Положение об обработке и защите персональных данных в базах персональных данных, владельцем которых является продавец

 

Содержание

  1. Общие понятия и сфера применения

  2. Перечень баз персональных данных

  3. Цель обработки персональных данных

  4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действиях с персональными данными субъекта персональных данных

  5. Местонахождение базы персональных данных

  6. Условия раскрытия информации о персональных данных третьим лицам

  7. Защита персональных данных: способы защиты, ответственное лицо, работники, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей, срок хранения персональных данных

  8. Права субъекта персональных данных

  9. Порядок работы с запросами субъекта персональных данных

  10. Государственная регистрация базы персональных данных

1. Общие понятия и сфера применения 1.1. Определение терминов:

  • база персональных данных — именованная совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных;

  • ответственное лицо — определенное лицо, которое организует работу, связанную с защитой персональных данных при их обработке, в соответствии с законом;

  • владелец базы персональных данных — физическое или юридическое лицо, которому законом или с согласия субъекта персональных данных предоставлено право на обработку этих данных, которое утверждает цель обработки персональных данных в этой базе данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом;

  • Государственный реестр баз персональных данных — единая государственная информационная система сбора, накопления и обработки сведений о зарегистрированных базах персональных данных;

  • общедоступные источники персональных данных — справочники, адресные книги, реестры, списки, каталоги, другие систематизированные сборники открытой информации, содержащие персональные данные, размещенные и опубликованные с ведома субъекта персональных данных. Не считаются общедоступными источниками социальные сети и интернет-ресурсы, в которых субъекты оставляют свои персональные данные (кроме случаев, когда субъектом прямо указано, что данные размещены с целью их свободного распространения);

  • согласие субъекта персональных данных — любое документированное, добровольное волеизъявление физического лица о предоставлении разрешения на обработку его персональных данных в соответствии со сформулированной целью их обработки;

  • обезличивание персональных данных — изъятие сведений, позволяющих идентифицировать личность;

  • обработка персональных данных — любое действие или совокупность действий, совершенных полностью или частично в информационной (автоматизированной) системе и/или в картотеках персональных данных, связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, возобновлением, использованием и распространением (реализацией, передачей), обезличиванием, уничтожением сведений о физическом лице;

  • персональные данные — сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано;

  • распорядитель базы персональных данных — физическое или юридическое лицо, которому владельцем базы или законом предоставлено право обрабатывать эти данные. Не является распорядителем лицо, которому поручено осуществлять работы технического характера без доступа к содержанию персональных данных;

  • субъект персональных данных — физическое лицо, в отношении которого в соответствии с законом осуществляется обработка его персональных данных;

  • третье лицо — любое лицо, за исключением субъекта, владельца, распорядителя базы и уполномоченного госоргана, которому осуществляется передача персональных данных в соответствии с законом;

  • особые категории данных — персональные данные о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профсоюзах, а также данные, касающиеся здоровья или половой жизни.

1.2. Данное Положение обязательно для применения ответственным лицом и сотрудниками продавца, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей.

2. Перечень баз персональных данных 2.1. Продавец является владельцем таких баз персональных данных:

  • база персональных данных контрагентов.

3. Цель обработки персональных данных 3.1. Целью обработки персональных данных в системе является обеспечение реализации гражданско-правовых отношений, предоставление, получение и осуществление расчетов за приобретенные товары и услуги в соответствии с Налоговым кодексом Украины, Законом Украины «О бухгалтерском учете и финансовой отчетности в Украине».

4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действиях 4.1. Согласие субъекта персональных данных должно быть добровольным волеизъявлением физического лица о предоставлении разрешения на обработку. 4.2. Согласие может быть предоставлено в таких формах:

  • документ на бумажном носителе с реквизитами для идентификации документа и лица;

  • электронный документ с обязательными реквизитами (целесообразно заверять электронной подписью субъекта);

  • отметка на электронной странице документа или в электронном файле, который обрабатывается в информационной системе. 4.3. Согласие предоставляется при оформлении гражданско-правовых отношений в соответствии с действующим законодательством. 4.4. Уведомление субъекта о включении его данных в базу, его правах, цели сбора и лицах, которым передаются данные, осуществляется при оформлении гражданско-правовых отношений. 4.5. Обработка особых категорий данных (о расовом, этническом происхождении, убеждениях, здоровье и т.д.) запрещается.

5. Местонахождение базы персональных данных 5.1. Указанные в разделе 2 этого Положения базы находятся по адресу продавца.

