Утверждены приказом от 20.06.2014 № 5
ПРАВИЛА ОБРАБОТКИ, ПЕРЕДАЧИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
КЛИЕНТОВ АГЕНТСТВА "СОВРЕМЕННИКИ"
1. Общие положения
1.1. Настоящие Правила обработки, передачи и хранения персональных данных клиентов Агентства «Современники» (далее по тексту – Правила) разработаны в соответствии с:
Конституцией Российской Федерации (статья 24);
Трудовым Кодексом Российской Федерации (глава 14);
Федеральным законом Российской Федерации от 27.07.2006 г. №152-ФЗ «О персональных данных»;
Федеральным законом от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;
Постановлением Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
1.2. Цель разработки документа – определение порядка обработки, передачи и хранения персональных данных Клиентов; обеспечение защиты прав и свобод Клиентов при обработке их персональных данных, установление ответственности сотрудников Агентства, имеющих доступ к персональным данным Клиентов, за невыполнение норм и правил, регулирующих обработку и защиту персональных данных.
1.3. Порядок ввода в действие и изменения настоящих Правил.
1.3.1. Настоящие Правила вступают в силу с момента их утверждения приказом директора Агентства «Современники» и действуют бессрочно, до замены их новыми Правилами.
1.3.2. Все изменения в Правила вносятся в порядке, аналогичном их утверждению.
2. Основные понятия
2.1. Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу. Персональные данные, обрабатываемые в Агентстве, относятся к сведениям конфиденциального характера.
2.2. Персональные данные Клиента – персональные данные физического лица, вступившего в гражданско-правовые отношения с Агентством путем заключения договора возмездного оказания услуг.
2.3. Соблюдение конфиденциальности персональных данных Клиента – обязанность сотрудников Агентства не раскрывать третьим лицам и не распространять персональные данные без письменного согласия Клиента, если иное не предусмотрено федеральным законом.
2.4. Обработка персональных данных Клиента – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, уничтожение персональных данных.
3. Основные условия проведения обработки персональных данных
3.1. Содержание персональных данных Клиента, обрабатываемых в Агентстве:
- личная информация – фамилия, имя, отчество; дата, место рождения; адрес прописки, проживания; состояние здоровья; семейное положение; социальные гарантии и компенсации;
- информация об образовании (профессиональной подготовке) – общее образование (основное и дополнительное), профессиональное образование (основное и дополнительное);
- информация о трудовой деятельности – опыт трудовой деятельности (временной период, место работы, должность (профессия, вид деятельности), основные трудовые обязанности и достижения, средний доход, траектория профессионального развития);
- запросы и предпочтения в области трудовой деятельности, поиска вакансий, профессионального развития;
- данные психолого-социологических исследований (диагностирования, тестирования, анкетирования и др.), проведенных по письменному согласию Клиента, а также результаты обработки таких данных.
3.2. Перечень документов, в которых содержатся сведения, составляющие персональные данные Клиента, обрабатываемые в Агентстве:
- документы, предъявляемые лицом при заключении трудового договора (паспорт или документ, удостоверяющий личность; трудовая книжка; страховое свидетельство государственного пенсионного страхования; документы воинского учета; документ об образовании);
- документы о составе семьи, необходимые для предоставления гарантий и компенсаций, предусмотренных законодательством РФ (например: свидетельство о заключении брака, свидетельство о рождении детей);
- документы о состоянии здоровья детей и других близких родственников (например: справки об инвалидности), когда с наличием таких документов связано предоставление работнику каких-либо гарантий и компенсаций, предусмотренных законодательством РФ;
- документы, подтверждающие право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренным законодательством РФ (например: справки об инвалидности, ограничении к труду в определенных условиях, донорстве, нахождении в зоне воздействия радиации в связи с аварией на Чернобыльской АЭС и т.п.);
- документы, оформляемые в Агентстве в целях оказания услуг Клиенту (анкета Клиента, заявка на услуги, договор возмездного оказания услуг), в том числе документы об оплате услуг Агентства по договору;
- материалы психолого-социологических исследований (анкеты, тесты и др.).
