Положение об обработке и защите персональных данных

Общие положения

1.1. Настоящее Положение определяет цели и основания обработки персональных данных, категории субъектов и состав обрабатываемых данных, порядок их обработки, сроки хранения, меры защиты и порядок рассмотрения обращений субъектов персональных данных.

1.2. Оператор персональных данных — Индивидуальный предприниматель Окулова Евгения Константиновна, ИНН 744712477878, ОГРНИП 319745600063641, адрес: 454091, г. Челябинск, ул. Свободы, д. 185, оф. 5; электронная почта: pravo774@inbox.ru, телефон: +7 (951) 477-66-44.

1.3. Положение применяется к обработке персональных данных работников Оператора, соискателей, клиентов и их представителей, контрагентов и их представителей, посетителей сайта https://юрэксп.рф, а также иных лиц, чьи данные Оператор обрабатывает в связи со своей деятельностью.

1.4. Оператор обрабатывает персональные данные только для конкретных, заранее определённых и законных целей. Состав данных должен быть необходимым и достаточным для каждой цели; обработка избыточных данных не допускается.

1.5. Если обработка осуществляется работником или подрядчиком Оператора, доступ предоставляется только в необходимом для выполнения его обязанностей объёме. Лица, допущенные к данным, должны быть ознакомлены с требованиями конфиденциальности и безопасности.

1.6. Положение применяется совместно с опубликованной на сайте Политикой обработки персональных данных, согласиями субъектов, договорами и иными локальными документами Оператора. Если для обработки требуется согласие, оно оформляется отдельно от иных документов и информации, в установленной законом форме.

1.7. Оператор направил уведомление об обработке персональных данных в Роскомнадзор: регистрационный номер 74-25-038283. Оператор поддерживает содержащиеся в уведомлении сведения в актуальном состоянии и сообщает об изменениях в порядке и сроки, установленные законом.

Правовые основания обработки

2.1. Оператор обрабатывает персональные данные при наличии хотя бы одного применимого правового основания, предусмотренного Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее — Закон № 152‑ФЗ), в частности:

• согласие субъекта персональных данных — когда обработка основана на согласии;

• необходимость заключения договора по инициативе субъекта или исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект;

• необходимость выполнения обязанностей Оператора, установленных законодательством;

• необходимость защиты прав и законных интересов Оператора или третьих лиц при соблюдении прав и свобод субъекта;

• иные основания, прямо предусмотренные законодательством Российской Федерации.

2.2. Для каждой цели обработки Оператор определяет конкретное правовое основание. Согласие не используется как универсальное основание, если обработка необходима для исполнения договора или обязанности, установленной законом.

2.3. Оператор руководствуется Конституцией Российской Федерации, Законом № 152‑ФЗ, Гражданским кодексом Российской Федерации, Трудовым кодексом Российской Федерации — если у Оператора есть работники, законодательством о бухгалтерском и налоговом учёте, архивном деле, судопроизводстве и иными применимыми нормативными актами.

Основные понятия

Понятия, используемые в Положении, применяются в значении, установленном Законом № 152‑ФЗ.

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Доступ к персональным данным – возможность получения персональных данных и их обработки.

Информация – сведения (сообщения, данные) независимо от формы их представления.

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Под оператором в настоящем Положении понимается Индивидуальный предприниматель Окулова Евгения Константиновна (ИНН 744712477878).

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Персональные данные, разрешенные субъектом персональных данных для распространения, – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном действующим законодательством Российской Федерации.

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Раскрытие персональных данных – действия, обуславливающие возможность ознакомления с персональными данными, обрабатываемыми Оператором.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Специальные категории персональных данных – сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, судимости.

Субъект персональных данных – прямо или косвенно определенное или определяемое физическое лицо.

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Принципы обработки

4.1. Обработка персональных данных осуществляется на законной и справедливой основе.

4.2. Цели обработки определяются до начала обработки. Обработка, несовместимая с целями сбора данных, не допускается.

4.3. Обрабатываются только данные, необходимые для соответствующей цели. Данные должны быть точными, достаточными и актуальными в необходимой степени.

4.4. Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки или законодательство. По достижении цели данные уничтожаются или обезличиваются, если для дальнейшего хранения нет законного основания.

