Общие положения
Политика обработки персональных данных (далее – Политика) разработана в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Граждан-ским кодексом Российской Федерации, Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – ФЗ-152), постанов-лением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите пер-сональных данных при их обработке в информационных системах персональных данных», Федеральным законом от 13 марта 2006 года №38-ФЗ «О рекламе» иными федеральными за-конами и нормативно-правовыми актами Российской Федерации в области персональных данных, руководящими и методическими документами ФСТЭК России и ФСБ России.
Настоящая Политика определяет порядок обработки персональных данных и меры по обеспе-чению конфиденциальности персональных данных в ООО «Международное Конгрессное Агентство 105613, Москва г, Измайловское шоссе, дом № 71, строение 8, помещение XIII, этаж 2, комната 1 ИНН 7719444664 КПП 771901001 (далее – Оператор) с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Настоящая Политика распространяется на ПДн, которые получены как до, так и после утвер-ждения настоящей Политики.
В Политике используются следующие основные понятия:
• автоматизированная обработка персональных данных – обработка персональных дан-ных с помощью средств вычислительной техники;
• блокирование персональных данных - временное прекращение обработки персональ-ных данных (за исключением случаев, если обработка необходима для уточнения пер-сональных данных);
• информационная система персональных данных - совокупность содержащихся в базах данных персональных данных, и обеспечивающих их обработку информационных технологий и технических средств;
• обезличивание персональных данных - действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персо-нальных данных конкретному субъекту персональных данных;
• обработка персональных данных - любое действие (операция) или совокупность дей-ствий (операций), совершаемых с использованием средств автоматизации или без ис-пользования таких средств с персональными данными, включая сбор, запись, система-тизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, ис-пользование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• оператор - государственный орган, муниципальный орган, юридическое или физиче-ское лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обра-ботки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• персональные данные – любая информация, относящаяся к прямо или косвенно опре-деленному или определяемому физическому лицу (субъекту персональных данных), т.е. к такой информации, в частности, относятся: ФИО, год, месяц, дата и место рож-дения, адрес, сведения о семейном, социальном, имущественном положении, сведения об образовании, профессии, доходах, номер телефона, адрес электронной почты для связи, а также другая информация;
• предоставление персональных данных – действия, направленные на раскрытие персо-нальных данных определенному лицу или определенному кругу лиц;
• распространение персональных данных - действия, направленные на раскрытие пер-сональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персо-нальным данным каким-либо иным способом;
• уничтожение персональных данных - действия, в результате которых невозможно вос-становить содержание персональных данных в информационной системе персональ-ных данных и (или) результате которых уничтожаются материальные носители персо-нальных данных;
• Компания обязана опубликовать или иным образом обеспечить неограниченный до-ступ к настоящей Политике обработки персональных данных в соответствии с ч. 2 ст. 18.1. ФЗ152.
ПРИНЦИПЫ, УСЛОВИЯ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Принципы обработки персональных данных
Обработка персональных данных у Оператора осуществляется на основе следующих принци-пов:
• законности и справедливой основы;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• ПДн не раскрываются третьим лицам и не распространяются без согласия субъекта ПДн, за исключением случаев, требующих раскрытия ПДн по запросу уполномочен-ных государственных органов либо суда;
• - определение конкретных законных целей до начала обработки (в т.ч. сбора) ПДн;
• - ведется сбор только тех ПДн, которые являются необходимыми и достаточными для заявленной цели обработки;
• недопущения обработки персональных данных, несовместимой с целями сбора персо-нальных данных;
• обработки только тех персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
• недопустимости обработки персональных данных, избыточных по отношению к заяв-ленным целям их обработки;
• обеспечения точности, достаточности и актуальности персональных данных по отно-шению к целям обработки персональных данных;
• уничтожения либо обезличивания персональных данных по достижении целей их об-работки или в случае утраты необходимости в достижении этих целей, при невозмож-ности устранения Оператором допущенных нарушений персональных данных, если иное не предусмотрено федеральным законом.
