Термины и определения

1.1.Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и осуществляющие обработку персональных данных, в том числе биометрических персональных данных (далее – ПДн), а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.

1.2.Обработка ПДн – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

1.3.Услуги Удостоверяющего центра (далее – УЦ) – услуги по созданию и выдаче сертификатов ключей проверки электронных подписей, а также выполнение иных функций удостоверяющего центра в соответствии с Федеральным законом от 06.04.2011 г. № 63-ФЗ «Об электронной подписи».

1.4.Услуги электронного декларирования (далее – ЭД) – услуги по передаче сведений таможенным органам в электронной форме с использованием сетей общего пользования и по получению ключа ЭП, выпущенного ведомственным удостоверяющим центром ЦИТТУ.

1.5.Информационная система ПДн (далее – ИСПДн) – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.

2. Общие положения

2.1.Политика обеспечения безопасности ПДн ООО «Альта-Софт» при оказании услуг УЦ и услуг ЭД (далее – Политика) определяет основные положения обработки ПДн и способов защиты ПДн Оператором при оказании услуг УЦ и услуг ЭД.

2.2.Политика разработана на основе требований действующего законодательства Российской Федерации и нормативных документов, регламентирующих вопросы защиты ПДн.

2.3.Целью обеспечения защиты ПДн является обеспечение защиты прав и свобод субъекта ПДн, в том числе минимизация ущерба (как непосредственного, так и опосредованного), возникающего вследствие возможной реализации угроз безопасности ПДн.

3. Принципы обработки ПДн

3.1.Обработка ПДн должна осуществляться на законной и справедливой основе.

3.2.Обработка ПДн должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

3.3.Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.

3.4.Обработке подлежат только ПДн, которые отвечают целям их обработки.

3.5.Содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.

3.6.При обработке ПДн должны быть обеспечены точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн. Оператор должен принимать либо обеспечивать принятие необходимых мер по удалению или уточнению неполных или неточных данных.

3.7.Хранение ПДн должно осуществляться в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4. Цель обработки ПДн

4.1.Целью обработки ПДн является оказание услуг УЦ и услуг ЭД и выполнение ООО «Альта-Софт» возложенных законодательством Российской Федерации функций, полномочий и обязанностей.

4.2.Оказание услуг УЦ и услуг ЭД регулируется Федеральным законом от 06.04.2011 г. № 63-ФЗ «Об электронной подписи». Дополнительно оказание услуг ЭД регулируется Соглашением с ЦИТТУ ФТС РФ от 25.04.2012 г. № 16-14/030П «Об информационном взаимодействии ООО «Альта-Софт» с ЦИТТУ при представлении сведений в электронной форме с использованием международной ассоциации сетей «Интернет».

4.3.Оператор не имеет права получать и обрабатывать специальные категории ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

5. Состав обрабатываемых ПДн

5.1.Оператор обрабатывает следующие ПДн субъектов ПДн:

• фамилия, имя и отчество;
• данные основного документа, удостоверяющего личность;
• данные Страхового свидетельства государственного пенсионного страхования (СНИЛС);

• адрес регистрации (для физического лица и индивидуального предпринимателя);
• ИНН физического лица (для физического лица и индивидуального предпринимателя);
• сведения о месте работы: наименование организации, структурное подразделение, занимаемая должность, ОГРН, ИНН, КПП организации, местонахождение организации;
• контактные телефоны, адрес электронной почты;
• фотографическое изображение лица владельца документа, удостоверяющего личность.

6. Способы и сроки обработки ПДн

6.1.Оператор осуществляет обработку ПДн следующими способами:

• неавтоматизированная обработка ПДн;
• автоматизированная обработка ПДн.

6.2.Согласно требованию пункта 6 статьи 13 Федерального закона от 06.04.2011 г. № 63-ФЗ «Об электронной подписи» срок обработки ПДн при оказании услуг УЦ и услуг ЭД равен сроку деятельности УЦ или сроку деятельности ведомственного УЦ ЦИТТУ, если более короткий срок не установлен нормативными правовыми актами Российской Федерации.

7. Права субъектов ПДн

7.1.Субъект ПДн имеет право:

7.1.1.на получение информации, касающейся обработки его ПДн, в том числе содержащей:

• подтверждение факта обработки Оператором ПДн;
• правовые основания и цели обработки ПДн;
• цели и применяемые Оператором способы обработки ПДн;
• наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Оператором или на основании федерального закона;
• обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки ПДн, в том числе сроки их хранения;
• порядок осуществления субъектом ПДн прав, предусмотренных Федеральным законом от 06.04.2011 г. № 63-ФЗ «Об электронной подписи»;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;

• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Оператора, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные федеральными законами Российской Федерации.

7.1.2.требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

7.1.3.принимать предусмотренные законом меры по защите своих прав;

7.1.4.обжаловать действие или бездействие Оператора в суде или в уполномоченном органе по защите прав – Федеральной службе по надзору в области связи, информационных технологий и массовых коммуникаций (Роскомнадзор);

7.1.5.защищать свои права и законные интересы, в том числе возмещать убытки и (или) получать компенсацию морального вреда в судебном порядке;

7.1.6.осуществлять иные права, предусмотренные действующим законодательством.

