1. АГУЛЬНЫЯ ПАЛАЖЭННІ
Палітыка апрацоўкі персанальных дадзеных (далей - Палітыка) распрацавана ў адпаведнасці з Федэральным законам ад 2006/07/27. №152-ФЗ "Аб персанальных дадзеных" (далей - ФЗ-152).
Дадзеная Палітыка вызначае парадак апрацоўкі персанальных дадзеных і меры па забеспячэнні бяспекі персанальных дадзеных у ТАА Сіна Інвест (далей – Аператар) з мэтай абароны правоў і свабод чалавека і грамадзяніна пры апрацоўцы яго персанальных дадзеных, у тым ліку абароны правоў на недатыкальнасць прыватнага жыцця, асабістую і сямейную таямніцу.
У Палітыцы выкарыстоўваюцца наступныя асноўныя паняцці:
аўтаматызаваная апрацоўка персанальных даных - апрацоўка персанальных даных з дапамогай сродкаў вылічальнай тэхнікі;
блакаванне персанальных дадзеных - часовае спыненне апрацоўкі персанальных дадзеных (за выключэннем выпадкаў, калі апрацоўка неабходна для ўдакладнення персанальных дадзеных);
інфармацыйная сістэма персанальных даных - сукупнасць персанальных даных, якія змяшчаюцца ў базах даных, і забяспечваюць іх апрацоўку інфармацыйных тэхналогій і тэхнічных сродкаў;
абязлічванне персанальных дадзеных - дзеянні, у выніку якіх немагчыма вызначыць без выкарыстання дадатковай інфармацыі прыналежнасць персанальных дадзеных канкрэтнаму суб'екту персанальных дадзеных;
апрацоўка персанальных дадзеных - любое дзеянне (аперацыя) або сукупнасць дзеянняў (аперацый), якія здзяйсняюцца з выкарыстаннем сродкаў аўтаматызацыі або без выкарыстання такіх сродкаў з персанальнымі дадзенымі, уключаючы збор, запіс, сістэматызацыю, назапашванне, захоўванне, удакладненне (абнаўленне, змена), выманне, выкарыстанне, перадачу (распаўсюджванне, выдаленне дадзеных, доступ, доступ);
аператар - дзяржаўны орган, муніцыпальны орган, юрыдычная або фізічная асоба, якія самастойна або сумесна з іншымі асобамі арганізуюць і (або) ажыццяўляюць апрацоўку персанальных дадзеных, а таксама вызначаюць мэты апрацоўкі персанальных дадзеных, склад персанальных дадзеных, якія падлягаюць апрацоўцы, дзеянні (аперацыі), якія здзяйсняюцца з персанальнымі дадзенымі;
персанальныя дадзеныя - любая інфармацыя, якая адносіцца да прама або ўскосна вызначанай або вызначанай фізічнай асобе (суб'екту персанальных дадзеных);
прадастаўленне персанальных дадзеных - дзеянні, накіраваныя на раскрыццё персанальных дадзеных вызначанай асобе або вызначанаму колу асоб;
распаўсюджванне персанальных даных - дзеянні, накіраваныя на раскрыццё персанальных даных нявызначанаму колу асоб (перадача персанальных даных) або на азнаямленне з персанальнымі данымі неабмежаванага кола асоб, у тым ліку абнародаванне персанальных даных у сродках масавай інфармацыі, размяшчэнне ў інфармацыйна-тэлекамунікацыйных сетках або прадастаўленне доступу да персанальных даных якім-небудзь іншым спосабам;
трансгранічная перадача персанальных даных - перадача персанальных даных на тэрыторыю замежнай дзяржавы органу ўлады замежнай дзяржавы, замежнай фізічнай або замежнай юрыдычнай асобе.