3.3. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, не допускается
3.4. При обработке персональных данных Агентство гарантирует Клиентам:
- законность целей и способов обработки персональных данных;
- соответствие объема и характера обрабатываемых персональных данных, способов их обработки целям обработки персональных данных;
- недопустимость обработки персональных данных, избыточных по отношению к заявленным при их сборе целям;
- защиту персональных данных от неправомерного доступа, использования их или утраты.
3.5. Клиенты Агентства не должны отказываться от своих прав на сохранение и защиту тайны.
3.6 Обработка персональных данных осуществляется после получения согласия Клиента. Обработка персональных данных Клиента может осуществляться без его согласия в случае необходимости защиты жизни, здоровья или иных жизненно важных интересов Клиента, если получение согласия Клиента невозможно.
3.7. Согласие на обработку персональных данных Клиент дает письменно и под личную подпись путем соответствующей записи в документе на бумажном носителе, который фиксирует правовые отношения между Клиентом и Агентством (договор возмездного оказания услуг, заявка на оказание услуг, анкета Клиента) и в котором содержатся следующие данные:
- фамилия, имя, отчество, контактные данные, подпись Клиента;
- наименование и контактные данные Агентства, фамилию, имя, отчество директора, а также сотрудника Агентства, принявшего данные документы;
- цель обработки персональных данных;
- перечень персональных данных, а также действий с персональными данными, на обработку которых дается согласие Клиента;
- срок, в течение которого действует согласие Клиента, а также способ его отзыва.
3.8. Сотрудники Агентства, допущенные к обработке персональных данных Клиентов, в обязательном порядке под подпись знакомятся с требованиями настоящего Положения.
3.9. Сотрудникам Агентства запрещается:
- обрабатывать персональные данные в присутствии лиц, не допущенных к их обработке;
- осуществлять ввод персональных данных под диктовку (голосовой ввод).
3.10. Ответственность за организацию обработки персональных данных Клиентов
3.10.1. Лицо, ответственное за организацию в Агентстве работы с персональными данными Клиентов (далее – Ответственное лицо), назначается приказом директора Агентства.
3.10.2. Ответственное лицо осуществляет взаимодействие по данному вопросу непосредственно с директором Агентства и подотчетно ему.
3.10.3. Ответственное лицо обязано:
- осуществлять информирование сотрудников Агентства и внутренний контроль соблюдения законодательства Российской Федерации, настоящих Правил и иных локальных актов Агентства по вопросам защиты персональных данных;
- осуществлять контроль за приемом и обработкой обращений и запросов Клиентов или их представителей по вопросам защиты персональных данных.
3.11. Доступ к персональным данным Клиентов.
3.11.1. Сотрудники Агентства получают доступ к персональным данным Клиентов исключительно в объеме, необходимом для выполнения своих должностных обязанностей.
3.11.2. Список сотрудников Агентства, имеющих доступ к персональным данных Клиентов, определяется в Перечне должностей сотрудников Агентства, замещение которых предусматривает обработку персональных данных либо доступ к персональным данным Клиентов.
3.11.3. Передача персональных данных внутри Агентства осуществляется только между работниками, имеющими доступ к персональным данным Клиентов.
3.11.4. Сотрудник Агентства получает доступ к персональным данным Клиентов после ознакомления под подпись с настоящими Правилами и иными локальными нормативными документами Агентства по защите персональных данных Клиентов.
3.11.5. Клиент имеет право письменно запрашивать и получать от Агентства информацию об обработке, хранении и передаче своих персональных данных, включая право на получение копии любой записи (за исключением случаев, когда предоставление персональных данных нарушает конституционные права и свободы других лиц), содержащей его персональные данные.
