УТВЕРЖДЕНО
(Приказ № П201901212 от 21.01.2019)
Директор
Алешкевич А.Н.
Москва, 2019 год
1. ОСНОВНЫЕ ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Основные технические средства и системы - технические средства и системы, а также их коммуникации, используемые для обработки, хранения и передачи персональных данных.
Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
2. ОБЩИЕ ПОЛОЖЕНИЯ
2.1. Настоящее Положение об организации обработки персональных данных (далее – «Положение») в ООО «УК «ЭСЭ Управление активами» (далее – «УК») разработано в соответствии с законодательством Российской Федерации о персональных данных и нормативно-методическими документами исполнительных органов государственной власти по вопросам безопасности персональных данных при их обработке в информационных системах.
2.2. Настоящее Положение определяет порядок обработки персональных данных, а также ответственность работников, участвующих в обработке персональных данных.
2.3. Если федеральными законами, нормативными актами Банка России, указами Президента Российской Федерации, постановлениями Правительства Российской Федерации, актами министерств и иных федеральных органов государственной власти или базовыми и внутренними стандартами саморегулируемой организации в сфере финансового рынка, членом которой является УК, установлены более строгие правила, чем те, которые предусмотрены настоящим Положением, то применению подлежат правила, установленные соответствующими нормативно-правовыми актами.
2.4. Настоящее Положение вступает в силу с момента его утверждения Директором и действует бессрочно, до замены его новым Положением.
2.5. Все изменения в Положение вносятся приказом Директора УК.
2.6. Положение обязательно для исполнения всеми работниками, непосредственно участвующими в обработке персональных данных в информационных системах.
3. СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Состав персональных данных, обрабатываемых в УК, перечислен в «Перечне персональных данных, обрабатываемых в ООО «УК «ЭСЭ Управление активами» (Приложение № 2), утверждённом приказом Директора УК.
4. ЦЕЛЬ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Персональные данные обрабатываются в следующих целях:
- Исполнения требований Трудового кодекса Российской Федерации;
- Исполнения требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, а также единого социального налога;
- Исполнения требований пенсионного законодательства при формировании и представлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение;
- Применение мер, направленных на ПОД/ФТ и ФРОМУ;
- Ведение кадрового делопроизводства, оформление добровольного медицинского страхования;
- Начисление заработной платы;
- Предотвращение конфликтов интересов;
- Исполнение обязанностей по договорам доверительного управления паевым инвестиционным фондом (ПДУ);
- Исполнение обязанностей по противодействию неправомерного использования инсайдерской информации и (или) манипулирования рынком;
- Исполнение иных обязанностей УК, предусмотренных действующим законодательством и иными нормативными правовыми актами.
5. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
5.2. В установленных случаях обработка персональных данных осуществляется только после получения письменного «Согласия на обработку персональных данных» (Приложение № 1).
6. УСЛОВИЯ И СРОКИ ПРЕКРАЩЕНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Обработка персональных данных должна быть прекращена в следующих случаях:
- Достижение целей обработки персональных данных или максимальных сроков хранения - в течение 30 дней;
- Утрата необходимости в достижении целей обработки персональных данных - в течение 30 дней;
- Предоставление субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки - в течение 7 рабочих дней;
- Невозможность обеспечения правомерности обработки персональных данных – в течение 10 рабочих дней;
- Отзыв субъектом персональных данных согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных - в течение 30 дней;
- Истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных.
7. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Организацию и контроль за состоянием процесса обработки персональных данных в информационных системах осуществляет ответственный за организацию обработки персональных данных, назначаемый приказом Директора УК. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от Директора УК и подотчётно ему.
7.2. Обработка и хранение персональных данных осуществляется не дольше, чем это необходимо для их обработки в целях, для которых они были собраны. Содержание сведений, цели обработки, основания для обработки, способы и сроки хранения персональных данных предусмотрены в «Перечне персональных данных, обрабатываемых в ООО «УК «ЭСЭ Управление активами» (Приложение № 2).
7.3. Доступ сотрудников и должностных лиц к персональным данным осуществляется на основании предоставленного им доступа в соответствии с Кодексом профессиональной этики УК.
7.4. В целях обеспечения единого порядка рассмотрения запросов субъектов персональных данных или их представителей, на доступ к обрабатываемым персональным данным субъекта персональных данных в информационной системе, ответственный за организацию обработки персональных данных в информационной системе руководствуется «Правилами рассмотрения запросов субъектов персональных данных, чьи персональные данные обрабатываются в ООО «УК «ЭСЭ Управление активами» (Приложение № 3) и ведёт в электронной форме «Журнал регистрации обращений субъектов персональных данных, чьи персональные данные обрабатываются в ООО «УК «ЭСЭ Управление активами» (Приложение № 4). Указанный журнал ведётся исключительно в целях соблюдения требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и относится к обращениям субъектов персональных данных относительно обработки УК их персональных данных.
