1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика АО «Омскоблводопровод» в отношении обработки персональных данных (далее - Политика) разработана в целях соблюдения АО «Омскоблводопровод» (далее Общество, Оператор) законодательства Российской Федерации, которым определены случаи и особенности обработки персональных данных, а также установлены требования к обработке персональных данных.
1.2. В настоящей Политике используются определения, установленные ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее ФЗ «О персональных данных»), ст. 2 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
1.3. Политика является основой для организации обработки и защиты персональных данных в АО «Омскоблводопровод», в том числе для разработки локальных нормативных актов, регламентирующих порядок обработки и защиты персональных данных в АО «Омскоблводопровод», и определяет:
- принципы обработки персональных данных;
- правовые основания обработки персональных данных;
- цели, содержание, порядок и условия обработки персональных данных;
- категории Субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки обработки и хранения персональных данных, порядок их уничтожения;
- права и обязанности Оператора и Субъекта персональных данных;
- организацию рассмотрения запросов Субъектов и уполномоченного органа по защите прав Субъектов персональных данных;
- меры, направленные на защиту персональных данных, а также процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в области персональных данных, устранение последствий таких нарушений, связанных с обработкой персональных данных в АО «Омскоблводопровод».
1.4. Настоящая Политика распространяется на персональные данные, обрабатываемые в АО «Омскоблводопровод», независимо от вида носителя, на котором они зафиксированы, то есть с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, а также на доступ к таким персональным данным.
1.5. Настоящая Политика распространяется на всех Субъектов, персональные данные которых обрабатываются в АО «Омскоблводопровод», а также работников в АО «Омскоблводопровод», имеющих доступ и осуществляющих перечень действий с персональными данными граждан.
1.6. Все вопросы, связанные с обработкой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.
1.7. Внутренние локальные документы Общества, регламентирующие обработку персональных данных, должны разрабатываться с учетом положений настоящей Политики и не противоречить им.
1.8. Ознакомление Работников АО «Омскоблводопровод» с условиями, в том числе с изменениями условий настоящей Политики, осуществляется под подпись.
2. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Правовые основания обработки персональных данных Субъектов персональных данных устанавливаются с учетом определенных условий обработки персональных данных. Обработка персональных данных осуществляется во исполнение и в соответствии с положениями следующих федеральных законов, нормативно-правовых актов, изданных в их исполнение, локальных актов Общества, правовых оснований:
- Конституцией Российской Федерации;
- Трудовым кодексом Российской Федерации;
- Гражданским кодексом Российской Федерации;
- Налоговым кодексом Российской Федерации;
- Указом Президента Российской Федерации от 06.03.1997 № 188 «Об утверждении Перечня сведений конфиденциального характера»;
- Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
- Федеральным законом РФ от 26.12.1995 № 208-ФЗ «Об акционерных обществах»;
- Федеральным законом РФ от 22 октября 2004 г. № 125-ФЗ «Об архивном деле в Российской Федерации»;
- Федеральным законом РФ от 24.11.1995 № 181-ФЗ «О социальной защите инвалидов в Российской Федерации»;
- Федеральным законом РФ от 29 ноября 2007 г. N 282-ФЗ «Об официальном статистическом учете и системе государственной статистики в Российской Федерации»;
- Федеральным законом от 24 июля 2009 года N 212-ФЗ «О страховых взносах в Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования»;
- Федеральный закон от 16.07.1999 № 165-ФЗ «Об основах обязательного социального страхования»;
- Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страхова¬нии в Российской Федерации».
- Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страхова¬нии на случай временной нетрудоспособности и в связи с материнством»;
- Федеральным законом РФ от 01.04.1996 г. № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
- Федеральным законом РФ от 6 декабря 2011 г. № 402-ФЗ «О бухгалтерском учете»;
- Федеральным законом РФ от 29.11.2010 г. № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
- Федеральным законом РФ от 21.11.2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
- Федеральным законом РФ от 30.03.1999 г. № 52-ФЗ «О санитарно - эпидемиологическом благополучии населения»;
- Федеральный закон от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений гра¬ждан Российской Федерации»;
- Федеральным законом РФ от 10.12.1995 г. № 196-ФЗ «О безопасности дорожного движения»;
- Федеральным законом РФ от 27.11.1992 г. № 4015-1 «Об организации страхового дела в Российской Федерации»;
- Закон РФ от 19.04.1991 № 1032-1 «О занятости населения в Российской Федерации»;
- Постановлением Правительства Российской Федерации от 24.07.2021 г. № 1250 «Об отдельных вопросах, связанных с трудовыми книжками, и признании утратившими силу некоторых актов Правительства Российской Федерации и отдельных положений некоторых актов Правительства Российской Федерации»;
- Постановлением Правительства РФ от 27.11.2006 г. № 719 «Об утверждении Положения о воинском учете»;
- Постановлением Правительства Российской Федерации от 06.07.2008 № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
- Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Постановлением Государственного комитета Российской Федерации по статистике от 05.01.2004 г. № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;
- Постановлением Правления ПФР от 31.07.2006 г. № 192п «О формах документов индивидуального (персонифицированного) учета в системе обязательного пенсионного страхования и инструкции по их заполнению»;
- Постановление Правительства Российской Федерации от 27.11.2006 № 719 «О воинском учёте»;
- Приказом ФСТЭК России от 18 февраля 2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Приказом Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;
- Приказом ФНС от 15.10.2020 г. № ЕД-7-11/753 «Об утверждении формы расчета сумм налога на доходы физических лиц, исчисленных и удержанных налоговым агентом (форма 6-НДФЛ), порядка ее заполнения и представления, формата представления расчета сумм налога на доходы физических лиц, исчисленных и удержанных налоговым агентом, в электронной форме, а также формы справки о полученных физическим лицом доходах и удержанных суммах налога на доходы физических лиц»;
- Приказом Министерства здравоохранения РФ от 28.02.2019 г. № 108Н «Об утверждении правил обязательного медицинского страхования»;
- Приказом Министерства труда и социального развития от 31.12.2020 № 988 «Об утверждении перечня вредных и (или) опасных производственных факторов и работ, при выполнении которых проводятся обязательные предварительные медицинские осмотры при поступлении на работу и периодические медицинские осмотры»;
- Приказом Минздрава России от 30.05.2023 г. № 266н «Об утверждении Порядка и периодичности предсменных, предрейсовых, послесменных, послерейсовых медицинских осмотров, медицинских осмотров в течении рабочего дня (смены) и перечня включаемых в них исследований»;
- Уставом АО «Омскоблводопровод»;
- Положением об обработке персональных данных работников АО «Омскоблводопровод»;
- Положением «О пропускном и внутриобъектовом режиме»
- Трудовыми договорами с работниками;
- договорами, стороной которого либо выгодоприобретателем или поручителем, по которому является Субъект персональных данных, если обработка персональных данных необходима для заключения указанного договора или исполнения обязательств по договору;
- Согласием на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям АО «Омскоблводопровод»;
- Согласие на обработку персональных данных, разрешенных Субъектом персональных данных для распространения.
3. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. АО «Омскоблводопровод», являясь Оператором персональных данных, осуществляет обработку персональных данных ее работников и других Субъектов персональных данных, не состоящих с АО «Омскоблводопровод» в трудовых отношениях.
3.2. Обработка персональных данных допускается в случаях, предусмотренных Федеральным законом «О персональных данных», в частности:
3.2.1. обработка персональных данных осуществляется с согласия Субъекта персональных данных на обработку его персональных данных;
3.2.2. обработка персональных данных необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей;
3.2.3. обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
3.2.4. обработка персональных данных необходима для исполнения договора, стороной которого является Субъект персональных данных, а также для заключения договора по инициативе Субъекта персональных данных;
3.2.5. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов Субъекта персональных данных, если получение согласия Субъекта персональных данных невозможно;
3.2.6. обработка персональных данных необходима для осуществления прав и законных интересов Оператора или третьих лиц;
3.2.7. обработка персональных данных осуществляется в статистических целях, при условии обязательного обезличивания персональных данных;
3.2.8. осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен Субъектом персональных данных либо по его просьбе.
