ПОЛОЖЕНИЕ О ПОРЯДКЕ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Общие положения
1.1. Настоящее Положение разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации № 197-ФЗ от 30.12.2001г., Федеральным законом Российской Федерации "Об информации, информационных технологиях и о защите информации" № 149-ФЗ от 27.07.2006г., Федеральным законом Российской Федерации "О персональных данных" № 152-ФЗ от 27.07.2006 г., Указом Президента Российской Федерации «Об утверждении перечня сведений конфиденциального характера» № 188 от 06.03.1997 г.,Постановлением Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и другими нормативными правовыми актами.
1.2. Целью настоящего Положения является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Персональные данные человека и гражданина являются конфиденциальной информацией.
1.4. Настоящее Положение определяет порядок обработки персональных данных работников Общества с ограниченной ответственностью Микрокредитная компания «Экспресс Наличные» (далее ООО Микрокредитная компания «Экспресс Наличные») и иных субъектов персональных данных, гарантии конфиденциальности сведений, предоставляемых Оператору, ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.
1.5. Порядок ввода в действие и изменения Положения.
1.5.1. Настоящее Положение вступает в силу с момента его утверждения руководителем Организации и действует бессрочно до замены его новым Положением.
1.5.2. Все изменения в Положение вносятся приказом.
1.6. Все работники Организации должны быть ознакомлены с настоящим Положением под роспись.
1.7. Режим конфиденциальности персональных данных в отношении персональных данных работников организации снимается в случаях их обезличивания и по истечении 75 лет срока их хранения, или продлевается на основании заключения экспертной комиссии Организации, если иное не определено законом.
2. Основные понятия, используемые в настоящем Положении
2.1. Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;
2.12.Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности;
2.13. Информация ‑ сведения (сообщения, данные) независимо от формы их представления;
-
- Доступ к информации ‑ возможность получения информации и ее использования;
2.15. Документированная информация ‑ зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.
3. Цели и задачи обработки персональных данных
3.1. Оператором, организующим и осуществляющим обработку персональных данных, является ООО Микрокредитная компания «Экспресс Наличные»;
3.2. Обработка персональных данных осуществляется с целью содействия субъектам персональных данных при заключении с Оператором любых договоров и их дальнейшего исполнения, принятия решений или совершения иных действий, порождающих юридические последствия в отношении Субъекта или других лиц, предоставления Субъекту информации об оказываемых Оператором услугах;
3.3. Обработка персональных данных осуществляется:
- без использования средств автоматизации (в части юридического заключения о возможности предоставления/непредоставления займа «материнский»);
- с использованием автоматизированной информационной системы во всех остальных случаях с помощью программ: 1С: Предприятие 8.3, Судебные приставы, НБКИ и др. Указанные программы подробно описаны в приложениях к настоящему Положению;
3.4. К персональным данным относятся:
- анкетные, биографические и биометрические данные;
- образование;
- сведения о трудовом и общем стаже;
- сведения о составе семьи;
- паспортные данные;
- сведения о воинском учете;
- сведения о заработной плате сотрудника;
- сведения о социальных льготах;
- специальность;
- профессия;
- наличие судимостей;
- адрес места жительства;
- домашний телефон;
- место работы или учебы членов семьи и родственников;
- характер взаимоотношений в семье;
- содержание трудового договора;
- состав декларируемых сведений о наличии материальных ценностей;
- содержание декларации, подаваемой в налоговую инспекцию;
- подлинники и копии приказов по личному составу;
- личные дела и трудовые книжки сотрудников;
- основания к приказам по личному составу;
- дела, содержащие материалы по повышению квалификации и переподготовке сотрудников, их аттестации, служебным расследованиям;
- копии отчетов, направляемые в органы статистики.
4. Принципы и условия обработки персональных данных
4.1. Обработка персональных данных должна осуществляться на основе принципов:
1) законности целей и способов обработки персональных данных и добросовестности;
4.2. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
5. Документы, содержащие персональные данные:
- паспорт или иной документ, удостоверяющий личность;
- трудовая книжка;
- страховое свидетельство государственного пенсионного страхования;
- документы воинского учета;
- документы об образовании, о квалификации или о наличии специальных знаний или специальной подготовки;
- дополнительные документы (справка о доходах с предыдущего места работы, справка из органов государственной налоговой службы о предоставлении сведений об имущественном положении, медицинское заключение о состоянии здоровья и др.)
