Правила обработки и защиты персональных данных в базах данных личных данных, находящихся в собственности продавца


Содержание
Общие понятия и сфера охвата
Список баз личных данных
Цель обработки персональных данных
Процедура обработки персональных данных: получение согласия, уведомление о правах и действиях с персональными данными субъекта личных данных
Местонахождение базы персональных данных
Условия предоставления информации о персональных данных третьим лицам
Защита персональных данных: методы защиты, ответственный, сотрудники, которые непосредственно обрабатывают личные данные и/или имеют доступ к ним в связи с выполнением своих служебных обязанностей, срок хранения личных данных
Права субъекта персональных данных
Процедура работы с запросами от субъекта персональных данных
Государственная регистрация базы личных данных

 


1. Общие понятия и сфера охвата
1.1. Определение терминов:

база персональных данных - это сбор заказанных персональных данных в электронной форме и/или в виде файлов персональных данных;

ответственное лицо - это назначенное лицо, которое организует работу, связанную с защитой персональных данных при их обработке, в соответствии с законом;

ответственный за личные данные - физическое или юридическое лицо, которому закон или с согласия субъекта персональных данных предоставило право на обработку этих данных, которое утверждает цель обработки персональных данных в этой базе, устанавливает состав этих данных и процедуры их обработки, если иное не предусмотрено законом;

Государственный реестр личных баз данных - единственная государственная информационная система для сбора, накопления и обработки информации о зарегистрированных личных базах данных;

общедоступные источники личных данных - каталоги, адресные книги, реестры, списки, каталоги, другие систематизированные сборники открытой информации, которые содержат личные данные, размещенные и опубликованные с ведома субъекта персональных данных. Социальные сети и интернет-ресурсы, в которых субъект личных данных оставляет свои персональные данные, не считаются общедоступными источниками личных данных. (за исключением случаев, когда субъект персональных данных прямо заявляет, что личные данные публикуются для целей их бесплатного распространения и использования);

согласие субъекта персональных данных - любое документированное, добровольное выражение воли физического лица предоставить разрешение на обработку его персональных данных в соответствии с сформулированной целью их обработки;

деперсонализация личных данных - извлечение информации, которая позволяет идентифицировать лицо;

обработка персональных данных - любое действие или набор действий, выполняемых полностью или частично в информационной (автоматизированной) системе и/или в файлах личных данных, которые связаны с сбором, регистрацией, накоплением, хранением, адаптацией, изменением, продлением, использованием и распространением (распространение, реализация, передача), деперсонализация, уничтожение информации о физическом лице;

персональные данные - информация или набор информации о физическом лице, которое идентифицировано или может быть конкретно идентифицировано;
управляющий базой персональных данных - физическое или юридическое лицо, которому предоставлено право на обработку этих данных владельцем базы персональных данных или законом. Лицо, которому ответственным и/или управляющим личной базой данных поручено выполнение технической работы с личной базой данных без доступа к содержимому личных данных, не является управляющим личной базой данных;

субъект персональных данных - физическое лицо, в отношении которого его персональные данные обрабатываются в соответствии с законом;

третье лицо - любое лицо, за исключением субъекта личных данных, владельца или администратора базы личных данных и уполномоченного государственного органа по защите личных данных, которому владелец или администратор базы персональных данных передает персональные данные в соответствии с законом;

специальные категории данных - персональные данные о расовом или этническом происхождении, политических, религиозных или мировоззрительных убеждениях, членстве в политических партиях и профсоюзах, а также данные, касающиеся здоровья или сексуальной жизни.

1.2. Настоящий регламент является обязательным для применения ответственным лицом и сотрудниками продавца, которые непосредственно обрабатывают персональные данные и/или имеют доступ к ним в связи с выполнением своих служебных обязанностей.

 

2. Список баз личных данных
2.1. Продавец является владельцем следующих баз персональных данных:

  • база персональных данных контрагентов.