3.12. Клиент имеет право в любой момент отозвать свое согласие на обработку персональных данных равно как потребовать их уничтожения; в этом случае Агентство обязано прекратить их обработку или уничтожить в срок, не превышающий тридцати дней с даты поступления указанного отзыва (требования), если иное не предусмотрено договором с Клиентом.
4. Обработка персональных данных
4.1. Обработка персональных данных Клиентов может осуществляться:
- в информационных системах персональных данных;
- без использования средств автоматизации.
4.2. Обработка персональных данных в информационных системах персональных данных
4.2.1. Обработка персональных данных в информационных системах персональных данных с использованием средств автоматизации осуществляется в соответствии с требованиями постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», иными нормативными актами.
4.2.2. Не допускается обработка персональных данных в информационных системах персональных данных с использованием средств автоматизации, если применяемые меры и средства обеспечения безопасности содержащейся в них информации не соответствуют требованиям законодательства РФ, предъявляемым к системам данного класса.
4.2.3. Обработка персональных данных с использованием средств автоматизации осуществляется в рамках информационных систем персональных данных Агентства и внешних информационных систем, предоставляемых сторонними организациями.
4.3. Обработка персональных данных, осуществляемая безиспользования средств автоматизации
4.3.1. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее - типовая форма), должны соблюдаться следующие условия:
- типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения, указанные в пункте 3.3 настоящих Правил;
- типовая форма должна предусматривать поле, в котором Клиент может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации.
4.3.2. Перечень и образцы типовых форм утверждаются приказом директора Агентства.
5. Основные этапы обработки персональных данных
5.1. Получение персональных данных
5.1.1. Агентство получает персональные данные непосредственно от Клиента или от законных его представителей, наделенных соответствующими полномочиями.
5.1.2. Клиент несет всю ответственность за достоверность предоставленных Агентству сведений о себе. Агентство имеет право проверять достоверность сведений, предоставленных Клиентом, сверяя их с имеющимися у Агентства документами.
Предоставление Клиентом подложных документов или заведомо ложных сведений является основанием для прекращения со стороны Агентства сотрудничества с Клиентом.
5.1.3. При изменении персональных данных Клиент письменно уведомляет Агентство о таких изменениях в разумный срок, не превышающий 14 дней с момента изменений.
5.1.4. Полноту предоставляемых персональных данных определяет Клиент.
Сотрудник Агентства разъясняет Клиенту последствия представления неполных данных, в том числе тех, от которых прямо зависит качество выполнения Агентством своих обязательств перед Клиентом в соответствии с договором.
Клиент имеет право в период действия согласия дополнять и/или уточнять предоставленные персональные данные.
5.1.5. В случае выявления ошибок в составе и содержании персональных данных Клиента либо неправомерной обработки персональных данных Клиентов Агентство обязано блокировать обработку таких данных с момента такого обнаружения вплоть до устранения причины блокирования.
В случае если обеспечить правомерность обработки персональных данных невозможно, Агентство в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязано уничтожить такие персональные данные.
Об устранении допущенных нарушений или об уничтожении персональных данных Агентство обязано уведомить Клиента.
5.1.6. Если персональные данные Клиента получены Агентством не от Клиента лично, а посредством традиционной почты, электронной почты, факсимильной связи, сообщения мобильной связи и по другим каналам связи, сотрудник Агентства до начала обработки таких персональных данных обязан:
- оперативно известить непосредственно Клиента о получении его персональной информации и источнике получения персональных данных;
- удостовериться в наличии письменного согласия Клиента на обработку персональных данных.
5.1.7. Агентство освобождается от обязанности информировать Клиента о получении его персональных данных в случаях, если:
- Клиент уведомлен об осуществлении обработки его персональных данных сотрудником Агентства;
- персональные данные Клиента получены Агентством из общедоступного источника;
- персональные данные сделаны Клиентом общедоступными.
5.2. Хранение персональных данных.
5.2.1. Агентство обеспечивает и несет всю ответственность за надлежащее хранение персональных данных Клиентов.