3.3. Получение персональных данных осуществляется Оператором лично у каждого Субъекта персональных данных, либо у его представителя, имеющего соответствующие полномочия.
3.4. Организация обработки и защиты персональных данных в АО «Омскоблводопровод» осуществляется с учетом общих принципов обработки персональных данных, обеспечения конфиденциальности и безопасности персональных данных, а также необходимости обеспечения защиты прав и свобод работников АО «Омскоблводопровод» и других Субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну. Среди таких принципов:
3.4.1. обработка персональных данных осуществляется на законной и справедливой основе;
3.4.2. обеспечение ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
3.4.3. недопущение обработки персональных данных, несовместимой с целями сбора персональных данных;
3.4.4. недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
3.4.5. обработке подлежат только персональные данные, которые отвечают целям их обработки;
3.4.6. содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки, в том числе недопущение избыточности обрабатываемых персональных данных по отношению к заявленным целям их обработки;
3.4.7. обеспечение точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных;
3.4.8. хранение персональных данных осуществляется в форме, позволяющей определить Субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, является Субъект персональных данных;
3.4.9. уничтожение или обеспечение уничтожения персональных данных (если обработка персональных данных осуществляется другим лицо, действующим по поручению Общества), по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Законодательством РФ.
4. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Обработка персональных данных Субъектов персональных данных осуществляется Обществом в заранее определенных целях.
4.2. Для каждой цели обработки персональных данных в Обществе определены:
- соответствующие категории и перечень обрабатываемых персональных данных;
- категории Субъектов персональных данных, персональные данные которых обрабатываются Обществом;
- способы и сроки обработки и хранения персональных данных;
- порядок уничтожения персональных данных.
4.3. Согласно настоящей Политике персональные данные Субъектов обрабатываются в следующих целях:
4.3.1. рассмотрения вопроса о соответствии кандидатуры имеющимся вакансиям;
4.3.2. кадровый учет, обеспечение соблюдения законов и иных нормативных правовых актов в сфере труда, содействия Работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности Работников, контроля количества и качества выполняемой Работником работы и обеспечения сохранности имущества Оператора;
4.3.3. ведения текущего бухгалтерского и налогового учёта, формирование, изготовление и своевременная подача бухгалтерской, налоговой и статистической отчётности, предоставление налоговых вычетов;
4.3.4. ведения воинского учета и бронирования;
4.3.5. оформления награждений и поощрений;
4.3.6. предоставления со стороны Общества установленных законодательством условий труда, гарантий и компенсаций;
4.3.7. заполнения и передачи в уполномоченные органы требуемых форм отчетности по лицам, работающим на основании трудовых договоров и выполняющих работы, оказывающих услуги на основании гражданско-правовых договоров;
4.3.8. выполнения требований законодательства в сфере обязательного медицинского страхования;
4.3.9. оформления полиса Добровольного медицинского страхования и иных видов страхования, если их оформление предусмотрено действующими локально-нормативными актами общества;
4.3.10. ведения индивидуального (персонифицированного) учета в системе обязательного пенсионного страхования;
4.3.11. выполнения требований законодательства в сфере архивного дела;
4.3.12. заключения гражданско-правовых договоров с физическими лицами;
4.3.13. исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является Субъект персональных данных, а также заключение договора по инициативе Субъекта персональных данных или договора, по которому Субъект персональных данных будет являться выгодоприобретателем или поручителем;
4.3.14. исполнения договора, согласно которому Оператор привлекается к обработке персональных данных;
4.3.15. урегулирование проблемной и/или просроченной задолженности;
4.3.16. обработки обращений Субъектов персональных данных по вопросам, находящихся в компетенции Оператора;
4.3.17. формирования и обработка статистических данных при условии обязательного обезличивания персональных данных;
4.3.18. организации пропускного режима на территорию Общества;
4.3.19. проведения рекламных и маркетинговых кампаний (в том числе в форме опросов и предоставления Субъекту информации о товарах, работах, услугах, путем осуществления прямых контактов с Субъектом с помощью средств связи).
5. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ. СОСТАВ (КАТЕГОРИИ) ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. С целью осуществления возложенных нормативно-правовыми актами обязанностей и полномочий, а также законных интересов в Обществе обрабатываются персональные данные следующих категорий Субъектов персональных данных:
- работники, заключившие трудовой договор с Оператором;
- бывшие работники Общества;
- члены семей работников Общества - в случаях, когда согласно законодательству сведения о них предоставляются работником;
- кандидаты на замещение вакантных должностей;
- физические лица, обратившиеся к Оператору по вопросам, находящимся в его компетенции;
- посетители офисов Общества;
- физические лица - контрагенты по гражданско-правовым договорам, представители контрагентов - юридических лиц, а также лица, состоящие в иных договорных отношениях с Оператором, в том объеме, в котором их персональные данные необходимы для заключения договоров и подачи установленной отчетности в государственные органы;
- иные лица, персональные данные которых Общество обязано обрабатывать в соответствии с трудовым законодательством и иными актами, содержащими нормы трудового права.
5.2. Состав (категории) обрабатываемых Оператором персональных данных определяется составом сведений, включённых в состав типовых форм и (или) перечней сведений, утвержденных нормативно-правовыми актами, Согласия, и, в частности, включает в себя:
5.2.1. для работников и бывших работников Оператора:
- фамилия, имя, отчество (при наличии), а также прежние фамилия, имя, отчество (при наличии), дата и место их изменения (в случае изменения);
- пол;
- дата и место рождения;
- сведения основного документа, удостоверяющего личность: вид, серия, номер документа, наименование органа, выдавшего его, дата выдачи;
- сведения о гражданстве;
- страховой номер индивидуального лицевого счета (СНИЛС);
- индивидуальный номер налогоплательщика (ИНН);
- адрес фактического проживания;
- адрес и дата регистрации по месту жительства (пребывания);
- сведения, содержащиеся в документах, дающих право на пребывание и трудовую деятельность на территории РФ (для иностранных граждан, пребывающих в РФ);
- сведения, содержащиеся в разрешении на временное проживание (для иностранных граждан, временно проживающих в РФ), виде на жительство;
- сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
- сведения об отношении к воинской обязанности, воинского учета и реквизиты документов воинского учета (серия, номер, дата выдачи документа, наименование органа, выдавшего его);
- сведения о семейном положении и ближайших родственниках (степень родства, фамилии, имена, отчества (при наличии), дата и место рождения);
- сведения свидетельства о браке;
- сведения свидетельства о рождении ребенка;
- сведения, указанные в водительском удостоверении;
- сведения об исполнительных листах / судебных приказах, включая сведения о выплате алиментов;
- сведения о социальных и иных льготах;
- сведения о трудовой деятельности, в том числе информация о предыдущих местах работы, периодах и трудовом стаже;
- данные о налоговых вычетах;
- номера расчетного счета;
- сведения о заработной плате;
- сведения о награждениях и поощрениях и (или) дисциплинарных взысканиях;
- контактные данные (номер телефона, адрес электронной почты, сведения о других способах связи);
- фотографическое изображение;
- аудио-, видеозапись, в том числе осуществляемые для целей обеспечения охраны помещений/территории Общества;
- результаты обучения, тестирования;
- информация из журнала учета посещений;
- сведения о состоянии здоровья (для отдельных категорий работников);
- сведения о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям (для отдельных категорий работников);
- иные персональные данные, входящие в состав типовых форм или предоставленные Субъектом на свое усмотрение или в рамках предоставленного Оператору Согласия.
