Политика в отношении обработки и защиты персональных данных

Настоящая Политика в отношении обработки персональных данных (далее-Политика) разработана в соответствии с п. 2 ст. 18.1 Федерального закона РФ «О персональных данных» №152-ФЗ от 27 июля 2006 года, действует в отношении всех персональных данных, которые КПК «Народный» (далее-КПК) может получить от субъектов персональных данных – работников КПК в связи с реализацией трудовых отношений, клиентов и контрагентов КПК в связи с осуществлением трудовой деятельности.

Важнейшим условием реализацией целей КПК, является обеспечение необходимого и достаточного уровня информационной безопасности, к которым в том числе относятся персональные данные и технологические процессы, в рамках которых они обрабатываются.

Обеспечение безопасности персональных данных является одной из приоритетных задач КПК.

В КПК введен в действие комплекс локальных документов в отношении персональных данных, который является обязательным для исполнения.

Обработка и обеспечение безопасности информации, отнесенной к персональным данным, в КПК осуществляется в соответствии с комплексом локальных документов в отношении персональных данных, т.е. в системах, целью которых является обработка персональных данных и к защите которых требования и рекомендации по обеспечению безопасности персональных данных предъявляют Федеральная служба безопасности Российской Федерации (ФСБ России), так и в иных информационных системах, в которых персональные данные обрабатываются совместно с информацией, защищаемой в соответствии с требованиями, установленными для этой информации.

Настоящая политика определяет принципы, порядок и условия обработки персональных данных работников, клиентов и контрагентов КПК, чьи персональные данные обрабатываются, с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также устанавливает ответственность работников КПК, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

Политика определяет стратегию защиты персональных данных, обрабатываемых в КПК и формирует основные принципы и механизмы защиты персональных данных.

Политика является основным руководящим документом КПК, определяющим требования, предъявляемые к обеспечению безопасности персональных данных.

Безопасность персональных данных достигается путем исключения несанкционированного доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, иные несанкционированные действия.

Безопасность персональных данных при их обработке обеспечивается с помощью систем защиты персональных данных, включающей организационные меры и средства защиты информации, а также используемые в информационной системе информационные технологии.

Персональные данные являются конфиденциальной информацией и на них распространяются все требования, установленные внутренними документами КПК к защите информации.

Принципы обработки персональных данных

Обработка персональных данных в КПК осуществляется на основе следующих принципов:

законности и справедливости целей и способов обработки персональных данных;
соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям КПК;
соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных;
достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
недопустимости объединения созданных для несовместимых между собой целей баз данных, содержащих персональные данные;
хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки;
уничтожения по достижении целей обработки персональных данных или в случае утраты необходимости в их достижении.

Состав персональных данных

В КПК происходит обработка, передача, накопление и хранение информации, содержащей персональные данные и в соответствии с действующим законодательством Российской Федерации подлежащей защите.

В КПК определены следующие основания для обработки информации. Содержащей персональные данные:

Федеральный закон от 27 июля 2006 года №152-ФЗ «О персональных данных»;
Трудовой кодекс российской Федерации от 30 декабря 2001 года №197-ФЗ;
Налоговый кодекс Российской Федерации: Налоговый кодекс Российской Федерации: часть первая от 31 июля 1998 года №146-ФЗ часть вторая от 5 августа 2000 года №117-ФЗ;
Федеральный закон от 7 августа 2001 года №115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»;
Федеральный закон от 1 апреля 1996 года №27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
Федеральный закон от 18 июля 2009 года №190-ФЗ «О кредитной кооперации»;
Гражданский кодекс Российской Федерации: часть первая от 30 ноября 1994 года №51-ФЗ, часть вторая от 26 января 1996 года №14-ФЗ, часть третья от 26 ноября 2001 года №146-ФЗ и часть четвертая от 18 декабря 2006 года №230-ФЗ.

Цель обработки информации, содержащей персональные данные – осуществление КПК своей основной деятельности в соответствии с Уставом.

Определен следующий перечень персональных данных:

Фамилия, имя, отчество, адрес субъекта персональных данных;
Фамилия, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
Наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
Образование;
Сведения о трудовом и общем стаже;
Сведения о составе семьи;
Паспортные данные;
Сведения о воинском учете;
ИНН;
Налоговый статус (резидент/нерезидент);
Сведения о заработной плате работника;
Сведения о социальных льготах;
Специальность;
Занимаемая должность;
Адрес места жительства;
Телефон;
Место работы или учебы членов семьи и родственников;
Характер взаимоотношений в семье;
Содержание трудового договора;
Состав декларируемых сведений о наличии материальных ценностей;
Содержание декларации, подаваемой в налоговую;
Иную, не указанную выше информацию, содержащуюся в личных делах и трудовых книжках сотрудников;
Информацию, являющуюся основанием к приказам по личному составу;
Информацию, содержащуюся в страховом свидетельстве обязательного пенсионного страхования, свидетельстве о постановке на учет в налоговом органе физического лица по месту жительства на территории Российской Федерации, страховом медицинском полисе обязательного страхования граждан, медицинском заключении установленной формы об отсутствии у гражданина заболевания, препятствующего поступлении на работу в КПК;
Дела содержащие материалы по повышению квалификации и переподготовке сотрудников, их аттестации, служебным расследованиям.