Цели, категории субъектов и состав данных

5.1. Обработка данных работников

Цель: оформление и сопровождение трудовых отношений, ведение кадрового, бухгалтерского и налогового учёта, исполнение обязанностей работодателя.

Категории субъектов: работники и бывшие работники Оператора.

Данные: фамилия, имя, отчество; контактные и адресные сведения; дата рождения и гражданство — когда они требуются для оформления трудовых отношений или исполнения закона; сведения документа, удостоверяющего личность, СНИЛС, ИНН, банковские реквизиты — если они необходимы для кадрового, налогового, бухгалтерского учёта или выплаты заработной платы; сведения об образовании, квалификации, должности, трудовой деятельности, оплате труда и отпуске; сведения воинского учёта — в объёме, установленном законом; иные документы и сведения, прямо необходимые для выполнения обязанностей работодателя.

Сведения о составе семьи, здоровье, инвалидности, социальных льготах, фотографии, заграничном паспорте и другие дополнительные данные включаются в состав обрабатываемых только тогда, когда их обработка необходима для конкретной законной цели и имеет соответствующее основание.

Основания: трудовой договор; законодательство о труде, налогах, бухгалтерском учёте, воинском учёте и социальном страховании; согласие — только если оно требуется для конкретной обработки.

Способы: автоматизированная, неавтоматизированная или смешанная обработка — в зависимости от фактически используемых процессов.

5.2. Обработка специальных категорий персональных данных

5.2.1. Оператор не ставит обработку специальных категорий персональных данных самостоятельной целью.

5.2.2. При оказании юридических услуг Оператор может получить документы или сведения, содержащие специальные категории персональных данных, если они необходимы для рассмотрения обращения, подготовки или оказания юридической помощи, представительства либо защиты прав и законных интересов.

5.2.3. Такие сведения обрабатываются только при наличии применимого основания, предусмотренного частью 2 статьи 10 Закона № 152‑ФЗ, и в необходимом объёме. Само по себе поступление таких сведений от клиента не считается достаточным правовым основанием. Если надлежащего основания нет, Оператор не использует данные и принимает меры к их удалению или уничтожению, если закон не требует иного.

5.2.4. Оператор не запрашивает специальные категории данных, не относящиеся к конкретному обращению или делу.

5.3. Биометрические персональные данные

Оператор не обрабатывает биометрические персональные данные, кроме случаев, когда такая обработка фактически необходима и допускается законом. Если для неё требуется письменное согласие, оно получается до начала обработки.

Фотография не считается биометрическими персональными данными автоматически: это зависит от того, используется ли она Оператором для установления личности.

5.4. Данные клиентов и их представителей

Цель: рассмотрение обращений, подготовка, заключение и исполнение договора юридических услуг, ведение клиентского дела, представительство и защита прав клиента.

Категории субъектов: клиенты, потенциальные клиенты, представители клиентов и иные лица, чьи данные необходимы для оказания юридических услуг или ведения дела.

Данные: фамилия, имя, отчество; контактные данные; сведения о договоре, обращении и поручении; сведения и документы, предоставленные клиентом либо полученные на законном основании и необходимые для оказания услуг. Паспортные данные, СНИЛС, ИНН, сведения о здоровье, судимости, банковские реквизиты и иные чувствительные или идентифицирующие сведения обрабатываются только при необходимости и наличии соответствующего основания.

Основания: действия по инициативе субъекта до заключения договора; исполнение договора; требования закона; иное применимое основание, предусмотренное Законом № 152‑ФЗ.

5.5. Судебное и претензионное представительство

Цель: подготовка и ведение претензий, судебных, административных и иных юридических дел, исполнение судебных актов и защита прав клиента.

Категории субъектов: клиенты, представители, участники дела, контрагенты, свидетели и иные лица, сведения о которых объективно необходимы для ведения дела.

Данные: сведения, содержащиеся в материалах конкретного дела, и данные, необходимые для идентификации участников, подготовки процессуальных документов, представительства и направления документов адресатам. Объём данных определяется обстоятельствами дела и требованиями применимого законодательства.

Основания: применимые нормы процессуального и материального законодательства, исполнение договора с клиентом, действия по инициативе субъекта до заключения договора или иное законное основание. Наличие договора с клиентом само по себе не означает, что можно обрабатывать любые данные третьих лиц.

