Утверждаю

Генеральный директор

ООО «Констил24»

___________ Пикуцкий А.В.

Приказ от __________ № _________

ПОЛОЖЕНИЕ

о персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Положение о персональных данных ООО «Констил24» (далее по тексту – Общество, Положение)  является документом, определяющим политику Общества в отношении обработки персональных данных.

1.2. Целью настоящего Положения является обеспечение защиты персональных данных работников и контрагентов Общества от несанкционированного доступа, неправомерного их использования или утраты, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

1.3. Положение разработано в соответствии со статьями 86-90 Трудового Кодекса Российской Федерации, Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом «Об информации, информационных технологиях и о защите информации», Федеральным законом «О персональных данных», Правилами внутреннего трудового распорядка Организации.

1.4. Положение вступает в силу с момента утверждения его генеральным директором Общества и действует бессрочно, до замены его новым положением. Все изменения в Положения вносятся соответствующим приказом.

1.5. Все работники Общества должны быть ознакомлены с настоящим Положением под подпись.

1.6. Основные понятия.

1.6.1. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу - субъекту персональных данных.

1.6.2. Оператор персональных данных, оператор – ООО «Констил24», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

1.6.3. Обработка персональных данных – любое действие (операция) или совокупность действий(операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление или изменение), извлечение, использование, передачу(распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

1.6.4. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

1.6.5. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

1.6.6. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

1.6.7. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

1.6.8. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

1.6.9. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных

1.6.10. Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.6.11. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.6.12. Конфиденциальность персональных данных – обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным работников, требование не допускать их распространения без согласия работника или иного законного основания.

1.7. Субъект персональных данных имеет право:

1.7.1. На получение полной информации, касающейся его персональных данных и обработки этих данных;

1.7.2. Требовать от оператора уточнения (исключения или исправления) его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, неверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также обработаны с нарушением требований федерального законодательства. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

1.7.3. На свободный безвозмездный доступ (ознакомление) к обрабатываемым персональным данным, включая право работников на бесплатное получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;

1.7.4. На определение своих представителей для защиты своих персональных данных (для работников);

1.7.5. На доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору (для работников);

1.7.6. Требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

1.7.7. Требовать прекратить обработку своих персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации;

1.7.8. Обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

1.8. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если:

1) обработка персональных данных, включая персональные данные, полученные в результате оперативно-разыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;

2) обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;

3) обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

4) доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц;

5) обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

1.9. Оператор обязан:

1.9.1. При сборе персональных данных предоставить субъекту персональных данных по его просьбе информацию, предусмотренную федеральным законодательством;

1.9.2. Разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные в случае, если предоставление персональных данных является обязательным в соответствии с федеральным законом;

1.9.3. Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами;

1.9.4. Не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

1.9.5. Принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

1.10. Общество обрабатывает персональные данные  в соответствии:

1.10.1. с федеральными законами и принятыми на их основании нормативными правовыми актами;

1.10.2. с Уставом ООО «Констил24»;

1.10.3. с настоящим Положением;

1.10.4. с договорами, заключаемыми между оператором и субъектом персональных данных;

1.10.5 с согласиями на обработку персональных данных;

1.10.6. с обязательствами о неразглашении конфиденциальной информации.

1.11. Целью сбора и обработки персональных данных является осуществление и выполнение возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

ООО «Констил24» обрабатывает персональные данные сотрудников, кандидатов на работу, бывших работников и лиц, выполняющих работу по гражданским договорам, соблюдая требования закона и исключительно в целях трудоустройства, оформления трудовых отношений, получения сотрудниками образования и продвижения по службе, контроля количества и качества выполняемой работы, обеспечения безопасности сотрудников и сохранности имущества компании и сотрудников.

Любые сведения личного характера – о судимости, состоянии здоровья, составе семьи, наличии несовершеннолетних детей и иждивенцев и т. д. – ООО «Констил24» обрабатывает только для целей трудовых отношений и предоставления гражданам гарантий и компенсаций, положенных по закону и локальным нормативным актам ООО «Констил24».

2. ОБЪЕМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. ООО «Констил24» обрабатывает персональные данные следующих категорий субъектов персональных данных:

2.1.1. Работники, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников.

2.1.2. Клиенты и контрагенты оператора – физические лица.

2.1.3. Представители/работники клиентов и контрагентов оператора (юридических лиц).

2.2. ООО «Констил24» обрабатывает любые персональные данные работников, бывших работников, кандидатов на замещение вакантных должностей, а также родственников работников в целях трудовых отношений. Исключение: персональные данные специальных категорий, касающиеся:

- состояния здоровья, когда это не связано с выполнением работы;

- расовой и национальной принадлежности;

- политических взглядов;

- религиозных или философских убеждений;

- интимной жизни.

В случаях, непосредственно связанных с вопросами трудовых отношений данные о частной жизни работника (информация о жизнедеятельности в сфере семейных бытовых, личных отношений) могут быть получены и обработаны Обществом только с его письменного согласия.

2.2.1. Конфиденциальная информация о работниках и бывших работниках:

- фамилия, имя, отчество, возраст, дата рождения;

- паспортные данные;

- образование, специальность, квалификация, трудовой стаж, опыт работы;

- повышение квалификации, профессиональная переподготовка, независимая оценка квалификации, аттестация;

- занимаемая должность или выполняемая работа;

- сведения о воинском учете;

- социальные гарантии и льготы и основания для них;

- состояние здоровья работника, результаты медицинского обследования, психиатрического освидетельствования;

- адрес места жительства, номер телефона;

2.2.2. Конфиденциальная информация о семейном положении сотрудников и членах их семей:

- о наличии детей и иждивенцев;

- состоянии здоровья членов семьи;

- необходимости ухода за больным членом семьи;

- усыновлении и удочерении;

- иных фактах, на основании которых работникам по закону и локальным актам ООО «Констил24» должны быть предоставлены гарантии и компенсации.