• Оператор вправе поручить обработку ПДн третьим лицам с согласия субъекта ПДн, на основании заключаемого с этими лицами договора.
• Лица, осуществляющие обработку ПДн на основании заключаемого с Оператором до-говора (поручения Оператора), обязуются соблюдать принципы и правила обработки и защиты ПДн, предусмотренных действующим законодательством. Для каждого третье-го лица в договоре определяется перечень действий с ПДн, которые будут совершаться третьим лицом, осуществляющим обработку ПДн, цели обработки, устанавливается обязанность такого лица соблюдать конфиденциальность и обеспечивать безопасность ПДн при их обработке, указывается обязанность защиты ПДн.
Цели обработки персональных данных
Персональные данные обрабатываются Оператором в следующих целях:
1) осуществление и выполнение возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей, в частности:
— выполнение требований законодательства в сфере труда и налогообложения, пенсион-ного законодательства РФ;
— ведение текущего бухгалтерского и налогового учёта, формирование, изготовление и своевременная подача бухгалтерской, налоговой и статистической отчётности;
– ведения переговоров, заключение и исполнения договоров, по которым предоставляют-ся ПДн работников того юридического лица для целей исполнения договора по различ-ным направления хозяйственной деятельности оператора ПДн;
– заключения договоров и исполнения заключенных договоров;
– предоставления информации по товарам/услугам, проходящим акциям и специальным предложениям;
– улучшению качества обслуживания;
— выполнение требований законодательства по определению порядка обработки и защи-ты ПДн граждан, являющихся клиентами, контрагентами или участниками мероприятий, проводимых ООО «Московское Конгрессное Бюро» (далее – субъекты персональных дан-ных).
2) осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;
3) в иных законных целях.
Правовое основание обработки персональных данных
Обработка ПДн осуществляется на основе следующих федеральных законов и нормативно-правовых актов:
1) Конституции Российской Федерации;
2) Трудового кодекса Российской Федерации в действующей редакции;
3) Гражданского кодекса в действующей редакции;
4) Налогового кодекса в действующей редакции;
5) Семейного кодекса в действующей редакции;
6) Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
7) Федерального закона от 01.04.1996 №27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»,
8) Федерального закона от 28.03.1998 г. №53-ФЗ «О воинской обязанности и военной служ-бе»;
9) Федерального закона от 26.02.1997 г. №31-ФЗ «О мобилизационной подготовке и мобили-зации в Российской Федерации»;
10) Федерального закона от 07.02.1992 №2300-1«О защите прав потребителей»;
11) Федерального закона от 06.12.2011 г. №402-ФЗ «О бухгалтерском учете»;
12) Федерального закона от 29.11.2010 г. № 326-ФЗ «Об обязательном медицинском страхо-вании в Российской Федерации»;
13) Федерального закона «Об информации, информационных технологиях и о защите инфор-мации» от 27.07.2006 N 149-ФЗ;
14) Положения об особенностях обработки персональных данных, осуществляемой без ис-пользования средств автоматизации. Утверждено постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687;
15) Постановления от 1 ноября 2012 г. N 1119 об утверждении требований к защите персо-нальных данных при их обработке в информационных системах персональных данных;
16) Приказа ФСТЭК России № 151, ФСБ России № 786, Мининформсвязи России № 461 от 31 декабря 2013 г. «Об утверждении Порядка проведения классификации информационных си-стем персональных данных»;
17) Приказа ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержа-ния организационных и технических мер по обеспечению безопасности персональных дан-ных при их обработке в информационных системах персональных данных»;
18) Приказа Роскомнадзора от 05 сентября 2013 г. № 996 «Об утверждении требований и ме-тодов по обезличиванию персональных данных»;
19) Приказа ФНС от 30 октября 2015 г. № ММВ-7-11/485@ «Об утверждении формы сведе-ний о доходах физического лица, порядка заполнения и формата ее предоставления в элек-тронной форме»;
20) Иных нормативно-правовых актов Российской Федерации и нормативных документов уполномоченных органов государственной власти.