5.6. Договоры с контрагентами и представителями

Цель: заключение и исполнение гражданско-правовых договоров, расчёты, подтверждение полномочий, ведение бухгалтерского и налогового учёта.

Категории субъектов: индивидуальные предприниматели, представители контрагентов, исполнители и иные физические лица — стороны договоров либо их представители.

Данные: фамилия, имя, отчество; контактные и деловые данные; должность и полномочия представителя; сведения, необходимые для договора и расчётов. Данные документа, удостоверяющего личность, ИНН, СНИЛС и банковские реквизиты обрабатываются только если они необходимы для соответствующего договора, расчёта или исполнения установленной законом обязанности.

Основания: заключение и исполнение договора, законодательство о бухгалтерском и налоговом учёте, иные применимые нормы.

5.7. Доверенности

Цель: оформление и учёт доверенностей для представительства интересов клиентов.

Данные: сведения, необходимые для подготовки доверенности, подтверждения личности и полномочий представителя, а также сведения, требуемые применимым законом или нотариальной процедурой.

Основание: договор с клиентом, его поручение, требования закона либо иное применимое основание. Согласие представителя запрашивается, если оно требуется для соответствующей обработки.

Срок: до завершения цели, после чего документы хранятся только в течение срока, установленного законом, договором или применимым сроком хранения документов.

5.8. Подбор работников

Цель: рассмотрение откликов, оценка кандидатов на конкретную вакансию, проведение собеседования и принятие решения о заключении трудового договора.

Категории субъектов: лица, откликнувшиеся на конкретную вакансию или направившие сведения для рассмотрения кандидатуры.

Данные: фамилия, имя, отчество при наличии; телефон и электронная почта; опыт работы, квалификация, профессиональные навыки, образование и сведения о должности, на которую претендует кандидат; иные сведения, добровольно предоставленные кандидатом и необходимые для оценки его соответствия вакансии.

На этапе первичного отбора Оператор не запрашивает сведения о семейном положении, месте рождения, социальных льготах, банковских реквизитах и паспортные данные, если они не нужны для конкретной законной цели.

Основание: действия по заключению трудового договора по инициативе субъекта персональных данных; в применимых случаях — исполнение обязанностей, установленных законом.

Срок: до завершения отбора по вакансии. Рекомендуемый внутренний срок удаления откликов кандидатов, не принятых на работу, — 90 календарных дней после закрытия вакансии, если более длительное хранение не требуется по закону или для защиты прав Оператора. Этот срок является внутренним правилом, а не общим сроком, установленным Законом № 152‑ФЗ.

Хранение резюме для будущих вакансий допускается только при наличии отдельного согласия с указанными целью и сроком хранения. Рекомендуемый срок такого хранения — 1 год, если в согласии не установлен более короткий срок.

5.9. Обучение работников

Цель: организация и учёт обучения, повышения квалификации, профессиональной переподготовки и иных обучающих мероприятий.

Категории субъектов: работники, направленные на обучение.

Данные: фамилия, имя, отчество; должность; контактные данные, если они нужны для организации обучения; сведения об образовании и квалификации, если они необходимы для выбора или прохождения программы; сведения о прохождении обучения, его результатах и выданных документах.

Паспортные данные, дата и место рождения, адрес регистрации и СНИЛС не включаются в перечень, если они не необходимы для конкретного вида обучения или не требуются законом.

Основания: трудовое законодательство, трудовой договор и локальные акты Оператора; согласие — только в случаях, когда оно необходимо.

5.10. Данные на сайте и обращения через сайт

Цель: работа сайта, получение и обработка заявок, связь с пользователем, обеспечение безопасности сайта, а также аналитика — если она фактически подключена.

Категории субъектов: посетители сайта и лица, направляющие обращения.

Данные из форм: имя, телефон, электронная почта, текст обращения и приложенные пользователем сведения — если соответствующие поля предусмотрены формой.

Технические данные: IP-адрес, дата и время обращения, адрес страницы, тип устройства, сведения о действиях на сайте, идентификаторы и cookie — только в объёме, фактически собираемом сервером и подключёнными сервисами.

