Положение об обработке и защите персональных данных в базах персональных данных, владельцем которых является продавец

Содержание

1. Основные термины и область применения

2. Перечень баз персональных данных

3. Цель обработки персональных данных

4. Порядок обработки персональных данных: получение согласия, информирование о правах и операциях с персональными данными субъекта

5. Местонахождение базы персональных данных

6. Условия передачи персональных данных третьим лицам

7. Защита персональных данных: методы защиты, ответственное лицо, сотрудники с доступом к данным, срок хранения данных

8. Права субъекта персональных данных

9. Порядок рассмотрения запросов субъекта персональных данных

10. Государственная регистрация баз персональных данных

1. Основные термины и область применения

1.1. Определение терминов:

• База персональных данных — структурированная совокупность персональных данных, организованная в электронном виде или в виде картотек.

• Ответственное лицо — назначенное лицо, координирующее меры по защите персональных данных при их обработке в соответствии с законодательством.

• Владелец базы персональных данных — физическое или юридическое лицо, имеющее право на обработку персональных данных на основании закона или согласия субъекта, определяющее цель обработки, состав данных и порядок их обработки, если иное не установлено законом.

• Государственный реестр баз персональных данных — централизованная информационная система для сбора, хранения и обработки сведений о зарегистрированных базах персональных данных.

• Общедоступные источники персональных данных — справочники, реестры, каталоги или другие публичные сборники информации, содержащие персональные данные, опубликованные с согласия субъекта. Социальные сети и интернет-ресурсы не считаются общедоступными, если субъект не указал, что данные размещены для свободного использования.

• Согласие субъекта персональных данных — добровольное, документально подтвержденное решение физического лица о разрешении на обработку его данных в соответствии с заявленной целью.

• Обезличивание персональных данных — удаление информации, позволяющей идентифицировать лицо.

• Обработка персональных данных — любые операции (сбор, регистрация, хранение, изменение, использование, передача, уничтожение и т.д.), выполняемые в информационных системах или картотеках с персональными данными физического лица.

• Персональные данные — информация или совокупность сведений о физическом лице, которое можно идентифицировать.

• Распорядитель базы персональных данных — лицо, которому владелец или закон поручает обработку данных. Технические работники без доступа к содержанию данных не являются распорядителями.

• Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются в соответствии с законом.

• Третье лицо — любое лицо, кроме субъекта, владельца, распорядителя или уполномоченного органа по вопросам защиты данных, которому передаются персональные данные.

• Особые категории данных — данные о расовом или этническом происхождении, политических или религиозных убеждениях, членстве в партиях или профсоюзах, а также о здоровье или сексуальной жизни.

1.2. Настоящее Положение обязательно для исполнения ответственным лицом и сотрудниками продавца, имеющими доступ к персональным данным или осуществляющими их обработку в рамках выполнения своих обязанностей.

2. Перечень баз персональных данных

2.1. Продавец является владельцем следующей базы персональных данных:

• База персональных данных контрагентов.

3. Цель обработки персональных данных

3.1. Обработка персональных данных осуществляется для обеспечения гражданско-правовых отношений, предоставления и получения товаров и услуг, а также для расчетов в соответствии с Налоговым кодексом Украины и Законом Украины «О бухгалтерском учете и финансовой отчетности в Украине».

4. Порядок обработки персональных данных: получение согласия, информирование о правах и операциях с персональными данными субъекта

4.1. Согласие субъекта персональных данных является добровольным решением физического лица о разрешении на обработку его данных в соответствии с заявленной целью.

4.2. Формы предоставления согласия:

• Бумажный документ с реквизитами, идентифицирующими лицо и документ.

• Электронный документ с реквизитами, позволяющими идентифицировать лицо, желательно заверенный электронной подписью.

• Отметка в электронном документе или файле, обрабатываемом в автоматизированной системе.

4.3. Согласие предоставляется при оформлении гражданско-правовых отношений в соответствии с законодательством.

4.4. Субъекта информируют о включении его данных в базу, его правах согласно Закону Украины «О защите персональных данных», цели сбора данных и лицах, которым эти данные могут передаваться, при заключении гражданско-правовых отношений.

4.5. Обработка особых категорий данных (расовое происхождение, политические или религиозные убеждения, здоровье и т.д.) запрещена.

5. Местонахождение базы персональных данных

5.1. Базы персональных данных, указанные в разделе 2, находятся по адресу продавца.

6. Условия передачи персональных данных третьим лицам

6.1. Доступ третьих лиц к персональным данным регулируется согласием субъекта или требованиями закона.

