Определяет политику ООО «МАНХАРД» в отношении обработки персональных данных, включая порядок сбора, хранения, использования, передачи и защиты данных лиц, не являющихся работниками организации. Полный текст документа — ниже, по главам.
1.1. Настоящее Положение об обработке и защите персональных данных (далее - Положение) определяет политику общества с ограниченной ответственностью «МАНХАРД» (далее – организация) в отношении обработки персональных данных, в том числе порядок обработки организацией персональных данных лиц, не являющихся ее работниками, включая порядок сбора, хранения, использования, передачи и защиты персональных данных.
1.2. Упорядочение обращения с персональными данными имеет целью обеспечить права и свободы граждан при обработке персональных данных, сохранение конфиденциальности персональных данных и их защиту.
1.3. Положение и изменения к нему утверждаются директором организации.
1.4. Положение является локальным правовым актом организации, обязательным для соблюдения и исполнения работниками, а также иными лицами, участвующими в обработке персональных данных в соответствии с настоящим Положением.
1.5. Контроль за соблюдением настоящего Положения возлагается на лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных.
1.6. Положение разработано на основе и во исполнение: Конституции Республики Беларусь; Трудового кодекса Республики Беларусь; Гражданского кодекса Республики Беларусь; Налогового кодекса Республики Беларусь; Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее - Закон о защите персональных данных); Закона Республики Беларусь от 21.07.2008 № 418-З «О регистре населения»; Закона Республики Беларусь от 10.11.2008 № 455-З «Об информации, информатизации и защите информации»; иных нормативных правовых актов Республики Беларусь и нормативных документов уполномоченных органов государственной власти.
1.7. Цели и правовые основания обработки персональных данных определены в Приложении 1 к настоящему Положению.
2.1. В настоящем Положении используются следующие основные понятия и термины: организация или оператор - общество с ограниченной ответственностью «МАНХАРД», расположенное по адресу: Республика Беларусь, 220004, г. Минск, ул. Тимирязева, д. 9, здание АБК, оф. 609. персональные данные - любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано; субъект персональных данных - физическое лицо, к которому относятся обрабатываемые организацией персональные данные, в том числе физическое лицо, не являющееся работником организации, к которому относятся обрабатываемые организацией персональные данные; обработка персональных данных - любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных; обработка персональных данных с использованием средств автоматизации - обработка персональных данных с помощью средств вычислительной техники, при этом такая обработка не может быть признана осуществляемой исключительно с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее; обработка персональных данных без использования средств автоматизации - действия с персональными данными, такие как использование, уточнение, распространение, уничтожение, осуществляемые при непосредственном участии человека, если при этом обеспечивается поиск персональных данных и (или) доступ к ним по определенным критериям (картотеки, списки, базы данных, журналы и др.); распространение персональных данных - действия, направленные на ознакомление с персональными данными неопределенного круга лиц; предоставление персональных данных - действия, направленные на ознакомление с персональными данными определенного лица или круга лиц; блокирование персональных данных - прекращение доступа к персональным данным без их удаления; удаление персональных данных - действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных; обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных; трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства; физическое лицо, которое может быть идентифицировано, - физическое лицо, которое может быть прямо или косвенно определено, в частности, через фамилию, собственное имя, отчество, дату рождения, идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности.
3.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
3.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
3.3. Цели обработки персональных данных определены в Приложении 1 к настоящему Положению.
3.4. Обработка персональных данных осуществляется оператором в соответствии с требованиями законности, соразмерности и справедливости, наличия правового основания, ограничения цели, запрета избыточности, прозрачности, ограничения хранения, достоверности.
4.1. Субъект персональных данных имеет право:
4.1.1. В любое время без объяснения причин отозвать свое согласие на обработку персональных данных.
4.1.2. Получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных законодательством.
4.1.3. Требовать от оператора изменения его персональных данных в случае, если персональные данные являются неполными, устаревшими, неточными.
4.1.4. Получать информацию о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных законодательством Республики Беларусь.
4.1.5. Требовать от оператора блокирования или удаления его персональных данных, если они незаконно получены или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
4.1.6. Обжаловать действия (бездействие) и решения оператора, нарушающие его права при обработке персональных данных, в Национальный центр защиты персональных данных Республики Беларусь в порядке, установленном законодательством об обращениях граждан и юридических лиц.
4.2. Оператор имеет право:
4.2.1. Самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено законодательством.