Сведения, собираемые аналитическими, рекламными и защитными сервисами, указываются в Политике обработки персональных данных и реестре систем по фактической конфигурации сайта. Оператор не обозначает данные как обезличенные, если они позволяют прямо или косвенно идентифицировать пользователя.

Основания: рассмотрение обращения и действия по инициативе пользователя до заключения договора; обеспечение работы и безопасности сайта; согласие или иное применимое основание для аналитики и рекламных технологий, когда такое основание требуется.

5.11. Публикация сведений о работниках и исполнителях

Если Оператор публикует имя, должность, фотографию или иные сведения о работнике или исполнителе в интернете, он определяет основание и объём обработки отдельно от кадрового учёта.

Если для размещения данных неопределённому кругу лиц требуется согласие на распространение, оно оформляется отдельно по правилам статьи 10.1 Закона № 152‑ФЗ. Публикация прекращается после достижения цели или прекращения соответствующего основания, с учётом технической возможности удалить ранее размещённые сведения.

5.12. Добровольное медицинское страхование

На дату утверждения настоящего Положения Оператор не оформляет ДМС. Данный процесс не является действующей целью обработки.

Если Оператор решит организовать ДМС, до начала обработки он определит фактический состав данных, основания обработки, получателей, сроки хранения и условия передачи, а также внесёт необходимые изменения в Положение и иные документы. Сведения о здоровье включаются в перечень только если Оператор сам их получает и обрабатывает.

Сроки хранения и уничтожение

6.1. Для разных документов и целей применяются отдельные сроки хранения. Данные не хранятся дольше, чем необходимо для цели, если закон или договор не требует большего срока.

6.2. Устанавливаются следующие правила хранения:

• Кадровые документы, относящиеся к документам длительного хранения: Для документов по личному составу, законченных делопроизводством после 1 января 2003 года, применяется срок 50 лет; для соответствующих документов, законченных до этой даты, — 75 лет. Вид документа и срок уточняются по применимому архивному перечню и номенклатуре дел.
• Иные кадровые приказы и документы: Срок определяется отдельно для каждого вида документа по действующему архивному перечню. Нельзя автоматически применять к ним сроки 50 или 75 лет.
• Бухгалтерские, налоговые и первичные учётные документы: Не менее срока, установленного законодательством о бухгалтерском и налоговом учёте и архивном деле для конкретного вида документа; если применим больший срок, применяется он.
• Отклики кандидатов, не принятых на работу: До завершения отбора и, как внутреннее правило, 90 календарных дней после закрытия вакансии, если нет иного законного основания для дальнейшего хранения.
• Резюме для будущих вакансий: Только по отдельному согласию и до указанного в нём срока; рекомендуемый внутренний срок — 1 год.
• Обращения через сайт, по которым договор не заключён: До завершения рассмотрения и, как внутреннее правило, до 1 года с даты последнего содержательного взаимодействия, если дальнейшее хранение не обосновано законом или защитой прав Оператора.
• Договоры и документы об оказании услуг: По срокам, установленным для конкретного договора и соответствующих бухгалтерских, налоговых и архивных документов. Срок договора не означает автоматического хранения всего клиентского дела.
• Рабочие материалы клиентских дел: В течение оказания услуг и далее — только пока хранение необходимо для исполнения договора, выполнения требования закона или защиты прав в связи с конкретным делом. Срок указывается в номенклатуре дел или правилах хранения с учётом обстоятельств дела.
• Материалы претензий, судебных и иных споров: До окончательного разрешения спора, исполнения решения и истечения применимого срока предъявления требований, если хранение необходимо для защиты прав. После этого документы уничтожаются, если нет другого основания для хранения.
• Согласия и документы об их отзыве: В течение срока обработки и после её завершения — в течение срока, обоснованно необходимого для подтверждения получения согласия или исполнения отзыва. Внутренний срок указывается в номенклатуре дел; он не должен подменять обязательный срок хранения основного дела.
• Журналы сайта, аналитики и cookie: По фактическим настройкам сайта и используемого сервиса, не дольше необходимого для соответствующей цели. Срок фиксируется в реестре систем и в документации сайта.
• Резервные копии: По утверждённому циклу резервирования. После завершения цикла копии удаляются или перезаписываются; доступ к ним ограничивается.