Для целей осуществления уставной (коммерческой) деятельности в КПК обрабатываются следующие категории персональных данных клиентов и контрагентов:

Фамилия, имя, отчество;
Сведения о составе семьи;
Паспортные данные;
Адрес электронной почты;
ИНН;
Налоговый статус (резидент/нерезидент);
Адрес места жительства;
Телефон;
Иные сведения указанные заявителем.

Цели сбора обработки персональных данных

КПК осуществляет обработку персональных данных в следующих целях:

осуществление деятельности, предусмотренной Уставом КПК, действующим законодательством РФ, в частности Федеральный закон от 18.07.2009 №190-ФЗ «О кредитной кооперации», Федеральный закон от 25.07.2002 №115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», Федеральный закон от 10.12.2003 №173-ФЗ «О валютном регулировании и валютном контроле», Федеральный закон от 01.04.1996 №27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного страхования», Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных»;
заключения, исполнения и прекращения гражданско-правовых договоров с физическими, юридическими лицами. Индивидуальных предпринимателей и иными лицами, в случаях, предусмотренных действующим законодательством и Уставом КПК;
организация кадрового учета КПК, обеспечение соблюдения законов и иных нормативно-правовых актов, заключения и исполнения обязательств по трудовым и гражданско-правовым договорам; ведение кадрового делопроизводства, содействие работникам в трудоустройстве, обучении и продвижении по службе, пользования различного вида льготами, исполнения требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, а так же единого социального налога, пенсионного законодательства при оформлении и предоставлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование обеспечение, заполнения первичной статической документации, в учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение, заполнения первичной статистической документации, в соответствии с трудовым кодексом РФ, Налоговым кодексом РФ, Федеральными законами, в частности: «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования», « О персональных данных», а так же Уставом и локальными актами КПК,

С согласия субъекта персональных данных, КПК может использовать персональные данные клиентов и контрагентов в следующих целях:

для связи с клиентами контрагентами в случае необходимости, в том числе для направления уведомлений, информации и запросов, связанных с оказанием услуг, а так же обработки заявлений, запросов и заявок клиентов и контрагентов КПК;
для улучшения качества услуг, оказываемых в КПК;
для продвижения услуг га рынке путем осуществления прямых контактов с клиентами и контрагентами;
для проведения статистических и иных исследований на основе обезличенных персональных данных.

Передача персональных данных

Оператор не предоставляет и не раскрывает сведения, содержащие персональные данные работников, клиентов и контрагентов третьей стороне без письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.

По мотивированному запросу исключительно для выполнения возложенных законодательством функций и полномочий персональные данные субъекта персональных данных без его согласия могут быть поданы:

в судебные органы в связи с осуществлением правосудия;
в органы государственной безопасности;
в органы прокуратуры;
в органы полиции;
в следственные органы;
в иные органы и организации в случаях, установленных нормативными правовыми актами, обязательными для исполнения.

Работники КПК, ведущие обработку персональных данных по телефону или факсу.

Сроки обработки и хранения персональных данных

Период обработки и хранения персональных данных определяется в соответствии с Законом «О персональных данных».

Обработка персональных данных начинается с момента поступления персональных данных в информационную систему персональных данных и прекращается:

в случае выявления неправомерных действий с персональными данными в срок, не превышавший трех рабочих дней с даты такого выявления, КПК устраняет допущенные нарушения. В случае невозможности устранения допущенных нарушений, КПК, в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, уничтожает персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных КПК уведомляет субъекта персональных данных или его законного представителя, в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, КПК уведомляет так же указанный орган;
в случае достижения цели обработки персональных данных или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом, КПК незамедлительно прекращает обработку персональных данных и уничтожает соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, и уведомляет об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направленны уполномоченным органом по защите прав субъектов персональных данных, КПК уведомляет также указанный орган;
В случае отзыва субъектом персональных данных согласия на обработку его персональных данных КПК прекращает обработку персональных данных и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий трех рабочих дней с момента даты поступления указанного отзыва. Об уничтожении персональных данных КПК уведомляет субъекта персональных данных;
в случае прекращения деятельности КПК.

Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

В случае получения согласия клиента (или контрагента) на обработку персональных данных целях продвижения услуг КПК на рынке путем осуществления прямых контактов с помощью средств связи, данные клиента (контрагента) хранятся бессрочно (до отзыва субъектом персональных данных согласия на обработку его персональных данных).

Порядок уничтожения

Ответственным за уничтожение персональных данных является лицо, ответственное за организацию обработки и обеспечение безопасности персональных данных.

При наступлении любого из событий, повлекших необходимость уничтожения персональных данных, лицо ответственное за организацию обработки и обеспечение безопасности персональных данных обязано:

принять меры к уничтожению персональных данных;
оформить соответствующий акт об уничтожении персональных данных (и/или материальных носителей персональных данных) и представить акт об уничтожении персональных данных (и/или материальных носителей персональных данных) на утверждение директору;
в случае необходимости уведомить об уничтожении персональных данных субъекта персональных данных и /или уполномоченный орган.

Права субъектов персональных данных

Субъект персональных данных в праве:

требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или являются необходимыми для заявленной обработки, а так же принимать предусмотренные законом меры по защите своих прав;
требовать перечень своих персональных данных. Обрабатываемых в КПК и источник их получения;
получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения;
требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях;

Для реализации вышеуказанных прав субъект персональных данных, может в порядке установленном ст. 14 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», обратиться в КПК с соответствующим запросом. Для выполнения таких запросов представителю КПК может потребоваться установить личность субъекта персональных данных и запросить дополнительную информацию.

Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействия Оператора в порядке предусмотренном законодательством Российской Федерации.

Меры по обеспечению защиты персональных данных

КПК не вправе обрабатывать персональные данные субъекта персональных данных без его письменного согласия, за исключением случаев, приведенных в п.2 ст.6 Федерального закона № 152-ФЗ «О персональных данных». Письменное согласие может быть составлено в виде отдельного документа или быть внедрено в структуру иного документа, подписываемого субъектом персональных данных.

Оператор предпринимает необходимые организационные и технические меры о защите персональных данных. Предпринимаемые меры основаны на требованиях ст. 18.1, ст. 19 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», иных нормативных актов в сфере персональных данных.

В том числе:

Назначены лица, ответственные за организацию обработки обеспечение безопасности персональных данных.
Контроль исполнения требований настоящей политики осуществляется ответственным за организацию обработки и обеспечение безопасности персональных данных КПК.
Ответственность должностных лиц КПК, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами КПК.
Разработано и внедрено Положение о защите персональных данных работников, клиентов и контрагентов КПК.
Лица, ведущие обработку персональных данных, проинструктированы и ознакомлены с нормативными правовыми актами, регламентирующими порядок работы и защиты персональных данных.
Разграничены права доступа к обрабатываемым персональным данным.
Обеспечено раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.
В целях существования внутреннего контроля соответствия обработки персональных данных установленным требованиям проводятся периодические проверки условий обработки персональных данных.
Помимо вышеуказанных мер, осуществляются меры технического характера, направленные на:

предотвращение несанкционированного доступа к системам, в которых хранятся персональные данные;
резервирование и восстановление персональных данных, работоспособность технических средств и программного обеспечения, средств защиты информации в информационных системах персональных данных модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
иные необходимые меры безопасности.

Гарантии конфиденциальности

Информация, относящаяся к персональным данным, ставшая известной в связи с реализацией трудовых отношений, в связи с оказанием услуг клиентам КПК и в связи с сотрудничеством с контрагентами КПК, является конфиденциальной информацией и охраняется законом.

Работники КПК и иные лица, получившие доступ к обрабатываемым персональным данным , предупреждаются о возможной дисциплинарной, административной, гражданско-правовой или уголовной ответственности в случае нарушения норм и требований действующего законодательства, регулирующего правила обработки и защиты персональных данных.

Работники КПК, по вине которых произошло нарушение конфиденциальности персональных данных, и работники, создавшие предпосылки к нарушению конфиденциальности персональных данных, несут ответственность, предусмотренную действующим законодательством Российской Федерации, внутренними документами КПК и условиями трудового договора.

Работники осуществляющие обработку персональных данных и ответственные за обеспечение ее безопасности, должны иметь квалификацию, достаточную для поддержания требуемого режима безопасности персональных данных.

В этих целях вводится система обеспечения требуемого уровня квалификации. Для всех лиц. Обрабатывающих персональные данные, проводится инструктажи по обеспечению безопасности персональных данных.

Обязанность по реализации системы обеспечения требуемого уровня квалификации возлагается на лицо, ответственное за организацию обработки и обеспечение безопасности персональных данных.

Ответственное лицо:

организовывает инструктирование и обучение работников;
ведет персональный учет работников, прошедших инструктирование и обучение.

Изменение настоящей политики

Настоящая политика является внутренним документом КПК.