ПРАВИЛА
обработки персональных данных
в ООО «ТРОН»,  устанавливающие процедуры, направленные на выявление и предотвращение нарушений законодательства российской федерации в сфере персональных данных, а также определяющие для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований

1. Общие положения

1.1. Настоящие Правила обработки персональных данных
субъектов персональных данных в ООО «ТРОН» устанавливают процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяют для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных обстоятельств. Настоящие Правила разработаны в целях:

- обеспечения защиты прав и свобод субъектов персональных данных при обработке персональных данных в ООО «ТРОН»;

- установления процедур, направленных на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных;

- определения целей обработки ООО «ТРОН» персональных данных в установленной сфере деятельности, включая содержание обрабатываемых персональных данных, категорий субъектов, персональные данные которых обрабатываются, сроков обработки и хранения обрабатываемых персональных данных, а также порядка уничтожения при достижении целей обработки или при наступлении иных законных оснований.

1.2. Настоящие Правила разработаны в соответствии с законодательством Российской Федерации в области обработки и защиты персональных данных и нормативными правовыми актами города Москвы.

1.3. Действие настоящих Правил не распространяется на отношения, возникающие при организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов, а также при обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

1.4. Из числа работников ООО «ТРОН» определяются лица, уполномоченные на обработку персональных данных в ООО «ТРОН» и несущие ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты этих персональных данных.

2.    Основные понятия

Понятия, применяемые в настоящих Правилах, используются в значениях, определенных законодательством Российской Федерации в области обработки и защиты персональных данных и нормативными правовыми актами города Москвы.

3.    Правила обработки персональных данных

3.1. Обработка персональных данных в ООО «ТРОН» осуществляется:

- неавтоматизированным методом;

- в информационных системах персональных данных ООО «ТРОН»;

- в информационных системах, участником информационного взаимодействия (оператором информационной системы) в которых является ООО «ТРОН».

3.2. Содержание обрабатываемых персональных данных, цели обработки персональных данных, категории субъектов персональных данных, правовые основания обработки персональных данных, сроки их обработки и хранения неавтоматизированным методом и в информационных системах персональных данных ООО «ТРОН» представлены в приложении к настоящим Правилам (Приложение 1).

3.3. Содержание обрабатываемых персональных данных, цели обработки персональных данных, категории субъектов персональных данных, правовые основания обработки персональных данных, сроки их обработки и хранения в информационных системах, участником информационного взаимодействия (оператором информационной системы) в которых является ООО «ТРОН», приводятся в Паспортах информационных систем и ресурсов города Москвы (согласно распоряжению Правительства Москвы от 1 июля 2016 г. №64-16-267/16 «Об утверждении Порядка ведения Паспортов информационных систем и ресурсов города Москвы»).

3.4. Перечень обрабатываемых персональных данных в информационных системах персональных данных ООО «ТРОН» закреплен в документе «Перечень персональных данных, обрабатываемых в информационных системах персональных данных ООО «ТРОН»», утверждаемом ООО «ТРОН» в установленном порядке.

3.5. Перечень информационных систем персональных данных ООО «ТРОН», в которых осуществляется обработка персональных данных в соответствии с настоящими правилами, закреплен в документе «Перечень информационных систем персональных данных ООО «ТРОН»», утверждаемом ООО «ТРОН» установленным порядком.

3.6. Обработка персональных данных может осуществляться ООО «ТРОН» в случаях, установленных законодательством Российской Федерации в области обработки и защиты персональных данных, в том числе в случаях, когда:

- обработка персональных данных осуществляется с согласия субъекта на обработку его персональных данных в случаях, установленных законодательством Российской Федерации;

- обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на ООО «ТРОН» функций, полномочий и обязанностей;

- обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти города Москвы и иных субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта персональных данных в государственной информационной системе «Портал государственных и муниципальных услуг (функций) города Москвы»;

- обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта или договора, по которому субъект данных будет являться выгодоприобретателем или поручителем;

- обработка персональных данных необходима для осуществления прав и законных интересов ООО «ТРОН» или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

- осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;

- осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации и города Москвы.

3.7. В целях обеспечения прав и свобод человека и гражданина при обработке персональных данных субъектов ООО «ТРОН» обязано соблюдать следующие общие требования:

- при определении объема и содержания обрабатываемых персональных данных субъекта персональных данных ООО «ТРОН» должен руководствоваться законодательством Российской Федерации и нормативными правовыми актами города Москвы;

- все персональные данные субъекта персональных данных следует получать непосредственно у субъекта персональных данных, за исключением случаев, когда право ООО «ТРОН» на получение персональных данных иным способом установлено законодательством Российской Федерации в области обработки и защиты персональных данных, правовыми актами, принимаемыми в соответствии с данным законодательством или по поручению оператора персональных данных;

-  в случае передачи персональных данных субъекта персональных данных третьей стороне, обязательным требованием является наличие письменного согласия субъекта, за исключением случаев, установленных законодательством Российской Федерации и нормативными правовыми актами города Москвы.

- ООО «ТРОН» не имеет права получать и обрабатывать персональные данные субъекта персональных данных о его членстве в общественных объединениях, за исключением случаев, предусмотренных законодательством Российской Федерации, нормативными правовыми актами города Москвы.

- персональные данные не могут быть использованы в целях причинения имущественного и морального вреда субъекту персональных данных, ограничения реализации его прав и свобод.

- иные требования, установленные законодательством Российской Федерации в области обработки и защиты персональных данных и нормативными правовыми актами города Москвы.

3.8. Защита персональных данных обеспечивается совокупностью организационных, технических и правовых мероприятий, необходимых для обеспечения уровня безопасности персональных данных, установленного законодательством Российской Федерации и внутренними документами ООО «ТРОН», в том числе ограничением доступа к персональным данным в помещения, в которых осуществляется обработка персональных данных.