знішчэнне персанальных дадзеных - дзеянні, у выніку якіх немагчыма аднавіць змест персанальных дадзеных у інфармацыйнай сістэме персанальных дадзеных і (або) выніку якіх знішчаюцца матэрыяльныя носьбіты персанальных дадзеных;
Кампанія абавязана апублікаваць ці іншым чынам забяспечыць неабмежаваны доступ да гэтай Палітыкі апрацоўкі персанальных дадзеных у адпаведнасці з ч. 2 арт. 18.1. ФЗ-152.
2. ПРЫНЦЫПЫ І УМОВЫ АПРАЦОЎКІ ПЕРСАНАЛЬНЫХ ДАДЗЕНЫХ
2.1 Прынцыпы апрацоўкі персанальных дадзеных
Апрацоўка персанальных даных у Аператара ажыццяўляецца на аснове наступных прынцыпаў:
- законнасці і справядлівай асновы;
- абмежаванні апрацоўкі персанальных дадзеных дасягненнем канкрэтных, загадзя вызначаных і законных мэт;
- недапушчэння апрацоўкі персанальных даных, несумяшчальнай з мэтамі збору персанальных даных;
- недапушчэння аб'яднання баз даных, якія змяшчаюць персанальныя даныя, апрацоўка якіх ажыццяўляецца ў мэтах, несумяшчальных паміж сабой;
- апрацоўкі толькі тых персанальных дадзеных, якія адпавядаюць мэтам іх апрацоўкі;
- адпаведнасці зместу і аб'ёму апрацоўваных персанальных дадзеных заяўленым мэтам апрацоўкі;
- недапушчэння апрацоўкі персанальных дадзеных, залішніх у адносінах да заяўленых мэт іх апрацоўкі;
- забеспячэння дакладнасці, дастатковасці і актуальнасці персанальных дадзеных у адносінах да мэт апрацоўкі персанальных дадзеных;
- знішчэння або абязлічвання персанальных дадзеных па дасягненні мэт іх апрацоўкі або ў выпадку страты неабходнасці ў дасягненні гэтых мэт, пры немагчымасці ліквідацыі Аператарам дапушчаных парушэнняў персанальных дадзеных, калі іншае не прадугледжана федэральным законам.
2.2 Умовы апрацоўкі персанальных дадзеных
Аператар вырабляе апрацоўку персанальных дадзеных пры наяўнасці хаця б адной з наступных умоў:
- апрацоўка персанальных даных ажыццяўляецца са згоды суб'екта персанальных даных на апрацоўку яго персанальных даных;
- апрацоўка персанальных дадзеных неабходна для дасягнення мэт, прадугледжаных міжнародным дагаворам Расійскай Федэрацыі або законам, для ажыццяўлення і выканання ўскладзеных заканадаўствам Расійскай Федэрацыі на аператара функцый, паўнамоцтваў і абавязкаў;
- апрацоўка персанальных даных неабходна для ажыццяўлення правасуддзя, выканання судовага акта, акта іншага органа або службовай асобы, якія падлягаюць выкананню ў адпаведнасці з заканадаўствам Расійскай Федэрацыі аб выканаўчым вядзенні;
- апрацоўка персанальных даных неабходна для выканання дагавора, бокам якога або выгаданабытчыкам або паручыцелем па якім з'яўляецца суб'ект персанальных даных, а таксама для заключэння дагавора па ініцыятыве суб'екта персанальных даных або дагавора, па якім суб'ект персанальных даных будзе з'яўляцца выгаданабытчыкам або паручыцелем;
- апрацоўка персанальных даных неабходна для ажыццяўлення правоў і законных інтарэсаў аператара або трэціх асоб або для дасягнення грамадска значных мэт пры ўмове, што пры гэтым не парушаюцца правы і свабоды суб'екта персанальных даных;
- ажыццяўляецца апрацоўка персанальных даных, доступ неабмежаванага кола асоб да якіх прадастаўлены суб'ектам персанальных даных або па яго просьбе (далей - агульнадаступныя персанальныя даныя);
- ажыццяўляецца апрацоўка персанальных дадзеных, якія падлягаюць апублікаванню ці абавязковаму раскрыццю ў адпаведнасці з федэральным законам.