5.2.2. применительно к родственникам Работников:
- фамилия, имя, отчество (при наличии), а также прежние фамилия, имя, отчество (при наличии), дата и место их изменения (в случае изменения);
- адрес фактического проживания;
- адрес регистрации по месту жительства/ пребывания;
- гражданство/резидентство;
- дата рождения/возраст;
- пол;
- место рождения;
- контактные данные (номер телефона, адрес электронной почты);
- сведения о дееспособности, не связанные с состоянием здоровья;
- сведения о детях (в том числе сведения свидетельства о рождении ребенка);
- сведения свидетельства о браке;
- сведения о семейном положении.
5.2.3. для кандидатов на замещение вакантных должностей:
- фамилия, имя, отчество (при наличии), а также прежние фамилия, имя, отчество (при наличии), дата и место их изменения (в случае изменения);
- пол;
- дата и место рождения;
- сведения основного документа, удостоверяющего личность: вид, серия, номер документа, наименование органа, выдавшего его, дата выдачи;
- сведения о гражданстве;
- адрес фактического проживания;
- адрес и дата регистрации по месту жительства (пребывания);
- сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
- сведения об отношении к воинской обязанности, воинского учета и реквизиты документов воинского учета (серия, номер, дата выдачи документа, наименование органа, выдавшего его);
- сведения о семейном положении и ближайших родственниках (степень родства, фамилии, имена, отчества (при наличии), дата и место рождения);
- сведения о трудовой деятельности, в том числе информация о предыдущих местах работы, периодах и трудовом стаже;
- контактные данные (номер телефона, адрес электронной почты, сведения о других способах связи);
- сведения о деловых и иных личных качествах, носящие оценочный характер;
- иные персональные данные, предоставленные кандидатом по своему усмотрению или в рамках предоставленного Оператору Согласия.
5.2.3. для физических лиц, обратившихся к Оператору по вопросам, находящимся в его компетенции, посетители офисов:
- фамилия, имя, отчество (при наличии);
- контактные данные (номер телефона, адрес электронной почты, сведения о других способах связи);
5.2.4. физические лица - контрагенты по гражданско-правовым договорам, представители контрагентов - юридических лиц, а также лица, состоящие в иных договорных отношениях с Оператором:
- фамилия, имя, отчество (при наличии);
- адрес фактического проживания;
- адрес регистрации по месту жительства;
- сведения основного документа, удостоверяющего личность;
- индивидуальный номер налогоплательщика (ИНН);
- сведения, необходимые для заключения и исполнения в гражданско-правовых договоров;
- номер расчетного счета;
- реквизиты доверенности или иного документа, подтверждающего полномо¬чия этого представителя (при получении согласия от представителя Субъекта персональных данных);
- контактные данные (номер телефона, адрес электронной почты, сведения о других способах связи);
- данные документа под¬тверждающего право собственности на объект;
- данные технического паспорта на жилой дом (домовладение);
- данные домовой книги;
- иные персональные данные, предоставленные Субъектом на свое усмотрение или в рамках предоставленного Оператору Согласия.
5.3. В случае, когда состав (категории) обрабатываемых персональных данных не определен типовыми формами, утвержденными нормативно-правовыми актами Общества, Оператор разрабатывает, и утверждает правовым актом соответствующую локальную типовую форму.
5.4. Состав (категории) персональных данных включенный правовым актом Оператора в локальную типовую форму должен соответствовать заявленной таким актом цели обработки персональных данных.
5.5. Включенные категории персональных данных правовым актом Оператора в локальную типовую форму персональных данных, не должны быть избыточными по отношению к заявленной актом Оператора цели их обработки.
5.6. При осуществлении обработки персональных данных с применением средств автоматизации, состав (категории) персональных данных, включенных в электронные формы, должен соответствовать составу (категориям) персональных данных, включенным в типовые и (или) локальные формы.
5.7. Общество не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.
6. УСЛОВИЯ И ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Общие условия:
6.1.1. До начала обработки персональных данных Общество уведомляет Роскомнадзор о намерении осуществлять обработку персональных данных, в порядке, предусмотренном ФЗ «О персональных данных».
6.1.2. В зависимости от конкретных целей обработки персональных данных такая обработка может включать в себя, в частности, совершение всех или некоторых действий (операций) с персональными данными: сбор (получение), запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
6.1.3. Для каждой цели обработки персональных данных предусмотрены следующие способы обработки персональных данных: автоматизированная обработка персональных данных (с использованием средств вычислительной техники) и неавтоматизированная обработка персональных данных (без использования средств вычислительной техники) с фиксацией персональных данных на материальных носителях.
6.1.4. Обработка персональных данных Оператором осуществляется в соответствии с порядком, установленным федеральными законами и нормативно-правовыми актами Общества, регламентирующих вопросы обработки и защиты персональных данных.
6.1.5. При обработке персональных данных автоматизированном способом Общество принимает необходимые меры по обеспечению безопасности обрабатываемых персональных данных, в том числе с учетом требований Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
6.1.6. Обработка персональных данных неавтоматизированном способом, в том числе хранение материальных носителей персональных данных, осуществляется в помещениях, обеспечивающих их сохранность, с возможностью определить места хранения персональных данных (материальных носителей) в порядке, предусмотренном законодательством РФ, в том числе Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»:
6.1.6.1. Обработка персональных данных без использования средств вычислительной техники осуществляется в виде документов на бумажных носителях.
6.1.6.2. При неавтоматизированной обработке различных категорий персональных данных должен использоваться отдельный материальный носитель для каждой категории персональных данных.
6.1.6.3. При неавтоматизированной обработке персональных данных на бумажных носителях:
- не допускается фиксация на одном бумажном носителе персональных данных, цели обработки которых заведомо несовместимы;
- персональные данные должны обособляться от иной информации, в частности путем фиксации их на отдельных бумажных носителях, в специальных разделах или на полях форм (бланков);
- документы, содержащие персональные данные, формируются в дела в зависимости от цели обработки персональных данных;
- дела с документами, содержащими персональные данные, должны иметь внутренние описи документов с указанием цели обработки и категории персональных данных.
6.1.7. Работники Общества осуществляют обработку персональных данных, в объеме, необходимом для исполнения их должностных обязанностей.
6.1.8. К обработке персональных данных допускаются лица, прошедшие процедуру допуска, которая включает в себя:
- ознакомление с локальными нормативными актами Общества, регламентирующими порядок и процедуры работы с персональными данными;
- предоставление (подписание) Работником обязательства о неразглашении персональных данных и прекращении, в случае расторжения с ним трудового договора, обработки персональных данных, ставших известными ему в связи с исполнением должностных обязанностей;
- получение индивидуальных атрибутов права доступа в помещения и информационные системы, в которых хранятся персональные данные.
6.1.9. Доступ к обрабатываемым в АО «Омскоблводопровод» персональным данным разрешается только Работникам, занимающим должности, включенные в перечень должностей АО «Омскоблводопровод», замещение которых предусматривает осуществление обработки персональных данных (за исключением общедоступных и (или) обезличенных персональных данных).
6.1.10. Обработка персональных данных Субъектов персональных данных, указанных в п. 5 настоящей Политики, в АО «Омскоблводопровод» осуществляется c письменного согласия Субъектов персональных данных, если в соответствии с ФЗ «О персональных данных» и иными нормативными актами требуется письменное согласие Субъектов персональных данных.
6.1.11. Согласие Субъекта персональных данных на обработку его персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Содержание согласия на обработку персональных данных должно соответствовать требованиям ч. 4 ст. 9 ФЗ «О персональных данных».
6.1.12. Согласие на обработку персональных данных, разрешенных Субъектом персональных данных для распространения, оформляется отдельно от иных согласий Субъекта персональных данных на обработку его персональных данных. Общество обеспечивает Субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных Субъектом персональных данных для распространения.
6.1.13. В случае, когда порядок обработки отдельных категорий и (или) групп (массивов) персональных данных не определен действующим законодательством, Оператор разрабатывает и утверждает локальным актом порядок обработки таких персональных данных.
6.1.14. В случае разработки Оператором локального акта, определяющего порядок обработки отдельных категорий и (или) групп (массивов) персональных данных, его положения должны учитывать принципы и условия обработки персональных данных, установленные Законом о персональных данных.