6. Сбор, обработка и хранение персональных данных
6.1. Порядок получения персональных данных
6.1.1. Все персональные данные Субъекта персональных данных следует получать у него самого. Если персональные данные возможно получить только у третьей стороны, то Субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Субъект персональных данных должен быть уведомлен о целях, предполагаемых источниках и способах получения персональных данных, а так же о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.
6.1.2. Оператор не имеет права получать и обрабатывать персональные данные Субъекта персональных данных о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации Оператор вправе получать и обрабатывать данные о частной жизни Субъекта персональных данных только с его письменного согласия.
6.1.3. Оператор не имеет права получать и обрабатывать персональные данные Субъекта персональных данных о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных"
6.2. Порядок обработки, передачи и хранения персональной информации
6.2.1. Обработка персональных данных– получение, хранение, комбинирование, передача или любое другое использование персональных данных Субъекта персональных данных, производится с письменного согласия субъекта по установленной форме (приложение 1) или в соответствии с иным основанием, предусмотренным действующим законодательством. Обработка персональных данных Субъекта персональных данных осуществляется для обеспечения соблюдения законов и иных нормативных правовых актов.
6.2.2. В соответствии с Законодательством Российской Федерации в целях обеспечения прав и свобод человека и гражданина Оператор и его представители при обработке персональных данных Субъекта персональных данных должны соблюдать следующие требования:
- обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия Субъектам персональных данных в трудоустройстве, обучении и продвижении на службе, обеспечения личной безопасности Субъектов персональных данных, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
- при определении объема и содержания, обрабатываемых персональных данных Оператор руководствуется Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом "О персональных данных" и иными федеральными законами;
-Оператор не имеет права получать и обрабатывать персональные данные Субъекта персональных данных о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации Оператор вправе получать и обрабатывать данные о частной жизни Субъекта персональных данных только с его письменного согласия;
- Оператор не имеет права получать и обрабатывать персональные данные Субъекта персональных данных о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Федеральным законом "О персональных данных";
- при принятии решений, затрагивающих интересы Субъекта персональных данных, Оператор не имеет права основываться на персональных данных Субъекта персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получения;
- защита персональных данных Субъекта персональных данных от неправомерного их использования или утраты обеспечивается за счет средств Оператора в порядке, установленном Федеральным законом "О персональных данных";
- Субъекты персональных данных должны быть ознакомлены под расписку с документами Оператора, устанавливающими порядок обработки персональных данных Субъектов персональных данных, а также об их правах и обязанностях в этой области;
- на основании норм Трудового кодекса РФ (ст. 86), а также исходя из положений п. 2 ст. 6 Федерального закона №152-ФЗ "О персональных данных", обработка персональных данных осуществляется Оператором без письменного согласия Субъекта персональных данных, за исключением случаев, предусмотренных федеральным законом;
- Субъект персональных данных обязан предоставлять Оператору достоверные сведения о себе и своевременно сообщать ему об изменении своих персональных данных. Оператор имеет право проверять достоверность сведений, предоставленных Субъектом персональных данных, сверяя данные, предоставленные Субъектом персональных данных, с имеющимися у Субъекта персональных данных документами;
- в случаях, когда Оператор может получить необходимые персональные данные Субъекта персональных данных только у третьего лица, Оператор должен уведомить об этом Субъекта персональных данных и получить от него письменное согласие по установленной форме (Приложение 2).Оператор обязан сообщить Субъекту персональных данных о целях, способах и источниках получения персональных данных, а также о характере подлежащих получению персональных данных и возможных последствиях отказа Субъекта персональных данных дать письменное согласие на их получение;