2.3 Канфідэнцыяльнасць персанальных дадзеных
Аператар і іншыя асобы, якія атрымалі доступ да персанальных дадзеных, абавязаны не раскрываць трэцім асобам і не распаўсюджваць персанальныя дадзеныя без згоды суб'екта персанальных дадзеных, калі іншае не прадугледжана федэральным законам.
2.4 Агульнадаступныя крыніцы персанальных дадзеных
У мэтах інфармацыйнага забеспячэння ў Аператара могуць стварацца агульнадаступныя крыніцы персанальных звестак суб'ектаў, у тым ліку даведнікі і адрасныя кнігі. У агульнадаступныя крыніцы персанальных даных з пісьмовай згоды суб'екта могуць уключацца яго прозвішча, імя, імя па бацьку, дата і месца нараджэння, пасада, нумары кантактных тэлефонаў, адрас электроннай пошты і іншыя персанальныя даныя, якія паведамляюцца суб'ектам персанальных даных.
Звесткі аб суб'екце павінны быць у любы час выключаны з агульнадаступных крыніц персанальных даных па патрабаванню суб'екта або па рашэнню суда або іншых упаўнаважаных дзяржаўных органаў.
02/05 Спецыяльныя катэгорыі персанальных дадзеных
Апрацоўка Аператарам спецыяльных катэгорый персанальных даных, якія датычацца расавай, нацыянальнай прыналежнасці, палітычных поглядаў, рэлігійных або філасофскіх перакананняў, стану здароўя, інтымнага жыцця, дапускаецца ў выпадках, калі:
- суб'ект персанальных даных даў згоду ў пісьмовай форме на апрацоўку сваіх персанальных даных;
- персанальныя дадзеныя зроблены агульнадаступнымі суб'ектам персанальных дадзеных;
- апрацоўка персанальных даных ажыццяўляецца ў адпаведнасці з заканадаўствам аб дзяржаўнай сацыяльнай дапамозе, працоўным заканадаўствам, заканадаўствам Расійскай Федэрацыі аб пенсіях па дзяржаўным пенсіённым забеспячэнні, аб працоўных пенсіях;
- апрацоўка персанальных даных неабходна для абароны жыцця, здароўя або іншых жыццёва важных інтарэсаў суб'екта персанальных даных або жыцця, здароўя або іншых жыццёва важных інтарэсаў іншых асоб і атрыманне згоды суб'екта персанальных даных немагчыма;
- апрацоўка персанальных даных ажыццяўляецца ў медыка-прафілактычных мэтах, у мэтах устанаўлення медыцынскага дыягназу, аказання медыцынскіх і медыка-сацыяльных паслуг пры ўмове, што апрацоўка персанальных даных ажыццяўляецца асобай, якая прафесійна займаецца медыцынскай дзейнасцю і абавязана ў адпаведнасці з заканадаўствам Расійскай Федэрацыі захоўваць урачэбную тайну;
- апрацоўка персанальных даных неабходна для ўстанаўлення або ажыццяўлення правоў суб'екта персанальных даных або трэціх асоб, а таксама і ў сувязі з ажыццяўленнем правасуддзя;
- апрацоўка персанальных даных ажыццяўляецца ў адпаведнасці з заканадаўствам аб абавязковых відах страхавання, са страхавым заканадаўствам.
Апрацоўка спецыяльных катэгорый персанальных дадзеных павінна быць неадкладна спынена, калі ліквідаваны прычыны, з прычыны якіх ажыццяўлялася іх апрацоўка, калі іншае не ўстаноўлена федэральным законам.
Апрацоўка персанальных дадзеных аб судзімасці можа ажыццяўляцца Аператарам выключна ў выпадках і ў парадку, якія вызначаюцца ў адпаведнасці з федэральнымі законамі.