6.1.15. При обработке персональных данных с применением средств автоматизации, порядок обработки персональных данных должен соответствовать порядку, установленному действующим законодательством, с учетом особенностей обработки информации в электронной форме и положений эксплуатационно-технической документации на средства автоматизации.
6.1.16. К числу массовых потребителей персональных данных вне АО «Омскоблводопровод» относятся государственные и негосударственные функциональные структуры: налоговые инспекции, правоохранительные органы, органы статистики, страховые агентства, Социальный фонд России, Федеральный Фонд обязательного медицинского страхования, Бюро медико-социальной экспертизы.
6.1.17. Контрольно-надзорные органы имеют доступ к защищаемой информации исключительно в сфере своей компетенции.
6.1.18. Работники АО «Омскоблводопровод» при обработке персональных данных Субъектов принимают необходимые правовые, организационные и технические меры или обеспечивают их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
6.1.19. Общество не осуществляет трансграничную передачу персональных данных.
6.1.20. В целях внутреннего информационного обеспечения АО «Омскоблводопровод» может создавать внутренние справочные материалы, в которые с письменного согласия Субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации, могут включаться его фамилия, имя, отчество, место работы, должность, год и место рождения, адрес, абонентский номер, адрес электронной почты, иные персональные данные, сообщаемые Субъектом персональных данных.
6.2. Сбор (получение) персональных данных:
6.2.1. осуществляется путем получения их непосредственно от Субъекта персональных данных.
6.2.2. В случае, когда персональные данные Субъекта предоставляются третьим лицом, то работник Оператора, осуществляющий получение персональных данных, должен убедиться в наличии у такого лица законных оснований на передачу чужих персональных данных, и зафиксировать сведения об источнике и времени получения персональных данных. Законным основанием, в частности, может являться:
- наличие нормативно-правового акта, возлагающего на третье лицо обязанность передать персональные данные Субъекта Оператору;
- наличие у передающего лица согласия Субъекта персональных данных на передачу его персональных данных Оператору;
- наличие у передающего лица доверенности, оформленной в соответствии с требованиями законодательства, на передачу персональных данных Субъекта персональных данных в АО «Омскоблводопровод»;
- наличие у передающего лица документа, оформленного в соответствии с требованиями законодательства и подтверждающего право передающего лица представлять интересы Субъекта персональных данных, например:
а) для родителя - паспорт с отметкой о наличии ребенка и свидетельство о рождении, указанного в паспорте, ребенка;
б) для опекуна – решение органа опеки или нормативный акт соответствующего органа власти об установлении опеки над несовершеннолетним и (или) недееспособным Субъектом;
в) для адвоката - ордер на исполнение поручения, выдаваемый соответствующим адвокатским образованием (адвокатский ордер).
6.2.3. В случае, когда персональные данные Субъекта получают путем их извлечения из общедоступного источника персональных данных, работник Оператора, осуществляющий извлечение персональных данных, должен фиксировать сведения об источнике персональных данных, лице, произведшем извлечение персональных данных, дату извлечения персональных данных.
6.2.4. В случае, когда осуществляется сбор персональных данных разрешенных Субъектом для распространения, должны выполняться требования ст. 10.1 ФЗ «О персональных данных».
6.2.5. В случае, когда персональные данные Субъекта получают с использованием электронных форм, размещенных Оператором на сайте в сети «Интернет», должны обеспечиваться:
- ознакомление Субъекта с настоящей Политикой;
- получение Согласия, в том числе в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации.
6.2.6. В случае, когда персональные данные Субъекта получают, с использованием электронных форм, размещенных Оператором на сайте в сети «Интернет», с целью рассмотрения обращений Субъекта по вопросам, входящим в компетенцию Оператора, должно обеспечиваться:
- получение Согласия, в том числе в форме электронного документа, по форме, утвержденной локальным актом Оператора;
- аутентификация Субъекта с помощью простой электронной подписи.
6.3. Уточнение персональных данных - внеплановая актуализация (обновление, изменение) персональных данных Работников Общества, осуществлямая в случаях обязательного предоставления Работником сведений об изменении состава его персональных данных (смена фамилии, брак, получение дополнительного образования, повышение квалификации и т.п.), а также по инициативе Работника.
6.3.1. Уточнение персональных данных физических лиц, осуществляющих выполнение работ (оказание услуг) по гражданско-правовым договорам, контрагентов и их законных представителей (юридические лица), а также лиц, состоящих в иных договорных отношениях с Оператором, осуществляется каждый раз при продлении или оформлении новых договорных отношений.
6.3.2. Актуализация персональных данных кандидатов на замещение вакантных должностей и физических лиц, направивших Оператору обращение, не осуществляется в связи с малым сроком хранения.
6.3.3. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации должно производиться путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, путем фиксации на том же материальном носителе сведений о вносимых в них изменениях, либо путем изготовления нового материального носителя с уточненными персональными данными.
6.4. Извлечение, использование персональных данных
6.4.1. Использование персональных данных допускается только для достижения цели их сбора и обработки.
6.4.2. При необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном или машинном носителе, в той же базе данных осуществляется извлечение (копирование) персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных.
6.4.3. Извлечение определенных персональных данных для создания информационных ресурсов, обработка персональных данных в которых не связана с первоначальной целью сбора извлекаемых персональных данных, не допускается.
6.5. Передача (распространение, предоставление, доступ) персональных данных - размещение персональных данных в источниках информации доступ, к которым предоставлен неограниченному кругу лиц, например, размещение на страницах сайта в сети «Интернет», на материальных носителях (листовки, стенды, информационные доски и т.п.), размещенных в общедоступных местах.
6.5.1. Распространение (предоставление неограниченному кругу лиц) персональных данных допускается исключительно с соблюдением положений ст. 10.1 ФЗ «О персональных данных».
6.5.2. Включение персональных данных Субъекта персональных данных в общедоступные источники персональных данных возможно только при наличии его письменного согласия.
6.5.3. Передача персональных данных по внутренней сети АО «Омскоблводопровод» возможна с использованием технических и программных средств защиты информации, с доступом только для работников АО «Омскоблводопровод», допущенных к работе с персональными данными, и только в объеме, необходимом данным работникам для выполнения своих должностных обязанностей.
6.5.4. Передача персональных данных третьим лицам осуществляется только с письменного согласия Субъекта персональных данных и по согласованию с генеральным директором (уполномоченным лицом) АО «Омскоблводопровод» за исключением случаев, предусмотренных законодательством РФ.
6.5.5. В целях соблюдения иных нормативных правовых актов Российской Федерации возможна передача персональных данных Субъекта персональных данных:
- для содействия в обучении, повышения квалификации, переподготовке, проведения аттестации на квалификационную категорию, получении грамот, наград и иных форм поощрений;
- в иных случаях, прямо предусмотренных законодательством Российской Федерации.
Лица, которым в установленном ФЗ «О персональных данных» порядке переданы сведения, составляющие персональные данные Субъекта персональных данных, несут дисциплинарную, административную или уголовную ответственность за разглашение в соответствии с законодательством Российской Федерации.
6.5.6. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд России и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
6.5.7. Кроме того, АО «Омскоблводопровод» вправе передать персональные данные Субъекта в соответствии с требованиями законодательства в следующих случаях:
- в ответ на требования уполномоченных органов государственной власти;
- в соответствии с требованиями судебного процесса, в связи с осуществлением правосудия;
- в случае необходимости защиты жизни, здоровья или иных жизненно важных интересов Субъекта персональных данных;
- в целях защиты прав АО «Омскоблводопровод» или уменьшения возможного ущерба АО «Омскоблводопровод»;
- после обезличивания персональных данных;
- если персональные данные передаются в целях заключения и/или исполнения договора, по которому Субъект персональных данных является одной из сторон, выгодопри¬обретателем или поручителем;
- в чрезвычайных ситуациях.
