Политика в отношении обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана и утверждается в строгом соответствии с положениями Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее — ФЗ-152), а также в соответствии с положениями Конвенции о защите физических лиц при автоматизированной обработке персональных данных, заключенной в Страсбурге 28 января 1981 года.

1.2. Настоящая Политика устанавливает единый порядок обработки персональных данных и определяет комплекс организационных и технических мер, направленных на обеспечение безопасности персональных данных в информационной системе «Сними-Купи» (далее — Оператор), с целью гарантированной защиты прав и свобод человека и гражданина при обработке его персональных данных, включая защиту прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3. В целях однозначного толкования положений настоящей Политики используются следующие основные понятия:

• Автоматизированная обработка персональных данных — обработка персональных данных, осуществляемая с использованием средств вычислительной техники и информационных технологий;
• Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных);
• Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных, а также информационных технологий и технических средств, обеспечивающих их обработку;
• Обезличивание персональных данных — действия, в результате которых становится невозможным определить без использования дополнительной информации принадлежность персональных данных конкретному субъекту персональных данных;
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• Персональные данные, разрешенные субъектом персональных данных для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном законодательством Российской Федерации;
• Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

1.4. В соответствии с частью 2 статьи 18.1 ФЗ-152 Оператор обязан обеспечить неограниченный доступ к настоящей Политике путем ее опубликования на официальном сайте Оператора в информационно-телекоммуникационной сети «Интернет». 

2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1 Основополагающие принципы обработки персональных данных

Деятельность Оператора по обработке персональных данных основывается на следующих фундаментальных принципах:

• соблюдения требований законодательства и обеспечения справедливого подхода при обработке персональных данных;
• ограничения обработки персональных данных строго определенными, предварительно установленными и правомерными целями;
• недопустимости обработки персональных данных способами, не соответствующими целям их первоначального сбора;
• запрета на объединение баз данных, содержащих персональные данные, если их обработка преследует несовместимые между собой цели;
• обработки исключительно тех персональных данных, которые непосредственно соответствуют заявленным целям их использования;
• соответствия содержательной части и объема обрабатываемых персональных данных декларируемым целям обработки;
• недопустимости обработки персональных данных, превышающих необходимый объем для достижения заявленных целей;
• обеспечения достоверности, полноты и актуальности обрабатываемых персональных данных применительно к целям их обработки;
• обязательного уничтожения или обезличивания персональных данных после достижения целей обработки либо при утрате практической необходимости в их дальнейшем использовании, за исключением случаев, прямо предусмотренных действующим федеральным законодательством.

2.2 Правовые основания для обработки персональных данных

Оператор осуществляет обработку персональных данных при существовании хотя бы одного из следующих правомерных оснований:

• наличие надлежащим образом оформленного согласия субъекта персональных данных на обработку его личных данных;
• необходимость исполнения судебного решения, акта иного уполномоченного органа или должностного лица в соответствии с нормами законодательства Российской Федерации об исполнительном производстве;
• требование исполнения договорных обязательств, стороной которых либо выгодоприобретателем по которым выступает субъект персональных данных, включая ситуации заключения договора по инициативе субъекта;
• защита жизни, здоровья или иных жизненно важных интересов субъекта персональных данных при объективной невозможности получения его согласия;
• реализация законных прав и интересов Оператора или третьих лиц, а также достижение общественно значимых целей при условии ненарушения прав и свобод субъекта персональных данных;
• обработка персональных данных, доступ к которым неограниченного круга лиц предоставлен непосредственно субъектом либо по его прямому обращению (так называемые общедоступные персональные данные);
• проведение обработки персональных данных для статистических или иных исследовательских целей;
• осуществление обработки персональных данных, подлежащих обязательному опубликованию или раскрытию в соответствии с требованиями федерального законодательства.

2.3 Режим конфиденциальности персональных данных

На Оператора и любых иных лиц, получивших законный доступ к персональным данным, возлагается безусловная обязанность по неразглашению таких данных третьим лицам и непредставлению их без получения предварительного согласия субъекта персональных данных, кроме случаев, прямо установленных федеральным законодательством.

