ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ АО «СФЕРА ГРУПП»

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет общие принципы и порядок обработки персональных данных (далее — ПДн) и меры по обеспечению их безопасности в Акционерном обществе «СФЕРА ГРУПП» (ОГРН 1237700610630, ИНН 7720907324), зарегистрированном по адресу: 125047, г. Москва, вн. тер. г. муниципальный округ Тверской, пер. 4-й Лесной, д. 4 (далее — Общество).

1.2. Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также четкое и неукоснительное соблюдение требований законодательства Российской Федерации в области ПДн.

1.3. Политика разработана с учетом требований Конституции Российской Федерации, в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Федеральный закон 152-ФЗ), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также иными федеральными законами и подзаконными актами, определяющими случаи и особенности обработки ПДн.

1.4. В Политике используются следующие термины и определения:

• автоматизированная обработка персональных данных — обработка ПДн с помощью средств вычислительной техники;
• биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, и которые используются оператором для установления личности субъекта ПДн;
• блокирование персональных данных — временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);
• дата-центр — специализированная организация, предоставляющая услуги по размещению серверного и сетевого оборудования, сдаче серверов (в том числе виртуальных) в аренду, а также по подключению к сети Интернет;
• доступ к персональным данным — ознакомление определенных лиц (в том числе работников) с ПДн субъектов, обрабатываемыми Обществом, при условии сохранения конфиденциальности этих сведений;
• информационная система персональных данных — совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств;
• контрагент — сторона договора с Обществом, не являющаяся работником Общества;
• конфиденциальность персональных данных — обязанность лиц, получивших доступ к ПДн, не раскрывать их третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством;
• облачная вычислительная инфраструктура — общий пул конфигурируемых вычислительных ресурсов (сети передачи данных, серверы, устройства хранения данных, приложения и сервисы — как вместе, так и по отдельности), к которым обеспечен повсеместный и удобный сетевой доступ по требованию и которые могут быть оперативно предоставлены и освобождены с минимальными эксплуатационными затратами или обращениями к провайдеру, обладающие пятью основными свойствами: самообслуживание по требованию; универсальный доступ по сети; объединение ресурсов; эластичность; учет потребления;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение ПДн;
• оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПДн, а также определяющее цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн; в Политике под оператором понимается Общество, если иное не указано специально;
• персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн);
• персональные данные, разрешенные субъектом персональных данных для распространения — ПДн, доступ неограниченного круга лиц к которым предоставлен субъектом ПДн путем дачи согласия на обработку ПДн, разрешенных субъектом ПДн для распространения, в порядке, предусмотренном Федеральным законом 152-ФЗ;
• предоставление персональных данных — действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;
• распространение персональных данных — действия, направленные на раскрытие ПДн неопределенному кругу лиц;
• Роскомнадзор — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, являющаяся уполномоченным федеральным органом исполнительной власти по защите прав субъектов ПДн;
• специальные категории персональных данных — сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья;
• субъект персональных данных — физическое лицо, к которому относятся ПДн;
• трансграничная передача персональных данных — передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн;
• файлы cookie — преимущественно небольшие текстовые файлы, которые хранятся на компьютере, планшете, мобильном телефоне или другом устройстве пользователя, в которых хранится информация об их предыдущих действиях на сайте в сети «Интернет».

1.5. Субъект ПДн имеет право:

1. Получать информацию, касающуюся обработки его ПДн.
2. Требовать от Общества прекращения обработки своих ПДн, их уточнения, блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также вправе принимать предусмотренные законодательством меры по защите своих прав.
3. В любой момент отозвать свое согласие на обработку ПДн Обществом.