 


3. Цель обработки персональных данных
3.1. Целью обработки персональных данных в системе является обеспечение реализации гражданских юридических отношений, предоставления, получения и расчёта приобретённых товаров и услуг в соответствии с Налоговым кодексом Украины, Законом Украины «О бухгалтерском учете и финансовой отчетности в Украине».

 

4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действиях с персональными данными субъекта личных данных
4.1. Согласие субъекта личных данных должно быть добровольным выражением желания физического лица дать разрешение на обработку его личных данных в соответствии с сформулированной целью их обработки.

4.2. Согласие субъекта личных данных может быть дано в следующих формах:

  • документ в бумажной форме с подробными сведениями, позволяющими идентифицировать этот документ и лицо;
  • электронный документ, который должен содержать обязательные сведения, позволяющие идентифицировать этот документ и физическое лицо. Необходимо подтвердить добровольное желание физического лица дать разрешение на обработку его личных данных с помощью электронной подписи субъекта персональных данных;
  • маркировка на электронной странице документа или в электронном файле, обработанном в информационной системе на основе документально подтвержденного программного обеспечения и технических решений.

4.3. Согласие субъекта, которому принадлежат личные данные, предоставляется при регистрации гражданских юридических отношений в соответствии с действующим законодательством.
4.4. Уведомление субъекта персональных данных о включении его персональных данных в базу данных, права, определенные Законом Украины «О защите личных данных», цель сбора данных и лица, которым передаются его личные данные, осуществляются в ходе регистрации гражданских юридических отношений в соответствии с действующим законодательством.

4.5. Запрещается обработка персональных данных о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профсоюзах, а также данных, касающихся здоровья или сексуальной жизни (специальные категории данных).

 

5. Местоположение базы личных данных
5.1. Базы персональных данных, указанные в разделе 2 настоящих Правил, находятся по адресу продавца.

 

6. Условия предоставления информации о персональных данных третьим лицам
6.1. Процедура доступа к личным данным третьих лиц определяется условиями согласия субъекта персональных данных, предоставленного владельцу персональных данных для обработки этих данных или в соответствии с требованиями закона.

6.2. Доступ к личным данным не предоставляется третьему лицу, если указанное лицо отказывается выполнять обязательства по обеспечению соблюдения требований Закона Украины «О защите персональных данных» или не может предоставить их.

6.3. Субъект отношений, связанных с персональными данными, подает запрос на доступ (далее - запрос) к персональным данным ответственному за персональные данные.

6.4 В запросе должно быть указано:

  • фамилия, имя и отчество, место жительства (место пребывания) и сведения о документе, подтверждающем статус физического лица, подающего запрос (для физического лица - заявителя);
  • имя, местоположение юридического лица, подающего запрос, должность, фамилия, имя и отчество лица, заверяющего запрос; подтверждение того, что содержание запроса соответствует полномочиям юридического лица (для юридического лица - заявителя);
  • фамилия, имя и отчество, а также другая информация, которая позволяет идентифицировать физическое лицо, в отношении которого подается запрос;
  • информацию о базе персональных данных, по которой подается запрос, или информацию об владельце или управляющем этой базой персональных данных;
  • список запрошенных персональных данных;
  • цель и/или юридическое основание для запроса.

6.5. Срок рассмотрения запроса на его удовлетворение не может превышать десять рабочих дней с даты его получения. В течение этого периода владелец базы персональных данных информирует лицо, подавшее запрос, о том, что запрос будет удовлетворен или соответствующие персональные данные не подлежат предоставлению, указывая основание, указанное в соответствующем нормативном акте. Запрос удовлетворяется в течение тридцати календарных дней с даты его получения, если иное не предусмотрено законом.

6.6. Отсрочка доступа к личным данным третьих лиц допускается, если необходимые данные не могут быть предоставлены в течение тридцати календарных дней с даты получения запроса. В то же время общий срок для решения вопросов, поднятых в запросе, не может превышать сорока пять календарных дней.
6.7. Уведомление об отсрочке доводится до сведения третьей стороны, которая представила письменное ходатайство с разъяснением процедуры обжалования такого решения.