7.5. Работа со съёмными машинными носителями персональных данных в информационной системе осуществляется в соответствии внутренними документами УК.
7.6. При достижении целей обработки персональных данных или при иных условиях прекращения обработки персональных данных в информационных системах, уничтожение персональных данных производится способом, исключающим возможность восстановления этих персональных данных:
- Перезаписью уничтожаемых (стираемых) файлов случайной битовой последовательностью,
- Удалением записи о файлах,
- Обнулением журнала файловой системы,
- Полной перезаписью всего адресного пространства съемного машинного носителя персональных данных случайной битовой последовательностью с последующим форматированием.
7.7. При невозможности уничтожения персональных данных в сроки, определённые Федеральным Законом от 27.07.2006 № 152-ФЗ «О персональных данных» для случаев, когда невозможно обеспечить правомерность обработки персональных данных или при достижении целей обработки персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных, осуществляется блокирование персональных данных и их последующие уничтожение в течение 6 месяцев, если иной срок не установлен федеральным законодательством.
8. МЕРЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Выполнение мероприятий по обеспечению безопасности персональных данных при их обработке в информационной системе осуществляется в соответствии внутренними документами УК.
8.2. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных, технических и программных мер, необходимых и достаточных для обеспечения требований законодательства в области защиты персональных данных.
8.3. Оператор предпринимает необходимые организационные и технические меры для обеспечения безопасности персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.
8.4. Оператор предпринимает следующие организационно-технические меры:
- назначение должностных лиц, ответственных за организацию обработки и защиты персональных данных;
- ограничение и регламентация состава работников, имеющих доступ к персональным данным;
- ознакомление работников с требованиями федерального законодательства и локальных нормативных документов по обработке и защите персональных данных;
- обеспечение учёта и хранения материальных носителей информации и их обращения, исключающего хищение, подмену, несанкционированное копирование и уничтожение;
- реализация разрешительной системы доступа пользователей к информационным ресурсам, программно-аппаратным средствам обработки и защиты информации;
- регистрация и учёт действий пользователей информационных систем персональных данных;
- парольная защита доступа пользователей к информационной системе персональных данных;
- применение в необходимых случаях средств криптографической защиты информации для обеспечения безопасности персональных данных при передаче по открытым каналам связи и хранении на съемных машинных носителях информации;
- осуществление антивирусного контроля, предотвращение внедрения в корпоративную сеть вредоносных программ (программ-вирусов) и программных закладок;
- применение в необходимых случаях средств межсетевого экранирования;
- применение в необходимых случаях средств обнаружения вторжений в корпоративную сеть, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;
- учёт применяемых средств защиты информации, эксплуатационной и технической документации к ним;
- проведение мониторинга действий пользователей, проведение разбирательств по фактам нарушения требований безопасности персональных данных;
- размещение технических средств обработки персональных данных, в пределах охраняемой территории;
- иные меры, направленные на обеспечение безопасности персональных данных.
9. ОТВЕТСТВЕННОСТЬ
9.1. Все работники, допущенные в установленном порядке к работе с персональными данными, несут административную, материальную, уголовную ответственность в соответствии с действующим законодательством за обеспечение сохранности и соблюдению правил работы с персональными данными.
9.2. Ответственность за доведение требований настоящего Положения до работников и обеспечение мероприятий по их реализации несёт ответственный за организацию обработки персональных данных.
9.3. Предоставление персональных данных посторонним лицам, в том числе, работникам, не имеющим права их обрабатывать, распространение персональных данных, утрата съёмных машинных носителей персональных данных, а также иные нарушения обязанностей по обработке персональных данных, установленных настоящим Положением и иными внутренними документами УК, влечёт наложение на работника, имеющего доступ к персональным данным, дисциплинарного взыскания: замечания, выговора или увольнения.
9.4. Работник, имеющий доступ к персональным данным субъектов и совершивший указанный дисциплинарный проступок, несет полную материальную ответственность в случае причинения его действиями ущерба (ч. 7 ст. 243 Трудового кодекса РФ).
9.5. Работники, имеющие доступ к персональным данным субъектов, виновные в незаконном сборе или передаче персональных данных, а также осуществившие неправомерный доступ к охраняемой законом компьютерной информации, несут уголовную ответственность в соответствии со ст. 137 и ст. 272 Уголовного кодекса РФ.