Положение об обработке и защите персональных данных в базах персональных данных, владельцем которых является продавец (ФОП Ясінчук Богдан Миколайович)
Содержание
- Общие понятия и сфера применения
- Перечень баз персональных данных
- Цель обработки персональных данных
- Порядок обработки персональных данных: получение согласия, уведомление о правах и действия с персональными данными субъекта
- Местонахождение базы персональных данных
- Условия раскрытия информации о персональных данных третьим лицам
- Защита персональных данных: способы защиты, ответственное лицо, сотрудники, имеющие доступ, срок хранения
- Права субъекта персональных данных
- Порядок работы с запросами субъекта персональных данных
- Государственная регистрация базы персональных данных
1. Общие понятия и сфера применения
База персональных данных — именованная совокупность упорядоченных персональных данных в электронной форме и/или в виде картотек персональных данных.
Ответственное лицо — назначенное лицо, организующее работу по защите персональных данных при их обработке в соответствии с законом.
Владелец базы персональных данных — физическое или юридическое лицо, которому законом или с согласия субъекта персональных данных предоставлено право на обработку этих данных, которое утверждает цель обработки, состав данных и процедуры их обработки, если иное не установлено законом.
Государственный реестр баз персональных данных — единая государственная информационная система сбора, накопления и обработки сведений о зарегистрированных базах персональных данных.
Общедоступные источники персональных данных — справочники, адресные книги, реестры, списки, каталоги и иные систематизированные сборники открытой информации, содержащие персональные данные, размещённые и опубликованные с ведома субъекта персональных данных. Социальные сети и интернет-ресурсы не считаются общедоступными источниками, кроме случаев прямого указания субъекта о свободном распространении данных.
Согласие субъекта персональных данных — любое документированное, добровольное волеизъявление физического лица на обработку его персональных данных согласно сформулированной цели обработки.
Обезличивание персональных данных — удаление сведений, позволяющих идентифицировать лицо.
Обработка персональных данных — любое действие или совокупность действий, совершённых полностью или частично в информационной (автоматизированной) системе и/или в картотеках персональных данных, связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, обновлением, использованием и распространением (распространением, реализацией, передачей), обезличиванием, уничтожением сведений о физическом лице.
Персональные данные — сведения или совокупность сведений о физическом лице, идентифицированном или которое может быть конкретно идентифицировано.
Распорядитель базы персональных данных — физическое или юридическое лицо, которому владельцем базы или законом предоставлено право обрабатывать эти данные. Лицо, выполняющее технические работы без доступа к содержанию данных, распорядителем не является.
Субъект персональных данных — физическое лицо, в отношении которого осуществляется обработка его персональных данных.
Третье лицо — любое лицо, кроме субъекта персональных данных, владельца или распорядителя базы и уполномоченного госоргана по защите персональных данных, которому передаются персональные данные согласно закону.
Особые категории данных — персональные данные о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в партиях и профсоюзах, а также данные о здоровье или половой жизни.
Настоящее Положение обязательно к применению ответственным лицом и сотрудниками продавца, непосредственно обрабатывающими персональные данные и/или имеющими к ним доступ при исполнении служебных обязанностей.
2. Перечень баз персональных данных
ФОП Ясінчук Богдан Миколайович является владельцем следующих баз персональных данных:
- база персональных данных контрагентов.
3. Цель обработки персональных данных
Цель обработки персональных данных — обеспечение реализации гражданско-правовых отношений, предоставления, получения и осуществления расчётов за приобретённые товары и услуги в соответствии с Налоговым кодексом Украины и Законом Украины «О бухгалтерском учёте и финансовой отчётности в Украине».
4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действия с персональными данными субъекта
Согласие субъекта персональных данных — добровольное волеизъявление на обработку его персональных данных согласно цели их обработки.
Согласие может быть предоставлено в формах:
- документ на бумажном носителе с реквизитами, позволяющими идентифицировать документ и лицо;
- электронный документ с обязательными реквизитами; целесообразно заверение электронной подписью;
- отметка на электронной странице документа или в электронном файле в информационной системе на основе документированных программно-технических решений.
Согласие предоставляется при оформлении гражданско-правовых отношений согласно действующему законодательству.
Уведомление субъекта о включении его персональных данных в базу, правах, цели сбора и лицах, которым передаются данные, осуществляется при оформлении гражданско-правовых отношений согласно законодательству.
Обработка персональных данных о расовом/этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в партиях и профсоюзах, а также данных о здоровье или половой жизни (особые категории) запрещается.
5. Местонахождение базы персональных данных
Указанные в разделе 2 настоящего Положения базы персональных данных находятся по адресу продавца.
6. Условия раскрытия информации о персональных данных третьим лицам
Порядок доступа третьих лиц определяется условиями согласия субъекта персональных данных либо требованиями закона.
Доступ не предоставляется, если третье лицо отказывается принять обязательства по выполнению требований Закона Украины «О защите персональных данных» либо не в состоянии их обеспечить.
Субъект отношений, связанных с персональными данными, подаёт запрос владельцу персональных данных.
В запросе указываются:
- ФИО, место проживания (пребывания) и реквизиты удостоверяющего документа (для физлица);
- наименование, местонахождение юрлица, должность и ФИО подписанта, подтверждение полномочий (для юрлица);
- ФИО и иные данные для идентификации лица, о котором запрашиваются сведения;
- сведения о базе персональных данных либо о владельце/распорядителе;
- перечень запрашиваемых персональных данных;
- цель и/или правовые основания запроса.
Срок изучения запроса — до 10 рабочих дней со дня поступления. В этот срок заявителю сообщается о удовлетворении запроса либо отказе с указанием основания. Удовлетворение запроса — в течение 30 календарных дней со дня поступления, если иное не предусмотрено законом.
Отсрочка доступа допускается, если предоставить данные в течение 30 календарных дней невозможно; общий срок — не более 45 календарных дней. Уведомление об отсрочке направляется письменно с разъяснением порядка обжалования и содержит ФИО должностного лица, дату, причину и срок удовлетворения запроса.
Отказ в доступе допускается, если доступ запрещён законом; в уведомлении указываются ФИО должностного лица, дата и причина отказа. Решение об отсрочке или отказе может быть обжаловано в суд.
7. Защита персональных данных
Владелец базы оснащён системными, программно-техническими средствами и средствами связи, предотвращающими утраты, хищения, несанкционированное уничтожение, искажение, подделку и копирование информации и соответствующими международным и национальным стандартам.
Ответственное лицо организует работу по защите персональных данных; назначается приказом владельца базы, обязанности фиксируются в должностной инструкции.
ФОП Ясінчук Богдан Миколайович обязан:
- знать законодательство Украины в сфере защиты персональных данных;
- разработать процедуры доступа к персональным данным сотрудников по их обязанностям;
- обеспечить соблюдение сотрудниками требований законодательства и внутренних документов по обработке и защите персональных данных;
- установить порядок внутреннего контроля за соблюдением требований (с определением периодичности контроля);
- сообщать о фактах нарушений в срок не позднее одного рабочего дня с момента выявления;
- обеспечить хранение документов, подтверждающих предоставление согласия и уведомление субъекта о его правах.
С целью исполнения обязанностей ФОП вправе:
- получать необходимые документы, включая распорядительные, связанные с обработкой персональных данных;
- делать копии документов и файлов, хранящихся в сетях и системах;
- участвовать в обсуждении организации работы по защите данных;
- вносить предложения по улучшению деятельности и устранению недостатков;
- получать объяснения по вопросам обработки персональных данных;
- подписывать и визировать документы в пределах компетенции.
Сотрудники, обрабатывающие персональные данные и/или имеющие к ним доступ, обязаны соблюдать законодательство и внутренние документы и не допускать разглашения персональных данных. Обязанность сохранять тайну действует и после прекращения деятельности, связанной с персональными данными. Нарушение влечёт ответственность согласно закону.
Персональные данные не должны храниться дольше, чем необходимо для цели их хранения, но в любом случае не дольше срока, определённого согласием субъекта персональных данных.
8. Права субъекта персональных данных
Субъект персональных данных имеет право:
- знать о местонахождении базы, её назначении и наименовании, местонахождении владельца или распорядителя;
- получать информацию об условиях предоставления доступа, в том числе о третьих лицах, которым передаются его данные;
- на доступ к своим персональным данным;
- получать в течение 30 календарных дней ответ о наличии и содержании своих персональных данных, если иное не установлено законом;
- предъявлять мотивированные возражения против обработки своих персональных данных органами власти в пределах их полномочий;
- требовать изменения или уничтожения своих персональных данных в случае незаконной обработки или недостоверности;
- на защиту своих персональных данных от незаконной обработки и случайной утраты, уничтожения, повреждения, а также от предоставления недостоверных сведений;
- обращаться по вопросам защиты прав в органы государственной власти и местного самоуправления;
- применять средства правовой защиты в случае нарушения законодательства о защите персональных данных.
9. Порядок работы с запросами субъекта персональных данных
Субъект персональных данных имеет право получать любые сведения о себе у любого субъекта отношений, связанных с персональными данными, без указания цели запроса, кроме случаев, установленных законом. Доступ к своим данным осуществляется безвозмездно.
Запрос подаётся владельцу базы персональных данных и должен содержать:
- ФИО, место проживания (пребывания) и реквизиты удостоверяющего документа субъекта;
- иные идентификационные сведения субъекта;
- сведения о базе персональных данных либо о владельце/распорядителе;
- перечень запрашиваемых персональных данных.
Срок изучения запроса — до 10 рабочих дней с уведомлением о результате; удовлетворение запроса — в течение 30 календарных дней, если иное не предусмотрено законом.
10. Государственная регистрация базы персональных данных
Государственная регистрация баз персональных данных осуществляется в соответствии со статьёй 9 Закона Украины «О защите персональных данных».