- Общие положения
- Настоящая Политика обработки персональных данных в ООО «Газпром межрегионгаз Воронеж» (далее - Политика) определяет
основные принципы, цели, условия и способы обработки персональных данных, перечни субъектов и обрабатываемых в ООО
«Газпром межрегионгаз Воронеж» (далее - Общество) персональных данных, функции Общества при обработке персональных данных,
права субъектов персональных данных, а также реализуемые в Обществе требования к защите персональных данных.
- Политика разработана с учетом требований законодательных и иных нормативных правовых актов Российской Федерации в области
обработки персональных данных.
- Положения Политики служат основой для разработки организационно-распорядительных документов Общества,
регламентирующих процессы обработки персональных данных, а также меры по обеспечению безопасности персональных данных при
их обработке в Обществе.
- Законодательная и нормативно-правовая база
Настоящая Политика определяется в соответствии со следующими
нормативными правовыми актами:
- Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
- Указ Президента Российской Федерации от 06.03.1997 № 188 «Об утверждении Перечня сведений конфиденциального характера».
- Постановление Правительства Российской Федерации от 06.07.2008 №512 «Об утверждении требований к материальным носителям
биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных».
- Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки
персональных данных, осуществляемой без использования средств автоматизации».
- Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных
при их обработке в информационных системах персональных данных».
- Приказ Федеральной службы по техническому и экспортному контролю от 18.02.2013 № 21 «Об утверждении Состава и содержания
организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах
персональных данных».
- Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 05.09.2013
№ 996 «Об утверждении требований и методов по обезличиванию персональных данных».
- Иные нормативные правовые акты органов государственной власти Российской Федерации.
- Основные термины, понятия и определения
В настоящей Политике используются следующие основные термины,
понятия и определения:
- Информация - сведения (сообщения, данные) независимо от формы их представления
- Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу
(субъекту персональных данных).
- Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с
другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки
персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными
данными
- Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием
средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию,
накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение,
предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
- Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
- Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
- Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или
определенному кругу лиц.
- Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если
обработка необходима для уточнения персональных данных).
- Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных
данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители
персональных данных
- Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной
информации определить принадлежность персональных данных конкретному субъекту персональных данных.
- Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и
обеспечивающих их обработку информационных технологий и технических средств.
- Принципы и цели обработки персональных данных
- Общество, являясь оператором персональных данных, осуществляет обработку персональных данных работников Общества и иных
субъектов персональных данных, не состоящих с Обществом в трудовых отношениях.
- Обработка персональных данных в Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод работников
Общества и иных субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и
семейную тайну, на основе следующих принципов:
- обработка персональных данных осуществляется в Обществе на законной и справедливой основе;
- обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
- не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- обработке подлежат только персональные данные, которые отвечают целям их обработки;
- содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки. Не допускается
избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;
- при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях
и актуальность по отношению к целям обработки персональных данных. Общество принимает необходимые меры либо
обеспечивает их принятие по удалению или уточнению неполных или неточных персональных данных;
- обрабатываемые персональные данные уничтожаются либо обезличиваются по достижению целей обработки или в случае
утраты необходимости достижения этих целей, если иное не предусмотрено законодательством Российской Федерации.
- Персональные данные в Обществе обрабатываются в целях:
- обеспечения соблюдения требований Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества;
- осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Общество, в том числе по предоставлению персональных данных в органы государственной власти (Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования, а также иные органы государственной власти);
- регулирования трудовых отношений с работниками Общества (содействие в трудоустройстве, обучение и продвижение по службе, обеспечение личной безопасности, контроль количества и качества выполняемых работ, обеспечение сохранности имущества);
- предоставления работникам Общества и членам их семей дополнительных гарантий и компенсаций, в том числе:
- негосударственного пенсионного обеспечения, добровольного медицинского страхования, медицинского обслуживания и других видов социального обеспечения;
- защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
- подготовки, заключения, исполнения и прекращения договоров с контрагентами;
- обеспечения пропускного и внутриобъектового режимов на объектах Общества;
- формирования справочных материалов для внутреннего информационного обеспечения деятельности группы лиц ОАО «Газпром»;
- исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации;
- осуществления прав и законных интересов Общества в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Общества, или третьих лиц либо достижение общественно значимых целей;
- в иных законных целях.