6.5.8. При обработке персональных данных АО «Омскоблводопровод» применяет необходимые правовые, организационные и технические меры для защиты персональных данных от не¬правомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копи¬рования, предоставления, распространения персональных данных, а также от иных неправо¬мерных действий в отношении персональных данных.
6.5.9. Работники АО «Омскоблводопровод» обеспечивают ведение «Журнала учёта обращений Субъекта персональных данных по вопросам обработки персональных данных», в котором регистрируются поступившие запросы, фиксируются сведения о лиц, направившем запрос, дата передачи персональных данных, а также отмечается, какая именно информация была передана.
6.5.10. В случае, если лицо, обратившееся с запросом, не уполномочено законодательством Российской Федерации на получение персональных данных, либо отсутствует письменное согласие Субъекта персональных данных на передачу его персональных данных, АО «Омскоблводопровод» обязано отказать в предоставлении персональных данных. В данном случае лицу, обратившемуся с запросом, выдается мотивированный отказ в предоставлении персональных данных в письменной форме, копия отказа хранится в АО «Омскоблводопровод».
6.6. Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному Субъекту персональных данных.
6.6.1. Обезличивание персональных данных может быть проведено с целью ведения статистического учета и отчетности, снижения ущерба от разглашения персональных данных.
6.6.2. Обезличивание персональных данных осуществляется методами, установленными Приказом Роскомнадзора России от 05.09.2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных».
Полученные в результате обезличивания сведений данные должны одновременно отвечать следующим требованиям:
1) полнота - сохранение всей информации о Субъектах данных или группах Субъектов данных, которая имелась до обезличивания;
2) структурированность - сохранение структурных связей между обезличенными данными конкретного Субъекта данных или группы Субъектов данных, соответствующих связям, имеющимся до обезличивания;
3) релевантность - возможность обработки запросов по обработке обезличенных персональных данных и получения ответов в одинаковой семантической форме;
4) семантическая целостность - соответствие семантики атрибутов обезличенных сведений семантике соответствующих атрибутов персональных данных при их обезличивании;
5) применимость - возможность решения задач обработки персональных данных без предварительного деобезличивания всего объема записей о Субъектах данных;
6) анонимность - невозможность однозначной идентификации Субъектов данных, полученных в результате обезличивания.
6.6.3. Обезличивание части персональных данных, обрабатываемых без применения средств автоматизации, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).
6.4. Сроки обработки и хранения персональных данных
6.4.1. Условием прекращения обработки персональных данных в АО «Омскоблводопровод» является:
- отзыв согласия на обработку персональных данных Субъектом;
- выявление неправомерной обработки персональных данных;
- достижение целей обработки персональных данных;
- истечение срока действия согласия на обработку персональных данных;
- иные основания, предусмотренные действующим законодательством Россий¬ской Федерации.
Хранение персональных данных в АО «Омскоблводопровод» осуществляется в форме, по¬зволяющей определить Субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект персональных данных.
6.4.2. Сроки хранения персональных данных Субъектов, чьи данные обрабатывают¬ся АО «Омскоблводопровод», определяются в соответствии с действующим законодательством Российской Федерации:
- хранение персональных данных работников, бывших работников АО «Омскоблводопровод» осуществ¬ляется АО «Омскоблводопровод» в течение 50/75 лет (законченные документы делопроизводством до 1 января 2003 года – хранятся 75 лет; законченные документы делопроизводством после 1 января 2003 года – хранятся 50 лет) по окончании срока действия трудового договора с работником;
- хранение персональных данных абонентов, заявителей (физических лиц), контрагентов (физических лиц), а также представителей/работников абонентов и контраген¬тов (юридических лиц) АО «Омскоблводопровод» осуществляется АО «Омскоблводопровод» в течение 5 лет со дня окончания срока действия.
6.4.3. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
6.4.4. Согласие хранится Оператором в течение срока его действия, а также в течение 3 (трех) лет с момента его отзыва или прекращения действия.
6.4.5. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, АО «Омскоблводопровод» обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации.
6.4.6. В обществе раздельно хранятся персональные данных на разных материальных носителях, обработка которых осуществляется в различных целях, определенных настоящей Политикой.
6.4.7. Общество обеспечивает раздельное хранение различных категорий персональных данных (работников и бывших работников Общества, лиц, претендующих на замещение вакантных должностей в Обществе и на заключение с Обществом гражданско-правовых договоров, лиц, выполняющих и выполнявших работы для Общества по гражданско-правовым договорам, клиентов и т.д.) в том числе несовместимых между собой по целям обработки.
6.4.8. При хранении персональных данных как в электронной форме, так и на материальных носителях (бумажные документы, фото и светокопии и т.п.) должны соблюдаться условия, обеспечивающие сохранность персональных данных (материальных и машинных носителей) и исключающие несанкционированный к ним доступ.
6.4.9. Должны быть определены места хранения персональных данных (материальных и (или) машинных носителей (данных)) и установлен перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.
6.4.10. При обработке персональных данных в электронной форме или на материальных носителях должна осуществляться фиксация обращений (в том числе действий над персональными данными) лиц, допущенных к обработке персональных данных, посредством ведения машинных (электронных) и (или) бумажных журналов. Фиксации в журналах также подлежат факты перемещения и (или) копирования персональных данных, или материальных носителей, содержащих персональные данные.
6.4.11. Хранение персональных данных после истечения установленных сроков их обработки, отзыва Согласия, достижения цели обработки персональных данных или утраты необходимости в достижении цели обработки персональных данных осуществляется только в статистических целях, и только после обязательного проведения процедуры обезличивания персональных данных.
6.8. Порядок блокирования, удаления и уничтожения персональных данных
6.8.1. Общество блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.
6.8.2. В случае достижения цели обработки персональных данных Общество обязано прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором между Обществом и Субъектом персональных данных или законом.
6.8.3. Незаконно полученные персональные данные или те, которые не являются необходимыми для цели обработки, уничтожаются в течение семи рабочих дней со дня представления Субъектом персональных данных (его представителем) подтверждающих сведений.
6.8.4. Персональные данные, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 рабочих дней с даты выявления факта неправомерной обработки.
6.8.5. Персональные данные уничтожаются в течение 30 дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого (выгодоприобретателем или поручителем, по которому) является Субъект персональных данных, иным соглашением между ним и Обществом либо если Общество не вправе обрабатывать персональные данные без согласия Субъекта персональных данных на основаниях, предусмотренных федеральными законами.
6.8.6. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются в течение 30 дней.
6.8.7. Персональные данные уничтожаются (если их сохранение не требуется для целей обработки персональных данных) в течение 30 дней с даты поступления отзыва Субъектом персональных данных согласия на их обработку. Иное может предусматривать договор, стороной которого (выгодоприобретателем или поручителем, по которому) является Субъект персональных данных, иное соглашение между ним и Обществом. Кроме того, персональные данные уничтожаются в указанный срок, если Общество не вправе обрабатывать их без согласия Субъекта персональных данных на основаниях, предусмотренных федеральными законами.
6.8.8. В случае отсутствия возможности уничтожения персональных данных в течение законодательно установленных сроков, Общество блокирует такие персональные данные или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
6.8.9. Общество блокирует персональные данные Субъектов персональных данных или обеспечивает их блокирование (если обработка осуществляется другим лицом, действующим по поручению Общества), если выявлена неправомерная обработка таких данных. Блокировка производится с момента обращения Субъекта персональных данных (его представителя) или получения запроса Субъекта персональных данных (его представителя) либо Роскомнадзора на период проверки.
6.8.10. При выявлении неточных персональных данных Общество блокирует такие данные или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества). Блокировка производится с момента обращения Субъекта персональных данных (его представителя) или поступления запроса Субъекта персональных данных (его представителя) либо Роскомнадзора на период проверки, если это не нарушает права и законные интересы Субъекта персональных данных или третьих лиц.