2.3.      ООО «Констил24» без письменного согласия субъекта персональных данных обрабатывает эти данные в объеме, необходимом для оформления трудовых отношений и заключения гражданского договора на выполнение работ или выполнение работ (услуг).

2.4.      ООО «Констил24» не обрабатывает персональные данные в случае, когда это несовместимо с целями их сбора.

3. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. В Обществе организована система конфиденциального делопроизводства. Система обеспечивает создание, движение и хранение документов по личному составу и иных документов, содержащих персональные данные, таким образом, чтобы исключить несанкционированное использование этих сведений.

3.2. Доступ к персональным данным в Обществе имеют только те специалисты, кому это необходимо для исполнения должностных обязанностей. Сотрудники, получающие доступ к персональным данным, назначаются приказом генерального директора ООО «Констил24». Они проходят процедуру допуска, в процессе которой обучаются методам и способам безопасной обработки персональных данных.

Права, обязанности и ответственность сотрудников, обрабатывающих персональные данные в Обществе, закрепляются в их трудовых договорах, должностных инструкциях. Они дают отдельное письменное обязательство о неразглашении конфиденциальных сведений, в т. ч. после увольнения их из ООО «Констил24».

Каждый сотрудник Общества, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.

Лица, виновные в нарушении правил и норм, регулирующих получение, обработку, хранение и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

3.3. Все меры конфиденциальности при сборе, обработке и хранении персональных данных сотрудника распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

Не допускается отвечать на вопросы, связанные с передачей персональной информации по телефону или факсу.

3.4. Все персональные данные ООО «Констил24» получает только у субъекта персональных данных. В случае, когда персональные данные можно получить только у третьих лиц, это делается исключительно с письменного согласия субъекта персональных данных.

3.5. В случаях, предусмотренных законом, ООО «Констил24» обрабатывает персональные данные без специального согласия на то субъекта персональных данных. В остальных ситуациях ООО «Констил24» предлагает субъекту оформить персональное и конкретное письменное согласие на обработку персональных данных. Субъект персональных данных может в любой момент отозвать свое согласие на обработку сведений.

3.6. ООО «Констил24» передает персональные данные в порядке, установленном законодательством. Персональные данные передаются только с письменного согласия субъекта персональных данных, за исключением случаев, предусмотренных законом.

3.7. При передаче персональных данных ООО «Констил24» обязано соблюдать следующие требования:

не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом;

не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами;

разрешать доступ к персональным данным работников только специально уполномоченным лицам, определенным приказом по организации, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;

не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

передавать персональные данные работника представителям работников в порядке, установленном Трудовым Кодексом, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

3.8. Общество хранит персональные данные в рамках конфиденциального делопроизводства в порядке, исключающем их утрату или неправомерное использование. Общество прекращает обрабатывать персональные данные, если:

- достигло цели их обработки;

- обнаружило неправомерную обработку персональных данных.

При достижении целей обработки ООО «Констил24» уничтожает персональные данные. Исключения:

-        персональные данные должны храниться длительное время в силу требований нормативных правовых актов;

-        кандидат на работу желает остаться в кадровом резерве.

3.10. Работник обязан передавать Обществу комплекс достоверных, документированных персональных данных, состав которых установлен Трудовым Кодексом РФ, а также своевременно сообщать об изменениях своих персональных данных. Работники ставят Общество в известность об изменении фамилии, имени, отчества, даты рождения, что получает отражение в трудовой книжке на основании представленных документов. При необходимости изменяются данные об образовании, профессии, специальности, присвоении нового разряда и пр.

При принятии решений, затрагивающих интересы работника, ООО «Констил24» не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения. Общество учитывает личные качества работника, его добросовестный и эффективный труд.

4. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ. ОТВЕТЫ НА ЗАПРОСЫ СУБЪЕКТОВ НА ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ

4.1. В случае выявления неправомерной обработки персональных данных при обращении либо по запросу субъекта персональных данных ( его представителя), а также по запросу Роскомнадзора Общество блокирует неправомерно обрабатываемые персональные данные этого субъекта с момента обращения или получения запроса на период проверки.

4.2. В случае выявления неточных персональных данных при обращении либо по запросу субъекта персональных данных (его представителя)  или по запросу уполномоченного органа по защите прав субъектов персональных данных Общество блокирует персональные данные, относящиеся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных (его представителем) либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

4.3. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором, Общество в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает  такие персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных Общество уведомляет субъекта персональных данных (его представителя), а в случае, если обращение субъекта персональных данных (его представителя) либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

4.4. В случае достижения цели обработки персональных данных Общество  прекращает обработку персональных данных и уничтожает персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных,, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или другими федеральными законами.

4.5. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных ООО «Констил24» прекращает их обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или другими федеральными законами.

4.6. Лицо, ответственное за организацию обработки персональных данных в Обществе, организовывает прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов.

4.7. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

4.8. ООО «Констил24» предоставляет сведения, предусмотренные Законом о персональных данных, а также предоставляет возможность ознакомления с ними субъекта персональных данных или его представителя в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.

В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя Общество дает в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Закона о персональных данных или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя.

4.9. Общество предоставляет безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.

В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Общество вносит в них необходимые изменения.

В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Общество уничтожает такие персональные данные. ООО «Констил24» уведомляет субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

4.10. Субъект персональных данных вправе обратиться повторно в Общество или направить  повторный запрос в целях получения сведений, указанных в Законе о персональных данных, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

ООО «Констил24» вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным Законом о персональных данных. Такой отказ должен быть мотивированным.

4.11. Общество сообщает в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса.