ПОЛИТИКА ОТКРЫТОГО АКЦИОНЕРНОГО ОБЩЕСТВА «САЛЕО-ГОМЕЛЬ» В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ скачать
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Политика открытого акционерного общества «САЛЕО-Гомель»» в отношении обработки персональных данных (далее – Политика) разработана в целях исполнения требований Закона Республики Беларусь от 07 мая 2021г. №99-З «О защите персональных данных» (далее – Закон).
Политика определяет основные цели и правовые основания обработки персональных данных, категории субъектов и объем обрабатываемых персональных данных, общий порядок, принципы и условия обработки персональных данных, права субъектов персональных данных, обязанности открытого акционерного общества «САЛЕО-Гомель» при обработке персональных данных.
1.2. Основные понятия, используемые в Политике:
персональные данные – любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;
оператор – ОАО «САЛЕО-Гомель», которое самостоятельно или совместно с иными лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных – любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;
автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
актуальные угрозы безопасности персональных данных – совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия;
распространение персональных данных – действия, направленные на ознакомление с персональными данными неопределенного круга лиц;
предоставление персональных данных – действия, направленные на ознакомление с персональными данными определённых лиц или круга лиц;
блокирование персональных данных – прекращение доступа к персональным данным без их удаления;
удаление персональных данных – действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства;
субъект персональных данных – физическое лицо, в отношении которого осуществляется обработка персональных данных;
конфиденциальность персональных данных – обязательное для оператора и иных лиц, получивших доступ к персональным данным, требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Республики Беларусь.
2. ОБЯЗАННОСТИ ОПЕРАТОРА
2.1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения защиты персональных данных.
2.2. Оператор обязан предоставлять субъекту персональных данных по его заявлению информацию, касающуюся обработки его персональных данных. Отказ в предоставлении такой информации возможен только в случаях, установленных Законом или в иных случаях, предусмотренных законодательными актами.
2.3. Если предоставление персональных данных является обязательным в соответствии с законодательством Республики Беларусь, Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа в предоставлении его персональных данных.
2.4. Оператор обязан обеспечить неограниченный доступ к настоящей Политике, в том числе путем размещения её на официальном сайте в глобальной компьютерной сети Интернет: www.gidroprivod.by .
2.5. Выполнять иные обязанности, предусмотренные Законом и актами законодательства.
3. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Субъект персональных данных вправе требовать от Оператора внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными.
3.2. Субъект персональных данных вправе в любое время без объяснения причин отозвать ранее данное согласие на обработку персональных данных посредством подачи Оператору заявления.
3.3. Субъект персональных данных вправе получать от Оператора информацию о предоставлении своих персональных данных третьим лицам в порядке, определённом Законом.
3.4. Субъект персональных данных вправе требовать от оператора бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом и иными актами законодательства.
3.5. Субъект персональных данных имеет право на защиту своих прав, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
3.6. Субъект персональных данных вправе обжаловать действия (бездействие) и решения оператора, нарушающие его права при обработке персональных данных, в уполномоченном органе по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц. Решение уполномоченного органа по защите прав субъектов персональных данных может быть обжаловано в судебном порядке.
4. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Оператор обрабатывает персональные данные в целях:
- рассмотрения резюме кандидатов и подбора персонала на вакантные - должности для дальнейшего трудоустройства к оператору;
- оформления трудовых отношений;
- ведения кадрового делопроизводства, кадровой документации;
- организации практики для учащихся;
- подготовки коммерческого предложения;
- проверки полномочий уполномоченных лиц на подписание договора;
- проверки благонадежности контрагентов;
- ведения базы данных кандидатов на замещение вакантной должности, на формирование резерва кадров;
- обеспечения пропускного и внутриобъектового режимов;
- ведения индивидуального (персонифицированного) учета;
- обучения;
- повышения по работе;
- пользования различными льготами и гарантиями;
- обеспечения личной безопасности работников;
- назначения и выплаты пенсий, пособий;
- контроля количества и качества выполняемой работы и сохранности имущества;
- оформления документов для награждений, поощрений;
- заключения, исполнения и прекращения гражданско-правовых договоров;
- установления с пользователями сайтов ОАО «САЛЕО-Гомель» обратной связи, включая направления уведомлений, запросов, касающихся использования сайта, обработки запросов и заявок от субъекта персональных данных;
- контроля, мониторинга, хранения истории персонификации действий пользователей на автоматизированном рабочем месте и в интегрированной информационной системе ОАО «САЛЕО-Гомель», в Интернете с использованием внешнего IP-адреса ОАО «САЛЕО-Гомель», при использовании служебной электронной почты;
- оказания физкультурно-оздоровительных, санаторно-курортных, медицинских услуг;
- организации и деятельности коллективов любительского художественного творчества;
- предоставления жилья;
- выполнения требований действующего законодательства;
- иных случаях, установленных законодательством Республики Беларусь.
4.2. Обработка персональных данных осуществляется в соответствии с Законом и иными актами законодательства.
4.3. Обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных законных целей. Не допускается обработка персональных данных, не совместимая с первоначально заявленными целями их обработки.
4.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
4.5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
5. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных.
5.2. Оператор обрабатывает персональные данные на основании:
- Трудового кодекса Республики Беларусь от 26 июля 1999г. №296-З;
- Закона Республики Беларусь от 07.05.2021 №99-З «О защите персональных данных»;
- иных актов законодательства;
- согласий на обработку персональных данных.
6. ОБЪЁМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Категории субъектов персональных данных, чьи данные обрабатываются.
6.1.1. Работники Оператора, бывшие работники, кандидаты на трудоустройство, а также члены семьи работников.
6.1.2. Уполномоченные лица контрагентов Оператора.
6.1.3. Физические лица, выступающие стороной по договору.
6.1.4. Пользователи сайта ОАО «САЛЕО-Гомель», предоставляющие персональные данные для обратной связи.
6.2. В отношении категории, указанной в пункте 6.1.1, объем обрабатываемых персональных данных зависит от целей их обработки. Обрабатываются:
- идентификационный номер;
- фамилия, собственное имя, отчество (если таковое имеется);
- пол;
- число, месяц, год (далее – дата) рождения;
- место рождения;
- цифровой фотопортрет;
- данные о гражданстве (подданстве);
- данные о регистрации по месту жительства и (или) месту пребывания;
- данные о смерти или объявления субъекта персональных данных умершим, - признания безвестно отсутствующим, недееспособным, ограниченно дееспособным;
- данные о родителях, опекунах, попечителях, семейном положении, супруге, ребенке (детях) (фамилия, собственное имя, отчество (если таковое имеется), дата рождения, данные о регистрации по месту жительства и (или) пребывания, место работы (учёбы), контактный номер телефона);
- данные об образовании (наименование учреждения образования, дата - зачисления и окончания учреждения образования, полученная специальность, профессия, (квалификация, учёная степень, учёное звание и дата их присуждения, присвоения);
- сведения о местах (месте) работы, занимаемая должность (профессия);
- сведения о пенсии, ежемесячной страховой выплате по обязательному - страхованию от несчастных случаев на производстве и профессиональных заболеваний;
- о налоговых обязательствах;
- сведения об исполнении воинской обязанности;
- сведения о состоянии здоровья, влияющие на выполнение трудовой функции, в том числе об инвалидности (группа инвалидности, дата установления, причина инвалидности, срок установления инвалидности);
- данные страхового свидетельства государственного социального страхования;
- сведения о судимостях, привлечении к административной ответственности;
- сведения о доходах;
- сведения о повышении квалификации, о профессиональной переподготовке;
- сведения о приеме на работу, переводе, об увольнении, о трудовых отпусках, наличии смежных профессий, дисциплинарных взысканиях, поощрениях за активное участие в общественной, культурной и спортивной жизни холдинга;
- сведения о наградах (поощрениях), почетных званиях;
- сведения о социальных гарантиях;
- сведения о стаже работы;
- табельный номер;
- номер карт-счёта;
- персональная учётная запись;
- адрес служебной электронной почты;
- контактный телефон (мобильный, домашний);
- реквизиты документов, подтверждающих персональные данные (название документа, серия, номер, дата выдачи, наименование органа, выдавшего документ).
В исключительных случаях, прямо предусмотренных законодательством (например, для оформления допуска к государственным секретам, формирования отчётов для государственных статистических органов), Оператором могут обрабатываться такие данные, как национальность, сведения о членстве в профессиональных союзах. Обработка таких данных осуществляется строго в соответствии с требованиями Закона и только при наличии оснований, указанных в законе.
6.3. Персональные данные родственников работников обрабатываются в объеме, переданном работником и необходимом для предоставления гарантий и компенсаций работнику, предусмотренных трудовым законодательством, а также для ведения необходимой кадровой документации в процессе трудоустройства и дальнейшей трудовой деятельности работника.
6.4. В отношении категории, указанной в пункте 6.1.2 в зависимости от целей обработки обрабатываются следующие персональные данные:
- фамилия, собственное имя, отчество (если таковое имеется);
- дата рождения;
- место рождения;
- идентификационный номер;
- реквизиты документов, удостоверяющих личность (название документа, серия, номер, дата выдачи, наименование органа, выдавшего документ).
6.5. В отношении категории, указанной в пункте 6.1.3 в зависимости от целей обрабатываются:
- фамилия, собственное имя, отчество (если таковое имеется);
- данные о регистрации по месту жительства и (или) месту пребывания;
- данные об образовании, сведения о пенсии, данные страхового свидетельства государственного социального страхования (при выполнении работ по гражданско-правовым договорам);
- реквизиты документов, подтверждающих персональные данные (название документа, серия, номер, дата выдачи, наименование органа, выдавшего документ);
- банковские реквизиты;
- контактный телефон.
6.6. В отношении категории, указанной в пункте 6.1.4 обрабатываются:
- фамилия, собственное имя, отчество (если таковое имеется);
- данные о регистрации по месту жительства и (или) месту пребывания;
- контактный телефон;
- адрес электронной почты.
7. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. При обработке персональных данных Оператор выполняет, в частности, сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных.
7.2. В целях обеспечения сохранности конфиденциальности персональных данных все операции с персональными данными выполняются только работниками Оператора, осуществляющими данную работу в соответствии с трудовыми обязанностями.
7.3. Обработка персональных данных осуществляется после принятия необходимых мер по защите персональных данных.
7.4. Правовые основания обработки персональных данных:
7.4.1. Оператор осуществляет обработку персональных данных при наличии одного из следующих правовых оснований, установленных Законом и иными актами законодательства:
– обработка необходима для осуществления прав и выполнения обязанностей Оператора в соответствии с законодательством Республики Беларусь, в том числе Трудовым кодексом Республики Беларусь (оформление трудовых отношений, ведение кадрового делопроизводства, обеспечение пропускного режима и иные случаи, предусмотренные статьёй 6 и статьей 8 Закона);
– обработка осуществляется на основании договора, заключённого (заключаемого) с субъектом персональных данных, для совершения действий, установленных этим договором (в том числе гражданско-правовых договоров);
– обработка осуществляется с согласия субъекта персональных данных в случаях, не урегулированных законодательством (например, для рассмотрения резюме кандидатов до заключения трудового договора, для передачи данных третьим лицам, не предусмотренным договором, для использования биометрических данных в целях, не связанных с обеспечением безопасности, и т.д.).
7.4.2. Согласие на обработку персональных данных в случаях, когда оно требуется, должно быть получено в порядке, установленном статьей 5 Закона, и может быть отозвано субъектом в любое время.
7.5. До получения согласия субъекта персональных данных оператор обязан простым и ясным языком разъяснить субъекту персональных данных его права, связанные с обработкой персональных данных, механизм реализации таких прав, а также последствия дачи согласия субъекта персональных данных или отказа в даче такого согласия. Эта информация должна быть предоставлена оператором субъекту персональных данных в письменной либо электронной форме, соответствующей форме выражения его согласия, отдельно от иной предоставляемой ему информации.
7.6. Согласие субъекта персональных данных может быть получено:
- в письменной форме;
- в форме электронного документа, подписанного субъектом персональных данных электронной цифровой подписью на основании сертификата, выданного регистрационным центром ГосСУОК или предоставленного ОАО «САЛЕО-Гомель» для ведения внутреннего делопроизводства;
- в электронной форме путем прилаживания субъектом персональных данных к ID-считывателю ID-карты и введения пин-кода;
- путем дачи согласия на интернет-ресурсе.
7.7. Письменное согласие субъекта персональных данных должно включать:
- фамилию, собственное имя, отчество (если таковое имеется);
- дату рождения;
- идентификационный номер, а в случае отсутствия такого номера – номер документа, удостоверяющего личность;
- наименование и место нахождения Оператора;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых Оператором способов обработки персональных данных;
- срок, в течение которого действует согласие;
- способ его отзыва;
- личную подпись либо электронную цифровую подпись субъекта персональных данных (в случае предоставления согласия в письменной форме, либо в форме электронного документа).
Если цели обработки персональных данных не требуют обработки информации, указанной в части первой настоящего пункта, эта информация не подлежит обработке оператором при получении согласия субъекта персональных данных.
7.8. Обработка персональных данных осуществляется Оператором следующими способами:
- с использованием средств автоматизации;
- без использования средств автоматизации, обеспечивая персональных данных и (или) доступ к ним по определённым критериям.
7.9. Обработка биометрических персональных данных:
7.9.1. Оператор может осуществлять обработку биометрических персональных данных (изображение лица, отпечатки пальцев и иные сведения, указанные в статье 1 Закона) в следующих целях:
– обеспечение пропускного режима на территорию и в помещения Оператора;
– учёт рабочего времени работников;
– обеспечение сохранности имущества Оператора в зонах работы с материальными ценностями;
– иных целях, установленных законодательством.
7.9.2. Обработка биометрических персональных данных осуществляется только при наличии письменного согласия субъекта персональных данных, за исключением случаев, когда такая обработка необходима в связи с исполнением требований законодательства о безопасности, противодействии терроризму, транспортной безопасности, а также в иных случаях, прямо предусмотренных законодательными актами.
7.9.3. Согласие на обработку биометрических персональных данных должно быть конкретным, информированным и осознанным. Субъект вправе в любое время отозвать такое согласие, за исключением случаев, когда обработка осуществляется на основании требования закона.
7.9.4. Оператор не осуществляет обработку биометрических персональных данных в целях, не соответствующих заявленным, и не допускает избыточной обработки таких данных.
7.10. Запрещается хранение документов с персональными данными и их копий на рабочих местах и (или) в открытом доступе, оставлять шкафы (сейфы) открытыми в случае выхода работника из рабочего помещения.
7.11. В электронном виде документы, содержащие персональные данные, разрешается хранить в базах данных или в специально отведённых для этого директориях с ограничением и разграничением доступа. Копирование таких данных запрещено.
8. МЕРЫ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Оператор организует обработку персональных данных в следующем порядке:
8.1.1. Назначает ответственных за организацию обработки персональных данных, устанавливает перечень лиц, имеющих доступ к персональным данным.
8.1.2. Издает документы, определяющие политику Оператора в отношении обработки персональных данных.
8.1.3. Применяет правовые, организационные и технические меры (далее – меры) по обеспечению защиты персональных данных.
8.1.4. Осуществляет внутренний контроль соответствия обработки персональных данных требованиям Закона и иным актам законодательства, к защите персональных данных, настоящей Политике, локальным правовым актам Оператора (далее – ЛПА).
8.1.5. Знакомит работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, настоящей Политики, ЛПА по вопросам обработки персональных данных и проводит обучение указанных работников.
8.2. Оператор при обработке персональных данных принимает следующие меры:
8.2.1. Определяет актуальные угрозы безопасности персональных данных при их обработке в информационных системах персональных данных.
8.2.2. Применяет организационные и технические меры по обеспечению защиты персональных данных при их обработке в информационных системах для выполнения требований, установленных Оперативно-аналитическим центром при Президенте Республики Беларусь к информационным системам, в которых обрабатываются персональные данные.
8.2.3. Применяет средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия.
8.2.4. Оценивает эффективность принимаемых мер по обеспечению защиты персональных данных до ввода в эксплуатацию информационной системы персональных данных.
8.2.5. Восстанавливает персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним.
8.2.6. Устанавливает доступ к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивает регистрацию и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных.
8.2.7. Осуществляет идентификацию и аутентификацию пользователей информационных систем (далее – субъекты доступа) и массивов данных, содержащих персональные данные (далее – объекты доступа) для обеспечения присвоения субъектами объектам доступа уникального признака (идентификатора), сравнения предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверки принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).
8.2.8. Управляет доступом субъектов доступа к объектам доступа для обеспечения управления правами и привилегиями субъектов доступа, разграничивает доступ субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивает контроль за соблюдением этих правил.
8.2.9. Ограничивает программную среду в целях разрешения установки или запуска только разрешенного к использованию в интегрированной информационной системе Оператора программного обеспечения или исключает возможность установки или запуска запрещенного к использованию в этой системе программного обеспечения.
8.2.10. Осуществляет защиту машинных носителей информации, на которых хранятся или обрабатываются персональные данные для исключения возможности несанкционированного доступа к машинным носителям и хранящимся на них персональным данным, а также несанкционированного использования съемных машинных носителей персональных данных.
8.2.11. Осуществляет регистрацию событий безопасности в целях сбора, записи, хранения и защиты информации о событиях безопасности в информационных системах, а также возможности просмотра и анализа информации о таких событиях и реагирование на них.
8.2.12. Осуществляет антивирусную защиту в целях обнаружения в информационных системах компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирования на обнаружение этих программ и информации.
8.2.13. Обнаруживает (предотвращает) вторжения в целях обнаружения действий в информационных системах, направленных на несанкционированный доступ к информации, специальных воздействий на информационные системы или персональные данные в целях добывания, уничтожения, искажения и блокирования доступа к персональным данным, а также реагирования на эти действия.
8.2.14. Осуществляет контроль (анализ) защищенности персональных данных для обеспечения контроля уровня защищенности персональных данных, обрабатываемых в информационных системах, путем проведения систематических мероприятий по анализу защищенности информационных систем и тестированию работоспособности систем защиты персональных данных.
8.2.15. Обеспечивает целостность информационных систем и персональных данных для выявления фактов несанкционированного нарушения целостности информационных систем и содержащихся в них персональных данных, а также возможность восстановления информационных систем и содержащихся в них персональных данных.
8.2.16. Обеспечивает доступность и конфиденциальность персональных данных в целях обеспечения авторизованного доступа пользователей, имеющих права по доступу, к персональным данным, содержащимся в информационных системах, в штатном режиме функционирования информационных систем.
8.2.17. Осуществляет защиту среды виртуализации и технических средств для исключения несанкционированного доступа к персональным данным, обрабатываемым в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры или воздействия на них.
8.2.18. Осуществляет защиту информационных систем, их средств, систем связи и передачи данных для обеспечения защиты персональных данных при взаимодействии информационных систем или их отдельных сегментов, в том числе с информационно-телекоммуникационными сетями посредством применения архитектуры информационных систем и проектных решений, направленных на обеспечение безопасности персональных данных.
8.2.19. Выявляет инциденты (одно событие или группа событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных, и реагирует на них для обеспечения обнаружения, идентификации, анализа инцидентов в информационной системе, а также принятия мер по устранению и предупреждению инцидентов.