6.8.11. В случае подтверждения факта неточности персональных данных Общество на основании сведений, представленных Субъектом персональных данных или его представителем либо уполномоченным органом по защите прав Субъектов персональных данных, или иных необходимых документов обязано уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных. Общество уведомляет в письменном виде Субъекта персональных данных (его представителя) о внесенных изменениях и сообщает (по электронной почте) о них третьим лицам, которым были переданы персональные данные.
6.8.12. Общество письменно уведомляет Субъекта персональных данных (его представителя) об:
- устранении нарушений в части неправомерной обработки персональных данных;
- об уничтожении персональных данных, которые обрабатывались неправомерно, были получены незаконно или не являются необходимыми для заявленной цели обработки.
В случае, если обращение Субъекта в Общество направлял Роскомнадзор или запрос об устранении нарушений поступил от имени Роскомнадзора, Общество письменно уведомляется Роскомнадзор об устранении нарушений.
6.8.13. Отбор материальных носителей (документы, жесткие диски, флеш-накопители и т.п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют подразделения Общества, обрабатывающие персональные данные.
6.8.14. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора.
6.8.15. Комиссия составляет список с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
6.8.16. Уничтожение носителей, содержащих персональные данные Субъектов персональных данных, должно соответствовать следующим правилам:
- быть конфиденциальным, исключая возможность последующего восстановления;
- должно проводиться комиссией по уничтожению персональных данных;
- уничтожение должно касаться только тех носителей, содержащих персональные данные Субъектов персональных данных, которые подлежат уничтожению в связи с истечением срока хранения, достижением цели обработки указанных персональных данных либо утратой необходимости в их достижении, не допуская случайного или преднамеренного уничтожения актуальных носителей.
6.8.17. Удаление персональных данных, обрабатываемых с применением средств автоматизации осуществляется в соответствии с процедурами, установленными эксплуатационно-технической документацией на такие средства автоматизации.
6.8.18. Уничтожение персональных дан, содержащихся на материальных носителях, осуществляется способом безвозвратного уничтожения самого носителя (сожжение, разрезание, уничтожение с применением химических средств и т.п.). Способ уничтожения определяется АО «Омскоблводопровод» исходя из доступных технических средств по уничтожению материальных носителей информации.
6.8.19. Удаление персональных данных, содержащихся на материальных носителях (бумажные документы), физическое уничтожение которых невозможно, по тем или иным причинам, осуществляется вырезанием или вымарыванием персональных данных, а также с применением устройствам для стирания текстовой информации. Любой из выбранных способов удаления должен гарантировано исключать возможность ознакомления с удаляемыми персональными данными впоследствии.
6.8.20. Комиссия подтверждает уничтожение персональных данных, согласно Требованиям, к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 N 179, а именно:
- актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;
- актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.
Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями.
Формы акта и выгрузки из журнала с учетом сведений, которые должны содержаться в указанных документах, утверждаются приказом генерального директора.
6.8.21. После составления акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных комиссия передает их в отдел документооборота для последующего хранения. Акты и выгрузки из журнала хранятся в течение трех лет с момента уничтожения персональных данных.
6.8.22. Для уничтожения информации с машинных носителей информации могут использоваться программные методы гарантированного удаления информации, в которых используются основные алгоритмы гарантированного удаления данных.
6.8.23. Персональные данные, хранящиеся в электронных базах данных, уничтожаются путем удаления персональных данных конкретного Субъекта из баз данных. В случае невозможности произвести удаление персональных данных из базы данных применяется обезличивание персональных данных для обеспечения невозможности определить принадлежность персональных данных конкретному Субъекту без дополнительных сведений.
7. ОСНОВНЫЕ ПРАВА СУБЪЕКТА
7.1. Права Субъекта персональных данных регулируются действующим законодательством, в частности, статьями 14-17 ФЗ «О персональных данных».
7.2. Субъект персональных данных имеет право на:
7.2.1. Получение информации, касающейся обработки его персональных данных. Данная информация предоставляется Субъекту персональных данных или его представителю Оператором при обращении либо при получении запроса Субъекта персональных данных или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность Субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие Субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись Субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью.
7.2.2. Уточнение его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
7.2.3. Отзыв Согласия на обработку персональных данных, в случае, когда Оператор осуществляет обработку персональных данных Субъекта на основании Согласия, направив Оператору письменный запрос Субъекта, содержащего сведения, перечисленные в ч. 3 ст. 14 ФЗ «О персональных данных», а также указание следующих реквизитов Согласия: дата подписания, цель обработки персональных данных. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
7.2.4. Обжалование действия или бездействия Оператора в уполномоченный орган по защите прав Субъектов персональных данных или в судебном порядке, если Субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований ФЗ «О персональных данных» или иным образом нарушает его права и свободы.
7.1.5. Защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда, в судебном порядке.
7.1.6. В случае смерти Субъекта его права в области обработки персональных данных реализуют наследники Субъекта или его представитель.
7.3. Право Субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе, если доступ Субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
7.4. Реализовывать иные права, предусмотренные законодательством РФ.
8. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
8.1. Оператор вправе:
8.1.1. поручить обработку персональных данных другому лицу с согласия Субъекта персональных данных на основании заключаемого с этим лицом договора. Договор должен содержать перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели обработки, обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных»;
8.1.2. осуществлять передачу персональных данных Субъектов персональных данных Третьим лицам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, иным лицам (если применимо), а также поручить обработку персональных данных Субъектов персональных данных Третьим лицам, иным лицам при наличии соответствующих правовых оснований и соблюдении требований ФЗ «О персональных данных»;
8.1.3. в случаях, перечисленных в ч. 8 ст. 14 ФЗ «О персональных данных», Оператор вправе отказать Субъекту или его Представителю в предоставлении сведений об обработке Оператором персональных данных Субъекта;
8.1.4. в случаях, перечисленных в ч. 6 ст. 14 ФЗ «О персональных данных» отказать в рассмотрении повторного запроса Субъекта или его Представителя о предоставлении сведений об обработке Оператором персональных данных Субъекта. В случае такого отказа Оператор обязан предоставить мотивированное обоснование отказ;
8.1.5. в случаях, перечисленных в ч. 4 ст. 18 ФЗ «О персональных данных» не предоставлять Субъекту сведения, предусмотренные ч.3 ст. 18 ФЗ «О персональных данных»;
8.1.6. передавать персональных данных Субъекта органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации, без получения согласия Субъекта персональных данных;
8.1.7. продолжить обработку персональных данных при достижении цели обработки персональных данных или в случае утраты необходимости в достижении этих целей.
8.1.8. в случае отзыва Согласия Оператор вправе продолжить обработку персональных данных без Согласия при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 ФЗ «О персональных данных»;
8.1.9. Общество имеет право обрабатывать биометрические персональные данные только на основании письменного согласия, если иное не предусмотрено ч. 2. ст. 11 Закона о персональных данных.
8.1.10. в случае недееспособности Субъекта получить Согласие от Представителя;
8.2. в случае смерти Субъекта персональных данных получить Согласие от наследников Субъекта, если такое Согласие не было дано Субъектом персональных данных при его жизни.
8.3. Реализовывать иные права, предусмотренные законодательством РФ.
8.4. Оператор обязан:
8.4.1. соблюдать принципы и условия обработки персональных данных, установленные законодательством в области персональных данных;
8.4.2. исполнять обязанности, возложенные на Оператора ст. 18-22.1 ФЗ «О персональных данных»;
8.4.3. разъяснить Субъекту персональных данных юридические последствия отказа предоставить его персональные данные, если предоставление персональных данных является обязательным в соответствии с ФЗ «О персональных данных»;
8.4.4. если персональные данные получены не от Субъекта персональных данных до начала обработки персональных данных предоставить Субъекту персональных данных следующую информацию, предусмотренную ФЗ «О персональных данных», с учетом установленных Законодательством РФ исключений:
- наименование либо фамилия, имя, отчество и адрес Оператора или его представителя;
- цель обработки персональных данных и ее правовое основание;
- предполагаемые пользователи персональных данных;
- установленные настоящей Политикой права Субъекта персональных данных;
- источник получения персональных данных.