Указанные в таблице 90 дней, 1 год и иные внутренние периоды являются правилами Оператора, а не универсальными сроками, прямо установленными Законом № 152‑ФЗ.

6.3. Для кадровых и архивных документов сроки уточняются по конкретному виду документа с учётом статьи 22.1 Федерального закона № 125‑ФЗ «Об архивном деле в Российской Федерации», действующего Перечня типовых архивных документов и номенклатуры дел Оператора.

6.4. Уничтожение данных проводится по достижении цели обработки, истечении установленного срока хранения, отзыве согласия — если отсутствует иное правовое основание, либо в иных предусмотренных законом случаях.

6.5. Если немедленное уничтожение технически невозможно, обработка ограничивается, данные блокируются, а их уничтожение проводится в срок, установленный законом. Факт уничтожения фиксируется актом, записью в журнале или иным способом, предусмотренным локальными правилами Оператора.

Передача данных и обработка по поручению

7.1. Передача данных допускается только при наличии законного основания и в объёме, необходимом для соответствующей цели. Данные могут передаваться государственным органам в случаях, предусмотренных законом, а также лицам, участвующим в оказании услуг или исполнении договора, если для этого имеется надлежащее основание.

7.2. Оператор может поручить обработку персональных данных другому лицу на основании договора или иного предусмотренного законом документа. Согласие субъекта запрашивается, если оно требуется законодательством для соответствующей обработки.

7.3. Договор или поручение на обработку должно определять:

• цель обработки;

• категории субъектов и перечень персональных данных;

• перечень операций с данными;

• срок обработки или порядок его определения;

• обязанность соблюдать конфиденциальность;

• требования к безопасности персональных данных;

• обязанность соблюдать требования Закона № 152‑ФЗ и выполнять поручение только в установленных пределах;

• порядок предоставления Оператору сведений, необходимых для подтверждения соблюдения требований;

• порядок привлечения субобработчиков, если это допускается;

• обязанность незамедлительно уведомить Оператора об инциденте, чтобы он мог исполнить установленные законом обязанности;

• порядок возврата, удаления или уничтожения данных после завершения поручения, если их дальнейшее хранение не требуется по закону или иному основанию.

7.4. Обработчик не вправе использовать полученные по поручению данные для собственных целей, если такое использование не предусмотрено законом и не имеет самостоятельного правового основания. Передача обработки не освобождает Оператора от обязанностей, возложенных на него законом.

7.5. Оператор ведёт актуальный реестр используемых систем, сервисов и лиц, которым поручена обработка либо которые получают доступ к персональным данным. В реестре указываются поставщик и его роль, цели, категории субъектов и данных, место обработки и хранения, наличие трансграничной передачи, договорное основание, сроки хранения, меры конфиденциальности и безопасности, порядок уведомления об инцидентах и дата проверки сведений.

7.6. Реестр пересматривается при подключении, изменении или прекращении использования сервиса, изменении договорных условий, состава данных или схемы их передачи, а также не реже одного раза в год.

Локализация и трансграничная передача

8.1. При сборе персональных данных граждан Российской Федерации Оператор соблюдает требования Закона № 152‑ФЗ к использованию баз данных, находящихся на территории Российской Федерации, с учётом предусмотренных законом исключений.

8.2. До начала трансграничной передачи Оператор проверяет применимость требований статьи 12 Закона № 152‑ФЗ и выполняет необходимые уведомительные и иные процедуры. Сведения о трансграничной передаче, если она имеется, отражаются в реестре систем и документах Оператора.

8.3. Нельзя считать передачу отсутствующей только на основании того, что основной сайт размещён на российском сервере. Оператор проверяет также почту, CRM, аналитику, рекламные сервисы, капчу, резервное копирование и другие используемые системы.

Права субъектов персональных данных

9.1. Субъект персональных данных вправе:

• получить сведения об обработке своих данных в объёме, предусмотренном законом;

• потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;

• отозвать согласие, если обработка основана на согласии;

• возражать против обработки в предусмотренных законом случаях;

• требовать прекращения передачи данных, ранее разрешённых для распространения, в порядке, установленном законом;

• обратиться с жалобой в уполномоченный орган или суд.