3.9. Перечень должностей служащих, замещение которых предусматривает доступ к персональным данным, обрабатываемым в информационных системах персональных данных ООО «ТРОН» и в информационных системах, участником информационного взаимодействия (оператором информационной системы) в которых является ООО «ТРОН», закреплен в документе «Перечень должностей служащих (работников) замещение которых предусматривает доступ к персональным данным, обрабатываемым в информационных системах персональных данных», утверждаемом ООО «ТРОН» установленным порядком.

3.10. Защите подлежит любая информации о персональных данных субъекта, в том числе:

- документы, содержащие персональные данные субъекта на бумажных носителях;

- персональные данные, содержащиеся на электронных носителях и (или) в информационных системах.

3.11. При обработке персональных данных неавтоматизированным методом и в информационных системах персональных данных ООО «ТРОН» осуществляется обработка персональных данных путем: сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), блокирования, удаления, уничтожения персональных данных.

3.12. Сведения о субъектах при неавтоматизированной обработке их персональных данных хранятся на бумажных носителях в защищаемых помещениях ООО «ТРОН». Для хранения съемных материальных носителей используются сейфы (металлические шкафы), оборудованные внутренними замками и приспособлениями для опечатывания замочных скважин или кодовыми замками.

3.13. Сроки обработки и хранения персональных данных определяются законодательством Российской Федерации, нормативными правовыми актами города Москвы.

3.14. Доступ к персональным данным субъектов персональных данных в ООО «ТРОН» ограничивается в установленном порядке.

3.15. Обрабатываемые в информационных системах персональные данные подлежат защите от актуальных угроз безопасности. Безопасность персональных данных при их обработке обеспечивается с помощью системы защиты персональных данных, включающей организационные и технические меры защиты информации. Средства защиты информации должны быть сертифицированы на соответствие требованиям по безопасности информации в системе сертификации ФСТЭК России и (или) ФСБ России.

3.16. При обработке персональных данных должно быть обеспечено:

- проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и/или передачу их лицам, не имеющим права доступа к такой информации;

- своевременное обнаружение фактов несанкционированного доступа к персональным данным;

- недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;

- незамедлительное восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- осуществление постоянного контроля обеспечения уровня защищенности персональных данных.

3.17. Работников ООО «ТРОН», осуществляющих обработку персональных данных, в обязательном порядке:

- проинформировать об обработке ими персональных данных;

- ознакомить под роспись с внутренними нормативными и распорядительными документами в области обработки и обеспечения безопасности персональных данных;

- проинструктировать по правилам обработки и обеспечения безопасности персональных данных;

- проинформировать об ответственности за соблюдение законодательства в области обработки и обеспечения безопасности персональных данных.

3.18. Методическое руководство и реализация мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» возлагается на работника, ответственного за организацию обработки персональных данных в ООО «ТРОН».

4. Порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований

4.1. Персональные данные, обрабатываемые в ООО «ТРОН», подлежат уничтожению в следующих случаях:

- при достижении целей обработки персональных данных (в том числе по истечении установленных сроков хранения);

- в случае отзыва субъектом согласия на обработку своих персональных данных, когда это согласие является обязательным условием обработки персональных данных;

- при невозможности устранения нарушений, допущенных при обработке персональных данных;

- в случае получения соответствующего предписания от уполномоченного органа по защите прав субъектов ПДн (Роскомнадзора).

4.2. При невозможности уничтожения персональных данных в течение 30 (тридцати) дней ООО «ТРОН» осуществляет уничтожение персональных данных в течение шести месяцев. Обоснование невозможности уничтожения персональных данных в установленные законом сроки должно быть документально оформлено.

4.3. При достижении целей обработки персональных данных ООО «ТРОН» уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 (тридцати) дней с даты достижения целей обработки.

Актуальные цели обработки персональных данных и сроки хранения персональных данных определены в приложении к настоящим Правилам (Приложение 1).

4.4. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных ООО «ТРОН» уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва.

Процедура отзыва субъектом персональных данных согласия на обработку его персональных данных определена в документе «Правила рассмотрения ООО «ТРОН» запросов субъектов персональных данных или их представителей».

4.5. В случае невозможности устранения нарушений, допущенных при обработке персональных данных ООО «ТРОН» уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных. Порядок выявления неправомерной обработки персональных данных установлен в документе «Правила рассмотрения ООО «ТРОН» запросов субъектов персональных данных или их представителей».

4.6. В случае получение предписания о прекращении обработки (уничтожении) персональных данных от Роскомнадзора ООО «ТРОН» уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 10 (десяти) рабочих дней с даты получения предписания.

4.7. Уничтожение персональных данных осуществляется Комиссией по обеспечению безопасности персональных данных.

4.8. Персональные данные в ООО «ТРОН» могут содержаться в следующих хранилищах:

- на съемных машинных носителях;

- в базах данных информационных систем персональных данных;

- на бумажных носителях.

4.9. Уничтожение персональных данных, хранящихся на съемных машинных носителях персональных данных, проводится путем стирания с носителя соответствующих файлов.

4.10. Уничтожение персональных данных, хранящихся в базах данных информационных систем, производится путем стирания соответствующих полей в базе данных. При этом следует провести стирание не только в рабочем экземпляре базы, но и в резервных (тестовых) копиях базы.

4.11. Уничтожение бумажных носителей персональных данных производится способом, исключающим возможность восстановления этих персональных данных (шредирования либо сжигания).

4.12. По результатам уничтожения составляется Акт уничтожения персональных данных в ООО «ТРОН».