Политика РУП «Могилевоблгаз» в отношении обработки персональных данных
ГЛАВА 1
СОДЕРЖАНИЕ И ОБЪЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ.
ПОРЯДОК ПРЕДОСТАВЛЕНИЯ ДОСТУПА К ПЕРСОНАЛЬНЫМ ДАННЫМ
1. Содержание и объем персональных данных каждой категории субъектов определяется необходимостью достижения конкретных целей их обработки, а также необходимостью РУП «Могилевоблгаз» (далее – Организация) реализовать как свои права и обязанности, так и права, обязанности соответствующего субъекта.
2. Персональные данные работников и бывших работников (в том числе вышедших на пенсию) включают:
идентификационный номер;
фамилию, собственное имя, отчество (а также все предыдущие фамилии (при их наличии));
дату и место рождения;
пол;
данные о гражданстве (подданстве);
национальность;
данные о реквизитах документов, подтверждающих персональные данные;
паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ и др.);
сведения о семейном положении и составе семьи с указанием фамилии, собственного имени, отчества членов семьи, даты рождения, места работы и/или учебы;
сведения о регистрации по месту жительства и (или) месту пребывания (включая адрес, дату регистрации);
сведения о месте фактического проживания;
номер и серию страхового свидетельства государственного социального страхования;
реквизиты карт-счета;
сведения медицинского характера (в случаях, предусмотренных законодательством);
биометрические персональные данные (включая фотографии, изображения с камер видеонаблюдения);
сведения о социальных льготах и выплатах;
специальность, профессия, квалификация;
сведения о воинском учете;
контактные данные (включая номера рабочего, домашнего и/или мобильного телефона, электронной почты и др.);
сведения об инвалидности;
сведения о награждениях и поощрениях;
сведения, предоставленные работником в ходе прохождения мероприятий по психометрическому тестированию, а также результаты такого тестирования (психометрический профиль, способности и характеристики);
сведения о смерти или объявлении физического лица умершим, признании безвестно отсутствующим;
иные данные, необходимые для исполнения взаимных прав и обязанностей между Организацией и работником (в том числе, бывшим работником).
3. Персональные данные кандидатов на рабочие места в Организации включают:
идентификационный номер;
фамилию, собственное имя, отчество (а также все предыдущие фамилии) (при их наличии);
дату и место рождения;
данные о гражданстве (подданстве);
данные о реквизитах документов, подтверждающих персональные данные;
паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ и др.);
данные свидетельства о рождении (номер, дата выдачи, наименование органа, выдавшего документ, и др.);
пол;
сведения о семейном положении и составе семьи с указанием фамилии, собственного имени, отчества членов семьи, даты рождения, места работы и (или) учебы;
сведения о регистрации по месту жительства и (или) месту пребывания (включая адрес, дату регистрации);
сведения о месте фактического проживания;
номер и серию страхового свидетельства государственного социального страхования;
данные об образовании, ученой степени, ученом звании;
данные об обучении по дополнительным программам образования взрослых;
сведения о трудовой деятельности (включая стаж и опыт работы, данные о занятости с указанием должности, подразделения, сведений о работодателе и др.);
специальность, профессию, квалификацию;
сведения о воинском учете;
сведения медицинского характера (в случаях, предусмотренных законодательством);
биометрические персональные данные (включая фотографии, изображения с камер видеонаблюдения);
сведения о социальных льготах и выплатах;
контактные данные (включая номера домашнего и (или) мобильного телефона, электронной почты и др.);
сведения о награждениях и поощрениях;
сведения, предоставленные самим кандидатом в ходе заполнения личностных опросников и прохождения мероприятий по психометрическому тестированию, а также результаты такого тестирования (психометрический профиль, способности и характеристики);
иные данные, которые могут быть указаны в резюме или анкете кандидата.
4. Персональные данные работников и иных представителей контрагентов - юридических лиц включают:
идентификационный номер;
фамилию, собственное имя, отчество (если таковое имеется);
данные о реквизитах документов, подтверждающих персональные данные;
паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ и др.);
сведения о регистрации по месту жительства и (или) месту пребывания (включая адрес, дату регистрации);
контактные данные (включая номера рабочего, домашнего и (или) мобильного телефона, электронной почты и др.);
должность (профессия);
иные данные, необходимые для исполнения взаимных прав и обязанностей между Организацией и контрагентом.