4.2.2. Поручить обработку персональных данных другому лицу, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных.
4.2.3. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных.
4.2.4. Получать достоверные персональные данные от субъекта персональных данных.
4.2.5. Привлекать к дисциплинарной и материальной и иной ответственности лиц, нарушивших правила обработки и получения персональных данных.
4.2.6. Осуществлять иные права, предусмотренные законодательством Республики Беларусь и локальными правовыми актами оператора в области обработки и защиты персональных данных.
4.3. Оператор обязан:
4.3.1. Назначать ответственного за осуществление внутреннего контроля за обработкой персональных данных.
4.3.2. Издавать документы, определяющие политику оператора в отношении обработки персональных данных, локальные правовые акты по вопросам обработки персональных данных, а также иные локальные правовые акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства и устранение последствий таких нарушений.
4.3.3. Применять правовые, организационные и технические меры для защиты персональных данных субъектов персональных данных от неправомерного или случайного доступа к ним, удаления, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
4.3.4. Разъяснять субъектам персональных данных юридические последствия отказа предоставить их персональные данные, если предоставление персональных данных является обязательным в соответствии с законодательством.
4.3.5. Блокировать неправомерно обрабатываемые персональные данные, прекращать обработку персональных данных в соответствии с законодательством.
4.3.6. Уведомлять субъектов персональных данных об устранении допущенных нарушений при обработке их персональных данных.
4.3.7. Представлять субъектам персональных данных по их просьбе или их представителям информацию, касающуюся обработки их персональных данных, в порядке, установленном законодательством и локальными правовыми актами оператора.
4.3.8. Осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных законодательству о персональных данных, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным правовым актам оператора.
4.3.9. Организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных.
4.3.10. Отвечать на обращения и запросы субъектов персональных данных в соответствии с требованиями Закона о персональных данных.
4.3.11. Сообщать в уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях.
4.3.12. Исполнять требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных.
4.3.13. Исполнять иные обязанности, предусмотренные Законом о персональных данных.
5.1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, предусмотренным в Приложении 1 к настоящему Положению. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
5.2. Оператор может обрабатывать перечисленные персональные данные категорий субъектов персональных данных, указанных в Приложении 1 к настоящему Положению.
5.3. Обработка Оператором специальных персональных данных (например, фотографии) осуществляется в соответствии с законодательством Республики Беларусь. 5.4 . Общие правила обработки персональных данных.
5.4.1. Обработка персональных данных осуществляется путем смешанной (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, в том числе с использованием внутренней сети и глобальной сети Интернет.
5.4.2. В случаях, установленных законодательством Республики Беларусь, основным условием обработки персональных данных является получение согласия соответствующего субъекта персональных данных (приложение 2).
5.4.3. Согласие субъекта персональных данных может быть получено в письменной форме, в виде электронного документа или в иной электронной форме.
5.4.4. Письменное согласие субъекта персональных данных на обработку его персональных данных должно включать: фамилию, собственное имя, отчество (если таковое имеется); дату рождения; идентификационный номер, а в случае отсутствия такового номера – номер документа, удостоверяющего личность; подпись субъекта персональных данных. Если цели обработки персональных данных не требуют обработки информации, эта информация не подлежит обработке организацией при получении согласия субъекта персональных данных.
5.4.5. До получения согласия субъекта персональных данных организация в письменной либо электронной форме, соответствующей форме выражения такого согласия, предоставляет субъекту персональных данных информацию (приложение 3), содержащую: наименование и место нахождение оператора, получающего согласие субъекта персональных данных; цели обработки персональных данных; перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; срок, на который дается согласие субъекта персональных данных; информацию об уполномоченных лицах в случае, если обработка персональных данных будет осуществляться такими лицами; перечень действий с персональными данными, на совершение которых дается согласие субъекта персональных данных, общее описание используемых способов обработки персональных данных; иную информацию, необходимую для прозрачности процесса обработки персональных данных.
5.4.6. До получения согласия субъекту персональных данных разъясняются его права, связанные с обработкой персональных данных, механизм реализации таких прав, а также последствия дачи согласия субъекта персональных данных или отказа в даче такого согласия (приложение 4). Данные разъяснения предоставляются субъекту персональных данных в письменной либо электронной форме, соответствующей форме выражения его согласия, отдельно от иной предоставляемой ему информации.