- персональные данные Субъекта персональных данных хранятся у Оператора в сейфе или в несгораемом шкафу. Персональные данные Субъекта персональных данных хранятся также в электронном виде на локальной компьютерной сети. Доступ к электронным базам данных, содержащим персональные данные Субъектов персональных данных, обеспечиваются системой паролей. Пароли устанавливаются руководителем структурного подразделения и сообщаются индивидуально сотрудникам подразделения, имеющим доступ к персональным данным Субъектов персональных данных. Хранение персональных данных Субъектов персональных данных в структурных подразделениях Оператора, сотрудники которых имеют право доступа к персональным данным, осуществляется в порядке исключающим к ним доступ третьих лиц;
- сотрудник Оператора, имеющий доступ к персональным данным Субъектов персональных данных в связи с исполнением трудовых обязанностей обеспечивает хранение информации, содержащей персональные данные Субъекта персональных данных, исключающее доступ к ним третьих лиц. В отсутствие сотрудника на его рабочем месте не должно быть документов, содержащих персональные данные Субъектов персональных данных;
- при уходе в отпуск, служебной командировке и иных случаях длительного отсутствия работника Оператора на своем рабочем месте, он обязан передать документы и иные носители, содержащие персональные данные Субъектов персональных данных лицу, на которое локальным актом Оператора (приказом, распоряжением) будет возложено исполнение его трудовых обязанностей. В случае если такое лицо не назначено, то документы и иные носители, содержащие персональные данные Субъектов персональных данных, передаются другому сотруднику, имеющему доступ к персональным данным Субъектов персональных данных по указанию руководителя структурного подразделения;
- при увольнении сотрудника, имеющего доступ к персональным данным Субъектов персональных данных, документы и иные носители, содержащие персональные данные Субъектов персональных данных, передаются другому сотруднику, имеющему доступ к персональным данным Субъектов персональных данных по указанию руководителя структурного подразделения;
- доступ к персональным данным Субъекта персональных данных имеют сотрудники Оператора, которым персональные данные необходимы в связи с исполнением ими трудовых обязанностей согласно перечню должностей (Приложение 3). В целях выполнения порученного задания и на основании служебной записки с положительной резолюцией руководителя Оператора, доступ к персональным данным Субъекта персональных данных может быть предоставлен иному Субъекту персональных данных, должность которого не включена в Перечень должностей сотрудников, имеющих доступ к персональным данным Субъекта персональных данных Оператора, и которым они необходимы в связи с исполнением трудовых обязанностей;
- в случае если Оператору оказывают услуги юридические и физические лица на основании заключенных договоров (либо иных оснований) и в силу данных договоров они должны иметь доступ к персональным данным Субъектов персональных данных, то соответствующие данные предоставляются Оператором только после подписания с ними соглашения о неразглашении конфиденциальной информации. В исключительных случаях, исходя из договорных отношений с контрагентом, допускается наличие в договорах пунктов о неразглашении конфиденциальной информации, в том числе предусматривающих защиту персональных данных Субъекта персональных данных.
6.2.3. Процедура оформления доступа к персональным данным Субъекта персональных данных включает в себя:
- ознакомление Субъекта персональных данных под роспись с настоящим Положением.
- истребование с сотрудника (за исключением руководителя Оператора) письменного обязательства о соблюдении конфиденциальности персональных данных Субъекта персональных данных и соблюдении правил их обработки, подготовленного по установленной форме (Приложение 4).
6.2.4. Сотрудники Оператора, имеющие доступ к персональным данным Субъектов персональных данных, имеют право получать только те персональные данные Субъекта персональных данных, которые необходимы им для выполнения конкретных функций.
6.2.5. Доступ к персональным данным Субъектов персональных данных без специального разрешения имеют Субъект персональных данных, занимающие в организации следующие должности:
- Генеральный директор
- Заместитель генерального директора
- Специалист отдела кадров
- Главный бухгалтер
- Бухгалтер
- Начальник службы экономической безопасности
- Специалист по экономической безопасности
- Юрист
- Помощники юриста
- Старшие менеджеры по взысканию задолженности
- Системный администратор ИСПД
- Системные администраторы
- Офис-менеджер
Допуск к персональным данным Субъекта персональных данных других сотрудников Оператора, не имеющих надлежащим образом оформленного доступа, запрещается.
6.2.6. Субъект персональных данных имеет право на свободный доступ к своим персональным данным, включая право на получение копии любой записи (за исключением случаев предусмотренных Федеральным законом «О персональных данных»), содержащей его персональные данные. Субъект персональных данных имеет право вносить предложения по внесению изменений в свои данные в случае обнаружения в них неточностей.
6.2.7. Оператор вправе передавать персональные данные Субъекта персональных данных в свои структурные подразделения, в случае необходимости исполнения сотрудниками соответствующих структурных подразделений своих трудовых обязанностей. При передаче персональных данных Субъекта персональных данных, сотрудники предупреждают лиц, получающих данную информацию, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и истребуют от этих лиц письменное обязательство (Приложение 4).
6.2.8. Передача персональных данных между подразделениями Оператора осуществляется только между сотрудниками, имеющими доступ к персональным данным Субъектов персональных данных.
6.2.9. Передача персональных данных Субъекта персональных данных третьим лицам осуществляется только с письменного согласия Субъекта персональных данных, которое оформляется по установленной форме (Приложение 5) и должно включать в себя:
- фамилию, имя, отчество, адрес Субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
- наименование и адрес Оператора, получающего согласие Субъекта персональных данных;
- цель передачи персональных данных;
- перечень персональных данных, на передачу которых дает согласие Субъект персональных данных;
- срок, в течение которого действует согласие, а также порядок его отзыва.
Согласия Субъекта персональных данных на передачу его персональных данных третьим лицам не требуется в случаях, когда это необходимо в целях предупреждения угрозы жизни и здоровью Субъекта персональных данных; когда третьи лица оказывают услуги Оператору на основании заключенных договоров, а также в случаях, установленных Федеральным законом «О персональных данных» и настоящим Положением.
6.2.10. Не допускается передача персональных данных Субъекта персональных данных в коммерческих целях без его письменного согласия, оформленного по установленной форме (Приложение 6).
6.2.11. Сотрудники Оператора, передающие персональные данные Субъектов персональных данных третьим лицам, должны передавать их с обязательным составлением акта приема-передачи документов (иных материальных носителей), содержащих персональные данные Субъектов персональных данных. Акт составляется по установленной форме (Приложение 6), и должен содержать следующие условия:
- уведомление лица, получающего данные документы об обязанности использования полученной конфиденциальной информации лишь в целях, для которых она сообщена;
- предупреждение об ответственности за незаконное использование данной конфиденциальной информации в соответствии с федеральными законами.
Передача документов (иных материальных носителей), содержащих персональные данные Субъектов персональных данных, осуществляется при наличии у лица, уполномоченного на их получение:
- договора на оказание услуг Оператору;
- соглашения о неразглашении конфиденциальной информации либо наличие в договоре с третьим лицом пунктов о неразглашении конфиденциальной информации, в том числе, предусматривающих защиту персональных данных Субъекта персональных данных;
- письма-запроса от третьего лица, которое должно включать в себя указание на основания получения доступа к запрашиваемой информации, содержащей персональные данные Субъекта персональных данных, её перечень, цель использования, Ф.И.О. и должность лица, которому поручается получить данную информацию.
Ответственность за соблюдение вышеуказанного порядка предоставления персональных данных Субъекта персональных данных несет руководитель структурного подразделения, осуществляющего передачу персональных данных Субъекта персональных данных третьим лицам.
6.2.12. Представителю Субъекта персональных данных (в том числе адвокату) персональные данные передаются в порядке, установленном действующим законодательством и настоящим Положением. Информация передается при наличии одного из документов:
- нотариально удостоверенной доверенности представителя Субъекта персональных данных;
- письменного заявления Субъекта персональных данных, написанного в присутствии сотрудника Оператора (если заявление написано Субъектом персональных данных не в присутствии сотрудника Оператора, то оно должно быть нотариально заверено).
Доверенности и заявления хранятся у Оператора в деле Субъекта персональных данных.
6.2.13. Предоставление персональных данных Субъекта персональных данных государственным органам производится в соответствии с требованиями действующего законодательства и настоящим Положением.
6.2.14. Персональные данные Субъекта персональных данных могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого Субъекта персональных данных, за исключением случаев, когда передача персональных данных Субъекта персональных данных без его согласия допускается действующим законодательством Российской Федерации.
