законного основания.
2. Все меры конфиденциальности при сборе, обработке и хранении персональных данных Субъекта распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.
3. Режим конфиденциальности персональных данных снимается в случаях обезличивания или включения их в общедоступные источники персональных данных, либо при наличии письменного согласия Субъекта на то, что его персональные данные являются общедоступными персональными данными.
4. Права и обязанности ЗАО «Консолидация оздоровления населения»
1. Фирма имеет право без согласия Субъекта осуществлять обработку его персональных данных в следующих случаях:
- если обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных – Клиент (п.5 ч.1 ст.6 Федерального закона РФ № 152-ФЗ от 27.07.2006 г. «О персональных данных» – далее по тексту Закон «О персональных данных»);
- когда обработка персональных данных Субъекта осуществляется для статистических или иных научных целей при условии обязательного обезличивания его персональных данных (п.9 ч.1 ст.6 Закона «О персональных данных»);
- если обработка персональных данных Субъекта необходима для защиты жизни, здоровья или иных жизненно важных интересов Субъекта, если получение его согласия невозможно (п.6 ч.1 ст.6 Закона «О персональных данных»);
- обработка персональных данных необходима в связи с осуществлением правосудия (п.3 ч.1 ст.6 Закона «О персональных данных»).
2. Если договор с Фирмой заключается Клиентом, который, в том числе, на законных основаниях представляет интересы третьих лиц, Фирма обязана до начала обработки персональных данных этих третьих лиц получить их письменное согласие на обработку персональных данных.
Согласие на обработку персональных данных по основаниям данного пункта может быть отозвано Клиентом. Обязанность представить доказательство получения согласия Клиента на обработку его персональных данных по основаниям данного пункта возлагается на Фирму.
2.1. В случае, если Фирма обрабатывает персональные данные Субъекта, заключившего договор, Фирма обязуется использовать предоставленные персональные данные лиц, указанных в Заявке, исключительно в целях выполнения условий договора, заключенного с Субъектом персональных данных по поручению Фирмы, с учетом требований законодательства РФ.
При этом, ложится обязанность получить от Субъекта (его законного представителя) персональных данных письменное Согласие на обработку его персональных данных, указанных в Заявке, а также сообщить Субъекту персональных данных об обработке Фирмой его персональных данных
3. В целях обеспечения прав и свобод человека и гражданина Фирма и ее представители при обработке персональных данных Субъекта обязаны соблюдать следующие общие требования:
3.1. При определении объема и содержания персональных данных Субъекта, подлежащих обработке, Фирма должна руководствоваться Федеральным законом № 152-ФЗ от 27.07.2006 года «О персональных данных», обязательствами, взятыми на себя сторонами по договору Фирма - Клиент. Фирма получает персональные данные Субъекта в объеме, необходимом для достижения целей, указанных в договоре с Клиентом.
3.2. Фирма не имеет права получать и обрабатывать персональные данные Субъекта о судимости, политических, религиозных и иных убеждениях и частной жизни.
3.3. Фирма не имеет права получать и обрабатывать персональные данные Субъекта о членстве в общественных объединениях или профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законодательством.
3.4. Фирма не должна запрашивать информацию о состоянии здоровья Субъекта, за исключением тех сведений, которые относятся к вопросу организации безопасного отдыха для Клиентов.
4. Фирма должна обеспечить защиту персональных данных Субъекта от неправомерного их использования или утраты за собственный счет в порядке, установленном законодательством РФ.
5. Права и обязанности Субъекта
1. Субъект обязан передавать Фирме или его представителю комплекс достоверных, документированных персональных данных, состав которых установлен настоящим Положением и обязательствами, взятыми на себя сторонами по договору Фирма – Клиент.
2. Субъект должен без неоправданной задержки сообщать Фирме об изменении своих персональных данных.
3. Субъект имеет право на получение сведений о Фирме, о месте ее нахождения, о наличии у Фирмы персональных данных, относящихся к Субъекту, а также на ознакомление с такими персональными данными.
Субъект вправе требовать от Фирмы уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
3.1. Сведения о наличии персональных данных должны быть предоставлены Субъекту в доступной форме, в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
3.2. Доступ к своим персональным данным предоставляется Субъекту или его законному представителю Фирмой при обращении либо при получении запроса Субъекта или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность Субъекта или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись Субъекта или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с федеральным законодательством.
4. Субъект имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных Фирмой, а также цель такой обработки;
2) способы обработки персональных данных, применяемые Фирмой;
3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
4) перечень обрабатываемых персональных данных и источник их получения;
5) сроки обработки персональных данных, в том числе сроки их хранения;
6) сведения о том, какие юридические последствия для Субъекта может повлечь за собой обработка его персональных данных.
5. Субъект имеет право отозвать согласие на обработку персональных данных, ограничить способы и формы обработки персональных данных, запретить распространение персональных данных без его согласия.
6. Субъект вправе обжаловать действия или бездействие Фирмы в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
7. Субъект имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.
6. Порядок получения персональных данных
1. Фирма получает персональные данные Субъекта:
1.1. Непосредственно от Субъекта персональных данных – Клиента, на основании заключения с Клиентом письменного договора и письменного согласия на обработку персональных данных.
1.2. От Клиента - заказчика, который на законном основании в рамках договора представляет интересы субъекта персональных данных.
