| УТВЕРЖДЕНО
Постановлением ЦК Судпроф от «08» декабря 2022 г. № 2/4
|
ПОЛОЖЕНИЕ
ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
МЕЖРЕГИОНАЛЬНЫМ ПРОФСОЮЗОМ РАБОТНИКОВ СУДОСТРОЕНИЯ,
СУДОРЕМОНТА И МОРСКОЙ ТЕХНИКИ
- ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящее Положение об обработке персональных данных Межрегиональным профсоюзом работников судостроения, судоремонта и морской техники[1] (далее — Положение), разработано в соответствии с действующим законодательством Российской Федерации, Уставом Профсоюза, локальными нормативными актами Профсоюза.
1.2. Настоящее Положение, а также внесение изменений и дополнений в него утверждаются постановлением центрального комитета Судпроф.
1.3. Настоящее Положение определяет порядок обработки персональных данных членов профсоюза, в том числе ранее состоявших в Профсоюзе, и иных субъектов персональных данных, определенных в соответствии с настоящим Положением.
1.4. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, представительства и защиты прав и законных интересов членов профсоюза, реализации принципов, целей и задач Профсоюза в соответствии с Уставом Профсоюза.
1.5. Настоящее Положение обязательно к применению структурными организациями Профсоюза.
1.6. Настоящее Положение размещается в сети Интернет на сайте Судпроф www.sudprof.org
1.7. Режим конфиденциальности персональных данных снимается в случаях их обезличивания, невозможности определить по персональным данным физическое лицо, а также по истечении 75 лет срока их хранения, если в установленном порядке не принято решение об их постоянном хранении, либо если иное не определено законом.
- ОСНОВНЫЕ ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ В ПОЛОЖЕНИИ
2.1. Для целей настоящего Положения используются следующие основные понятия:
1) член профсоюза – физическое лицо (работник, учащийся, временно не работающий, неработающий пенсионер), состоящее на учёте в первичной профсоюзной организации Профсоюза[2];
2) оператор – Межрегиональный профсоюз работников судостроения, судоремонта и морской техники (сокращенное наименование – Судпроф), а также первичные профсоюзные организации и территориальные организации Профсоюза[3], самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
3) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных, члену профсоюза);
3.1) персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в установленном порядке;
4) обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
5) автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
6) распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
7) предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
8) блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
9) уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
10) обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
11) информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
- ПРАВОВОЕ ОСНОВАНИЕ, ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПРАВА РАБОТНИКОВ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Судпроф осуществляет обработку персональных данных членов профсоюза, руководствуясь Трудовым кодексом РФ от 30.12.2001 N 197-ФЗ и трудовым законодательством Российской Федерации, Федеральным законом РФ от 28.12.2013 № 426-ФЗ «О специальной оценке условий труда» и законодательством в сфере охраны труда, Федеральным законом РФ от 12.01.1996 № 10-ФЗ «О профессиональных союзах, их правах и гарантиях деятельности», Федеральным законом РФ от 12.01.1996 № 7-ФЗ «О некоммерческих организациях», Федеральным законом РФ от 19.05.1995 № 82-ФЗ «Об общественных объединениях», законодательством в сфере некоммерческих, общественных и профсоюзных организаций, пенсионным законодательством и законодательством о страховых взносах Российской Федерации, Уставом Судпроф, нормативными документами и постановлениями руководящих органов Судпроф, заявлениями о вступлении в Профсоюза, согласием на обработку персональных данных членов профсоюза.
3.2. Целями обработки персональных данных являются обеспечение соблюдения законов и иных нормативно-правовых актов, представительство и защита социально-трудовых прав и законных интересов членов профсоюза, прав и законных интересов Профсоюза и его структурных организаций, осуществление финансово-хозяйственной и уставной деятельности Профсоюза, его структурных организаций; исчисление и уплата предусмотренных законодательством РФ налогов, сборов и взносов на обязательное социальное и пенсионное страхование, ведение бухгалтерского учета, представление организациями установленной законодательством отчетности в отношении физических лиц, обучение, охрана труда.
3.3. В целях обеспечения защиты персональных данных, хранящихся у оператора, субъекты персональных данных имеют право на:
1) полную информацию об их персональных данных и обработке этих данных, в том числе содержащей:
— подтверждение факта обработки персональных данных оператором;
— правовые основания и цели обработки персональных данных;
— цели и применяемые оператором способы обработки персональных данных;
— наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
— обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
— сроки обработки персональных данных, в том числе сроки их хранения;
— порядок осуществления субъектом персональных данных прав, предусмотренных Законом «О персональных данных»;
— информацию об осуществленной или о предполагаемой трансграничной передаче данных;
— наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
— информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 Закона о персональных данных;
— иные сведения, предусмотренные Законом о персональных данных или другими федеральными законами.
