Политика Акционерного общества «Оренбургская финансово-информационная система «Город» в отношении обработки персональных данных
Термины и определения
Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
1. Общие положения
1.1 Настоящее Положение об обработке персональных данных (далее – Положение) в АО «Система «Город» (далее – Общество) разработано в соответствии с требованиями Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных», Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и защите информации» от 27.07.2006, иными нормативно-правовыми актами и внутренними документами Общества.
1.2 Положение регламентирует политику безопасности в отношении обработки персональных данных, создано в целях регулирования основных вопросов, связанных с обработкой персональных данных при помощи средств автоматизации, в том числе с использованием информационно-телекоммуникационных сетей, или без использования таких средств.
1.3 Обработка персональных данных в Обществе ведется с целью оказания услуг по начислению и сбору коммунальных и других платежей от населения, а так же в целях соблюдения требований трудового, пенсионного и налогового законодательства и внутренних нормативных актов Общества.
1.4 Под обработкой персональных данных понимается совершение любого действия (операции) или совокупности действий(операций) с использованием средств автоматизации, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение.
1.5 Обработка персональных данных осуществляется на основе принципов:
– законности и справедливости обработки персональных данных;
– обработки строго определенных категорий персональных данных, содержание и объём которых соответствуют заданным целям;
– не допущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
– хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
– обеспечения актуальности, точности и достаточности обрабатываемых персональных данных по отношению к целям обработки.
1.6 Общество оставляет за собой право вносить необходимые изменения в Положение при изменении действующего законодательства РФ и условий своей деятельности. Положение и все изменения к нему утверждаются и вводятся в действие приказом генерального директора Общества.
1.7 Действующая редакция Положения хранится в месте нахождения Общества по адресу г. Оренбург, ул. Липовая, д.21, к.5, помещение 5.
Электронная версия действующей редакции Политики подлежит размещению в сети Интернет на официальном сайте Общества: http://www.orenpay.ru/.
2. Источники получения и перечень обрабатываемых персональных данных
2.1 Общество получает сведения о персональных данных субъектов персональных данных из следующих источников:
- паспорт или иной документ, удостоверяющий личность;
- трудовая книжка, за исключением случаев, когда трудовой договор заключается впервые или работник поступает на работу на условиях совместительства;
- страховое свидетельство государственного пенсионного страхования;
- свидетельство о постановке на учёт в налоговом органе;
- документы воинского учёта – для военнообязанных и лиц, подлежащих призыву на военную службу;
- документ об образовании, о квалификации или наличии специальных знаний – при поступлении на работу, требующую специальных знаний или специальной подготовки;
- правоустанавливающие документы на собственность;
- документ лицевого счёта;
- документ льготы;
- сервисы сайта orenpay.ru.
2.2. Общество обрабатывает следующие виды персональных данных:
- фамилия, имя, отчество;
- пол;
- дата и места рождения;
- сведения о месте проживания и/или регистрации;
- семейное положение;
- гражданство;
- контактная информация: номер телефона, адрес электронной почты;
- иные персональные данные, которые могут потребоваться Оператору в ходе исполнения договорных обязательств и/или в случае ненадлежащего исполнения субъекта персональных данных обязательств перед Оператором.
3. Порядок получения и обработки персональных данных в Обществе
3.1. Порядок получения персональных данных:
3.1.1 Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона №152 - ФЗ «О персональных данных».
3.1.2 Персональные данные могут быть получены от поставщиков услуг на основании заключённых агентских договоров. Существенным условием таких договоров, является обязанность сторон обеспечить конфиденциальность персональных данных и безопасность персональных данных при их обработке в Обществе.
3.1.3 Персональные данные могут быть получены от субъекта персональных данных при использовании им электронных сервисов Общества на сайте orenpay.ru.
3.1.4 Общество не имеет права получать и обрабатывать персональные данные субъекта о его расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции Российской Федерации работодатель вправе получать и обрабатывать данные о частной жизни субъекта только с его письменного согласия.
3.2 Порядок обработки персональных данных
3.2.1 Обработка указанных персональных данных возможна только с согласия субъектов. Обработка персональных данных субъектов без их согласия осуществляется в следующих случаях:
– персональные данные являются общедоступными;
– по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.
3.2.2 При определении содержания и объёма обрабатываемых персональных данных сотрудники Общества руководствуются, прежде всего, целью их обработки, а также Конституцией РФ, федеральным законом №152-ФЗ «О персональных данных» от 27.07.2006 г., иными нормативно-правовыми актами и внутренними нормативными документами Общества.
3.2.3 Персональные данные субъектов могут быть получены и обрабатываться как с использованием средств автоматизации, так и без них.
3.2.4 При обработке персональных данных сотрудники Общества соблюдают следующие требования:
- Не передавать персональные данные субъектов третьей стороне без правового основания;
- Осуществлять передачу персональных данных субъектов в соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных", другими федеральными законами и внутренними актами ОАО «Система «Город»;
- Предоставлять доступ к персональным данным только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретной функции.
3.3 Блокирование персональных данных
3.3.1 Под блокированием персональных данных понимается временное прекращение операций по их обработке по требованию субъекта персональных данных или контрагента Общества при выявлении им недостоверности обрабатываемых сведений или неправомерных, по мнению субъекта персональных данных, действий в отношении его данных.
3.3.2 Общество обязано блокировать персональные данные в случае:
- предоставления субъектом персональных данных сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту персональных данных и обработку которых осуществляет Общество, являются неполными, неточными, неактуальными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- выявления неправомерной обработки персональных данных Обществом при обращении или по запросу субъекта персональных данных или его представителя, либо уполномоченного органа по защите прав субъектов персональных данных.