2.4 Общедоступные источники персональной информации

В целях обеспечения информационной поддержки Оператор обладает правом создания общедоступных источников персональных данных, включая различные справочные издания и адресные книги. В такие источники могут включаться, при наличии письменного согласия субъекта, его основные персональные данные: фамилия, имя, отчество, дата и место рождения, контактные телефоны, адрес электронной почты и иные сведения, предоставляемые субъектом.

Информация о субъекте подлежит незамедлительному исключению из общедоступных источников персональных данных по мотивированному требованию самого субъекта либо на основании судебного решения или предписания уполномоченных государственных органов.

2.5 Особые категории персональных данных

Оператор не осуществляет обработку специальных категорий персональных данных, раскрывающих расовую или национальную принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья или интимную жизнь, за исключением следующих случаев:

• при наличии письменно оформленного согласия субъекта на обработку таких данных;
  если соответствующие персональные данные были сделаны общедоступными самим субъектом;
  при необходимости обработки в соответствии с законодательством о социальной помощи, трудовым законодательством, пенсионным законодательством;
• при необходимости защиты жизни, здоровья или иных жизненно важных интересов субъекта или других лиц при невозможности получения согласия;
• при обработке в медицинских и медико-профилактических целях специалистами, обязанными соблюдать врачебную тайну;
• при необходимости установления или реализации прав субъекта или третьих лиц в рамках осуществления правосудия;
• при обработке в соответствии с законодательством в сфере обязательного страхования.

Обработка специальных категорий персональных данных подлежит немедленному прекращению после устранения обстоятельств, послуживших основанием для их обработки.

2.6 Биометрические персональные данные

Сведения, характеризующие физиологические и биологические особенности человека и позволяющие установить его личность (биометрические данные), могут обрабатываться Оператором исключительно при наличии письменного согласия субъекта.

2.7 Передача обработки персональных данных третьим лицам

Оператор сохраняет за собой право поручить обработку персональных данных иному лицу при наличии согласия субъекта и заключении соответствующего договора, обязывающего такое лицо соблюдать установленные принципы и правила обработки.

2.8 Трансграничная передача персональных данных

Оператор обязан предварительно убедиться в обеспечении адекватной защиты прав субъектов персональных данных иностранным государством, на территорию которого планируется передача данных.

Трансграничная передача в страны без адекватной защиты допускается только при наличии письменного согласия субъекта или необходимости исполнения договора с его участием. 

3. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1 Дача согласия на обработку персональных данных

Принятие субъектом персональных данных решения о предоставлении своих персональных данных и выражение согласия на их обработку осуществляется им добровольно, по собственной независимой воле и в своих законных интересах. Надлежащее согласие на обработку персональных данных может быть предоставлено непосредственно субъектом персональных данных либо его уполномоченным законным представителем в любой объективно подтверждаемой форме, позволяющей достоверно установить факт его получения, если иной порядок не установлен действующими положениями федерального законодательства.

Бремя доказывания факта получения действительного согласия субъекта персональных данных на обработку его персональных данных, равно как и доказывания наличия иных законных оснований для обработки, предусмотренных Федеральным законом №152-ФЗ, в полном объеме возлагается на Оператора.

3.2 Реализация прав субъекта персональных данных

Субъект персональных данных обладает правом на получение от Оператора полной и достоверной информации, касающейся осуществления обработки его персональных данных, за исключением случаев, когда соответствующее право ограничено в прямом соответствии с положениями федеральных законов. Субъект персональных данных уполномочен требовать от Оператора осуществления уточнения своих персональных данных, их временного блокирования или полного уничтожения в ситуациях, когда обрабатываемые персональные данные являются неполными, морально устаревшими, недостоверными, получены незаконными методами или не соответствуют заявленным целям обработки, а также предпринимать иные предусмотренные законодательством меры, направленные на защиту своих нарушенных прав.

Осуществление обработки персональных данных для целей маркетингового продвижения товаров, работ или услуг на рынке, осуществляемого посредством установления прямых контактов с потенциальным потребителем с использованием различных средств коммуникации, допускается исключительно при условии получения предварительного и явно выраженного согласия субъекта персональных данных. Указанная разновидность обработки персональных данных признается осуществляемой без надлежащего предварительного согласия субъекта персональных данных, если Оператор не представит неопровержимых доказательств обратного.