7.2.Сведения, указанные в п. 7.1.1. Политики, предоставляются субъекту ПДн или его представителю Оператором при обращении либо при получении запроса субъекта ПДн или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта ПДн в отношениях с Оператором (номер договора, дата заключения договора и (или) иные сведения), подпись субъекта ПДн или его представителя. Запрос может быть направлен в форме электронного документа и подписан усиленной квалифицированной электронной подписью в соответствии с законодательством Российской Федерации.

7.3.В случае, если сведения, указанные в п. 7.1.1. Политики, а также обрабатываемые ПДн были предоставлены для ознакомления субъекту ПДн по его запросу, субъект ПДн вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения указанных сведений и ознакомления с такими ПДн не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн.

7.4.Субъект ПДн вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в п. 7.1.1. Политики, а также в целях ознакомления с обрабатываемыми ПДн до истечения срока, указанного в п. 7.3. Политики, в случае, если такие сведения и (или) обрабатываемые ПДн не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в п. 7.2. Политики, должен содержать обоснование направления повторного запроса.

7.5.Оператор вправе отказать субъекту ПДн в выполнении повторного запроса, не соответствующего условиям, предусмотренным п. 7.3. и 7.4. Политики. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.

8. Условия обработки ПДн

8.1.Обработка ПДн, за исключением биометрических персональных данных, допускается в следующих случаях:

8.1.1.обработка ПДн осуществляется с согласия субъекта ПДн на обработку его ПДн.

а)Получение и обработка ПДн в случаях, предусмотренных Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» и иными законами, осуществляется Оператором с письменного согласия субъекта ПДн или его представителя. Равнозначным содержащему собственноручную подпись субъекта ПДн или его представителя, согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного усиленной квалифицированной электронной подписью.

б)Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» или иными законами.

в)Оператор вправе продолжить обработку ПДн, без согласия субъекта ПДн (при отзыве субъектом ПДн согласия на обработку ПДн) при наличии оснований, указанных в п.п. 2-11 части 1 статьи 6, части 2 статьи 10 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».

8.1.2.обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей;

8.1.3.обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

8.1.4.обработка ПДн необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27.07.2010 г. № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта ПДн на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;

8.1.5.обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;

8.1.6.обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта ПДн невозможно;

8.1.7.обработка ПДн необходима для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;

8.1.8.обработка ПДн необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта ПДн;

8.1.9.обработка ПДн осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», при условии обязательного обезличивания ПДн;

8.1.10.осуществляется обработка ПДн, доступ неограниченного круга лиц, к которым предоставлен субъектом ПДн либо по его просьбе (ПДн, сделанные общедоступными субъектом ПДн);

8.1.11.осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

8.2.Обработка биометрических персональных данных допускается в следующих случаях:

8.2.1.обработка ПДн осуществляется только при наличии согласия в письменной форме субъекта ПДн на обработку его ПДн.

8.2.2.Обработка биометрических персональных данных может осуществляться без согласия субъекта ПДн в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации.

8.3.Оператор вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн и в иных случаях, предусмотренных действующим законодательством Российской Федерации, на основании заключаемого с этой стороной договора, (далее – Поручение). Лицо, осуществляющее обработку ПДн по Поручению Оператора, обязано соблюдать принципы и правила обработки ПДн,

предусмотренные Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных».

9. Меры по обеспечению безопасности ПДн при их обработке

9.1.При обработке ПДн Оператор обеспечивает принятие либо принимает необходимые и достаточные организационные и технические меры, предусмотренные законодательством в области защиты ПДн, для защиты ПДн, требующих обеспечения конфиденциальности, от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ними третьих лиц.

9.2.Меры по обеспечению безопасности ПДн при их обработке, применяемые Оператором, планируются и реализуются в целях обеспечения соответствия требованиям законодательства в области ПДн и принятым в соответствии с ним нормативным правовым актам.

9.3.Обеспечение безопасности ПДн достигается, в частности:

• назначением ответственного за организацию обработки ПДн;
• разработкой и внедрением локальных актов по вопросам обработки ПДн;
• определением угроз безопасности ПДн при их обработке в ИСПДн;
• применением организационных и технических мер по обеспечению безопасности ПДн;
• применением прошедших в установленном порядке процедуру оценки соответствия требованиям законодательства Российской Федерации средств защиты информации;
• учетом машинных носителей информации;
• установлением правил доступа к ПДн;
• ограничением доступа в помещения, где размещены технические средства, осуществляющие обработку ПДн, а также хранятся носители информации;
• обнаружением фактов несанкционированного доступа к ПДн и принятием мер;
• внесением ПДн (не являющиеся общедоступными, требующими соблюдения конфиденциальности) в перечень конфиденциальной информации Оператора;
• получением обязательства о неразглашении сведений конфиденциального характера, в том числе ПДн, от всех работников Оператора, непосредственно участвующих в обработке ПДн;
• восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• ознакомлением работников Оператора непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации о ПДн, в том числе с требованиями к защите ПДн, локальными актами по вопросам обработки ПДн;
• контролем за принимаемыми мерами по обеспечению безопасности ПДн.

9.4.Внутренний контроль за соответствием обработки ПДн законодательству и принятым в соответствии с ним нормативным правовым актам осуществляется в порядке, установленном постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

10. Пересмотр политики

Оператор оставляет за собой право пересматривать, изменять и дополнять настоящую Политику в случае изменения законодательных и нормативно-правовых актов, а также по своему усмотрению. Новая редакция Политики вступает в силу, с момента ее размещения в открытом доступе на официальном сайте Оператора в сети «Интернет», если иное не предусмотрено новой редакцией Политики.