6. Условия раскрытия информации о персональных данных третьим лицам 6.1. Порядок доступа третьих лиц определяется условиями согласия субъекта, предоставленного владельцу, или в соответствии с требованиями закона. 6.2. Доступ третьим лицам не предоставляется, если они отказываются или не могут взять на себя обязательства по выполнению требований Закона Украины «О защите персональных данных». 6.3. Субъект отношений подает запрос о доступе владельцу данных. 6.4. В запросе указываются:

  • ФИО, место жительства и реквизиты документа, удостоверяющего физическое лицо (для заявителя — физлица);

  • наименование, местонахождение юрлица, должность и ФИО лица, заверяющего запрос; подтверждение полномочий (для заявителя — юрлица);

  • ФИО и другие сведения, позволяющие идентифицировать лицо, в отношении которого делается запрос;

  • сведения о базе персональных данных или о ее владельце/распорядителе;

  • перечень запрашиваемых персональных данных;

  • цель и/или правовые основания для запроса. 6.5. Срок изучения запроса не может превышать 10 рабочих дней. В этот срок владелец уведомляет, будет ли запрос удовлетворен или данные не подлежат предоставлению (с указанием основания). Запрос удовлетворяется в течение 30 календарных дней, если иное не предусмотрено законом. 6.6. Отсрочка доступа допускается, если данные не могут быть предоставлены в течение 30 дней. Общий срок решения вопросов по запросу не может превышать 45 календарных дней. 6.7. Уведомление об отсрочке доводится до ведома в письменной форме с разъяснением порядка обжалования. 6.8. В уведомлении об отсрочке указываются: ФИО должностного лица; дата отправки; причина отсрочки; срок удовлетворения запроса. 6.9. Отказ в доступе допускается, если он запрещен по закону. 6.10. В уведомлении об отказе указываются: ФИО должностного лица; дата отправки; причина отказа. 6.11. Решение об отсрочке или отказе может быть обжаловано в суде.

7. Защита персональных данных и ответственные лица 7.1. Владелец базы оборудован системными и программно-техническими средствами связи, которые предотвращают потерю, кражу, несанкционированное уничтожение, искажение, подделку и копирование информации. 7.2. Ответственное лицо (назначается приказом Владельца) организует работу по защите данных. Его обязанности указываются в должностной инструкции. 7.3. Ответственное лицо обязано: знать законодательство Украины; разработать процедуры доступа сотрудников; обеспечить выполнение требований законодательства; разработать порядок внутреннего контроля; сообщать Владельцу о нарушениях не позднее одного рабочего дня; обеспечить хранение документов о согласии субъектов. 7.4. Ответственное лицо имеет право: получать необходимые документы; делать их копии; участвовать в обсуждении своих обязанностей; вносить предложения по улучшению работы; получать объяснения; подписывать документы в пределах компетенции. 7.5. Работники, осуществляющие обработку и имеющие доступ к данным, обязаны соблюдать требования законодательства. 7.6. Работники обязаны не допускать разглашения данных, ставших им известными в связи со служебными обязанностями. Это обязательство действует и после прекращения ими деятельности, кроме случаев, установленных законом. 7.7. Лица, нарушившие требования Закона Украины «О защите персональных данных», несут ответственность согласно законодательству Украины. 7.8. Данные не должны храниться дольше, чем это необходимо для цели их хранения, и не дольше срока, определенного согласием субъекта.

8. Права субъекта персональных данных 8.1. Субъект имеет право:

  • знать о местонахождении базы, ее назначении, наименовании и владельце/распорядителе;

  • получать информацию об условиях предоставления доступа, включая информацию о третьих лицах;

  • на доступ к своим персональным данным;

  • получать ответ о хранении своих данных не позднее чем за 30 календарных дней, а также получать их содержание;

  • предъявлять мотивированное требование с возражением против обработки своих данных госорганами;

  • предъявлять требование об изменении или уничтожении данных, если они обрабатываются незаконно или недостоверны;

  • на защиту своих данных от незаконной обработки, потери, искажения, а также от предоставления недостоверных сведений;

  • обращаться по вопросам защиты прав в уполномоченные госорганы;

  • применять средства правовой защиты в случае нарушения законодательства.

9. Порядок работы с запросами субъекта персональных данных 9.1. Субъект имеет право на получение любых сведений о себе без указания цели запроса (кроме установленных законом случаев). 9.2. Доступ к данным о себе осуществляется бесплатно. 9.3. Субъект подает запрос владельцу базы, в котором указываются:

  • ФИО, место жительства и реквизиты документа, удостоверяющего личность;

  • другие идентифицирующие сведения;

  • сведения о базе данных, владельце или распорядителе;

  • перечень запрашиваемых данных. 9.4. Срок изучения запроса не превышает 10 рабочих дней, в течение которых владелец уведомляет об удовлетворении или отказе (с обоснованием). 9.5. Запрос удовлетворяется в течение 30 календарных дней с момента поступления, если иное не предусмотрено законом.

10. Государственная регистрация базы персональных данных 10.1. Государственная регистрация баз персональных данных осуществляется в соответствии со статьей 9 Закона Украины «О защите персональных данных».