8.2.20. Управляет конфигурацией информационных систем и систем защиты персональных данных для обеспечения управления изменениями конфигурации информационных систем и систем защиты персональных данных, осуществляет анализ потенциального воздействия планируемых изменений на обеспечение безопасности персональных данных, а также документирует эти изменения.
8.3. Обработка персональных данных в информационных системах осуществляется с учётом мер по обеспечению защиты персональных данных, определенных на основании актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.
8.4. Работнику, непосредственно осуществляющему обработку персональных данных в информационных системах, предоставляется уникальный логин и пароль для доступа к соответствующей информационной системе. Доступ предоставляется в соответствии с функциями, предусмотренными должностными обязанностями такого работника.
8.5. Обеспечение защиты персональных данных, обрабатываемых в информационных системах, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным.
8.6. В случае выявления фактов несанкционированного доступа к персональным данным, нарушений при обработке персональных данных незамедлительно принимаются меры по установлению причин нарушений и их устранению.
8.7. В случае выявления фактов несанкционированного доступа к персональным данным, нарушения целостности или иных инцидентов, Оператор незамедлительно:
- Принимает меры по блокированию и локализации инцидента;
- Уведомляет Национальный центр защиты персональных данных Республики Беларусь о нарушениях систем защиты персональных данных незамедлительно, но не позднее трёх рабочих дней после того, как Оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных НЦЗПД;
- Проводит внутреннее расследование для установления причин инцидента и виновных лиц;
- Уведомляет субъектов персональных данных, чьи права могли быть нарушены, если это не запрещено требованиями законодательства о безопасности;
- Принимает меры по недопущению повторения подобных инцидентов.
8.8. Работник, имеющий доступ к персональным данным, при увольнении или прекращении доступа к персональным данным, сдает документы и иные носители, содержащие персональные данные, своему непосредственному руководителю по акту приема-передачи документов (носителей).
9. ПРЕДОСТАВЛЕНИЕ ИНФОРМАЦИИ СУБЪЕКТУ ПЕРСОНАЛЬНЫХ ДАННЫХ. ИЗМЕНЕНИЕ, БЛОКИРОВАНИЕ, УДАЛЕНИЕ И ПРЕКРАЩЕНИЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ.
9.1. Оператор обязан предоставить субъекту персональных данных до получения согласия на обработку персональных данных информацию, содержащую:
- наименование и местонахождения оператора, получающего согласие субъекта персональных данных;
- цели обработки персональных данных;
- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
- срок, на который дается согласие субъекта персональных данных;
- информацию об уполномоченных лицах (за исключением работников Оператора) в случае, если обработка персональных данных будет осуществляться такими лицами на основании договора с Оператором;
- перечень действий с персональными данными, на совершение которых дается согласие субъекта персональных данных, общее описание используемых оператором способов обработки персональных данных;
- иную информацию, необходимую для обеспечения прозрачности процесса обработки персональных данных.
9.2. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, содержащей:
- наименование и местонахождения Оператора;
- подтверждение факта обработки персональных данных оператором;
- его персональные данные и источник их получения;
- правовые основания и цели обработки персональных данных;
- наименование и местонахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка персональных данных поручена такому лицу;
- срок, на который дано согласие;
- иную информацию, предусмотренную законодательством.
9.3. Предоставление сведений, указанных в пункте 9.2, осуществляются посредством подачи субъектом персональных данных Оператору заявления в письменной форме либо в виде электронного документа.
9.4. Заявление субъекта персональных данных должно содержать:
- фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);
- дату рождения субъекта персональных данных;
- идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия оператору или обработка персональных данных осуществляется без согласия субъекта персональных данных;
- изложение сути требований субъекта персональных данных;
- личную подпись либо электронную цифровую подпись субъекта персональных данных.
9.5. Сведения, касающиеся обработки персональных данных, либо отказ в предоставлении таких сведений с указанием причин отказа, должны быть предоставлены субъекту персональных данных Оператором в доступной форме в течение пяти рабочих дней после получения соответствующего заявления субъекта персональных данных за исключением случаев, предусмотренных Законом и иными актами законодательства.
