ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ АССОЦИАЦИИ ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ "НЕКОММЕРЧЕСКОЕ ПАРТНЕРСТВО ПЕРМЬ-НЕФТЬ"

УТВЕРЖДЕНО:

Приказом № 01-04/16

от "08" апреля 2019 г.

Директор АПО "НП Пермь-нефть"

________________ И. А. Анисимов

ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

АССОЦИАЦИИ ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ "НЕКОММЕРЧЕСКОЕ ПАРТНЕРСТВО ПЕРМЬ-НЕФТЬ"

Пермь 2019

РАЗДЕЛ 1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Назначение Политики

Настоящая Политика в отношении обработки персональных данных (далее - Политика) определяет порядок и условия сбора, хранения, передачи, блокирования, обезличивания, уничтожения и иных видов обработки персональных данных в Ассоциации профессионального образования «Некоммерческое партнерство Пермь-нефть» (далее – АПО "НП Пермь-нефть").

1.2. Основные понятия, используемые в Политике:

- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

- оператор - АПО "НП Пермь-нефть" либо иное юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

- субъект персональных данных - физическое лицо, в отношении которого организуется и (или) осуществляется обработка персональных данных, а именно работники АПО "НП Пермь-нефть", кандидаты на вакантные должности, уволенные работники, обучающиеся, а также физические лица, состоящие в гражданско-правовых (договорных) отношениях с АПО "НП Пермь-нефть".

- специальные категории персональных данных - сведения о субъекте, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни;

- биометрические персональные данные - сведения о субъекте, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность;

- общедоступные персональные данные - сведения о субъекте, содержащиеся в общедоступных источниках персональных данных (справочники, книги и т.п.);

- трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;

- автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

- информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

- блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

- уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

1.3. Права и обязанности субъекта персональных данных и оператора

1.3.1. Субъект персональных данных вправе:

- получать информацию, касающейся обработки его персональных данных, в порядке, объеме и сроки, предусмотренные Федеральным законом от 27.07.2006 N 152-ФЗ "Об обработке персональных данных" (далее - Федеральный закон);

- требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

-отозвать согласие на обработку персональных данных;

- осуществлять защиту своих нарушенных прав и законных интересов, в том числе обжаловать действия или бездействие оператора путем обращения в уполномоченный орган по защите прав субъектов персональных данных или в суд, а также требовать возмещения убытков и (или) компенсации морального вреда;

- осуществлять другие права, предусмотренные законодательством Российской Федерации.

1.3.2. Оператор обязан:

- предоставлять информацию об обработке персональных данных субъекту персональных данных по его требованию в порядке и сроки, предусмотренные Федеральным законом;

- в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, осуществить уточнение, блокирование или уничтожение персональных данных по требованию субъекта персональных данных;

- в случае, если персональные данные были получены не от субъекта персональных данных, предоставить ему необходимую информацию в порядке и объеме, предусмотренном Федеральным законом;

- при отказе в предоставлении персональных данных разъяснить субъекту персональных данных последствия такого отказа;

- опубликовать или иным образом обеспечить неограниченный доступ к Политике, к сведениям о реализуемых требованиях к защите персональных данных;

-прекратить обработку в случае достижения цели обработки персональных данных либо обеспечить ее прекращение и уничтожить соответствующие персональные данные, если иное не предусмотрено договором или иным соглашением, стороной которого является субъект персональных данных;

- прекратить обработку персональных данных в случае отзыва согласия субъекта на обработку персональных данных либо обеспечить ее прекращение и уничтожить персональные данные за исключением случаев, предусмотренных Федеральным законом, и если иное не предусмотрено соглашением с субъектом персональных данных;

-давать ответы на запросы и обращения субъектов персональных данных, их представителей и уполномоченного органа по защите прав субъектов персональных данных;

- принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

1.3.3. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено законодательством РФ, на основании заключаемого с этим лицом договора.

РАЗДЕЛ 2. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Обработка персональных данных в АПО "НП Пермь-нефть" осуществляется в следующих целях:

- оказание образовательных (т. е. в цели, указанной в учредительных документах и цели фактически осуществляемой деятельности) и иных услуг для клиентов (информационных, проведение акций и т.п.);

- обработка претензий контрагентов;

- подготовка, заключение, исполнение и прекращение договоров с контрагентами;

- ведение кадровой работы (в т.ч. подбора персонала) и бухгалтерского учета;

- обеспечение работникам установленных законодательством РФ условий труда, гарантий и компенсаций;

- противодействие коррупции;

- обеспечение соответствия деятельности требованиям федерального законодательства в части предоставления информации государственным органам и в судебные инстанции, а также требованиям трудового, гражданского, налогового и иного законодательства РФ;

- защита жизни, здоровья или иных жизненно важных интересов субъектов персональных данных.