1.6. Обязанности Общества:

1. Общество обязано предоставить субъекту ПДн или его представителю сведения, предусмотренные действующим законодательством.
2. В случае выявления неправомерной обработки ПДн при обращении субъекта ПДн или его представителя либо по запросу субъекта ПДн или его представителя либо Роскомнадзора Общество обязано осуществить блокирование неправомерно обрабатываемых ПДн, относящихся к этому субъекту ПДн, или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки.
3. В случае выявления неточных ПДн при обращении субъекта ПДн или его представителя либо по их запросу, либо по запросу Роскомнадзора оператор обязан осуществить блокирование ПДн, относящихся к субъекту ПДн, или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы субъекта ПДн или третьих лиц.
4. В случае подтверждения факта неточности ПДн оператор на основании сведений, представленных субъектом ПДн или его представителем либо Роскомнадзором, или иных необходимых документов обязан уточнить ПДн либо обеспечить их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) в течение 7 (семи) рабочих дней со дня представления таких сведений и снять блокирование ПДн.
5. В случае выявления неправомерной обработки ПДн, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку ПДн или обеспечить прекращение неправомерной обработки ПДн лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки ПДн невозможно, оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки ПДн, обязан уничтожить такие ПДн или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн оператор обязан уведомить субъекта ПДн или его представителя, а в случае, если обращение субъекта ПДн или его представителя либо запрос Роскомнадзора были направлены Роскомнадзором, также указанный орган.
6. Общество проводит и документально оформляет в соответствии с требованиями, установленными Роскомнадзором, оценку вреда, который может быть причинен субъектам ПДн в случае нарушения Федерального закона 152-ФЗ, с целью соотнесения указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом 152-ФЗ.

2. Принципы обработки персональных данных

2.1. Обработка ПДн Обществом осуществляется в соответствии со следующими принципами:

1. Законность и справедливая основа обработки ПДн. Общество принимает все необходимые меры по выполнению требований законодательства, не обрабатывает ПДн в случаях, когда это не допускается законодательством и не требуется для достижения определенных Обществом целей, не использует ПДн во вред субъектам ПДн.
2. Ограничение обработки ПДн достижением конкретных, заранее определенных и законных целей.
3. Обработка только тех ПДн, которые отвечают заранее объявленным целям их обработки; соответствие содержания и объема обрабатываемых ПДн заявленным целям обработки; недопущение обработки ПДн, не совместимой с целями сбора ПДн, а также избыточных по отношению к заявленным целям обработки ПДн. Общество не собирает и не обрабатывает ПДн, не требующиеся для достижения целей, указанных в настоящей Политике, не использует ПДн субъектов в каких-либо целях, кроме указанных.
4. Недопущение объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, не совместимых между собой.
5. Обеспечение точности, достаточности и актуальности ПДн по отношению к целям обработки ПДн.
6. Хранение ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.
7. Уничтожение ПДн по достижении заявленных целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Обществом допущенных нарушений установленного законодательством порядка обработки ПДн, отзыве согласия на обработку субъектом ПДн, истечении срока обработки ПДн, установленного согласием на обработку ПДн, если иное не предусмотрено законодательством.

3. Цели обработки персональных данных

3.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

3.2. Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн при достижении целей их обработки или при наступлении иных законных оснований определены в Таблице 1 к настоящей Политике.

4. Порядок и условия обработки персональных данных

4.1. Общество осуществляет:

• неавтоматизированную обработку ПДн;
• автоматизированную обработку ПДн с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанную обработку ПДн.

4.2. Обработка ПДн может включать в себя, в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ, распространение), блокирование, удаление, уничтожение.

4.3. Обработка ПДн Обществом допускается в следующих случаях:

1. С согласия субъекта ПДн на обработку его ПДн.
2. Обработка ПДн необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.
3. Обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем.
4. Обработка ПДн необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн.
5. Осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

4.4. Общество не раскрывает третьим лицам ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством.

4.5. Общество осуществляет распространение ПДн на основании отдельного согласия субъекта ПДн. Согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, оформляется отдельно от иных согласий субъекта ПДн на обработку его ПДн.

4.6. Органам государственной власти, включая органы дознания и следствия, Федеральную налоговую службу, Социальный фонд Российской Федерации и другие уполномоченные органы исполнительной власти ПДн предоставляются (передаются) в соответствии с требованиями законодательства Российской Федерации.

4.7. Общество осуществляет обработку биометрических ПДн на основании согласия субъекта ПДн в письменной форме, в соответствии с действующим законодательством, при условии выполнения требований статьи 11 Федерального закона 152-ФЗ.