5.4.7. Согласие субъекта персональных данных на обработку его персональных данных, за исключением специальных персональных данных, не требуется в следующих случаях: для целей ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности; для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов; в целях осуществления контроля (надзора) в соответствии с законодательными актами; при реализации норм законодательства в области национальной безопасности, борьбы с коррупцией, предотвращения легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения; при реализации норм законодательства о выборах, референдуме, об отзыве депутата Палаты представителей, члена Совета Республики Национального собрания Республики Беларусь, депутата местного Совета депутатов; для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в том числе профессионального пенсионного страхования; при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством; для осуществления нотариальной деятельности; при рассмотрении вопросов, связанных с гражданством Республики Беларусь, предоставлением статуса беженца, дополнительной защиты, убежища и временной защиты в Республике Беларусь; в целях назначения и выплаты пенсий, пособий; для учреждения и проведения государственных статистических наблюдений, формирования официальной статистической информации; в научных или иных исследовательских целях при условии обязательного обезличивания персональных данных; при осуществлении учета, расчета и начисления платы за жилищно- коммунальные услуги, платы за пользование жилым помещением и возмещения расходов на электроэнергию, платы за другие услуги и возмещения налогов, а также при предоставлении льгот и взыскании задолженности по плате за жилищно-коммунальные услуги, плате за пользование жилым помещением и возмещению расходов на электроэнергию; при получении персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором; при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа; в целях осуществления законной профессиональной деятельности журналиста и (или) деятельности средства массовой информации, учреждения, осуществляющей издательскую деятельность, направленных на защиту общественного интереса, представляющего собой потребность общества в обнаружении и раскрытии информации об угрозах национальной безопасности, общественному порядку, здоровью населения и окружающей среде, информации, влияющей на выполнение своих обязанностей государственными должностными лицами, занимающими ответственное положение, общественными деятелями, за исключением случаев, предусмотренных гражданским процессуальным, хозяйственным процессуальным, уголовно- процессуальным законодательством, законодательством, определяющим порядок административного процесса; для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно; в отношении распространенных ранее персональных данных до момента заявления субъектом персональных данных требований о прекращении обработки распространенных персональных данных, а также об их удалении при отсутствии иных оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами; в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами; в случаях, когда Законом о защите персональных данных и иными законодательными актами прямо предусматривается обработка персональных данных без согласия субъекта персональных данных.
5.4.8. Обработка специальных персональных данных без согласия субъекта персональных данных запрещается, за исключением следующих случаев: если специальные персональные данные сделаны общедоступными персональными данными самим субъектом персональных данных; при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством; при обработке общественными объединениями, политическими партиями, профессиональными союзами, религиозными организациями персональных данных их учредителей (членов) для достижения уставных целей при условии, что эти данные не подлежат распространению без согласия субъекта персональных данных; в целях организации оказания медицинской помощи при условии, что такие персональные данные обрабатываются медицинским, фармацевтическим или иным работником здравоохранения, на которого возложены обязанности по обеспечению защиты персональных данных и в соответствии с законодательством распространяется обязанность сохранять врачебную тайну; для осуществления правосудия, исполнения судебных постановлений и иных исполнительных документов, совершения исполнительной надписи, оформления наследственных прав; для целей ведения административного и (или) уголовного процесса, осуществления оперативно-розыскной деятельности; в случаях, предусмотренных уголовно-исполнительным законодательством, законодательством в области национальной безопасности, обороны, борьбы с коррупцией, борьбы с терроризмом и противодействии экстремизму, предотвращения легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения, законодательством о Государственной границе Республики Беларусь, гражданстве, порядке выезда из Республики Беларусь и въезда в Республику Беларусь, статусе беженца, дополнительной защите, убежище и временной защите в Республике Беларусь; в целях обеспечения функционирования единой государственной системы регистрации и учета правонарушений; в целях ведения криминалистических учетов; для организации и проведения государственных статистических наблюдений, формирования официальной статистической информации; для осуществления административных процедур; в связи с реализацией международных договоров Республики Беларусь о реадмиссии; при документировании населения; для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно; в случаях, когда обработка специальных персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами; в случаях, когда Законом о защите персональных данных и иными законодательными актами прямо предусматривается обработка специальных персональных данных без согласия субъекта персональных данных. Обработка специальных персональных данных допускается лишь при условии принятия комплекса мер, направленных на предупреждение рисков, которые могут возникнуть при обработке таких персональных данных для прав и свобод субъектов персональных данных.