- в иных целях в соответствии с законодательством РФ.

РАЗДЕЛ 3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

При обработке персональных данных АПО "НП Пермь-нефть" руководствуется такими правовыми актами, как Конституция Российской Федерации, Трудовой кодекс Российской Федерации от 30.12.2001 N 197-ФЗ, Налоговый кодекс Российской Федерации от 31.07.1998 N 146-ФЗ, Гражданский кодекс Российской Федерации от 26.11.2001 N 146-ФЗ, Федеральный закон от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации", Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», Федеральный закон от 24.07.1998 N 125-ФЗ "Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний", Федеральный закон от 28 марта 1998 N 53-ФЗ "О воинской обязанности и военной службе", Федеральный закон от 25.12.2008 N 273-ФЗ "О противодействии коррупции", Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в РФ», Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации», Закон РФ от 07.02.1992 N 2300-1 "О защите прав потребителей", а также руководствуется Уставом, локальными актами АПО "НП Пермь-нефть", договорами, заключаемыми между АПО "НП Пермь-нефть" и субъектами персональных данных, согласиями на обработку персональных данных субъекта.

РАЗДЕЛ 4. ОБЪЕМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. К категориям субъектов персональных данных относятся:

- работники АПО "НП Пермь-нефть";

- кандидаты на вакантные должности АПО "НП Пермь-нефть";

- уволенные работники АПО "НП Пермь-нефть";

- обучающиеся в АПО "НП Пермь-нефть" (по договорам оказания услуг по обучению, заключенным с юридическим лицом либо индивидуальным предпринимателем, являющимся работодателем обучающегося);

- физические лица, состоящие в гражданско-правовых (договорных) отношениях с АПО "НП Пермь-нефть", в т.ч. преподаватели.

4.2. Объем и категории персональных данных, обрабатываемых в АПО "НП Пермь-нефть", определены в Приложении № 1 к Политике.

РАЗДЕЛ 5. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Порядок и условия обработки персональных данных

5.1.1. Персональные данные АПО "НП Пермь-нефть" получает непосредственно от субъекта персональных данных или его представителя, если иной порядок получения персональных данных не установлен Федеральным законом.

Персональные данные могут быть получены не от субъекта персональных данных при наличии согласия субъекта персональных данных на передачу его персональных данных в АПО "НП Пермь-нефть" для обработки, если иной порядок получения персональных данных не предусмотрен Федеральным законом.

5.1.2. Обработка специальных категорий персональных данных, биометрических персональных данных в АПО "НП Пермь-нефть" не допускается, за исключением случаев, предусмотренных Федеральным законом.

5.1.3. Не допускается использование персональных данных для политической агитации, а также для продвижения товаров, работ, услуг, за исключением случаев, предусмотренных Федеральным законом.

5.1.4. Оператором обрабатываются в том числе общедоступные персональные данные работников АПО "НП Пермь-нефть", сделанные таковыми с согласия субъекта персональных данных, а именно: фамилия, имя, отчество, изображение (фотография) лица, занимаемая должность, наименование структурного подразделения, адрес служебной электронной почты, рабочие номера телефонов, факса, номер и местоположение рабочего помещения.

5.1.5. АПО "НП Пермь-нефть" не осуществляет трансграничную передачу персональных данных.

5.1.6. Ответственность за организацию обработку персональных данных возлагается на лицо, ответственное за организацию обработки персональных данных в АПО "НП Пермь-нефть".

5.1.7. Обработка персональных данных в АПО "НП Пермь-нефть" возможна с использованием средств автоматизации, в том числе в информационных системах персональных данных, и без использования таких средств.

При автоматизированной обработке персональных данных применяется передача персональных данных в рамках информационных систем персональных данных АПО "НП Пермь-нефть".

Ответственность за обеспечение защиты персональных данных в информационной системе персональных данных возлагается на лицо, ответственное за обеспечение безопасности персональных данных в информационных системах в АПО "НП Пермь-нефть".

5.1.8. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности, путем фиксации их на отдельных носителях.

Не допускается фиксация на одном бумажном носителе персональных данных, цели обработки которых заведомо несовместимы. Для обработки каждой категории персональных данных должен использоваться отдельный бумажный носитель.

Обработка персональных данных, осуществляемая без использования средств автоматизации, должна проводиться таким образом, чтобы обеспечивать раздельное хранение персональных данных разных целей обработки.

5.2. Срок обработки и хранения персональных данных

5.2.1. Обработка персональных данных начинается не ранее возникновения оснований обработки персональных данных в соответствии с настоящей Политикой.

5.2.2. Обработка персональных данных прекращается в следующих случаях:

- достижение целей обработки персональных данных, после чего персональные данные хранятся на основании Федерального закона № 125-ФЗ «Об архивном деле в Российской Федерации» от 22.10.2004 г. и иных нормативно-правовых актов, касающихся архивного дела и архивного хранения в Российской Федерации, либо подлежат уничтожению в соответствии с законодательством Российской Федерации;

- истечение срока действия согласия субъекта на обработку персональных данных;

- отзыв согласия субъекта на обработку его персональных данных;

- выявление неправомерной обработки персональных данных.

Хранение персональных данных прекращается по истечении окончании сроков хранения документов, установленных законодательством об архивном деле и архивном хранении в Российской Федерации, локальными нормативными актами АПО "НП Пермь-нефть" либо договором, стороной или выгодоприобретателем по которому является субъект персональных данных.

5.2.3. При хранении материальных носителей, содержащих персональные данные, должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

5.2.4. По истечении срока обработки персональные данные уничтожаются или обезличиваются для использования в статистических или иных исследовательских целях.

РАЗДЕЛ 6. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОТВЕТЫ НА ЗАПРОСЫ СУБЪЕКТОВ НА ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ

6.1. Сведения, указанные в части 7 статьи 14 Федерального закона, предоставляются субъекту персональных данных или его представителю Оператором при обращении либо при получении запроса субъекта персональных данных или его представителя.

  Сведения предоставляются в доступной форме, в них не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

  Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Федерального закона все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

  Запрос должен содержать реквизиты документа, удостоверяющего личность субъекта персональных данных или его представителя (серия, номер, дата выдачи и наименование выдавшего органа), сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя.

  Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с частью 8 статьи 14 Федерального закона в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

6.2. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, АПО НП "Пермь-нефть" вносит в них необходимые изменения.

  В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, АПО НП "Пермь-нефть" уничтожает такие персональные данные.

  АПО НП "Пермь-нефть" уведомляет субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

  АПО НП "Пермь-нефть" обязана сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса.

6.3. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.

  В случае отзыва субъектом персональных данных согласия на обработку его персональных данных АПО НП "Пермь-нефть" прекращает их обработку или обеспечивает прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если АПО НП "Пермь-нефть" не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами.

  В случае отсутствия возможности уничтожения персональных данных в течение вышеуказанного срока АПО НП "Пермь-нефть" осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

  В случае отзыва субъектом персональных данных согласия на обработку персональных данных АПО НП "Пермь-нефть" вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в части 2 статьи 9 Федерального закона.

6.4. Уничтожение персональных данных осуществляется экспертной комиссией с составлением акта по истечении сроков обработки и хранения персональных данных.

  Уничтожение персональных данных на электронных носителях осуществляется путем стирания или форматирования носителя.

  Уничтожение документов (бумажных носителей), содержащих персональные данные,  производится путем сожжения или измельчения с применением шредера.

РАЗДЕЛ 7. ТРЕБОВАНИЯ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, РЕАЛИЗУЕМЫЕ АПО НП "ПЕРМЬ-НЕФТЬ"

7.1. АПО НП "Пермь-нефть" при обработке персональных данных обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий в отношении персональных данных.

7.2. Обеспечение безопасности персональных данных в АПО НП "Пермь-нефть" достигается, в частности, применением следующих мер защиты:

- принятие локальных нормативных актов в области обработки и защиты персональных данных;

- назначение должностных лиц, ответственных за организацию обработки и обеспечение безопасности персональных данных;

- организацию обучения и проведение методической работы с работниками, осуществляющими обработку персональных данных;

- создание необходимых условий для работы с материальными носителями и информационными системами, в которых обрабатываются персональные данные;

- организацию учета материальных носителей персональных данных и информационных систем, в которых обрабатываются персональные данные;

- хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;

- обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации;

- обеспечение раздельного хранения материальных носителей персональных данных, на которых содержатся персональные данные разных категорий или содержатся персональные данные, обработка которых осуществляется в разных целях;

- установление запрета на передачу персональных данных по открытым каналам связи, вычислительным сетям и сети Интернет без применения мер по обеспечению безопасности персональных данных;

- обеспечение защиты документов, содержащих персональные данные, на бумажных и иных материальных носителях при их передаче третьим лицам с использованием услуг почтовой связи;

- осуществление внутреннего контроля за соблюдением законодательства Российской Федерации и локальных нормативных актов при обработке персональных данных;

- организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

- определение перечня лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

- использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

РАЗДЕЛ 8. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ПРАВИЛ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ И ТРЕБОВАНИЙ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

  За нарушение правил обработки персональных данных и требований к защите персональных данных работники АПО НП "Пермь-нефть", участвующие в обработке персональных данных, несут дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с действующим законодательством Российской Федерации.