- Перечень субъектов, персональные данные которых обрабатываются в Обществе
В Обществе обрабатываются персональные данные следующих категорий субъектов персональных данных:
- Работники Общества.
- Работники дочерних и зависимых организаций Общества
- Иные субъекты персональных данных (для обеспечения реализации целей обработки, указанных в разделе 4 настоящей Политики).
- Перечень персональных данных, обрабатываемых в Обществе
- Перечень персональных данных, обрабатываемых в Обществе, определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества с учетом целей обработки персональных данных, указанных в разделе 4 настоящей Политики.
- Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, в Обществе не осуществляется.
- Функции Общества при осуществлении обработки персональных данных
Общество при осуществлении обработки персональных данных выполняет следующие функции:
- Принимает меры, необходимые и достаточные для обеспечения выполнения требований законодательства Российской Федерации и локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества в области обработки персональных данных.
- Принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных.
- Назначает лицо, ответственное за организацию обработки персональных данных в Обществе.
- Издает локальные нормативные акты, определяющие политику и вопросы обработки и защиты персональных данных в Обществе.
- Осуществляет ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации и локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества в области обработки персональных данных, в том числе с требованиями к защите персональных данных, и обучение указанных работников.
- Публикует настоящую Политику на Интернет-сайте Общества и обеспечивает неограниченный доступ к ней.
- Сообщает в установленном порядке субъектам персональных данных или их представителям информацию о наличии персональных данных, относящихся к соответствующим субъектам, предоставляет возможность ознакомления с этими персональными данными при обращении и (или) поступлении запросов указанных субъектов персональных данных или их представителей, если иное не установлено законодательством Российской Федерации.
- Прекращает обработку и уничтожает персональные данные в случаях, предусмотренных законодательством Российской Федерации.
- Совершает иные действия, предусмотренные законодательством Российской Федерации в области обработки персональных данных.
- Условия обработки персональных данных в Обществе
- Обработка персональных данных в Обществе осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации.
- Без согласия субъекта персональных данных Общество не передает третьим лицам и не распространяет его персональные данные, если иное не предусмотрено законодательством Российской Федерации.
- Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании заключаемого с этим лицом договора. Договор должен содержать перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели обработки, обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального закона от 27.07.2006 № 152- ФЗ «О персональных данных».
- В целях внутреннего информационного обеспечения деятельности группы лиц ОАО «Газпром» могут создаваться внутренние справочные материалы, в которые с письменного согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации, могут включаться его фамилия, имя, отчество, место работы, должность, год и место рождения, адрес, абонентский номер, адрес электронной почты, иные персональные данные, сообщаемые субъектом персональных данных.
- Доступ к обрабатываемым в Обществе персональным данным разрешается только работникам Общества, занимающими должности, включенные на основании приказа Общества в перечень должностей структурных подразделений Общества, при замещении которых осуществляется обработка персональных данных.
- Перечень действий с персональными данными и способы их обработки
- Общество осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
- Обработка персональных данных в Обществе осуществляется следующими способами:
- неавтоматизированная обработка персональных данных;
- автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
- смешанная обработка персональных данных.
- Права субъектов персональных данных
Субъекты персональных данных имеют право на:
- Полную информацию об их персональных данных, обрабатываемых в Обществе.
- Доступ к своим персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренным законодательством Российской Федерации.
- Уточнение своих персональных данных, их блокирование или уничтожение в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
- Отзыв согласия на обработку персональных данных.