6.1. Персональные данные у оператора обрабатываются с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством в сфере защиты персональных данных.
6.2. Оператор без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено законодательством.
6.3. Обработка персональных данных от имени организации или в ее интересах может осуществляться уполномоченными лицами на основании актов законодательства, решений государственных органов, договора/соглашения, заключенного в соответствии с законодательством между организацией и третьим лицом (юридическими лицами, индивидуальными предпринимателями и (или) лицами, осуществляющиими виды деятельности, которые не относятся к предпринимательской деятельности в соответствии с ч. 4 п. 1 ст. 1 Гражданского кодекса Республики Беларусь, с местом нахождения в Республике Беларусь), оказывающими оператору: - услуги по системному администрированию локальной сети; - юридические услуги; - услуги по пересылке почтовых отправлений.
6.4. Организация принимает необходимые меры по соблюдению уполномоченными лицами, получившими доступ к персональным данным, обязанности не раскрывать их третьим лицам и не распространять их без согласия субъекта персональных данных, если иное не предусмотрено законодательством.
6.5. Договор с уполномоченным лицом должен содержать: - цели обработки персональных данных; - перечень действий, которые будут совершаться с персональными данными уполномоченным лицом; - обязанности по соблюдению конфиденциальности персональных данных; - меры по обеспечению защиты персональных данных в соответствии со ст.17 Закона о защите персональных данных.
6.6. В случае, если организация поручает обработку персональных данных уполномоченному лицу, ответственность перед субъектом персональных данных за действия указанного лица несет организация. Уполномоченное лицо несет ответственность перед организацией.
6.7. Персональные данные у оператора обрабатываются, как правило, с использованием средств автоматизации. Допускается обработка в установленном порядке персональных данных без использования средств автоматизации, если при этом обеспечиваются поиск персональных данных и (или) доступ к ним по определенным критериям (журнал, список, база данных и др.).
6.8. Ответственный за осуществление внутреннего контроля за обработкой персональных данных (далее – ответственный за контроль) назначается приказом (распоряжением) директора организации. При закреплении должностных обязанностей ответственного за контроль наниматель руководствуется Единым квалификационным справочником должностей служащих (ЕКСД) «Должности служащих для всех видов деятельности», утвержденным постановлением Министерства труда Республики Беларусь от 30 декабря 1999 г. № 159.
6.9. Доступ к персональным данным предоставляется работникам организации исходя из занимаемой должности и в соответствии с категориями персональных данных и целями их обработки согласно Приложению 1.
6.10. Права доступа работника: изменяются - в случаях перевода работника на другую должность; прекращаются - в случае увольнения работника. Доступ к персональным данным может быть также прекращен на основании организационно-распорядительного документа (приказа, поручения, указания) или иного документа с резолюцией директора организации.
6.11. В случае возникновения необходимости предоставить доступ к персональным данным работникам, не входящих в перечень лиц с доступом к персональным данным, им может быть предоставлен временный доступ к ограниченному кругу персональных данных по распоряжению директора организации или иного лица, уполномоченного на это директором организации. Соответствующие работники должны быть ознакомлены под подпись со всеми локальными правовыми актами организации в области персональных данных, а также должны подписать обязательство неразглашения персональных данных (Приложение 5).
6.12. Лица, имеющие право доступа к информации, полученной в результате видеонаблюдения, определяются приказом директора организации.
7.1. Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, когда: дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты; персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором; персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством; такая передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно; персональные данные обрабатываются в рамках исполнения международных договоров Республики Беларусь; такая передача осуществляется органом финансового мониторинга в целях принятия мер по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения в соответствии с законодательством; получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных.
7.2. Перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, определяется уполномоченным органом по защите прав субъектов персональных данных.
8.1. Вопросы, касающиеся обработки персональных данных, не закрепленные в настоящем Положении, регулируются законодательством Республики Беларусь.
8.2. Оператор имеет право по своему усмотрению изменять и (или) дополнять условия настоящего Положения без предварительного и (или) последующего уведомления субъектов персональных данных.
Приложение: 1. Реестр обработки персональных данных в ООО «МАНХАРД». 2. Согласие на обработку персональных данных. 3. Уведомление о предоставлении информации. 4. Уведомление о разъяснении прав, связанных с обработкой персональных данных. 5. Обязательство о неразглашении персональных данных.