6.8. В уведомлении об отсрочке должно быть указано:

фамилия, имя и отчество сотрудника;
дата отправки сообщения;
причина переноса;
период, в течение которого будет удовлетворена просьба.
6.9. Отказ в доступе к личным данным допускается, если доступ к ним запрещен законом.

6.10. В уведомлении об отказе указывается:

  • фамилия, имя, отчество чиновника, отказывающего в доступе;
  • дата отправки сообщения;
  • причина отказа.

6.11. Решение о переносе или отказе в доступе к личным данным может быть обжаловано в суде.

 

7. Защита персональных данных: методы защиты, ответственный, сотрудники, которые непосредственно обрабатывают личные данные и/или имеют доступ к ним в связи с выполнением своих служебных обязанностей, срок хранения личных данных
7.1. Владелец базы личных данных оснащен системой, программным обеспечением и средствами связи, которые предотвращают потери, кражи, несанкционированное уничтожение, искажение, подделку, копирование информации и соответствуют требованиям международных и национальных стандартов.
7.2. Ответственный организует работу, связанную с защитой персональных данных при их обработке, в соответствии с законом. Ответственное лицо определяется по распоряжению Владельца базы персональных данных.

Обязанности ответственного в связи с организацией работы, связанной с защитой персональных данных при их обработке, должны быть указаны в описании должности.

7.3. Ответственное лицо обязано:

  • знать законодательство Украины в области защиты персональных данных;
  • разработать процедуры доступа к личным данным сотрудников в соответствии с их профессиональными, служебными или рабочими обязанностями;
  • обеспечить соблюдение сотрудниками Ответственного за базу персональных данных требований законодательства Украины в области защиты личных данных и внутренних документов, регулирующих деятельность Ответственного за базу персональных данных в отношении обработки и защиты персональные данные в базах личных данных;
  • разработать процедуру (процедуру) для внутреннего контроля за соблюдением требований законодательства Украины в области защиты персональных данных и внутренних документов, регулирующих деятельность Владельца базы личных данных в отношении обработки и защиты персональных данных в базах данных, , которые, в частности, должны содержать нормы относительно периодичности такого контроля;
  • уведомить Владельца базы личных данных о фактах нарушений сотрудниками требований законодательства Украины в области защиты личных данных и внутренних документов, регулирующих деятельность Владельца базы личных данных относительно обработки и защита личных данных в базах персональных данных не позднее чем на один рабочий день с момента обнаружения таких нарушений;
  • обеспечить хранение документов, подтверждающих согласие субъекта на обработку его персональных данных и уведомление конкретного субъекта о его правах.

7.4. Для выполнения своих обязанностей ответственное лицо имеет право:

  • получить необходимые документы, включая заказы и другие административные документы, выданные Владельцем базы данных личного характера, связанные с обработкой персональных данных;
  • делать копии из полученных документов, включая копии файлов, любых записей, хранящихся в местных вычислительных сетях и автономных компьютерных системах;
  • участвовать в обсуждении выполненных им обязанностей по организации работы, связанной с защитой персональных данных при их обработке;
  • представить предложения по совершенствованию деятельности и методов работы, представить замечания и варианты устранения выявленных недостатков в процессе обработки персональных данных;
  • получить разъяснения по вопросам обработки персональных данных;
  • подписать и оформить визу в пределах вашей компетенции.

7.5. Сотрудники, непосредственно обрабатывающие личные данные и/или имеющие доступ к ним в связи с выполнением своих служебных (трудовых) обязанностей, обязаны соблюдать требования украинского законодательства в области защиты личных данных и внутренних документов, относительно обработки и защиты персональных данных в базах личных данных.

