Список прямых ссылок к разделам:
2.2. Прынцыпы і ўмовы апрацоўкі персанальных даных
2.3. Суб'екты персанальных даных
2.4. Мэты збору і апрацоўкі персанальных даных
2.5. Умовы апрацоўкі персанальных даных і іх перадача трэцім асобам
2.6. Правы суб'ектаў персанальных даных
2.7. Меры, прымяняемыя для абароны персанальных даных
2.8. Кантроль за выкананнем патрабаванняў заканадаўства ў галіне персанальных даных
1. ПРЫЗНАЧЭННЕ
Палітыка апрацоўкі персанальных даных у АТ «Ніжфарм» (далей – Палітыка, Таварыства) распрацавана ў адпаведнасці з патрабаваннямі законаў аб апрацоўцы персанальных даных краін прысутнасці Таварыства.
Дадзеная Палітыка вызначае парадак апрацоўкі персанальных даных і меры па забеспячэнні бяспекі персанальных даных у Таварыстве з мэтай абароны правоў і свабод чалавека і грамадзяніна пры апрацоўцы яго персанальных даных, у тым ліку абароны правоў на недатыкальнасць прыватнага жыцця, асабістую і сямейную таямніцу.
Палітыка з'яўляецца асновай для распрацоўкі лакальных нарматыўных актаў, якія рэгламентуюць пытанні апрацоўкі персанальных даных у Таварыстве.
Дзеянне Палітыкі распаўсюджваецца на ўсе структурныя падраздзяленні Таварыства.
2. АГУЛЬНЫЯ ПАЛАЖЭННІ
2.1. Тэрміны і азначэнні
У дадзенай Палітыцы выкарыстоўваюцца наступныя тэрміны і азначэнні:
- аўтаматызаваная апрацоўка ПДн – апрацоўка ПДн з дапамогай сродкаў вылічальнай тэхнікі;
- біяметрычныя персанальныя даныя – фізіялагічныя даныя чалавека, у тым ліку яго выява, якія дазваляюць устанавіць яго асобу і выкарыстоўваюцца аператарам для ўстанаўлення асобы суб'екта;
- блакаванне ПДн – часовае спыненне апрацоўкі ПДн;
- інфармацыйная сістэма персанальных даных (ІСПДн) – сукупнасць змешчаных у базах даных ПДн, якія забяспечваюць іх апрацоўку з дапамогай інфармацыйных тэхналогій і тэхнічных сродкаў;
- неаўтаматызаваная апрацоўка ПДн – апрацоўка ПДн, змешчаных у інфармацыйнай сістэме або вынятых з такой сістэмы, якая ажыццяўляецца пры непасрэдным удзеле чалавека;
- абязлічванне ПДн - дзеянні, у выніку якіх немагчыма вызначыць прыналежнасць ПДн канкрэтнаму суб'екту ПДн без выкарыстання дадатковай інфармацыі;
- апрацоўка ПДн — любое дзеянне (аперацыя) або сукупнасць дзеянняў (аперацый), якія здзяйсняюцца з выкарыстаннем сродкаў аўтаматызацыі або без выкарыстання такіх сродкаў з персанальнымі данымі, уключаючы збор, запіс, сістэматызацыю, назапашванне, захоўванне, удакладненне (абнаўленне, змяненне), атрыманне, выкарыстанне, перадачу (распаўсюджванне, прадастаўленне, доступ), абезасабленне, блакаванне, выдаленне, знішчэнне;
- аператар – дзяржаўны орган, муніцыпальны орган, юрыдычная або фізічная асоба, якія самастойна або сумесна з іншымі асобамі арганізуе і (або) ажыццяўляе апрацоўку ПДн, а таксама вызначае мэты апрацоўкі ПДн, склад ПДн, якія падлягаюць апрацоўцы, i дзеянні (аперацыі), якія здзяйсняюцца з персанальнымі данымi;
- персанальныя даныя (ПДн) – любая інфармацыя, якая адносіцца да прама або ўскосна вызначанай або вызначаемай фізічнай асобе (суб'екту персанальных даных);
- прадастаўленне ПДн – дзеянні, накіраваныя на раскрыццё ПДн пэўнай асобе або пэўнаму колу асоб;
- распаўсюджванне ПДн – дзеянні, накіраваныя на раскрыццё ПДн няпэўнаму колу асоб або на азнаямленне з персанальнымі данымі неабмежаванага кола асоб;
- трансгранічная перадача ПДн – перадача ПДн на тэрыторыю замежнай дзяржавы органу ўлады замежнай дзяржавы, замежнай фізічнай або замежнай юрыдычнай асобе;
- знішчэнне ПДн – дзеянні, у выніку якіх немагчыма аднавіць змест ПДн у ІСПДн і (або) у выніку якіх знішчаюцца матэрыяльныя носьбіты ПДн.
GDPR – General Data Protection Regulation, Агульны рэгламент па абароне даных, пастанова Еўрапейскага Саюза, з дапамогай якой Еўрапейскі парламент, Савет Еўрапейскага Саюза і Еўрапейская камісія уніфікуюць абарону персанальных даных усіх асоб у Еўрапейскім Саюзе (ЕС).
2.2. Прынцыпы і ўмовы апрацоўкі персанальных даных
Таварыства ажыццяўляе апрацоўку ПДн пры наяўнасці хаця б адной з наступных умоў:
- апрацоўка ажыццяўляецца са згоды суб'екта ПДн на апрацоўку яго ПДн;
- апрацоўка ПДн неабходна для дасягнення мэт, прадугледжаных міжнародным дагаворам або законам, для ажыццяўлення і выканання ўскладзеных заканадаўствам на аператара функцый, паўнамоцтваў і абавязкаў;
- апрацоўка ПДН неабходна для выканання судовага акта, акта іншага органа або службовай асобы, якія падлягаюць выкананню ў адпаведнасці з заканадаўствам аб выканаўчым вядзенні;
- апрацоўка ПДн неабходна для выканання дагавора, бокам якога або, выгаданабытчыкам або паручыцелем па якім з'яўляецца суб'ект ПДн, а таксама для заключэння дагавора па ініцыятыве суб'екта ПДн або дагавора, па якім суб'ект ПДН будзе з'яўляцца выгаданабытчыкам або паручыцелем;
- апрацоўка персанальных даных неабходна для абароны жыцця, здароўя або іншых жыццёва важных інтарэсаў суб'екта персанальных даных, калі атрыманне згоды суб'екта персанальных даных немагчыма;
- апрацоўка ПДн неабходна для ажыццяўлення правоў і законных інтарэсаў аператара або трэціх асоб, або для дасягнення грамадска значных мэт пры ўмове, што пры гэтым не парушаюцца правы і свабоды суб'екта ПДн;
- апрацоўка персанальных даных ажыццяўляецца ў статыстычных або іншых даследчых мэтах;
- ажыццяўляецца апрацоўка ПДн, якія падлягаюць апублікаванню або абавязковаму раскрыццю ў адпаведнасці з законам.
2.3. Суб'екты персанальных даных
Таварыства апрацоўвае ПДн наступных суб'ектаў ПДн:
- работнікаў;
- звольненых работнікаў;
- суіскальнікаў;
- кандыдатаў на вакантную пасаду;
- контрагентаў;
- блізкіх сваякоў супрацоўнікаў;
- наведвальнікаў;
- лекараў;
- фармацэўтаў;
- падпісчыкаў;
- наведвальнікаў сайта.
2.4. Мэты збору і апрацоўкі персанальных даных
Апрацоўка персанальных даных абмяжоўваецца дасягненнем канкрэтных, загадзя вызначаных і законных мэт. Не дапускаецца апрацоўка персанальных даных, несумяшчальная з мэтамі збору персанальных даных.
2.5. Умовы апрацоўкі персанальных даных і іх перадача трэцім асобам
p>Таварыства мае права даручыць апрацоўку ПДд іншай асобе са згоды суб'екта ПДд, калі іншае не прадугледжана законам, на падставе дагавора, заключанага з гэтай асобай. Асоба, якая ажыццяўляе апрацоўку ПДн па даручэнні Таварыства, абавязана выконваць прынцыпы і правілы апрацоўкі ПДн, забяспечваць канфідэнцыяльнасць персанальных даных, прымаць неабходныя меры, накіраваныя на забеспячэнне выканання абавязкаў, прадугледжаных дадзенай Палітыкай.Таварыства мае права перадаваць персанальныя даныя органам дазнання і следства, іншым упаўнаважаным органам па падставах, прадугледжаных дзеючымі заканадаўствамі краін прысутнасці Таварыства.
Аператар і іншыя асобы, атрымаўшыя доступ да персанальных дадзеных, абавязаны не раскрываць трэцім асобам і не распаўсюджваць персанальныя дадзеныя без згоды суб'екта ПДн, калі іншае не прадугледжана законам.
Пры дасягненні мэтаў апрацоўкі персанальных даных, а таксама ў выпадку адклікання суб'ектам персанальных даных згоды на іх апрацоўку, персанальныя даныя падлягаюць знішчэнню, калі іншае не прадугледжана законам ці іншым пагадненнем паміж аператарам і суб'ектам персанальных даных.
Аператар абавязаны паведаміць суб'екту персанальных даных або яго прадстаўніку інфармацыю аб апрацоўцы персанальных даных такога суб'екта па запыце апошняга.
У мэтах інфармацыйнага забеспячэння ў Таварыстве могуць стварацца ўнутраныя ці агульнадаступныя крыніцы ПДн суб'ектаў ПДн, у тым ліку даведнікі і адрасныя кнігі. Ва ўнутраныя або агульнадаступныя крыніцы ПДн з пісьмовай згоды суб'екта ПДн могуць уключацца яго прозвішча, імя, імя па бацьку, дата нараджэння, фатаграфія, пасада, нумары кантактных тэлефонаў, адрас электроннай пошты і іншыя персанальныя даныя, якія паведамляюцца суб'ектам ПДн.
Апрацоўка біяметрычных персанальных даных можа ажыццяўляцца толькі пры наяўнасці згоды ў пісьмовай форме ад суб'екта персанальных даных, калі іншае не прадугледжана законам.
Публікацыя фатаграфій на агульнадаступных рэсурсах і іншыя выпадкі выкарыстання выявы асобы, не звязаныя з устанаўленнем асобы суб'екта і з працэдурай ідэнтыфікацыі, не з'яўляюцца працэдурай апрацоўкі біяметрычных персанальных даных.
Аператар мае права перадаць персанальныя даныя для іх апрацоўкі на тэрыторыі замежных дзяржаў, якія з'яўляюцца бокам Канвенцыі Савета Еўропы аб абароне фізічных асоб пры аўтаматызаванай апрацоўцы персанальных даных.
Трансгранічная перадача ПДн на тэрыторыі дзяржаў, якія не забяспечваюць адэкватнай абароны правоў суб'ектаў ПДн, можа ажыццяўляцца ў выпадках:
- наяўнасці згоды ў пісьмовай форме суб'екта ПДн на трансгранічную перадачу яго ПДн;
- прадугледжаных міжнароднымі дагаворамі;
- прадугледжаных законамі краін прысутнасці Таварыства;
- выканання дагавора, бокам якога з'яўляецца суб'ект ПДН;
- абароны жыцця, здароўя, іншых жыццёва важных інтарэсаў суб'екта персанальных даных або іншых асоб пры немагчымасці атрымання згоды суб'екта персанальных даных ў пісьмовай форме.
2.6. Правы суб'ектаў персанальных даных
У мэтах забеспячэння абароны сваіх персанальных даных суб'ект персанальных даных мае права ў парадку, прадугледжаным дзеючым заканадаўствам:
- атрымліваць поўную інфармацыю аб сваіх персанальных даных і апрацоўцы гэтых даных;
- ажыццяўляць доступ да сваіх персанальных даных;
- патрабаваць выключэння або выпраўлення няверных або няпоўных персанальных даных, а таксама даных, якія апрацоўваюцца з парушэннем заканадаўства;
- абскарджваць у судзе любыя неправамерныя дзеянні ці бяздзейнасць Таварыства пры апрацоўцы і абароне персанальных даных.
2.7. Меры, прымяняемыя для абароны персанальных даных
Бяспека ПДн, апрацоўваемых Таварыствам, забяспечваецца рэалізацыяй прававых, арганізацыйных і тэхнічных мер, неабходных для забеспячэння патрабаванняў заканадаўства ў галіне абароны ПДн.
Для прадухілення несанкцыянаванага доступу да персанальных даных прымяняюцца наступныя арганізацыйна-тэхнічныя меры:
- прызначэнне службовых асоб, адказных за арганізацыю апрацоўкі і абароны ПДн;
- арганізацыя ўліку носьбітаў, якія змяшчаюць інфармацыю з персанальнымі данымі;
- вызначэнне пагроз бяспекі ПДн пры іх апрацоўцы ў ІСПДн, фарміраванне мадэляў пагроз, распрацоўка сістэмы абароны ПДН;
- прымяненне сродкаў абароны інфармацыі;
- ацэнка эфектыўнасці прымаемых мер па забеспячэнні бяспекі персанальных даных;
- выяўленне фактаў несанкцыянаванага доступу да персанальных даных і прыняцце мер па выяўленні, папярэджанні і ліквідацыі наступстваў камп'ютарных нападаў на інфармацыйныя сістэмы персанальных даных і па рэагаванні на камп'ютарныя інцыдэнты;
- аднаўленне персанальных даных, мадыфікаваных ці знішчаных з прычыны несанкцыянаванага доступу да іх;
- устанаўленне правіл доступу да персанальных даных, якія апрацоўваюцца ў інфармацыйнай сістэме персанальных даных, а таксама забеспячэнне рэгістрацыі і ўліку ўсіх дзеянняў, якія ажыццяўляюцца з персанальнымі данымі ў інфармацыйнай сістэме персанальных даных;
- кантроль за мерамі, якія прымаюцца для забеспячэння бяспекі персанальных даных і ўзроўню абароненасці інфармацыйных сістэм персанальных даных;
- арганізацыя прапускнога рэжыму на аб'екты Таварыства, аховы памяшканняў з тэхнічнымі сродкамі апрацоўкі персанальных даных.
2.8. Кантроль за выкананнем патрабаванняў заканадаўства ў галіне персанальных даных
Унутраны кантроль за выкананнем патрабаванняў заканадаўства аб персанальных даных працаўнікоў Таварыства, арганізацыю абароны персанальных даных і ўнутраны кантроль за абаронай персанальных даных контрагентаў Таварыства ажыццяўляе Аддзел бяспекі Таварыства.
2.9. Заключныя палажэнні
Іншыя правы і абавязкі аператара ў сувязі з апрацоўкай персанальных даных вызначаюцца заканадаўствам у галіне персанальных даных.
Таварыства забяспечвае абарону і канфідэнцыйнасць апрацоўваемых персанальных даных суб'ектаў персанальных даных, якія трапляюць пад дзеянне GDPR, у частцы, якая не супярэчыць прававым нормам заканадаўства краін прысутнасці Таварыства.