9.6. Оператор вносит изменения в персональные данные, которые являются не полными, устаревшими или неточными, а также прекращает обработку персональных данных, их удаление или блокирование при отсутствии оснований для их обработки, предусмотренных Законом и иными актами законодательства.
9.7. При внесении изменений в персональные данные по требованию субъекта персональных данных оператор обязан в пятнадцатидневный срок после получения заявления в письменной форме либо в виде электронного документа, содержащего данные, указанные в пункте 9.4, с приложением соответствующих документов, внести изменения в персональные данные и уведомить об этом субъекта персональных данных либо уведомить субъекта персональных данных о причинах отказа во внесении таких изменений.
9.8. В случае прекращения обработки персональных данных по требованию субъекта персональных данных оператор обязан в пятнадцатидневный срок после получения заявления в письменной форме либо в виде электронного документа, содержащего данные, указанные в пункте 9.4, прекратить обработку персональных данных, а также осуществить их удаление и уведомить об этом субъекта персональных данных.
При отсутствии технической возможности удаления персональных данных оператор обязан принять меры по недопущению дальнейшей обработки персональных данных, включая их блокирование, и уведомить об этом субъекта персональных данных в тот же срок.
Оператор вправе отказать субъекту персональных данных в удовлетворении требований о прекращении обработки его персональных данных и (или) их удалении при наличии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами, в том числе, если они являются необходимыми для заявленных целей их обработки, с уведомлением об этом субъекта персональных данных в пятнадцатидневный срок.
9.9. В случае получения заявления от субъекта персональных данных о предоставлении персональных данных третьим лицам Оператор обязан в пятнадцатидневный срок представить такую информацию.
10. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Оператор может осуществлять трансграничную передачу персональных данных в следующих целях: для направления коммерческих предложений иностранным контрагентам, для использования облачной инфраструктуры для хранения резервных копий и т.д.
10.2. Трансграничная передача персональных данных на территории иностранных государств, обеспечивающих надлежащий уровень защиты прав субъектов персональных данных (перечень таких государств утверждён Национальным центром защиты персональных данных), осуществляется в общем порядке, установленном Законом.
10.3. В случае осуществления Оператором трансграничной передачи персональных данных в иностранные государства, не обеспечивающие надлежащий уровень защиты прав субъектов персональных данных (государства, не входящие в утверждённый НЦЗПД перечень), такая передача допускается только при наличии одного из следующих оснований, установленных абзацами вторым–восьмым пункта 1 статьи 9 Закона Республики Беларусь от 7 мая 2021 г. № 99‑З «О защите персональных данных»:
– письменного согласия субъекта персональных данных на такую передачу (при условии, что субъект проинформирован о возможных рисках);
– заключения (или намерения заключить) с субъектом персональных данных договора, для исполнения которого передача данных необходима;
– наличия у Оператора законной обязанности предоставить такие данные (например, по запросу уполномоченных органов);
– необходимости защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных;
– исполнения международных договоров Республики Беларусь;
– осуществления деятельности органом финансового мониторинга в целях, предусмотренных законодательством (если это применимо);
– получения соответствующего разрешения Национального центра защиты персональных данных (НЦЗПД) в порядке, установленном Приказом директора НЦЗПД от 15 ноября 2021 г. № 14 «О трансграничной передаче персональных данных» (в редакции Приказа от 26 декабря 2022 г. № 114).
10.4. Оператор не осуществляет трансграничную передачу персональных данных в нарушение требований, установленных законодательством Республики Беларусь.
11. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
11.1. Политика является общедоступным документом.
11.2. Лица, виновные в нарушении требований Закона, иных актов законодательства, ЛПА оператора в отношении обработки персональных данных, несут ответственность в соответствии с законодательством Республики Беларусь, включая административную ответственность, предусмотренную статьей 23.7 Кодекса Республики Беларусь об административных правонарушениях «Нарушение законодательства о защите персональных данных».
Республика Беларусь, 246007, Гомель,
ул. Федюнинского, 3