5.2.2. Хранение персональных данных Клиентов осуществляется в офисе Агентства, в специально оборудованном шкафу, в порядке, исключающем их утрату или неправомерное использование.
Персональные данные Клиентов хранятся на твердых копиях (бумажные носители), на внешних (съемных) электронных носителях и в информационной системе Агентства; все средства хранения персональных данных Клиентов, используемых в Агентстве, должны быть учтены и подвергаться инвентаризации не реже одного раза в год.
5.2.3. В целях обеспечения сохранности и конфиденциальности персональных данных Клиентов все операции по оформлению, формированию, ведению и хранению данной информации должны выполняться только сотрудниками Агентства, осуществляющими данную работу в соответствии со своими должностными обязанностями, зафиксированными в их должностных инструкциях.
5.2.4. Сотрудник Агентства, допущенный к обработке персональных данных Клиентов:
- в случае выхода из рабочего помещения не должен оставлять их открытыми на рабочем месте либо в незапертых шкафах (ящиках стола);
- по завершении работы либо в конце рабочего дня все документы, содержащие персональные данные Клиентов, должен убирать в места надлежащего хранения;
-при увольнении либо в случаях длительного отсутствия на рабочем месте обязан передать документы и иные носители, содержащие персональные данные Клиентов, сотруднику, уполномоченному приказом или распоряжением директора Агентства.
5.3. Передача персональных данных Клиента третьим лицам.
5.3.1. К внешним потребителям персональных данных Клиентов относятся:
- работодатели (юридические и физические лица);
-государственные инстанции (в соответствии с действующим законодательством России).
5.3.2. Передача персональных данных Клиента работодателям осуществляется:
- только с письменного согласия Клиента (в соответствии с договором с Клиентом);
- по каналам и средствам передачи информации, согласованным с Клиентом, при обеспечении их конфиденциальности со стороны Агентства;
- в объеме, который позволяет не разглашать излишних сведений о Клиенте.
5.3.3. Сотрудники Агентства, передающие персональные данные Клиентов третьим лицам, должны обязательно уведомлять лица, получающие эти данные, об обязанности использования полученной конфиденциальной информации лишь в целях, для которых она сообщена, и с предупреждением об ответственности за незаконное использование данной конфиденциальной информации в соответствии с законодательством РФ.
5.3.4. Учет переданных персональных данных осуществляется в рамках принятых в Агентстве правил делопроизводства путем регистрации входящей и исходящей корреспонденции.
5.4. Уничтожение персональных данных
5.4.1. Персональные данные подлежат уничтожению, если иное не предусмотрено договором с Клиентом:
- по достижении целей обработки;
- в случае утраты необходимости в их достижении;
- если невозможно обеспечить правомерность обработки персональных данных.
5.4.2. Уничтожение персональных данных Клиента осуществляется в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором с Клиентом.
5.4.3. Уничтожение персональных данных осуществляется комиссией в составе не менее трех сотрудников Агентства. По результатам уничтожения данных оформляется акт.
6. Ответственность Агентства
6.1. Все сотрудники Агентства должны быть ознакомлены под подпись с настоящими Правилами и иными локальными документами Агентства по вопросам защиты персональных данных Клиентов.
6.2. Сотрудник Агентства несет материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации за:
- нарушение настоящего Положения, выразившееся в разглашении персональных данных Клиентов, их публичного раскрытия, передачу посторонним лицам, в том числе не имеющим доступа к ним сотрудникам Агентства,
- утрату документов и иных носителей, содержащих персональные данные Клиента,
- совершение иных действий (бездействие), нарушающих конфиденциальность персональных данных Клиентов.
6.3. Сотрудник Агентства, имеющий доступ к персональным данным Клиентов, допустивший нарушение настоящих Правил и причинивший тем самым ущерб Агентству, несет полную материальную ответственность (п.7 ст.243 Трудового кодекса РФ).
6.4. В случае неправомерного использования персональных данных, Агентство может возместить Клиенту причиненный ущерб.