6.2. Третье лицо не получает доступ к данным, если оно не гарантирует выполнение требований Закона Украины «О защите персональных данных».

6.3. Третье лицо подает запрос на доступ к данным владельцу базы.

6.4. Запрос содержит:

• ФИО, адрес проживания, данные документа, удостоверяющего личность (для физических лиц).

• Наименование, адрес, должность, ФИО лица, удостоверяющего запрос, и подтверждение полномочий (для юридических лиц).

• Данные о лице, в отношении которого подается запрос.

• Информацию о базе данных или ее владельце/распорядителе.

• Перечень запрашиваемых данных.

• Цель или правовые основания запроса.

6.5. Запрос рассматривается в течение 10 рабочих дней. Владелец уведомляет о выполнении запроса или отказе с обоснованием. Запрос выполняется в течение 30 календарных дней, если иное не предусмотрено законом.

6.6. Если данные не могут быть предоставлены в течение 30 дней, доступ может быть отложен, но не более чем на 45 календарных дней.

6.7. Уведомление об отсрочке направляется письменно с разъяснением порядка обжалования.

6.8. В уведомлении об отсрочке указываются:

• ФИО должностного лица.

• Дата уведомления.

• Причина отсрочки.

• Срок выполнения запроса.

6.9. Отказ в доступе допускается, если это запрещено законом.

6.10. В уведомлении об отказе указываются:

• ФИО должностного лица.

• Дата уведомления.

• Причина отказа.

6.11. Решение об отсрочке или отказе может быть обжаловано в суде.

7. Защита персональных данных: методы защиты, ответственное лицо, сотрудники с доступом к данным, срок хранения данных

7.1. База персональных данных защищена техническими и программными средствами, предотвращающими утрату, кражу, несанкционированное уничтожение или изменение данных, и соответствует стандартам.

7.2. Ответственное лицо, назначенное приказом владельца, координирует защиту персональных данных. Его обязанности определены в должностной инструкции.

7.3. Ответственное лицо обязано:

• Знать законодательство о защите персональных данных.

• Разработать процедуры доступа сотрудников к данным.

• Контролировать выполнение законодательства и внутренних документов.

• Разработать порядок внутреннего контроля.

• Уведомлять владельца о нарушениях в течение одного рабочего дня.

• Хранить документы о согласии субъектов и их информировании.

7.4. Права ответственного лица:

• Получать необходимые документы.

• Делать копии документов и файлов.

• Участвовать в обсуждении вопросов защиты данных.

• Вносить предложения по улучшению работы.

• Получать разъяснения по обработке данных.

• Подписывать документы в пределах компетенции.

7.5. Сотрудники с доступом к данным обязаны соблюдать законодательство и внутренние документы.

7.6. Сотрудники не должны разглашать персональные данные, полученные при выполнении обязанностей. Это обязательство действует и после прекращения работы с данными.

7.7. Нарушение требований Закона Украины «О защите персональных данных» влечет ответственность.

7.8. Данные хранятся не дольше, чем необходимо для цели обработки, но не более срока, определенного согласием субъекта.

8. Права субъекта персональных данных

8.1. Субъект имеет право:

• Знать о местонахождении базы, ее назначении, данных владельца/распорядителя.

• Получать информацию об условиях доступа к данным и третьих лицах, которым они передаются.

• Иметь доступ к своим данным.

• Получить ответ о хранении данных в течение 30 дней.

• Возражать против обработки данных органами власти.

• Требовать изменения или уничтожения данных, если они обрабатываются незаконно.

• Защищать данные от незаконной обработки или утраты.

• Обращаться в органы власти по вопросам защиты данных.

• Использовать правовые средства защиты.

9. Порядок рассмотрения запросов субъекта персональных данных

9.1. Субъект имеет право получать сведения о себе без указания цели запроса.

9.2. Доступ к данным предоставляется бесплатно.

9.3. Запрос подается владельцу базы и содержит:

• ФИО, адрес, данные документа, удостоверяющего личность.

• Иные сведения для идентификации.

• Информацию о базе или ее владельце/распорядителе.

• Перечень запрашиваемых данных.

9.4. Запрос рассматривается в течение 10 рабочих дней. Субъекта уведомляют о выполнении или отказе с обоснованием.

9.5. Запрос выполняется в течение 30 календарных дней, если иное не предусмотрено законом.

10. Государственная регистрация баз персональных данных

10.1. Регистрация баз осуществляется в соответствии со статьей 9 Закона Украины «Про захист персональних даних».