Перечисленные сведения должны быть предоставлены субъекту персональных данных в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
Информация предоставляется субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Оператор предоставляет информацию в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
В случае, если информация, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, он вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения указанной информации и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных к.
Субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения информации в соответствии с настоящим пунктом, а также в целях ознакомления с обрабатываемыми персональными данными ранее истечения указанного срока в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду с общими требованиями к запросу должен содержать обоснование направления повторного запроса.
Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего вышеуказанным условиям. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на операторе.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц и других предусмотренных федеральными законами случаях.
2) свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные субъекту персональных данных, за исключением случаев, предусмотренных федеральным законом;
3) определение своих представителей для защиты своих персональных данных;
4) доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;
5) требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований федерального закона, требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта персональных данных были переданы.
При отказе оператора исключить или исправить персональные данные субъекта персональных данных он имеет право заявить оператору в письменной форме о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера субъект персональных данных имеет право дополнить заявлением, выражающим его собственную точку зрения.
В случае выявления неправомерной обработки персональных данных при обращении либо по запросу субъекта персональных данных или его представителя, либо по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по его поручению, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по его поручению. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъекта персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по его поручению) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по его поручению) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или другими федеральными законами.
В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных, либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или другими федеральными законами.
В случае обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных оператор обязан в срок, не превышающий десяти рабочих дней с даты получения соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2 — 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Законом о персональных данных. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
В случае отсутствия возможности уничтожения персональных данных в течение указанного срока оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по его поручению) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
6) требование об извещении оператором всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта персональных данных, обо всех произведенных в них исключениях, исправлениях или дополнениях;
7) обжалование в уполномоченный орган по защите прав субъектов персональных данных или в суд любых неправомерных действий или бездействия оператора при обработке и защите его персональных данных.
8) запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением следующих случаев:
— только при наличии согласия в письменной форме субъекта персональных данных;
— в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.
Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.
Оператор обязан рассмотреть указанное возражение в течение тридцати дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.
9) Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
- СУБЪЕКТЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. С учетом целей, задач, направлений деятельности Профсоюза к субъектам обработки персональных данных относятся:
1) члены профсоюза и лица, наделившие Профсоюз правом представительства и защиты их социально-трудовых прав и законных интересов независимо от членства в Профсоюзе;
2) физические лица, осуществляющие услуги по гражданско-правовым договорам;
3) делегаты Съездов Профсоюза, общих собраний (конференций) структурных организаций Профсоюза, члены выборных органов Профсоюза и его структурных организаций, комиссий Профсоюза;
4) работники структурных организаций Профсоюза.
- СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. В состав персональных данных следующие категории персональных данных, которые обрабатывают Судпроф и его структурные организации:
— фамилия, имя, отчество;
— прежние фамилия, имя, отчество, дата, место и причина изменения (в случае изменения);
— год рождения; месяц рождения; дата рождения;
— место рождения;
— изображение субъекта персональных данных;
— адрес регистрации и фактического проживания;
— сведения об образовании;
— сведения об ученой степени, ученом звании;
— сведения о выполняемой работе с начала трудовой деятельности (включая военную службу, работу по совместительству, предпринимательскую деятельность, профессии, должности и т.п.);
— семейное положение;
— гражданство;
— паспортные данные (серия, номер, кем и когда выдан) и (или) иного документа, удостоверяющего личность;
— номера телефонов;
— адрес электронной почты;
— данные свидетельства о рождении;
— идентификационный номер налогоплательщика (ИНН);
— сведения о награждениях и поощрениях (государственные награды, иные награды и знаки отличия (кем награжден и когда));
— сведения дисциплинарных взысканиях;
— сведения о привлечении к административной и (или) уголовной ответственности в установленных законом случаях;
— сведения о членстве в профсоюзе;
— сведения о близких родственниках в установленных законом случаях (степень родства, фамилии, имена, отчества, даты рождения близких родственников (отца, матери, братьев, сестер и детей), а также мужа (жены), места рождения, места работы и домашние адреса близких родственников (отца, матери, братьев, сестер и детей), а также мужа (жены));
— номера расчетных счетов, банковских карт;
— сведения о доходах;
— сведения, содержащиеся в отчетах, налоговых декларациях и иных документах, направляемых в государственные органы и фонды;
— сведения о социальных льготах и о социальном статусе.