- Принятие предусмотренных законодательством Российской Федерации мер по защите своих прав.
- Обжалование действия или бездействия Общества, осуществляемого с нарушением требований законодательства Российской Федерации в области персональных данных, в уполномоченный орган по защите прав субъектов персональных данных или суд.
- Осуществление иных прав, предусмотренных законодательством Российской Федерации.
- Меры, принимаемые Обществом для обеспечения выполнения обязанностей оператора при обработке персональных данных
- Меры, необходимые и достаточные для обеспечения выполнения Обществом обязанностей оператора, предусмотренных законодательством Российской Федерации в области обработки персональных данных, включают:
- назначение лица, ответственного за организацию обработки персональных данных в Обществе;
- принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;
- организацию обучения и проведение методической работы с работниками Общества, занимающими должности, включенные на основании приказа Общества в перечень должностей структурных подразделений Общества, при замещении которых осуществляется обработка персональных данных;
- получение согласий субъектов персональных данных на обработку персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации;
- обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации, в частности, путем их фиксации на отдельных материальных носителях персональных данных, в специальных разделах;
- обеспечение раздельного хранения персональных данных и их материальных носителей, обработка которых осуществляется в разных целях и которые содержат разные категории персональных данных;
- установление запрета на передачу персональных данных по открытым каналам связи, вычислительным сетям вне пределов контролируемой зоны, Единой ведомственной сети передачи данных (ЕВСПД) ОАО «Газпром», АСДОБ, и сети Интернет без применения установленных в Обществе мер по обеспечению безопасности персональных данных (за исключение общедоступных и (или) обезличенных персональных данных);
- хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих их сохранность и исключающих несанкционированный доступ к ним;
- осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152- ФЗ «О персональных данных» и принятых в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике, локальным нормативным актам ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества;
- иные меры, предусмотренные законодательством Российской Федерации в области обработки персональных данных.
- Меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с требованиями законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества, регламентирующих вопросы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных Общества.
- Лицо, ответственное за организацию обработки персональных данных и назначаемое приказом Общества, получает указания от руководства Общества и подотчетно ему.
- Лицо, ответственное за организацию обработки персональных данных, в частности, обязано организовывать:
- внутренний контроль за соблюдением работниками Общества законодательства Российской Федерации в области обработки персональных данных, в том числе требований к защите персональных данных;
- доведение до сведения работников Общества положений законодательства Российской Федерации, локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества в области обработки персональных данных, в том числе требований к защите персональных данных;
- контроль за приемом и обработкой обращений и запросов субъектов персональных данных или их представителей.
- Контроль за соблюдением законодательства Российской Федерации и локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества в области обработки персональных данных, в том числе требований к защите персональных данных
- Контроль за соблюдением структурными подразделениями Общества законодательства Российской Федерации, локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества в области обработки персональных данных, в том числе требований к защите персональных данных, осуществляется с целью проверки соответствия обработки персональных данных в Обществе законодательству Российской Федерации, локальным нормативным актам ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества в области обработки персональных данных, в том числе требованиям к защите персональных данных, а также принятых мер, направленных на предотвращение и выявление нарушений законодательства Российской Федерации в области обработки персональных данных, выявления возможных каналов утечки и несанкционированного доступа к персональным данным, устранения последствий таких нарушений.
- Внутренний контроль за соблюдением структурными подразделениями Общества законодательства Российской Федерации, локальных нормативных актов ОАО «Газпром», ООО «Газпром межрегионгаз» и Общества в области обработки персональных данных, в том числе требований к защите персональных данных, осуществляет Советник генерального директора по корпоративной защите и ведущий инженер по информационной безопасности.
- Персональная ответственность за соблюдение структурными подразделениями Общества требований законодательства Российской Федерации, локальных нормативных актов ОАО «Газпром» и Общества в области обработки персональных данных, в том числе требований к защите персональных данных, возлагается на начальников структурных подразделений Общества.