Обработка ПДн осуществляется Оператором также на основании Устава и иными локальны-ми актами Оператора ПДн, договоров, заключаемых между Оператором и субъектами ПДн, согласий на обработку ПДн (в случаях, прямо не предусмотренных законодательством Рос-сийской Федерации, но соответствующих полномочиям Оператора).
Условия обработки персональных данных
Оператор производит обработку персональных данных при наличии хотя бы одного из сле-дующих условий:
• обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
• обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
• обработка персональных данных необходима для осуществления правосудия, испол-нения судебного акта, акта другого органа или должностного лица, подлежащих ис-полнению в соответствии с законодательством Российской Федерации об исполни-тельном производстве;
• обработка персональных данных необходима для исполнения договора, стороной ко-торого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта пер-сональных данных или договора, по которому субъект персональных данных будет яв-ляться выгодоприобретателем или поручителем;
• обработка персональных данных необходима для осуществления прав и законных ин-тересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
• осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее - общедоступные персональные данные);
• осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
Конфиденциальность персональных данных
Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональ-ных данных, если иное не предусмотрено федеральным законом.
Общедоступные источники персональных данных
В целях информационного обеспечения у Оператора могут создаваться общедоступные ис-точники персональных данных субъектов персональных данных, в том числе справочники и адресные книги. В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, дата и место рождения, должность, номера контактных телефонов, адрес электронной почты и иные пер-сональные данные, сообщаемые субъектом персональных данных.
Сведения о субъекте персональных данных должны быть в любое время исключены из обще-доступных источников персональных данных по требованию субъекта персональных данных, уполномоченного органа по защите прав субъектов персональных данных либо по решению суда.
Специальные категории персональных данных
Обработка Оператором специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается в случаях, если:
• субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
• персональные данные сделаны общедоступными субъектом персональных данных;
• обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодатель-ством Российской Федерации о пенсиях по государственному пенсионному обеспече-нию, о трудовых пенсиях;
• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
• обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
• обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществле-нием правосудия;
• обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.
• Обработка специальных категорий персональных данных, осуществлявшаяся в случа-ях, предусмотренных пунктом 4 статьи 10 ФЗ-152 должна быть незамедлительно пре-кращена, если устранены причины, вследствие которых осуществлялась их обработка, если иное не установлено федеральным законом.
• Обработка персональных данных о судимости может осуществляться Оператором ис-ключительно в случаях и в порядке, которые определяются в соответствии с федераль-ными законами.
Биометрические персональные данные
Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность - биометрические персональные дан-ные - могут обрабатываться Оператором только при наличии согласия субъекта персональных данных в письменной форме.
Поручение обработки персональных данных другому лицу
Оператор вправе поручить обработку персональных данных другому лицу с согласия субъек-та персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных дан-ных по поручению Оператора, обязано соблюдать принципы и правила обработки персо-нальных данных, предусмотренные ФЗ-152 и настоящей Политикой.
Обработка персональных данных граждан Российской Федерации
В соответствии со статьей 2 Федерального закона от 21 июля 2014 года N 242-ФЗ «О внесе-нии изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных се-тях» при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", оператор обязан обеспечить запись, систематиза-цию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на тер-ритории Российской Федерации, за исключением случаев:
обработка персональных данных необходима для достижения целей, предусмотренных меж-дународным договором Российской Федерации или законом, для осуществления и выполне-ния возложенных законодательством Российской Федерации на оператора функций, полно-мочий и обязанностей;
обработка персональных данных необходима для осуществления правосудия, исполнения су-дебного акта, акта другого органа или должностного лица, подлежащих исполнению в соот-ветствии с законодательством Российской Федерации об исполнительном производстве (да-лее - исполнение судебного акта);
обработка персональных данных необходима для исполнения полномочий федеральных ор-ганов исполнительной власти, органов государственных внебюджетных фондов, исполни-тельных органов государственной власти субъектов Российской Федерации, органов местно-го самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ «Об организации предоставления государственных и муниципаль-ных услуг», включая регистрацию субъекта персональных данных на едином портале госу-дарственных и муниципальных услуг и (или) региональных порталах государственных и му-ниципальных услуг;
обработка персональных данных необходима для осуществления профессиональной деятель-ности журналиста и (или) законной деятельности средства массовой информации либо науч-ной, литературной или иной творческой деятельности при условии, что при этом не наруша-ются права и законные интересы субъекта персональных данных.
ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
Согласие субъекта персональных данных на обработку его персональных данных
Субъект персональных данных принимает решение о предоставлении его персональных дан-ных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
Права субъекта персональных данных
Субъект персональных данных имеет право на получение у Оператора информации, касаю-щейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если пер-сональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать преду-смотренные законом меры по защите своих прав.
Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с субъектом персональных данных (потенциальным потре-бителем) с помощью средств связи, а также в целях политической агитации допускается толь-ко при условии предварительного согласия субъекта персональных данных.
Оператор обязан немедленно прекратить по требованию субъекта персональных данных об-работку его персональных данных в вышеуказанных целях.
Субъект ПДн вправе принимать предусмотренные законом меры по защите своих прав путем направления запроса о прекращении обработки своих ПДн. Запрос должен содержать ФИО субъекта ПДн либо его представителя, номер основного документа, удостоверяющего лич-ность субъекта персональных данных или его представителя, сведения о дате выдачи указан-ного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персо-нальных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом под-тверждающие факт обработки персональных данных Оператором, информацию для обратной связи с целью направления ответа на запрос подпись субъекта персональных данных или его представителя, подпись субъекта ПДн или его представителя. Запрос может быть направлен в форме электронного документа, в таком случае он должен быть подписан электронной под-писью в соответствии с законодательством Российской Федерации. Письменный запрос направляется Оператору по адресу: 125047, г. Москва, ул. 4-Я Тверская-Ямская, дом № 24, помещение I,К 7. После получения такого уведомления, запроса обработка ПДн пользователя будет прекращена, а его ПДн будут удалены, за исключением случаев, когда обработка может быть продолжена в соответствии с действующим законодательством.
Запрещается принятие на основании исключительно автоматизированной обработки персо-нальных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных федеральными законами, или при наличии согласия в письменной форме субъекта персональных данных.
Если субъект персональных данных считает, что Оператор осуществляет обработку его пер-сональных данных с нарушением требований ФЗ-152 или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Опера-тора в Уполномоченный орган по защите прав субъектов персональных данных или в судеб-ном порядке.
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда.
ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализа-цией правовых, организационных и технических мер, необходимых для обеспечения требо-ваний федерального законодательства в области защиты персональных данных.
Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно-технические меры:
• назначение должностных лиц, ответственных за организацию обработки и защиты персональных данных;
• ограничение состава лиц, допущенных к обработке персональных данных;
• ознакомление субъектов с требованиями федерального законодательства и норматив-ных документов Оператора по обработке и защите персональных данных;
• организация учета, хранения и обращения носителей, содержащих информацию с пер-сональными данными;
• определение угроз безопасности персональных данных при их обработке, формирова-ние на их основе моделей угроз;
• разработка на основе модели угроз системы защиты персональных данных;
• использование средств защиты информации, прошедших процедуру оценки соответ-ствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз;
• проверка готовности и эффективности использования средств защиты информации;
• разграничение доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации;
• регистрация и учет действий пользователей информационных систем персональных данных;
• использование антивирусных средств и средств восстановления системы защиты пер-сональных данных;
• применение в необходимых случаях средств межсетевого экранирования, обнаруже-ния вторжений, анализа защищенности и средств криптографической защиты инфор-мации;
• организация пропускного режима на территорию Оператора, охраны помещений с техническими средствами обработки персональных данных.
ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Иные права и обязанности Оператора в связи с обработкой персональных данных определя-ются законодательством Российской Федерации в области персональных данных.
Контроль за исполнением требований настоящей Политики, а также за безопасностью и за-щитой ПДн осуществляется лицами, ответственными за организацию обработки ПДн Опера-тором.
Работники Оператора, виновные в нарушении норм, регулирующих обработку и защиту пер-сональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными закона-ми.