Оператор принимает на себя обязательство о незамедлительном прекращении обработки персональных данных субъекта в вышеуказанных маркетинговых целях по первому требованию субъекта персональных данных.

Действует прямой законодательный запрет на принятие решений, порождающих юридически значимые последствия в отношении субъекта персональных данных или иным образом затрагивающих его законные права и интересы, исключительно на основании результатов автоматизированной обработки его персональных данных. Исключения из данного запрета могут устанавливаться только федеральными законами либо осуществляются при наличии предварительного письменного согласия самого субъекта персональных данных.

В случаях, когда субъект персональных данных обоснованно полагает, что Оператор осуществляет обработку его персональных данных с прямым нарушением требований Федерального закона №152-ФЗ или иным неправомерным образом ущемляет его права и свободы, субъект персональных данных обладает правом на обжалование противоправных действий или бездействия Оператора в установленном порядке, обратившись с соответствующей жалобой в Уполномоченный орган по защите прав субъектов персональных данных либо оспорив такие действия в судебной инстанции.

За субъектом персональных данных признается неотъемлемое право на судебную защиту своих нарушенных прав и законных интересов, включая право на полное возмещение причиненных убытков и (или) компенсацию перенесенного морального вреда в порядке, установленном гражданским законодательством. 

4. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Безопасность персональных данных, обрабатываемых Оператором, гарантируется посредством комплексной реализации взаимосвязанных правовых, организационных и технических мер защиты, соответствующих установленным требованиям федерального законодательства в сфере защиты персональных данных и признанных необходимыми и достаточными для противодействия существующим актуальным угрозам.

В целях недопущения несанкционированного и противоправного доступа к обрабатываемым персональным данным Оператором последовательно внедряется и поддерживается в актуальном состоянии следующий комплекс организационно-технических мероприятий:

• официальное назначение конкретных должностных лиц, персонально ответственных за организацию и осуществление процессов обработки и обеспечения безопасности персональных данных;
• официальное утверждение и введение в действие настоящей Политики в отношении обработки персональных данных, а также разработка и внедрение дополнительных внутренних локальных нормативных актов, детально регламентирующих для каждой конкретной цели обработки персональных данных соответствующие категории и исчерпывающий перечень обрабатываемых персональных данных, установленные категории субъектов, чьи персональные данные подлежат обработке, разрешенные способы и строго определенные сроки их обработки и хранения, четкий порядок уничтожения персональных данных при достижении заявленных целей их обработки или при возникновении иных предусмотренных законом оснований, а равно принятие локальных актов, устанавливающих конкретные процедуры, нацеленные на системное предупреждение, своевременное выявление и пресечение нарушений законодательства Российской Федерации, а также устранение негативных последствий таких нарушений;
• строгое ограничение и постоянный контроль круга сотрудников, имеющих санкционированный доступ к обрабатываемым персональным данным, на основе принципа минимальной достаточности;
• проведение систематического ознакомления субъектов персональных данных с актуальными требованиями федерального законодательства и внутренних нормативных документов Оператора, регламентирующих вопросы обработки и защиты персональных данных;
• установление четкого порядка учета, надлежащих условий хранения и регламентированного обращения всех видов материальных носителей информации, содержащих персональные данные;
• систематическое выявление и оценка потенциальных угроз безопасности персональных данных при их обработке в информационных системах с последующим формированием на этой основе актуальных и адекватных моделей возможных угроз;
• применение исключительно тех средств защиты информации, которые прошли в установленном законодательством порядке обязательную процедуру оценки соответствия предъявляемым требованиям;
• разработка и внедрение комплексной системы защиты персональных данных, основанной на результатах анализа и актуальной модели идентифицированных угроз безопасности;
• регулярное проведение проверок фактической готовности и оценки практической эффективности применяемых средств и механизмов защиты информации;
• реализация строгой системы разграничения прав доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации на основе принципа минимально необходимых полномочий;
• обязательная регистрация и систематический учет всех действий, совершаемых пользователями в информационных системах персональных данных, с обеспечением возможности последующего контроля и анализа;
• постоянное использование современных антивирусных средств, а также специализированных средств резервного копирования и восстановления работоспособности системы защиты персональных данных;
• применение при возникновении такой необходимости современных средств межсетевого экранирования, систем обнаружения и предотвращения вторжений, средств анализа защищенности и средств криптографической защиты информации, соответствующих установленным требованиям;
• организация и поддержание строгого пропускного режима на всей территории Оператора, а также обеспечение надлежащей физической охраны помещений, в которых размещены технические средства обработки персональных данных. 

5. УВЕДОМЛЕНИЕ О НАЧАЛЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. В соответствии с установленными требованиями законодательства Российской Федерации в области защиты персональных данных, Оператор принимает на себя обязательство по направлению соответствующего уведомления в уполномоченный государственный орган, осуществляющий функции по защите прав субъектов персональных данных, о планируемом начале осуществления деятельности, связанной с обработкой персональных данных. Данное уведомление должно быть составлено в установленной форме и направлено с использованием специализированного электронного портала, функционирующего под управлением уполномоченного органа, либо альтернативным способом - посредством направления надлежащим образом оформленного письменного уведомления через операторов почтовой связи с обеспечением подтверждения его доставки.

5.2. Обязательству уведомления уполномоченного органа подлежат следующие категории персональных данных, обработка которых осуществляется или планируется к осуществлению Оператором:

• персональные данные сотрудников и иных физических лиц, обработка которых осуществляется в строгом соответствии с требованиями действующего трудового законодательства Российской Федерации, включая положения Трудового кодекса Российской Федерации и иных нормативных правовых актов, регулирующих трудовые отношения;
• персональные данные, полученные Оператором в рамках установления и исполнения гражданско-правовых отношений, связанных с заключением и выполнением условий договоров различной природы, одной из сторон которых выступает субъект персональных данных. В данную категорию включаются персональные данные всех без исключения пользователей информационной системы «Сними-Купи», независимо от их функциональной роли в системе - как лиц, осуществляющих публикацию объявлений о предоставлении услуг, так и лиц, использующих возможность бронирования услуг на основании опубликованных в системе объявлений;
• персональные данные, сбор и обработка которых обусловлены введением специального пропускного режима на территории, находящейся под юрисдикцией Оператора. К таким данным относится информация, минимально необходимая и достаточная для обеспечения процедуры однократного или временного пропуска конкретного субъекта персональных данных на территорию расположения Оператора, а также персональные данные, обрабатываемые для достижения аналогичных целей обеспечения режима безопасности и контроля доступа. 

6. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

6.1. Весь комплекс прав и обязанностей Оператора, возникающих в связи с осуществлением им деятельности в качестве оператора персональных данных, а также любые дополнительные аспекты, связанные с обработкой персональных данных, которые не нашли прямого отражения в тексте настоящей Политики, подлежат регулированию соответствующими нормами действующего законодательства Российской Федерации в области персональных данных, включая, но не ограничиваясь, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.

6.2. На все без исключения должностные лица Оператора, в чьи обязанности входит осуществление обработки персональных данных и которые будут признаны виновными в нарушении установленных законодательством Российской Федерации норм и требований, регулирующих порядок обработки и обеспечения защиты персональных данных, распространяется положение о полной ответственности за совершение таких нарушений. Указанные лица могут быть привлечены к установленным федеральными законами видам юридической ответственности, включая материальную ответственность в виде возмещения причиненного ущерба, дисциплинарную ответственность в соответствии с нормами трудового законодательства, административную ответственность по основаниям, предусмотренным Кодексом Российской Федерации об административных правонарушениях, гражданско-правовую ответственность в порядке, определенном гражданским законодательством, а также уголовную ответственность в случаях, когда состав совершенного деяния содержит признаки преступления, предусмотренного Уголовным кодексом Российской Федерации. Конкретный вид, мера и порядок привлечения к ответственности в каждом случае определяются в строгом соответствии с санкциями тех федеральных законов, нормы которых были нарушены.