4.8. При сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет», Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн с использованием баз данных, находящихся на территории Общества (в Российской Федерации) и в дата-центрах на территории Российской Федерации.

4.9. Общество вправе осуществлять трансграничную передачу ПДн в соответствии с процедурой, установленной действующим законодательством, при условии выполнения требований статьи 12 Федерального закона 152-ФЗ.

4.10. Оператор не осуществляет сопоставление и (или) объединение (связывание) технической информации пользователя сайта с находящимися в распоряжении оператора ПДн и (или) иными сведениями.

4.11. Уничтожение ПДн должно исключать возможность их восстановления программными или физическими методами.

4.12. Порядок уничтожения ПДн определен в Таблице № 1 к настоящей Политике. Подтверждение факта уничтожения персональных данных осуществляется в соответствии с требованиями, установленными Роскомнадзором.

4.13. Оператор осуществляет обработку информации о пользователе сайтов оператора (полученной с помощью файлов cookie и сервисов сбора технических данных) в целях, определенных в Таблице № 1 к настоящей Политике.

5. Конфиденциальность персональных данных

5.1. Работниками Общества, получившими доступ к ПДн, должна быть обеспечена конфиденциальность таких данных.

5.2. Общество вправе с согласия субъекта поручить обработку ПДн другому лицу, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора, предусматривающего в качестве существенного условия обязанность лица, осуществляющего обработку ПДн по поручению Общества, соблюдать принципы, правила обработки ПДн и требования к обработке, предусмотренные законодательством. В поручении оператора должны быть выполнены все требования, предусмотренные частью 3 статьи 6 Федерального закона 152-ФЗ.

5.3. Общество вправе разместить свои информационные системы ПДн в дата-центре (облачной вычислительной инфраструктуре). В этом случае в договор с дата-центром (провайдером облачных услуг) в качестве существенного условия может включаться требование о запрете доступа персонала дата-центра к информационным системам ПДн Общества, размещаемым в дата-центре (облачной инфраструктуре).

6. Согласие субъекта персональных данных на обработку своих персональных данных

6.1. Субъект ПДн принимает решение о предоставлении своих ПДн Обществу и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн должно быть конкретным, предметным, информированным, сознательным и однозначным и может предоставляться субъектом в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством.

6.2. В случаях, предусмотренных федеральным законом, обработка ПДн осуществляется только с согласия в письменной форме субъекта ПДн. Равнозначным содержащему собственноручную подпись субъекта ПДн согласию в письменной форме на бумажном носителе является согласие в форме электронного документа, подписанного электронной подписью в соответствии с законодательством об электронной подписи.

6.3. Согласие субъектов на предоставление их ПДн не требуется при получении Обществом в рамках установленных полномочий мотивированных запросов от органов прокуратуры, правоохранительных органов, органов следствия и дознания, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства, а также иных органов, уполномоченных запрашивать информацию в соответствии с компетенцией, предусмотренной законодательством.

7. Сведения о принимаемых мерах для защиты персональных данных

7.1. Безопасность ПДн, обрабатываемых Обществом, обеспечивается принятием правовых, организационных и технических мер, необходимых и достаточных для обеспечения требований законодательства в области защиты ПДн.

7.2. Правовые меры, принимаемые Обществом, включают:

• разработку локальных нормативных актов Общества, реализующих требования законодательства об обработке и обеспечении безопасности ПДн в Обществе;
• отказ от любых способов обработки ПДн, не соответствующих определенным в Политике целям и требованиям законодательства.