5. Персональные данные контрагентов - физических лиц включают:
идентификационный номер;
фамилию, собственное имя, отчество (если таковое имеется);
данные о гражданстве (подданстве);
данные о реквизитах документов, подтверждающих персональные данные;
паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ и др.);
сведения о регистрации по месту жительства и (или) месту пребывания (включая адрес, дату регистрации);
реквизиты банковского счета;
специальность, профессию, квалификацию;
контактные данные (включая номера домашнего и (или) мобильного телефона, электронной почты и др.);
иные данные, необходимые для исполнения взаимных прав и обязанностей между Организацией и контрагентом.
6. Предоставление работникам Организации, не включенным в Реестр персональных данных, обрабатываемых в РУП «Могилевоблгаз» (далее - Реестр)
доступа к обработке персональных данных производится в следующем порядке.
Работник Организации для получения доступа к обработке персональных данных должен обратиться с докладной запиской к заместителю генерального директора по безопасности, режиму и кадрам в срок, как правило, не позднее 10 дней до начала обработки персональных данных, с указанием в докладной записке перечня персональных данных, конкретных целей и периода, в течение которого будет производиться обработка персональных данных. Заместитель генерального директора по безопасности, режиму и кадрам предоставляет доступ либо отказывает в таком доступе, путем наложения соответствующей резолюции на докладной записке.
ГЛАВА 2
ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7. Персональные данные субъектов персональных данных обрабатываются в следующих целях:
выполнение функций, прав (полномочий) и обязанностей, возложенных на Организацию законодательством Республики Беларусь и международными договорами Республики Беларусь;
предоставление родственникам работников льгот и компенсаций;
выявление конфликта интересов;
рассмотрение возможности трудоустройства кандидатов;
ведение кадрового резерва;
проверка кандидатов (в том числе их квалификации и опыта работы);
обеспечение пропускного и внутриобъектового режимов;
организация и сопровождение деловых поездок;
проведение мероприятий и обеспечение участия в них субъектов персональных данных;
обеспечение безопасности, сохранение материальных ценностей и предотвращение правонарушений;
выдача доверенностей и иных уполномочивающих документов;
ведение переговоров, заключение и исполнение договоров;
проверка контрагента;
реклама и продвижение продукции, в том числе предоставление информации о продукции Организации;
обработка обращений;
исполнение обязанности налогового агента;
иных целей, направленных на обеспечение соблюдения трудовых договоров, требований законодательства (в том числе, нормативных и локальных правовых актов).
8. Персональные данные обрабатываются исключительно для достижения одной или нескольких указанных законных целей.
Если персональные данные были собраны и обрабатываются для достижения определенной цели, для использования этих данных в других целях необходимо поставить в известность об этом субъекта персональных данных и, в случае необходимости, получить новое согласие на обработку, если иное не предусмотрено законодательством.
9. Персональные данные могут обрабатываться в иных целях, если это необходимо в связи с обеспечением соблюдения законодательства, выполнения обязанностей и реализации прав Организации.
ГЛАВА 3
ПРАВИЛА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. ОБЩИЕ ПРАВИЛА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
10. Персональные данные обрабатываются путем смешанной (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, в том числе с использованием внутренней сети и сети Интернет.
11. В случаях, установленных законодательством Республики Беларусь, основным условием обработки персональных данных является получение согласия соответствующего субъекта персональных данных, в том числе в письменной и электронной формах.
12. Организация вправе поручить обработку персональных данных уполномоченному лицу с соблюдением требований законодательства.
3.2. СБОР ПЕРСОНАЛЬНЫХ ДАННЫХ
13. Источником информации обо всех персональных данных является непосредственно субъект персональных данных.
14. Если иное не установлено Законом Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных», Организация вправе получать персональные данные субъекта персональных данных от третьих лиц только при уведомлении об этом субъекта, либо при наличии письменного согласия субъекта на получение его персональных данных от третьих лиц.
3.3. ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
15. При хранении персональных данных должны соблюдаться условия, обеспечивающие сохранность персональных данных.
16. Документы, включающие в себя персональные данные, содержащиеся на бумажных носителях, находятся в специально отведенных для этого местах с ограниченным доступом в условиях, которые обеспечивают их защиту от несанкционированного доступа: шкаф, сейф, помещение архива и др.
17. Персональные данные, хранящиеся в электронном виде, защищаются от несанкционированного доступа с помощью специальных технических и программных средств защиты.
18. Персональные данные должны храниться в форме, позволяющей идентифицировать субъекта персональных данных, но не дольше, чем этого требуют цели их обработки, если иной срок не установлен законодательством Республики Беларусь или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
19. Если иное не предусмотрено законодательством, обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, в случае утраты необходимости в достижении этих целей или по истечении сроков их хранения.
20. Уничтожение или обезличивание персональных данных должно производиться способом, исключающим дальнейшую обработку этих персональных данных. При этом, в случае необходимости следует сохранять возможность обработки иных данных, зафиксированных на соответствующем материальном носителе (удаление, вымарывание).
21. При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
3.4. ИСПОЛЬЗОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
22. Персональные данные обрабатываются и используются для целей, для которых они получались.
23. Доступ к персональным данным предоставляется только работникам Организации, включенным в Реестр, трудовые обязанности которых предполагают работу с персональными данными, и только на период, необходимый для работы с соответствующими данными.
Реестр лиц, которым предоставляется доступ к обработке персональных данных определяется Организацией.
24. Если необходимо предоставить доступ к персональным данным работникам, не входящим в перечень лиц с доступом к персональным данным, им может быть предоставлен временный доступ к необходимым персональным данным.
3.5. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
25. Передача персональных данных субъектов третьим лицам допускается только в тех объемах и целях выполнения задач, соответствующих объективной причине сбора (получения) этих данных.
26. Передача персональных данных третьим лицам, в том числе в коммерческих целях, допускается только при наличии согласия субъекта либо иного законного основания.
27. В случаях, когда государственные органы имеют право запросить персональные данные, или персональные данные должны быть предоставлены в силу законодательства, а также в соответствии с запросом суда, соответствующая информация может быть им предоставлена в порядке, предусмотренном законодательством Республики Беларусь.
28. Все поступающие запросы должны передаваться руководителю отдела (службы) для предварительного рассмотрения и письменного согласования.
3.7. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
29. Под защитой персональных данных понимается ряд правовых, организационных и технических мер, направленных на:
обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
соблюдение конфиденциальности информации ограниченного доступа;
реализацию права на доступ к информации.
30. Для защиты персональных данных Организация принимает необходимые меры, предусмотренные законодательством (включая, но не ограничиваясь):
ограничивает и регламентирует состав работников, функциональные обязанности которых требуют доступа к информации, содержащей персональные данные (в том числе путем использования паролей доступа к электронным информационным ресурсам);
обеспечивает условия для хранения документов, содержащих персональные данные, в ограниченном доступе;
организует порядок уничтожения информации, содержащей персональные данные, если законодательством не установлены требования по хранению соответствующих данных;
контролирует соблюдение требований по обеспечению безопасности персональных данных, в том числе установленных настоящим Порядком (путем проведения внутренних проверок, установления специальных средств мониторинга и др.);
проводит расследование случаев несанкционированного доступа или разглашения персональных данных с привлечением виновных работников к ответственности, принятием иных мер;
внедряет программные и технические средства защиты информации в электронном виде;
обеспечивает возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
31. Для защиты персональных данных при их обработке в информационных системах Организация проводит необходимые предусмотренные законом мероприятия (включая, но не ограничиваясь):
определение угроз безопасности персональных данных при их обработке;
применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
учет машинных носителей персональных данных;
обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
32. В Организации должны приниматься иные меры, направленные на обеспечение исполнения обязанностей в сфере персональных данных, предусмотренные законодательством Республики Беларусь.
33. Обеспечение конфиденциальности при обработке персональных данных означает обязательное соблюдение должностными лицами Организации, допущенными к обработке персональных данных, иными лицами, получившими доступ к персональным данным, требования о недопущении их распространения (предоставления) без согласия субъекта персональных данных или наличия иного законного основания.
34. Обеспечение конфиденциальности персональных данных не требуется в случае:
обезличивания персональных данных (действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных);
для общедоступных персональных данных (персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательных актов).
35. Обработка и хранение конфиденциальных данных неуполномоченными лицами запрещается.
36. В целях обеспечения требований соблюдения конфиденциальности и безопасности при обработке персональных данных Организация предоставляет работникам, работающим с персональными данными, необходимые условия для выполнения указанных требований:
обеспечивает ознакомление работника под роспись с требованиями Политики оператора в отношении обработки персональных данных, иными локальными правовыми актами Организации в сфере обеспечения конфиденциальности и безопасности персональных данных;
предоставляет хранилища для документов, средства для доступа к информационным ресурсам (ключи, пароли и т. п.);
обучает правилам эксплуатации средств защиты информации;
проводит иные необходимые мероприятия.
37. Работникам Организации, работающим с персональными данными, запрещается сообщать их устно или письменно кому бы то ни было, если это не вызвано служебной необходимостью.
38. Работники Организации, работающие с персональными данными, обязаны использовать информацию о персональных данных исключительно в целях, для которых они получались.
39. При прекращении выполнения трудовой функции, связанной с обработкой персональных данных, все носители информации, содержащие персональные данные (оригиналы и копии документов, машинные и бумажные носители и пр.), которые находились в распоряжении должностного лица в связи с исполнением должностных обязанностей, работник должен оставить в Организации.
40. Запрещается передача персональных данных по телефону, факсу, электронной почте и другим каналам передачи данных сети Интернет, за исключением случаев, установленных законодательством.
41. Информация по запросам граждан и организаций предоставляется в том объеме, который позволяет не разглашать персональные данные, за исключением данных, содержащихся в материалах заявителя или опубликованных в общедоступных источниках.
42. Работники Организации, работающие с персональными данными, обязаны немедленно сообщать своему непосредственному руководителю и (или) начальнику ОАСУ ТиС обо всех известных им фактах (попытках) получения третьими лицами доступа к персональным данным, об утрате или недостаче носителей информации, содержащих персональные данные, удостоверений, пропусков, ключей от сейфов (хранилищ), личных печатей, электронных ключей, причинах и условиях возможной утечки сведений, которые могут повлечь за собой несанкционированный доступ к персональным данным.
43. Обработка персональных данных, в том числе содержащихся в информационной системе, либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такая обработка осуществляется при непосредственном участии человека.
44. Работник Организации, осуществляющий обработку персональных данных без использования средств автоматизации:
определяет места хранения персональных данных (материальных носителей);
организует раздельное, то есть не допускающее смешение, хранение материальных носителей персональных данных (документов, дисков, дискет, USB флеш-накопителей, пр.), обработка которых осуществляется в различных целях;
осуществляет контроль наличия условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ.
45. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.
46. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.
47. При несовместимости целей обработки персональных данных работник Организации должен обеспечить раздельную обработку персональных данных.
48. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, должно производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).
49. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе.
50. Обработка персональных данных с использованием средств автоматизации означает совершение действий (операций) с такими данными при помощи объектов вычислительной техники в компьютерной сети Организации (далее - КСО).
51. Безопасность персональных данных при их обработке в КСО обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации, а также используемые в КСО информационные технологии.
52. Технические и программные средства защиты информации должны удовлетворять требованиям, устанавливаемым законодательством Республики Беларусь и обеспечивающим защиту информации. Средства защиты информации, применяемые в КСО, в установленном порядке проходят процедуру оценки соответствия.
53. Работа с персональными данными в КСО должна быть организована с учетом обеспечения сохранности носителей персональных данных и средств защиты информации, а также исключения возможности неконтролируемого пребывания в этих помещениях посторонних лиц.
54. При обработке персональных данных в КСО пользователями должно быть обеспечено:
использование предназначенных для этого разделов (каталогов) носителей информации, встроенных в технические средства, или съемных маркированных носителей;
недопущение физического воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
постоянное использование антивирусного обеспечения для обнаружения зараженных файлов и незамедлительное восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
недопущение несанкционированных выноса из помещений, установки, подключения оборудования, а также удаления, инсталляции или настройки программного обеспечения.
55. При обработке персональных данных в КСО разработчиками и администраторами информационных систем должны обеспечиваться:
обучение лиц, использующих средства защиты информации, применяемые в КСО, правилам работы с ними;
учет лиц, допущенных к работе с персональными данными в КСО, прав и паролей доступа;
учет применяемых средств защиты информации, эксплуатационной и технической документации к ним;
контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
описание системы защиты персональных данных.
56. Специфические требования по защите персональных данных в отдельных автоматизированных системах Организации определяются утвержденными в установленном порядке инструкциями по их использованию и эксплуатации.