02/06 Біяметрычныя персанальныя дадзеныя
Звесткі, якія характарызуюць фізіялагічныя і біялагічныя асаблівасці чалавека, на падставе якіх можна ўстанавіць яго асобу - біяметрычныя персанальныя даныя - могуць апрацоўвацца Аператарам толькі пры наяўнасці згоды ў пісьмовай форме суб'екта.
2.7 Даручэнне апрацоўкі персанальных дадзеных іншай асобе
Аператар мае права даручыць апрацоўку персанальных дадзеных іншай асобе са згоды суб'екта персанальных дадзеных, калі іншае не прадугледжана федэральным законам, на падставе заключаецца з гэтай асобай дагавора. Асоба, якая ажыццяўляе апрацоўку персанальных дадзеных па даручэнні Аператара, абавязана выконваць прынцыпы і правілы апрацоўкі персанальных дадзеных, прадугледжаныя ФЗ-152.
2.8 Трансмежавая перадача персанальных дадзеных
Аператар абавязана пераканацца ў тым, што замежнай дзяржавай, на тэрыторыю якой плануецца ажыццяўляць перадачу персанальных даных, забяспечваецца адэкватная абарона правоў суб'ектаў персанальных даных да пачатку ажыццяўлення такой перадачы.
Трансгранічная перадача персанальных даных на тэрыторыі замежных дзяржаў, якія не забяспечваюць адэкватнай абароны правоў суб'ектаў персанальных даных, можа ажыццяўляцца ў выпадках:
- наяўнасці згоды ў пісьмовай форме суб'екта персанальных даных на трансгранічную перадачу яго персанальных даных;
- выканання дагавора, бокам якога з'яўляецца суб'ект персанальных даных.
3. ПРАВА СУБ'ЕКТА ПЕРСАНАЛЬНЫХ ДАДЗЕНЫХ
3.1 Згода суб'екта персанальных дадзеных на апрацоўку яго персанальных дадзеных
Суб'ект персанальных даных прымае рашэнне аб прадастаўленні яго персанальных даных і дае згоду на іх апрацоўку свабодна, сваёй воляй і ў сваёй цікавасці. Згода на апрацоўку персанальных дадзеных можа быць дадзена суб'ектам персанальных дадзеных або яго прадстаўніком у любой якая дазваляе пацвердзіць факт яго атрымання форме, калі іншае не ўстаноўлена федэральным законам.
Абавязак прадаставіць доказ атрымання згоды суб'екта персанальных даных на апрацоўку яго персанальных даных або доказ наяўнасці падстаў, указаных у ФЗ-152, ускладаецца на Аператара.
3.2 Правы суб'екта персанальных дадзеных
Суб'ект персанальных дадзеных мае права на атрыманне ў Аператара інфармацыі, якая датычыцца апрацоўкі яго персанальных дадзеных, калі такое права не абмежавана ў адпаведнасці з федэральнымі законамі. Суб'ект персанальных даных мае права патрабаваць ад Аператара ўдакладнення яго персанальных даных, іх блакіравання або знішчэння ў выпадку, калі персанальныя даныя з'яўляюцца няпоўнымі, састарэлымі, недакладнымі, незаконна атрыманымі або не з'яўляюцца неабходнымі для заяўленай мэты апрацоўкі, а таксама прымаць прадугледжаныя законам меры па абароне сваіх правоў.
Апрацоўка персанальных даных у мэтах прасоўвання тавараў, работ, паслуг на рынку шляхам ажыццяўлення прамых кантактаў з патэнцыяльным спажыўцом з дапамогай сродкаў сувязі, а таксама ў мэтах палітычнай агітацыі дапускаецца толькі пры ўмове папярэдняй згоды суб'екта персанальных даных. Указаная апрацоўка персанальных даных прызнаецца ажыццяўляемай без папярэдняй згоды суб'екта персанальных даных, калі Кампанія не дакажа, што такая згода была атрымана.
Аператар абавязаны неадкладна спыніць па патрабаванні суб'екта персанальных дадзеных апрацоўку яго персанальных дадзеных у вышэйпаказаных мэтах.