Оператор освобождается от обязанности предоставить Субъекту персональных данных указанную информацию в случаях, если:
- Субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим Оператором;
- персональные данные получены Оператором на основании федерального закона или в связи с исполнением договора, стороной которого является Субъект персональных данных;
- персональные данные сделаны общедоступными Субъектом персональных данных или получены из общедоступного источника;
- предоставление Субъекту персональных данных указанной информации нарушает права и законные интересы третьих лиц.
8.4.5. Сообщить Субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему Субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении Субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса Субъекта персональных данных или его представителя.
8.4.6. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем Субъекте персональных данных или персональных данных Субъекту персональных данных или его представителю при их обращении либо при получении запроса Субъекта персональных данных или его представителя, дать в письменной форме мотивированный ответ в срок, не превышающий тридцати дней со дня обращения Субъекта персональных данных или его представителя, либо с даты получения запроса Субъекта персональных данных или его представителя.
8.4.7. Предоставить безвозмездно Субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому Субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления Субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления Субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, уничтожить такие персональные данные. Оператор обязан уведомить Субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого Субъекта были переданы.
8.4.8. Сообщить в уполномоченный орган по защите прав Субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса.
8.4.9. В случае выявления неправомерной обработки персональных данных при обращении Субъекта персональных данных или его представителя либо по запросу Субъекта персональных данных или его представителя либо уполномоченного органа по защите прав Субъектов персональных данных осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому Субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) с момента такого обращения или получения указанного запроса на период проверки.
В случае выявления неточных персональных данных при обращении Субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав Субъектов персональных данных осуществить блокирование персональных данных, относящихся к этому Субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы Субъекта персональных данных или третьих лиц.
8.4.10. В случае подтверждения факта неточности персональных данных, на основании сведений, представленных Субъектом персональных данных или его представителем либо уполномоченным органом по защите прав Субъектов персональных данных, или иных необходимых документов уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
8.4.11. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по договору с Оператором, в срок, не превышающий трех рабочих дней с даты этого выявления, прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по договору с Оператором.
8.4.12. В случае, если обеспечить правомерность обработки персональных данных невозможно, в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожить такие персональные данные или обеспечить их уничтожение.
8.4.13. Уведомить Субъекта персональных данных или его представителя об устранении допущенных нарушений или об уничтожении персональных данных, а в случае, если обращение Субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав Субъектов персональных данных были направлены уполномоченным органом по защите прав Субъектов персональных данных, также уведомить указанный орган.
8.4.14. В случае достижения цели обработки персональных данных прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого является Субъект персональных данных, иным соглашением между Оператором и Субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия Субъекта персональных данных.
8.4.15. В случае отзыва Субъектом персональных данных согласия на обработку его персональных данных прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого является Субъект персональных данных, иным соглашением между Оператором и Субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия Субъекта персональных данных.
8.4.16. В случае отсутствия возможности уничтожения персональных данных в течение срока, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по договору с Оператором) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
8.4.17. Назначить лицо, ответственное за организацию обработки персональных данных, которое обязано:
- осуществлять внутренний контроль за соблюдением Оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
- доводить до сведения работников Оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
- организовывать прием и обработку обращений и запросов Субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
8.4.18. Принимать необходимые правовые, организационные и технические меры по обеспечению безопасности персональных данных.
8.4.19. Осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных ФЗ «О персональных данных» и принятым в соответствии с ним локальным нормативным актам.
8.4.20. Производить оценку вреда, который может быть причинен Субъектам персональных данных в случае нарушения ФЗ «О персональных данных», соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных данным законом.
8.4.21. Уведомить уполномоченный орган по защите прав Субъектов персональных данных до начала обработки персональных данных о своем намерении осуществлять обработку персональных данных, в порядке предусмотренном федеральным законом «О персональных данных», за исключением следующих случаев:
- персональные данные обрабатываются в соответствии с трудовым законодательством;
- персональные данные получены Оператором в связи с заключением договора, стороной которого является Субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия Субъекта персональных данных и используются Оператором исключительно для исполнения указанного договора и заключения договоров с Субъектом персональных данных:
- сделанных Субъектом персональных данных общедоступными;
- включающих в себя только фамилии, имена и отчества субъектов персональных данных;
- необходимых в целях однократного пропуска Субъекта персональных данных на территорию, на которой находится Оператор, или в иных аналогичных целях.
8.2.22. Соблюдать конфиденциальность персональных данных, обеспечивать соблюдение конфиденциальности персональных данных Процессором.
8.2.23. Осуществлять контроль над обработкой персональных данных Процессором.
8.2.24. Осуществлять обработку персональных данных о судимости исключительно в случаях и в порядке, которые определяются в соответствии с федеральными законами.
8.2.25. Осуществлять распространение персональных данных только после получения в порядке, определенном ст. 10.1 ФЗ «О персональных данных», отдельного Согласия и с соблюдением особенностей обработки персональных данных, разрешенных Субъектом для распространения, установленными указанной статьей.
8.2.26. Проверять полномочия Представителя на дачу Согласия от имени Субъекта в случае получения Согласия Представителя.
9. ОРГАНИЗАЦИЯ РАССМОТРЕНИЯ ЗАПРОСОВ СУБЪЕКТОВ И УПОЛНОМОЧЕННОГО ОРГАНА ПО ЗАЩИТЕ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. В целях соблюдения прав и законных интересов Субъектов персональных данных, требований к срокам обработки обращений и/или запросов, обеспечения качества и полноты принятия мер в отношении законного требования Субъекта персональных данных и для предоставления необходимой информации по его обращению и/или запросу осуществляется прием и обработка обращений Субъектов персональных данных, а также контроль обеспечения такого приема и обработки.
9.2. При рассмотрении обращений и/или запросов Субъектов персональных данных Оператор руководствуется положениями Законодательства РФ, согласно которым запрос и/или обращение, направляемый и/или направляемое Субъектом персональных данных, должен/должно содержать информацию, предусмотренную ФЗ «О персональных данных».
9.3. Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов от Субъектов персональных данных производится Обществом в объеме и сроки, предусмотренные законодательством РФ.
9.3.1. Организация приема и обработки обращений и запросов Субъектов или их представителей, уполномоченного органа по защите прав Субъектов и осуществление контроля за приемом и обработкой таких обращений и запросов осуществляет ответственный за организацию обработки персональных данных.
9.3.2. Запросы работников АО «Омскоблводопровод», касающиеся обработки их персональных данных, рассматриваются отделом управления персональных данных с соблюдением сроков, установленных статьей 20 Федерального закона «О персональных данных».
9.3.3. Запросы физических лиц, осуществляющих выполнение работ (оказание услуг) по гражданско-правовым договорам, контрагентов и их законных представителей (юридические лица), а также лиц, состоящих в иных договорных отношениях с АО «Омскоблводопровод», касающиеся обработки их персональных данных, рассматриваются ответственным за организацию обработки персональных данных с соблюдением сроков, установленных статьей 20 Федерального закона «О персональных данных».
9.3.4. Запросы уполномоченного органа по защите прав Субъектов персональных данных рассматриваются ответственным за организацию обработки персональных данных в АО «Омскоблводопровод» с соблюдением сроков, установленных статьей 20 Федерального закона «О персональных данных».
9.4. Установленный Законодательством РФ срок ответа Субъекту на обращение и/или запрос о предоставлении информации, касающейся обработки его персональных данных, может быть продлен на основании установленных Федеральным законом «О персональных данных» ограничений с направлением в адрес Субъекта персональных данных мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.