9.2. Обращение направляется Оператору по адресу: 454091, г. Челябинск, ул. Свободы, д. 185, оф. 5 или на электронную почту pravo774@inbox.ru. Запрос должен позволять определить заявителя и подтвердить его связь с обрабатываемыми данными. Оператор может запросить дополнительные сведения, если это необходимо для проверки личности заявителя, но не собирает избыточные данные для такой проверки.

9.3. Запрос рассматривается в сроки и порядке, установленные Законом № 152‑ФЗ. Если закон допускает продление срока ответа, Оператор уведомляет заявителя о продлении и его причинах.

9.4. Повторный запрос сведений об обработке может быть ограничен в случаях и порядке, предусмотренных законом. Это не ограничивает права субъекта обратиться раньше, если ранее предоставленные сведения были неполными, неточными или его права требуют защиты.

9.5. Отзыв согласия прекращает обработку, основанную на этом согласии, если у Оператора отсутствует другое законное основание для продолжения обработки или обязанность хранить данные.

Меры защиты персональных данных

10.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

10.2. Меры защиты определяются с учётом характера обрабатываемых данных, используемых информационных систем и актуальных угроз безопасности. Оператор обеспечивает, в частности, когда это необходимо для соответствующей системы:

• назначение ответственного за организацию обработки персональных данных;

• определение лиц, которым необходим доступ к данным;

• установление правил предоставления, изменения и прекращения доступа;

• ознакомление допущенных лиц с требованиями законодательства и локальными актами;

• защиту учётных записей и недопущение передачи индивидуальных паролей;

• защиту бумажных документов и ограничение доступа в помещения;

• учёт носителей и безопасное удаление документов;

• резервное копирование и возможность восстановления данных;

• контроль событий и действий в информационных системах — в объёме, применимом к конкретной системе;

• использование средств антивирусной и иной защиты, соответствующих требованиям и фактической инфраструктуре;

• оценку угроз и принятие мер по требованиям законодательства о защите персональных данных.

10.3. Конкретные меры и документы по защите информационных систем определяются по результатам оценки угроз, уровня защищённости и применимых требований законодательства. Положение не заменяет отдельные документы по безопасности, если они требуются для используемой системы.

10.4. Оператор регулярно проводит оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения требований Закона № 152‑ФЗ.

Порядок действий при инцидентах

11.1. Работник или подрядчик, обнаруживший утрату носителя, неправомерный доступ, раскрытие, передачу или иное нарушение безопасности персональных данных, незамедлительно сообщает об этом ответственному за организацию обработки персональных данных либо непосредственно Оператору.

11.2. Оператор фиксирует обстоятельства инцидента, принимает меры по его локализации и расследованию, ограничивает доступ к данным и оценивает последствия для субъектов.

11.3. Если инцидент подпадает под предусмотренные законом случаи неправомерной или случайной передачи персональных данных, предоставления доступа к ним или их распространения, повлекшие нарушение прав субъектов, Оператор уведомляет уполномоченный орган в сроки и порядке, установленные Законом № 152‑ФЗ. Сведения о результатах внутреннего расследования направляются в сроки, предусмотренные этим законом.

11.4. Оператор уведомляет субъектов персональных данных об инциденте в случаях и порядке, предусмотренных законодательством Российской Федерации. Общее уведомление субъектов в фиксированный срок, не установленный законом для конкретной ситуации, настоящим Положением не вводится.

11.5. В договорах с обработчиками устанавливаются сроки и способ сообщения Оператору об инцидентах, позволяющие Оператору своевременно исполнить собственные обязанности.

Контроль и заключительные положения

12.1. Оператор проводит внутренний контроль соответствия обработки персональных данных законодательству и настоящему Положению, в том числе проверяет цели и состав данных, сроки хранения, доступы, договоры с обработчиками и сведения в реестре систем.

12.2. Выявленные нарушения фиксируются; Оператор определяет меры по их устранению и при необходимости обновляет локальные документы и уведомление Роскомнадзору.

12.3. Положение пересматривается при изменении законодательства, целей обработки, категорий данных, используемых систем, договоров с обработчиками или фактической деятельности Оператора.

12.4. Работники и иные допущенные лица несут ответственность за нарушение требований законодательства и локальных актов в соответствии с законом и заключёнными с ними договорами.

12.5. Настоящее Положение вступает в силу с даты утверждения приказом Оператора.