4. Использование, передача, хранение, обезличивание и уничтожение персональных данных
4.1 Общество использует полученные персональные данные для исполнения обязательств, возникших на основании заключённых договоров, в том числе для:
- начисления платы за жилищно-коммунальные и иные услуги;
- изготовления и доставки единых платёжных документов;
- проведения обзвона абонентов;
- телефонных оповещений с целью информирования абонентов;
- проведения иных действий, необходимых для исполнения договорных обязательств.
4.2 Передача персональных данных между работниками Общества осуществляется в соответствии с настоящим Положением. Доступ к персональным данным имеют только специально уполномоченные лица Общества. Указанные лица должны иметь право доступа только к тем данным, которые необходимы для выполнения должностных обязанностей.
4.3 Передача персональных данных третьим лицам осуществляется только с письменного согласия субъекта персональных данных, за исключением случаев, установленных федеральными законами.
4.4 Персональные данные субъектов, обрабатываемые с использованием средств автоматизации, хранятся на дисковом массиве Общества и обрабатываются на терминальных серверах, доступ специалистов к которым осуществляется посредством удаленного подключения. Передача данных при их обработке в автоматизированных системах Общества осуществляется только по защищённым каналам связи, в том числе с применением средств криптографической защиты информации, за исключением общедоступных и обезличенных персональных данных.
4.5 Персональные данные на бумажных и съемных электронных носителях, хранятся в сейфах или специальных помещениях.
4.6 По окончании использования документов, содержащих персональные данные, проводится работа по отбору документов для уничтожения. Уничтожение документов производится по акту комиссией в составе не менее 3-х человек, назначаемой генеральным директором Общества.
5. Доступ к персональным данным
5.1 Система доступа к персональным данным в Обществе (далее система доступа) представляет собой совокупность норм и правил, определяющих порядок допуска сотрудников Общества к обработке персональных данных.
5.2 Система доступа отвечает следующим требованиям:
- доступ к конфиденциальным документам предоставляется сотрудникам, письменно оформившим с организацией отношения, о неразглашении ставших им известными конфиденциальных сведений. Письменное оформление отношений о неразглашении конфиденциальной информации (соблюдения режима конфиденциальности) является обязательным условием для доступа исполнителей к документам;
- доступ к конфиденциальным документам базируется на служебной необходимости ознакомления с конкретным документом именно данного исполнителя;
- система доступа обеспечивает исполнителей всеми необходимыми им в силу служебных обязанностей документами, но только теми, которые действительно необходимы для выполнения конкретного вида работ;
- доступ к документам осуществляется только по соответствующему разрешению уполномоченного на то лица. При этом соответствующее лицо может давать разрешение на ознакомление с документами только входящими в сферу его деятельности и только установленному кругу лиц;
5.3 Обязанности сотрудников, определяемые в системе доступа Общества:
- соблюдение установленных в организации требований обработки персональных данных;
- неразглашение конфиденциальной информации, ставшей ему известной в период выполнения трудовых отношений, после прекращения трудового договора в течение срока, предусмотренного в специальном соглашении или в течение трёх лет, если такое соглашение не заключалось, и неиспользование этой информации в личных целях.
6. Права субъектов персональных данных
6.1 Субъект персональных данных Общества имеет право:
– Получать доступ к своим персональным данным и ознакомление с ними, включая право на получение копий любой записи, содержащей персональные данные субъекта.
– Требовать уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми персональных данных.
6.2 Если обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, он вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
6.3 Оператор обязан рассмотреть возражение субъекта персональных данных в течение тридцати дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.
6.4 Субъект персональных данных имеет право обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке и защите его персональных данных.
7. Основные мероприятия по организации обеспечения безопасности персональных данных в Обществе
7.1 Обеспечение безопасности персональных данных осуществляется путем:
- Выполнения комплекса организационных и технических мероприятий, реализуемых в рамках создаваемой системы защиты персональных данных (СЗПДн). Структура, состав и основные функции СЗПДн определяются исходя из класса ИСПДн. СЗПДн включает организационные меры и технические средства защиты информации, а также используемые в ИСПДн информационные технологии.
- Назначения, в соответствии с утвержденным списком ответственных лиц, утверждения должностных инструкции специалистов, осуществляющих обработку персональных данных, разработки локальных нормативных актов, регламентирующих защиту персональных данных.
- Утверждения инструкции и положения, регламентирующих порядок обработки персональных данных, с которыми ознакомлены все работники организации, ограничения доступа в помещения, где обрабатываются персональные данные, осуществления передачи информации по защищенным каналам связи.
7.2 В соответствии с требованиями законодательства о защите персональных данных Общество не раскрывает информацию о конкретных применяемых средствах и методах обеспечения информационной безопасности персональных данных.
8. Ответственность за нарушение требований, регулирующих получение, обработку и хранение персональных данных
8.1 Сотрудники, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами и иными нормативными документами.
8.2 Генеральный директор за нарушение норм, регулирующих получение, обработку и защиту персональных данных, несет административную ответственность согласно ст. 5.27 и 5.39 Кодекса об административных правонарушениях Российской Федерации, а также возмещает субъекту ущерб, причинённый неправомерным использованием информации, содержащей персональные данные субъекта.
9. Контактная информация
9.1 Полное наименование: акционерное общество «Оренбургская финансово – информационная система «Город»
Сокращенное наименование: АО «Система «Город»
Сокращенное наименование: АО «Система «Город»
9.2 Юридический адрес - Брестская 5, почтовый адрес – Липовая, д.21, корпус 5, помещение 5.
Телефон: (3532) 54-28-29
Электронная почта: оfis_manager@orenpay.ru
Телефон: (3532) 54-28-29
Электронная почта: оfis_manager@orenpay.ru
9.3 Лицо, ответственное за обработку персональных данных: генеральный директор АО «Система «Город» - Савельев Владимир Николаевич