Забараняецца прыняцце на падставе выключна аўтаматызаванай апрацоўкі персанальных дадзеных рашэнняў, якія спараджаюць юрыдычныя наступствы ў дачыненні да суб'екта персанальных дадзеных або іншым чынам закранаюць яго правы і законныя інтарэсы, за выключэннем выпадкаў, прадугледжаных федэральнымі законамі, або пры наяўнасці згоды ў пісьмовай форме суб'екта персанальных дадзеных.
Калі суб'ект персанальных даных лічыць, што Аператар ажыццяўляе апрацоўку яго персанальных даных з парушэннем патрабаванняў ФЗ-152 або іншым чынам парушае яго правы і свабоды, суб'ект персанальных даных мае права абскардзіць дзеянні або бяздзеянне Аператара ва Упаўнаважаны орган па абароне правоў суб'ектаў персанальных даных або ў судовым парадку.
Суб'ект персанальных звестак мае права на абарону сваіх правоў і законных інтарэсаў, у тым ліку на кампенсацыю страт і (або) кампенсацыю маральнай шкоды ў судовым парадку.
4. ЗАБЕСПЯЧЭННЕ БЯСПЕКІ ПЕРСАНАЛЬНЫХ ДАДЗЕНЫХ
Бяспека персанальных дадзеных, апрацоўваных Аператара, забяспечваецца рэалізацыяй прававых, арганізацыйных і тэхнічных мер, неабходных для забеспячэння патрабаванняў федэральнага заканадаўства ў вобласці абароны персанальных дадзеных.
Для прадухілення несанкцыянаванага доступу да персанальных дадзеных Аператарам прымяняюцца наступныя арганізацыйна-тэхнічныя меры:
- прызначэнне службовых асоб, адказных за арганізацыю апрацоўкі і абароны персанальных даных;
- абмежаванне складу асоб, якія маюць доступ да персанальных даных;
- азнаямленне суб'ектаў з патрабаваннямі федэральнага заканадаўства і нарматыўных дакументаў Аператара па апрацоўцы і абароне персанальных даных;
- арганізацыя ўліку, захоўвання і звароту носьбітаў інфармацыі;
- вызначэнне пагроз бяспекі персанальных даных пры іх апрацоўцы, фарміраванне на іх аснове мадэлей пагроз;
- распрацоўка на аснове мадэлі пагроз сістэмы абароны персанальных даных;
- праверка гатоўнасці і эфектыўнасці выкарыстання сродкаў абароны інфармацыі;
- размежаванне доступу карыстальнікаў да інфармацыйных рэсурсаў і праграмна-апаратных сродкаў апрацоўкі інфармацыі;
- рэгістрацыя і ўлік дзеянняў карыстальнікаў інфармацыйных сістэм персанальных даных;
- выкарыстанне антывірусных сродкаў і сродкаў аднаўлення сістэмы аховы персанальных даных;
- прымяненне ў неабходных выпадках сродкаў міжсеткавага экранавання, выяўлення ўварванняў, аналізу абароненасці і сродкаў крыптаграфічнай абароны інфармацыі;
- арганізацыя прапускнога рэжыму на тэрыторыю Аператара, аховы памяшканняў з тэхнічнымі сродкамі апрацоўкі персанальных даных.
5. ЗАКЛЮЧНЫЯ ПАЛАЖЭННІ
Іншыя правы і абавязкі Аператара, як аператара персанальных дадзеных вызначаюцца заканадаўствам Расійскай Федэрацыі ў вобласці персанальных дадзеных.
Службовыя асобы Аператара, вінаватыя ў парушэнні нормаў, якія рэгулююць апрацоўку і абарону персанальных дадзеных, нясуць матэрыяльную, дысцыплінарную, адміністрацыйную, грамадзянска-прававую ці крымінальную адказнасць у парадку, устаноўленым федэральнымі законамі.