7.3. Организационные меры, принимаемые Обществом, включают:

• назначение лица, ответственного за организацию обработки ПДн;
• назначение лица, ответственного за обеспечение безопасности ПДн в информационных системах ПДн;
• ограничение состава работников Общества, имеющих доступ к ПДн, и организацию разрешительной системы доступа к ним;
• ознакомление работников Общества, непосредственно осуществляющих обработку ПДн, с положениями законодательства о ПДн, в том числе с требованиями к защите ПДн, с Политикой, другими локальными актами Общества по вопросам обработки ПДн;
• обучение всех категорий работников Общества, непосредственно осуществляющих обработку ПДн, правилам работы с ними и обеспечения безопасности обрабатываемых ПДн;
• определение в должностных инструкциях работников Общества обязанностей по обеспечению безопасности обработки ПДн и ответственности за нарушение установленного порядка;
• регламентацию процессов обработки ПДн;
• организацию учета материальных носителей ПДн и их хранения, обеспечивающих предотвращение хищения, подмены, несанкционированного копирования и уничтожения;
• определение типа угроз безопасности ПДн, актуальных для информационных систем ПДн, с учетом оценки возможного вреда субъектам ПДн, который может быть причинен в случае нарушения требований безопасности, определение уровня защищенности ПДн и требований к защите ПДн при их обработке в информационных системах;
• определение угроз безопасности ПДн при их обработке в информационных системах, формирование на их основе частной модели (моделей) актуальных угроз;
• размещение технических средств обработки ПДн в пределах охраняемой территории;
• ограничение допуска посторонних лиц в помещения Общества, недопущение их нахождения в помещениях, где ведется работа с ПДн и размещаются технические средства их обработки, без контроля со стороны работников Общества.

7.4. Технические меры, принимаемые Обществом, включают:

• разработку на основе модели актуальных угроз системы защиты ПДн для установленных Правительством Российской Федерации уровней защищенности ПДн при их обработке в информационных системах;
• использование для нейтрализации актуальных угроз средств защиты информации, прошедших процедуру оценки соответствия;
• оценку эффективности принимаемых мер по обеспечению безопасности ПДн;
• реализацию разрешительной системы доступа работников к ПДн, обрабатываемым в информационных системах, и к программно-аппаратным и программным средствам защиты информации;
• регистрацию и учет действий с ПДн пользователей информационных систем, где обрабатываются ПДн;
• ограничение программной среды;
• выявление вредоносного программного обеспечения (применение антивирусных программ) в узлах информационной сети Общества, обеспечивающих соответствующую техническую возможность;
• безопасное межсетевое взаимодействие (применение межсетевого экранирования);
• идентификацию и проверку подлинности пользователя (аутентификацию) при входе в информационную систему;
• контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации;
• обнаружение вторжений в информационную систему Общества, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности ПДн;
• защиту среды виртуализации;
• принятие мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы ПДн и по реагированию на компьютерные инциденты в них;
• защиту сетевых устройств и каналов связи, по которым осуществляется передача ПДн;
• восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним (создание системы резервного копирования и восстановления ПДн).

7.5. При размещении информационной системы в дата-центре (облачной инфраструктуре) часть мер безопасности может быть принята дата-центром (провайдером облачных услуг), что отражается в договоре между Обществом и дата-центром (провайдером облачных услуг).

8. Заключительные положения

8.1. Иные обязанности и права Общества как оператора ПДн и лица, организующего их обработку по поручению других операторов, определяются законодательством Российской Федерации в области ПДн.

8.2. Должностные лица и работники Общества, виновные в нарушении норм, регулирующих обработку и защиту ПДн, несут материальную, дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.

8.3. Политика пересматривается по мере необходимости. Обязательный пересмотр Политики проводится в случае существенных изменений законодательства Российской Федерации в сфере ПДн.

При внесении изменений в Политику учитываются:

• изменения в информационной инфраструктуре и (или) в используемых Обществом информационных технологиях;
• сложившаяся в Российской Федерации практика правоприменения законодательства в области ПДн;
• изменение условий и особенностей обработки ПДн Обществом в связи с внедрением в его деятельность новых информационных систем, процессов и технологий.

8.4. Во исполнение требований части 2 статьи 18.1 Федерального закона 152-ФЗ Политика публикуется в свободном доступе на всех страницах принадлежащих оператору сайтов (или используемых оператором сайтов) в информационно-телекоммуникационной сети Интернет, с использованием которых осуществляется сбор ПДн.

№ 1 Цели обработки персональных данных, категории субъектов, персональные данные которых обрабатываются, категории и перечень обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований