Список прямых ссылок к разделам:
2.2. Принципы и условия обработки персональных данных
2.3. Субъекты персональных данных
2.4. Цели сбора и обработки персональных данных
2.5. Условия обработки персональных данных и их передача третьим лицам
2.6. Права субъектов персональных данных
2.7. Меры, применяемые для защиты персональных данных
2.8. Контроль за соблюдением требований законодательства в области персональных данных
1. НАЗНАЧЕНИЕ
Политика обработки персональных данных в АО «Нижфарм» (далее — Политика, Общество) разработана в соответствии с требованиями законов об обработке персональных данных стран присутствия Общества.
Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в Обществе с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Политика является основой для разработки локальных нормативных актов, регламентирующих вопросы обработки персональных данных в Обществе.
Действие Политики распространяется на все структурные подразделения Общества.
2. ОБЩИЕ ПОЛОЖЕНИЯ
2.1. Термины и определения
В настоящей Политике используются следующие термины и определения:
- автоматизированная обработка ПДн — обработка ПДн с помощью средств вычислительной техники;
- биометрические персональные данные — физиологические данные человека, в том числе его изображение, которые позволяют установить его личность и используются оператором для установления личности субъекта;
- блокирование ПДн — временное прекращение обработки ПДн;
- информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных ПДн, и обеспечивающих их обработку с помощью информационных технологий и технических средств;
- неавтоматизированная обработка ПДн — обработка содержащихся в информационной системе ПДн либо извлеченных из такой системы, осуществляющаяся при непосредственном участии человека;
- обезличивание ПДн — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность ПДн конкретному субъекту ПДн;
- обработка ПДн — любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
- оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с персональными данными;
- персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
- предоставление ПДн — действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;
- распространение ПДн — действия, направленные на раскрытие ПДн неопределенному кругу лиц или на ознакомление с персональными данными неограниченного круга лиц;
- трансграничная передача ПДн — передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу;
- уничтожение ПДн — действия, в результате которых невозможно восстановить содержание ПДн в ИСПДн и (или) результате которых уничтожаются материальные носители ПДн.
- GDPR — General Data Protection Regulation, Общий регламент по защите данных, постановление Европейского Союза, с помощью которого Европейский парламент, Совет Европейского Союза и Европейская комиссия унифицируют защиту персональных данных всех лиц в Европейском Союзе (ЕС).
2.2. Принципы и условия обработки персональных данных
Общество производит обработку ПДн при наличии хотя бы одного из следующих условий:
- обработка осуществляется с согласия субъекта ПДн на обработку его ПДн;
- обработка ПДн необходима для достижения целей, предусмотренных международным договором или законом, для осуществления и выполнения возложенных законодательством на оператора функций, полномочий и обязанностей;
- обработка ПДн необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством об исполнительном производстве;
- обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;
- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
- обработка ПДн необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;
- обработка персональных данных осуществляется в статистических или иных исследовательских целях;
- осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с законом.
2.3. Субъекты персональных данных
Общество обрабатывает ПДн следующих субъектов ПДн:
- работников;
- уволенных работников;
- соискателей;
- кандидатов на вакантную должность;
- контрагентов;
- близких родственников сотрудников;
- посетителей;
- врачей;
- фармацевтов;
- подписчиков;
- посетителей сайта.
2.4. Цели сбора и обработки персональных данных
Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
2.5. Условия обработки персональных данных и их передача третьим лицам
Общество вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку ПДн по поручению Общества, обязано соблюдать принципы и правила обработки ПДн, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных настоящей Политикой.
Общество вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующими законодательствами стран присутствия Общества.
Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта ПДн, если иное не предусмотрено законом.
При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку, персональные данные подлежат уничтожению, если иное не предусмотрено законом или иным соглашением между оператором и субъектом персональных данных.
Оператор обязан сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего.
В целях информационного обеспечения в Обществе могут создаваться внутренние или общедоступные источники ПДн субъектов ПДн, в том числе справочники и адресные книги. Во внутренние или общедоступные источники ПДн с письменного согласия субъекта ПДн могут включаться его фамилия, имя, отчество, дата рождения, фотография, должность, номера контактных телефонов, адрес электронной почты и иные персональные данные, сообщаемые субъектом ПДн.
Обработка биометрических персональных данных может осуществляться только при наличии согласия в письменной форме субъекта персональных данных, если иное не предусмотрено законом.
Публикация фотографий на общедоступных ресурсах и другие случаи использования изображения лица, не связанные с установлением личности субъекта и с процедурой идентификации, не являются процедурой обработки биометрических персональных данных.
Оператор вправе передать персональные данные для их обработки на территории иностранных государств, являющихся стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.
Трансграничная передача ПДн на территории государств, не обеспечивающих адекватной защиты прав субъектов ПДн, может осуществляться в случаях:
- наличия согласия в письменной форме субъекта ПДн на трансграничную передачу его ПДн;
- предусмотренных международными договорами;
- предусмотренных законами стран присутствия Общества;
- исполнения договора, стороной которого является субъект ПДн;
- защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.
2.6. Права субъектов персональных данных
В целях обеспечения защиты своих персональных данных субъект персональных данных имеет право в порядке, предусмотренном действующим законодательством:
- получать полную информацию о своих персональных данных и обработке этих данных;
- осуществлять доступ к своим персональным данным;
- требовать исключения или исправления неверных или неполных персональных данных, а также данных, обрабатываемых с нарушением законодательства;
- обжаловать в суде любые неправомерные действия или бездействие Общества при обработке и защите персональных данных.
2.7. Меры, применяемые для защиты персональных данных
Безопасность ПДн, обрабатываемых Обществом, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований законодательства в области защиты ПДн.
Для предотвращения несанкционированного доступа к персональным данным применяются следующие организационно-технические меры:
- назначение должностных лиц, ответственных за организацию обработки и защиты ПДн;
- организация учета носителей, содержащих информацию с персональными данными;
- определение угроз безопасности ПДн при их обработке в ИСПДн, формирование моделей угроз, разработка системы защиты ПДн;
- применение средств защиты информации;
- оценка эффективности принимаемых мер по обеспечению безопасности персональных данных;
- обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты;
- восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
- контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
- организация пропускного режима на объекты Общества, охраны помещений с техническими средствами обработки персональных данных.
2.8. Контроль за соблюдением требований законодательства в области персональных данных
Внутренний контроль за соблюдением требований законодательства о персональных данных работников Общества, организацию защиты персональных данных и внутренний контроль за защитой персональных данных контрагентов Общества осуществляет Отдел безопасности Общества.
2.9. Заключительные положения
Иные права и обязанности оператора в связи с обработкой персональных данных определяются законодательством в области персональных данных.
Общество обеспечивает защиту и конфиденциальность обрабатываемых персональных данных субъектов персональных данных, попадающих под действие GDPR, в части, не противоречащей правовым нормам законодательства стран присутствия Общества.
