УСЛОВИЯ И СПОСОБЫ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

а) Политика обработки персональных данных АО «ТГК» (далее – Политика) разработана в целях соблюдения норм законодательства Российской Федерации и во исполнение принципов законности, конфиденциальности при обработке персональных данных, а также обеспечения безопасности процессов их обработки и защиты физических лиц при обработке их персональных данных.

б) Данная Политика в АО «ТГК» определяется в соответствии с такими нормативными актами, как Конституция Российской Федерации; Трудовой кодекс Российской Федерации; Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»; Указ Президента Российской Федерации от 06 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера»; постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»; постановление Правительства Российской Федерации от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»; приказ Роскомнадзора от 05 сентября 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных» и иными нормативными правовыми актами.

в) Политика определяет основные принципы цели, условия и способы обработки персональных данных, перечни субъектов и обрабатываемых в АО «ТГК» персональных данных, функции АО «ТГК» при обработке персональных данных, права субъектов персональных данных, а также реализуемые в АО «ТГК» требования к защите персональных данных.

г) Положения Политики обязательны для исполнения сотрудниками АО «ТГК», имеющими доступ к персональным данным.

2. Основные понятия

информация – сведения (сообщения, данные) независимо от формы их представления.

персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

субъекты персональных данных – лица, чьи персональные данные стали известны в силу трудоустройства в АО «ТГК» или связывающих их гражданско-правовых отношений.

оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

контрагенты – стороны договора в гражданско-правовых отношениях.

защита персональных данных – деятельность, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные.

безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах.

конфиденциальность персональных данных – обязательное для соблюдения требование не раскрывать третьим лицам и не допускать распространения персональных данных без согласия субъектов персональных данных или наличия иного законного основания.

обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемые с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных.

автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

неавтоматизированная обработка персональных данных – обработка персональных данных без применения средств вычислительной техники.

предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и/или в результате которых уничтожаются материальные носители персональных данных.

блокирование персональных данных – временное прекращение обработки персональных данных (кроме случаев, когда обработка необходима для уточнения персональных данных).

персональные данные, разрешённые субъектом для распространения – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном действующим законодательством Российской Федерации.

3. Принципы обработки персональных данных

а) АО «ТГК», являясь оператором персональных данных, осуществляет обработку персональных данных работников АО «ТГК» и других субъектов персональных данных, не состоящих с АО «ТГК» в трудовых отношениях.

б) Обработка персональных данных АО «ТГК» осуществляется на основе следующих принципов:

- обработка осуществляется на законной и справедливой основе;

- обработка ограничивается достижением конкретных, заранее определенных и законных целей;

- обработке подлежат персональные данные, отвечающие целям обработки, при обязательном соответствии их объема и содержания заявленным целям обработки;

- при обработке обеспечиваются точность и достаточность персональных данных и, при необходимости, актуальность по отношению к целям обработки с принятием мер по удалению или уточнению неполных или неточных данных либо обеспечением принятия таких мер;

- хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;

- обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации;

- при обработке персональных данных АО «ТГК» соблюдает их конфиденциальность.

4. Цели обработки персональных данных

Персональные данные обрабатываются в АО «ТГК» в целях:

- исполнения договоров, заключенных с лицами, состоящими в договорных и иных гражданско-правовых отношениях с АО «ТГК»;

- повышения качества услуг, оказываемых АО «ТГК» в соответствии с его Уставом;

- предоставления информации об оказываемых услугах, разработке новых продуктов и услуг, а также об услугах, оказываемых региональными подразделениями АО «ТГК»;

- разработки идей, направленных на совершенствование управления грузоперевозочным процессом;

- ведения кадровой работы, включая привлечение и отбор кандидатов на работу в АО «ТГК» и его региональные подразделения;

- выполнения договорных соглашений с работниками;

- предоставления со стороны АО «ТГК» социальных льгот, гарантий и компенсаций;

- осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на АО «ТГК», в том числе по предоставлению персональных данных в Пенсионный фонд Российской Федерации, в Фонд социального страхования Российской Федерации, а также в иные государственные организации и органы;

- защиты жизни, здоровья и иных жизненно важных интересов субъектов персональных данных;

- подготовки, заключения, исполнения и прекращения договоров с контрагентами, а также проверки их благонадежности;

- формирования справочных материалов для внутреннего информационного обеспечения деятельности АО «ТГК» и его региональных подразделений;

- оформления доверенностей для сотрудников АО «ТГК» при необходимости его представительства в судебных или иных органах;

- исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

- осуществления прав и законных интересов АО «ТГК» в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами АО «ТГК» или третьих лиц либо достижения общественно значимых целей;

- в иных законных целях.

5. Содержание и способы обработки персональных данных

а) Обработка персональных данных АО «ТГК» включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, обезличивание, уничтожение персональных данных.

б) АО «ТГК» создает общедоступные источники персональных данных своих сотрудников (справочники, адресные книги). Персональные данные, сообщаемые субъектом персональных данных, включаются в такие источники только с его письменного согласия или на основании требований действующего законодательства Российской Федерации.

в) АО «ТГК» осуществляет автоматизированную и неавтоматизированную обработку персональных данных.

6. Категории и объём обрабатываемых персональных данных

а) Перечень персональных данных, обрабатываемых в АО «ТГК», определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами АО «ТГК» с учетом целей обработки персональных данных, указанных в разделе 4 данной Политики.

б) Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется в АО «ТГК» на основании согласия субъекта персональных данных на распространение с соблюдением установленных субъектом персональных данных запретов и условий на обработку персональных данных.

в) Обработка персональных данных, избыточных по отношению к заявленной цели их обработки, не допускается.

7. Организация и условия обработки персональных данных

а) Обработка персональных данных в АО «ТГК» осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации в области персональных данных.

б) В целях реализации прав субъектов персональных данных АО «ТГК» при обработке их персональных данных:

- принимает необходимые меры для выполнения обязанностей, предусмотренных законодательством Российской Федерации;

- разъясняет субъекту персональных данных юридические последствия отказа предоставить персональные данные, если это является обязательным в соответствии с законодательством Российской Федерации;

- осуществляет блокирование, уточнение и уничтожение неправомерно обрабатываемых персональных данных, а также прекращение их неправомерной обработки;

- уведомляет субъекта персональных данных об устранении допущенных нарушений или уничтожении его персональных данных;

- предоставляет по просьбе субъекта персональных данных или его представителя информацию, касающуюся обработки его персональных данных, в порядке, установленном законодательством Российской Федерации, а также локальными нормативными актами АО «ТГК».

в) АО «ТГК» без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено федеральным законом.

г) В целях эффективной организации процессов обработки персональных данных назначается лицо, ответственное за организацию обработки персональных данных в АО «ТГК», которое в соответствии с установленными полномочиями занимается обеспечением контроля и защиты персональных данных и иными связанными с данными положениями функциями. Назначение данного лица и освобождение от указанных обязанностей осуществляется приказом Генерального директора АО «ТГК».

д) К обработке персональных данных допускаются Генеральный директор АО «ТГК» и только те работники АО «ТГК», в должностные обязанности которых входит обработка персональных данных. Указанные лица имеют право обрабатывать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.

е) Передача персональных данных третьим лицам осуществляется с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, установленных законодательством Российской Федерации. Передача персональных данных в государственные органы осуществляется в соответствии с требованиями законодательства Российской Федерации.

ж) Сроки хранения персональных данных в АО «ТГК» определяются в соответствии с законодательством Российской Федерации и нормативными документами АО «ТГК».

8. Субъекты персональных данных и их права

а) В АО «ТГК» обрабатываются персональные данные следующих категорий субъектов: - работники АО «ТГК» и его региональных подразделений;

- другие субъекты персональных данных (для реализации целей обработки, указанных в разделе 4 Политики).

б) Субъекты персональных данных имеют право на:

- полную информацию об их персональных данных, обрабатываемых в АО «ТГК»;

- доступ к своим персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом, а также на доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;

- уточнение своих персональных данных, их блокирование или уничтожение в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

- отзыв согласия на обработку персональных данных;

- принятие предусмотренных законом мер по защите своих прав;

- обжалование действия или бездействия АО «ТГК», осуществляемого с нарушением требований законодательства Российской Федерации в области персональных данных, в уполномоченный орган по защите прав субъектов персональных данных или в суд;

- осуществление иных предусмотренных законодательством прав.

9. Обеспечение надлежащей обработки и безопасности персональных данных

а) АО «ТГК» при обработке персональных данных принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них.

б) Меры, необходимые и достаточные для обеспечения выполнения АО «ТГК» обязанностей оператора в области персональных данных, помимо вышеупомянутых включают:

- принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;

- обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации, в частности путем их фиксации на отдельных материальных носителях персональных данных, в специальных разделах;

- обеспечение раздельного хранения персональных данных и их материальных носителей, обработка которых осуществляется в разных целях и которые содержат разные категории персональных данных;

- обеспечение безопасности персональных данных при их передаче по открытым каналам связи;

- осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике, локальным нормативным актам АО «ТГК»;

- иные меры, предусмотренные законодательством Российской Федерации в области персональных данных.

в) Контроль за соблюдением АО «ТГК» и его региональными подразделениями законодательства Российской Федерации и локальных нормативных актов АО «ТГК» в области персональных данных осуществляется с целью проверки соответствия обработки персональных данных АО «ТГК» и его региональных подразделений законодательству Российской Федерации и локальным нормативным актам АО «ТГК» в области персональных данных. Аналогичный внутренний контроль осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных в АО «ТГК».

г) Персональная ответственность за соблюдение требований законодательства Российской Федерации и локальных нормативных актов АО «ТГК» в области персональных данных в АО «ТГК» и его региональных подразделениях, а также за обеспечение конфиденциальности и безопасности персональных данных возлагается на их Генерального директора и руководителей региональных подразделений АО «ТГК» соответственно.

10. Заключительные положения

а) Политика утверждается и вводится в действие приказом Генерального директора АО «ТГК».

б) АО «ТГК» имеет право вносить изменения в Политику. Политика пересматривается на регулярной основе – один раз в год и пересматривается, если по результатам пересмотра в документ вносятся изменения. Политика может пересматриваться и заново утверждаться ранее вышеуказанного срока, по мере внесения изменений.

в) Ответственность за нарушение требований законодательства Российской Федерации и нормативных документов АО «ТГК» в области персональных данных определяется в соответствии с законодательством Российской Федерации.

г) Политика является общедоступным документом и подлежит размещению на официальном сайте АО «ТГК».