6.2.15. Документы, содержащие персональные данные Субъекта персональных данных, могут быть отправлены через организацию федеральной почтовой связи. При этом должна быть обеспечена их конфиденциальность. Документы, содержащие персональные данные вкладываются в конверт, к нему прилагается сопроводительное письмо. На конверте делается надпись о том, что содержимое конверта является конфиденциальной информацией, и за незаконное ее разглашение законодательством предусмотрена ответственность. Далее, конверт с сопроводительным письмом вкладывается в другой конверт, на который наносятся только реквизиты, предусмотренные почтовыми правилами для заказных почтовых отправлений.
6.2.16. Иные права, обязанности, действия сотрудников Оператора, в трудовые обязанности которых входит обработка персональных данных Субъекта персональных данных, определяются также должностными инструкциями.
7. Организация защиты персональных данных Субъекта персональных данных
7.1. Защита персональных данных Субъекта персональных данных от неправомерного их использования или утраты обеспечивается Оператором.
7.2. Общую организацию защиты персональных данных Субъектов персональных данных осуществляет руководитель структурного подразделения, уполномоченный Оператором.
7.3. Руководитель структурного подразделения, уполномоченный Оператором обеспечивает:
- ознакомление Субъекта персональных данных под роспись с настоящим Положением.
При наличии иных нормативных актов (приказы, распоряжения, инструкции и т.п.), регулирующих обработку и защиту персональных данных Субъекта персональных данных, с данными актами также производится ознакомление Субъекта персональных данных под роспись.
- истребование с сотрудников Оператора письменного обязательства о соблюдении конфиденциальности персональных данных Субъекта персональных данных и соблюдении правил их обработки.
- общий контроль за соблюдением сотрудниками Оператора мер по защите персональных данных Субъекта персональных данных.
7.4. Защите подлежит:
- информация о персональных данных Субъекта персональных данных;
- документы, содержащие персональные данные Субъекта персональных данных;
- персональные данные, содержащиеся на электронных носителях.
7.5. Защита сведений, хранящихся в электронных базах данных Оператора, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается разграничением прав доступа с использованием учетной записи и системой паролей.
8. Защита персональных данных
8.1. Внутренняя защита:
8.1.1. Защита данных на бумажных носителях:
- несгораемые сейфы.
8.1.2. Защита информации на электронных носителях:
доступ к базе персональных данных ограничен Оператором посредством установки пролей на его компьютер.
8.2. Внешняя защита:
- сигнализация,
- вневедомственная охрана
- пожарная сигнализация.
9. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных Субъекта персональных данных
9.1. Персональная ответственность - одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы.
9.2. Руководитель, разрешающий доступ сотрудника к конфиденциальному документу, несет персональную ответственность заданное разрешение.
9.3. Каждый сотрудник Оператора, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.
9.4. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных Субъекта персональных данных, несут ответственность в соответствии с федеральными законами:
- дисциплинарную (замечание, выговор, увольнение);
- административную (предупреждение или административный штраф);
- гражданско-правовую (возмещение причиненного убытка);
- уголовную (штраф, либо обязательные работы, либо исправительные работы, либо арест, либо лишение свободы, либо лишение прав занимать определенные должности).
9.5. Субъект персональных данных, предоставивший Оператору подложные документы или заведомо ложные сведения о себе, несет дисциплинарную ответственность, вплоть до увольнения (если субъект персональных данных является сотрудником ООО Микрокредитная компания «Экспресс Наличные»)
10. Заключительные положения
10.1. Настоящее Положение вступает в силу с момента его утверждения Генеральным директором ООО Микрокредитная компания «Экспресс Наличные» и вводится в действие приказом генерального директора ООО Микрокредитная компания «Экспресс Наличные».
10.2. Положение обязательно для всех Субъектов персональных данных, если иные условия не предусмотрены в трудовом или ином договоре Субъекта персональных данных.
10.3. Генеральный директор ООО Микрокредитная компания «Экспресс Наличные» вправе вносить изменения и дополнения в настоящее Положение. Работники ООО Микрокредитная компания «Экспресс Наличные» должны быть поставлены в известность о вносимых изменениях и дополнениях за пять дней до вступления их в силу посредством издания Генеральным директором приказа и ознакомления с ним всех Субъектов персональных данных ООО Микрокредитная компания «Экспресс Наличные».