1.3. Непосредственно от Субъекта персональных данных - Сотрудника Фирмы.
2. Фирма до начала обработки персональных данных обязана предоставить Клиенту письменную информацию о наименовании и адресе третьих лиц, привлекаемых Фирмой для осуществления обязанностей по договору Фирма - Клиент, правовом основании и цели обработки третьими лицами персональных данных Клиента, о предполагаемых пользователях персональных данных и об установленных Законом «О персональных данных» правах Клиента.
2.1. Обязательства, указанные в п.2. настоящей статьи, исполняются следующим образом. Фирма, на основании возложенного на нее третьим лицом обязательства по договору между Фирмой и третьим лицом, обязана в письменном виде уведомить Клиента на стадии заключения с ним письменного договора.
2.2. Исполнение условий п.п.2. и 2.1. необязательно, если Субъект предоставил Фирме письменное согласие о том, чтобы на период действия договора Фирма – Клиент считать его персональные данные – общедоступными персональными данными.
7. Обработка персональных данных
1. Обработка персональных данных Субъекта осуществляется Фирмой исключительно для достижения целей, определенных письменным договором, Фирма - Клиент.
2. Обработка персональных данных Фирмой в интересе Субъекта заключается в получении, систематизации, накоплении, хранении, уточнении (обновлении, изменении), использовании, распространении, обезличивании, блокировании, уничтожении и защите от несанкционированного доступа персональных данных Субъекта.
3. Обработка персональных данных Субъекта ведется методом смешанной (в том числе автоматизированной) обработки.
4. К обработке персональных данных Субъекта могут иметь доступ только сотрудники Фирмы, допущенные к работе с персональными данными Субъекта.
5. В случае отзыва Субъектом персональных данных Согласия на обработку его персональных данных Фирма обязана прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Фирмы) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Фирмы) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором Фирма – Клиент.
6. В случае отсутствия возможности уничтожения персональных данных в течение тридцати дней, Фирма осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Фирмы) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
7. Об уничтожении персональных данных Фирма обязана уведомить Субъекта, если иное не установлено законодательством РФ либо договором с Субъектом.
8. Передача персональных данных
1. Передача персональных данных Субъекта осуществляется Фирмой исключительно для достижения целей, определенных письменным договором, Фирма – Клиент, в частности для формирования услуг, заказанных Клиентом.
2. Передача персональных данных Субъекта третьим лицам осуществляется Фирмой только на основании соответствующего договора, существенным условием которого является обязанность обеспечения третьим лицом конфиденциальности персональных данных Субъекта и безопасности персональных данных при их обработке.
Данное положение не распространяется в случае обезличивания персональных данных и в отношении общедоступных персональных данных.
3. Передача персональных данных третьим лицам осуществляется с использованием сети общего пользования Интернет и на бумажных носителях.
4. Фирма осуществляет трансграничную передачу персональных данных Субъекта, в том числе на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, только в исполнение договора Фирма – Субъект, либо при наличии соответствующего письменного согласия Субъекта.
9. Ответственность за разглашение информации, содержащей персональные данные Субъекта
1. Фирма несет ответственность за разработку, введение и действенность соответствующих требованиям законодательства РФ норм, регламентирующих получение, обработку и защиту персональных данных Субъекта. Фирма закрепляет персональную ответственность Сотрудников за соблюдением установленного в организации режима конфиденциальности.
2. Руководитель, разрешающий доступ Сотрудника к документам, содержащим персональные данные Субъекта, несет персональную ответственность за данное разрешение.
3. Каждый Сотрудник Фирмы, получающий для работы документ, содержащий персональные данные Субъекта, несет персональную ответственность за сохранность носителя и конфиденциальность информации.
4. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных Субъекта, несут дисциплинарную, административную, гражданско–правовую или уголовную ответственность в соответствии с законодательством РФ.
5. За неисполнение или ненадлежащее исполнение Сотрудником по его вине возложенных на него обязанностей по соблюдению установленного порядка обработки персональных данных Субъекта, Фирма вправе применять предусмотренные Трудовым кодексом РФ дисциплинарные взыскания.
6. Неправомерный отказ в представлении собранных в установленном порядке документов, содержащих персональные данные Субъекта, либо несвоевременное предоставление таких документов или иной информации в случаях, предусмотренных законом, либо предоставление неполной или заведомо ложной информации может повлечь наложение на должностных лиц административного штрафа в размере, определяемом Кодексом РФ об административных правонарушениях.
7. Неправомерность деятельности органов государственной власти и организаций по сбору и использованию персональных данных может быть установлена в судебном порядке.
Нормативно-методическая документация
Нормативная и методическая документация, которой необходимо руководствоваться по определению порядка обработки персональных данных в ЗАО «КОН»:
⎯ Конституция Российской Федерации;
⎯ Федеральный закон Российской Федерации от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»;
⎯ Федеральный закон Российской Федерации от 27 июля 2006 г. №152-ФЗ «О персональных данных»;
⎯ Федеральный закон Российской Федерации от 22 октября 2004 г. №125- ФЗ «Об архивном деле в Российской Федерации»;
⎯ Указ президента от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера»;
⎯ Трудовой кодекс Российской Федерации;
⎯ Гражданский кодекс Российской Федерации;
⎯ Кодекс Российской Федерации об Административных Правонарушениях;
⎯ Уголовный кодекс РФ Российской Федерации.