7.6. Работники, имеющие доступ к личным данным, включая тех, кто их обрабатывает, обязаны не допускать раскрытия каким-либо образом личных данных, которые были им доверены или которые стали известны в связи с выполнением профессиональных, служебных или трудовых обязанностей. Такое обязательство действует после прекращения их деятельности, связанной с персональными данными, за исключением случаев, установленных законом.

7.7. Лица, имеющие доступ к личным данным, в том числе осуществляющие их обработку в случае нарушения ими требований Закона Украины «О защите персональных данных», несут ответственность в соответствии с законодательством Украины.

7.8. Личные данные не должны храниться дольше, чем это необходимо для достижения цели, для которой они хранятся, но в любом случае не дольше срока хранения данных, определенного согласием субъекта персональных данных на обработку этих данных.


8. Права субъекта персональных данных
8.1. Субъект персональных данных имеет право:

  • ознакомиться с местонахождением базы личных данных, содержащей его персональные данные, ее целью и именем, местоположением и/или местом жительства (резиденцией) владельца или управляющего этой базой данных или дать соответствующие инструкции для получения этой информации уполномоченным им лицам, за исключением случаев, установленных законом;
  • получить информацию об условиях предоставления доступа к личным данным, в частности информацию о третьих лицах, которым передаются его личные данные, содержащиеся в соответствующей базе данных;
  • на доступ к их личным данным, содержащимся в соответствующей базе персональных данных;
  • получить не позднее чем в течение тридцати календарных дней с даты получения запроса, за исключением случаев, предусмотренных законом, ответ о том, хранятся ли его персональные данные в соответствующей личной базе данных, а также получить содержание его персональных данных, которые хранятся;
  • сделать обоснованный запрос с возражением против обработки их персональных данных государственными органами, органами местного самоуправления в порядке осуществления своих полномочий, предусмотренных законом;
  • предъявить обоснованное требование об изменении или уничтожении ваших личных данных любым владельцем и администратором этой базы данных, если эти данные обрабатываются незаконно или являются ненадежными;
  • защитить ваши личные данные от незаконного обработки и случайной утраты, уничтожения, повреждения в связи с умышленным сокрытием, непредоставлением или несвоевременным предоставлением, а также от предоставления информации, которая является ненадежной или оскорбляет честь, достоинство и деловая репутация человека;
  • требовать защиты прав человека в отношении личных данных от государственных органов, органов местного самоуправления, полномочия которых включают защиту личных данных;
  • применять средства правовой защиты в случае нарушения законодательства о защите персональных данных.


9. Процедура обработки запросов, поступающих от субъекта персональных данных
9.1. Субъект личных данных имеет право получать любую информацию о себе от любого лица, связанного с личными данными, без указания цели запроса, за исключением случаев, установленных законом.

9.2. Субъект личных данных имеет доступ к данным о себе бесплатно.

9.3. Субъект персональных данных подает запрос на доступ (далее - запрос) к личным данным ответственному за базу данных.

В запросе должно быть указано:

  • фамилия, имя и отчество, место жительства (место пребывания) и сведения о документе, подтверждающем личность субъекта персональных данных;
  • другие сведения, позволяющие идентифицировать субъекта персональных данных;
  • информация о базе персональных данных, для которой подается запрос, или информация об владельце или руководителе этой базы данных;
  • список запрошенных личных данных.

9.4. Срок рассмотрения запроса на его удовлетворение не может превышать десять рабочих дней с даты его получения. В течение этого периода владелец базы персональных данных информирует субъекта личных данных о том, что запрос будет удовлетворен или соответствующие персональные данные не могут быть предоставлены, указывая основание, определенное в соответствующем юридическом акте.

9.5. Запрос удовлетворяется в течение тридцати календарных дней с даты его получения, если иное не предусмотрено законом.

 

10. Государственная регистрация базы личных данных
10.1. Государственная регистрация баз персональных данных осуществляется в соответствии со статьей 9 Закона Украины «О защите личных данных».