9.5. Оператор, получив обращение и/или запрос Субъекта персональных данных и убедившись в его законности, предоставляет Субъекту персональных данных и/или его Представителю, обладающему полномочиями на представление интересов Субъекта персональных данных, сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Оператором сведения не могут содержать персональные данные, принадлежащие другим Субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
9.6. Оператор вправе отказать Субъекту персональных данных в удовлетворении требований, указанных в обращении и/или запросе, путем направления Субъекту персональных данных или его Представителю мотивированного отказа, если у Оператора в соответствии с Законодательством РФ имеются законные основания отказать в выполнении/удовлетворении поступивших требований.
10. МЕРЫ ПО ОБЕСПЕЧЕНИЮ КОНФИДЕНЦИАЛЬНОСТИ И БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Для обеспечения конфиденциальности и безопасности персональных данных Субъектов, Общество в соответствии с ФЗ «О персональных данных» принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий в отношении персональных данных.
10.2. Меры, необходимые и достаточные для обеспечения выполнения АО «Омскоблводопровод» обязанностей Оператора, предусмотренных законодательством Российской Федерации в области персональных данных, включают:
10.1.1. назначение лица, ответственного за организацию обработки персональных данных;
10.1.2. разработка, внедрение внутренних локальных актов и иных документов в области обработки и защиты персональных данных;
10.1.3. определение актуальных угроз безопасности персональных данных, обрабатываемых в информационной системе персональных данных, и применяются соответствующие организационные и технические меры защиты для установленных уровней защищенности персональных данных;
10.1.4. для нейтрализации актуальных угроз безопасности персональных данных применяются средства защиты информации, соответствующие уровням защищенности персональных данных и прошедшие в установленном порядке процедуру оценки соответствия;
10.1.5. проводится оценка эффективности принимаемых мер защиты и обеспечения безопасности персональных данных;
10.1.6. ведется учет машинных носителей персональных данных;
10.1.7. проводится работа по обнаружению фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационную систему персональных данных и по реагированию на компьютерные инциденты в них;
10.1.8. обеспечивается восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
10.1.9. допущение работников, которые занимают должности, включенные в перечень должностей, замещение которых предусматривает осуществление обработки персональных данных, только после подписания обязательства об их неразглашении;
10.1.10. организацию обучения требованиям законодательства в области первоначальных данных работникам подразделений АО «Омскоблводопровод», занимающими должности, включенные в перечень должностей, замещение которых предусматривает осуществление обработки персональных данных;
10.1.11. определяется и при необходимости актуализируется перечень лиц (Работников Общества), которым для выполнения трудовых обязанностей необходим доступ к персональным данным, обработка которых производится в информационной системе персональных данных, а также обеспечивается предоставление доступа к обрабатываемым персональным данным тем Работникам Общества, которым необходим указанный доступ в связи с выполнением ими трудовых обязанностей;
10.1.12. получение согласий Субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации;
10.1.13. обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации, в частности путем их фиксации на отдельных материальных носителях персональных данных, в специальных разделах;
10.1.14. обеспечение раздельного хранения персональных данных и их материальных носителей, обработка которых осуществляется в разных целях, и которые содержат разные категории персональных данных;
10.1.15. установление запрета на передачу персональных данных по открытым каналам связи, вычислительным сетям вне пределов контролируемой зоны, корпоративной сети передачи данных АО «Омскоблводопровод» и сетям Интернет без применения установленных в АО «Омскоблводопровод» мер по обеспечению безопасности персональных данных (за исключением общедоступных и (или) обезличенных персональных данных);
10.1.16. хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
10.1.17. обеспечиваются пропускной режим и управление доступом к персональным данным, техническим средствам, используемым при обработке персональных данных, средствам защиты информации, средствам обеспечения функционирования информационных систем, а также пропускной режим и управление доступом в помещения, в которых установлены указанные средства;
10.1.18. доступ к персональной информации, содержащейся в информационных системах Общества, осуществляется по индивидуальным паролям;
10.1.19. осуществляется эксплуатация разрешенного к использованию программного обеспечения и/или его компонентов, а также обеспечивается контроль за его установкой и обновлением;
10.1.20. в Обществе используется сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами;
10.1.21. осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике, локальным актам Оператора;
10.1.22. производится внутренний контроль над принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационной системы персональных данных;
10.1.23. ознакомление работников АО «Омскоблводопровод», непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, настоящей Политикой, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников;
10.1.24. иные меры, предусмотренные законодательством Российской Федерации в области персональных данных.
10.2. Также Обществом, проводится оценка вреда, который может быть причинен Субъектам персональных данных в случае нарушения законодательства в области персональных данных, а также соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ «О персональных данных».
10.3. Меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с локальными нормативными актами АО «Омскоблводопровод», регламентирующими вопросы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных АО «Омскоблводопровод».
10.4. В случае инцидента Общество в течение 24 часов уведомляет Роскомнадзор:
- об инциденте;
- о его предполагаемых причинах и вреде, причиненном правам Субъекта (нескольким Субъектам) персональных данных;
- о принятых мерах по устранению последствий инцидента;
- о представителе Общества, который уполномочен взаимодействовать с Роскомнадзором по вопросам, связанным с инцидентом.
При направлении уведомления нужно руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с Операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187.
10.6. В течение 72 часов Общество обязано сделать следующее:
- уведомить Роскомнадзор о результатах внутреннего расследования;
- предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).
При направлении уведомления также необходимо руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с Операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187.
11. КОНТРОЛЬ ЗА СОБЛЮДЕНИЕМ ЗАКОНОДАТЕЛЬСТВА РОССИЙСКОЙ ФЕДЕРАЦИИ И ЛОКАЛЬНЫХ НОРМАТИВНЫХ АКТОВ
В ОБЛАСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
11.1. Осуществление внутреннего контроля за соблюдением структурными подразделениями АО «Омскоблводопровод» законодательства Российской Федерации и локальных нормативных актов в области персональных данных, в том числе требований к защите персональных данных, обеспечиваются лицом, ответственным за организацию обработки персональных данных АО «Омскоблводопровод».
11.2. Внутренний контроль соответствия обработки персональных данных ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политикой, локальным нормативным актам АО «Омскоблводопровод» осуществляет советник генерального директора и служба цифрового развития.
12. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ
12.1. Лица, виновные в нарушении положений законодательства Российской Федерации об обработке персональных данных несут дисциплинарную и материальную ответственность в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, а также могут быть привлечены к гражданско-правовой, административной или уголовной ответственности в порядке, установленном федеральными законами.
12.2. Моральный вред, причиненный Субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Федеральным законом «О персональных данных» и настоящей Политикой, а также требований к защите персональных данных, установленных в соответствии с Федеральным законом «О персональных данных», подлежит возмещению в соответствии с законодательством Российской Федерации.
12.3. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных Субъектом персональных данных убытков.
13. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
13.1. Настоящая Политика вступает в силу и становится обязательной для исполнения всеми Работниками АО «Омскоблводопровод» с момента ее утверждения, и действует до ее отмены приказом генерального директора или до введения новой Политики.
13.2. Условия Политики в отношении обработки персональных данных Общество вправе в любой момент изменить в одностороннем порядке. Внесение изменений в Политику производится приказом генерального директора. Изменения вступают в силу с момента подписания соответствующего приказа генерального директора АО «Омскоблводопровод».
13.3. В случае, если по тем или иным причинам одно или несколько положений настоящей Политики будут признаны недействительными или не имеющими юридической силы, данные обстоятельства не оказывают влияния на действительность или применимость остальных положений Политики.
13.4. Политика АО «Омскоблводопровод» в отношении обработки персональных данных публикуется на официальном сайте Общества в информационно-телекоммуникационной сети «Интернет» по интернет-адресу: https://omskoblvodoprovod.ru/. К Политике обеспечивается неограниченный доступ.
13.5. Обратная связь:
- Телефон: +7 (3812) 729-333
- Факс: +7 (3812) 729-341
- Адрес электронной почты (для отправки запросов в электронном виде, заверенных усиленной квалифицированной электронной подписью): ао60@mail.ru
- Адрес: 644520, Омская область, Омский район, с. Троицкое, ул. Дорстрой, 8.