5.2. Персональные данные формируются в базы данных по целям обработки:
— по вопросам, связанным с осуществлением уставной работы Судпроф;
— по бухгалтерскому учету, в связи с начислением и выплатой денежных средств, уплатой налогов и страховых взносов, вопросам, связанным с передачей сведений в государственные органы и фонды;
— по вопросам охраны труда, специальной оценкой условий труда, микротравмам и несчастным случаям;
— по организационным вопросам, связанным с осуществлением уставной работы Судпроф и его структурных организаций, обучением, информационной работой Судпроф и его структурных организаций.
5.3. Базы данных формируются в виде документов в бумажной форме (материальных носителей) и (или) в электронном виде.
- ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Обработка персональных данных субъектов персональных данных включает в себя такие действия, как получение (сбор), запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
6.2. Основные правила обработки персональных данных субъектов персональных данных:
1) Обработка персональных данных допускается в тех случаях, когда обработка персональных данных:
— осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
— необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
— осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
— необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
— необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;
— необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
— необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
— осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Закона о персональных данных, при условии обязательного обезличивания персональных данных;
— осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
2) оператор не имеет права получать и обрабатывать сведения о субъекте персональных данных, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных федеральными законами;
3) оператор не имеет права получать и обрабатывать персональные данные субъекта персональных данных о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами;
4) при принятии решений, затрагивающих интересы субъекта персональных данных, оператор не имеет права основываться на персональных данных субъекта персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получения;
5) законом устанавливаются особенности обработки специальных категорий персональных данных и биометрических персональных данных:
— к специальным категориям персональных данных относятся: данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Обработка специальных категорий персональных данных не допускается, за исключением случаев, если:
1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
2) обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10.1 Закона о персональных данных;
3) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
4) обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года № 8-ФЗ «О Всероссийской переписи населения»;
5) обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;
6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
7) обработка персональных данных членов профсоюза осуществляется Профсоюзом для достижения законных целей, предусмотренных Уставом Судпроф, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
8) обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;
9) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством Российской Федерации;
10) обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;
11) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о гражданстве Российской Федерации.
12) обработка персональных данных о судимости осуществляется в случаях и в порядке, которые определяются в соответствии с федеральными законами.
Обработка специальных категорий персональных данных должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка, если иное не установлено федеральным законом.
— к биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.
Биометрические персональные данные могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением следующих случаев:
1) в связи с реализацией международных договоров Российской Федерации о реадмиссии,
2) в связи с осуществлением правосудия и исполнением судебных актов,
3) в связи с проведением обязательной государственной дактилоскопической регистрации,
4) в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством Российской Федерации о нотариате.
Предоставление биометрических персональных данных не может быть обязательным, за исключением перечисленных случаев. Оператор не вправе отказывать в обслуживании в случае отказа работника предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным.
6.3 Оператор осуществляет обработку персональных данных субъекта персональных данных с их согласия.
Субъект персональных данных даёт своё письменное согласие на обработку персональных данных при обращении в Профсоюз и (или) его структурную организацию.
Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
6.4. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона о персональных данных.
6.5. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона о персональных данных, возлагается на оператора.
6.6. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
4) цель обработки персональных данных;
5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
9) подпись субъекта персональных данных.
6.7. Обработка персональных данных граждан, не состоящих в настоящее время и не состоявших ранее в отношениях с Судпроф и (или) его структурными организациями, осуществляется только с письменного согласия гражданина.
6.8. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
6.9. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают его наследники, если такое согласие не было дано Работником при его жизни.
6.10. Порядок получения (сбора) персональных данных субъектов персональных данных:
6.10.1. Под получением (сбором) персональных данных понимается последовательность действий, связанных с установлением достоверности соответствующих данных, а также размещением их в информационных системах, базах данных.
Сбор персональных данных осуществляется в пределах установленного объема и не может превышать указанный объем.
6.10.2. Все персональные данные субъекта персональных данных следует получать у него самого.
6.10.3. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных данных;
4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
5) обрабатываемые персональные данные, относящиеся к соответствующему Работнику, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных Законом о персональных данных;
8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
10) информацию меры для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами;
11) иные сведения, предусмотренные Законом о персональных данных или другими федеральными законами.
6.10.4. Если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.
6.10.5. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона о персональных данных.
Если персональные данные субъекта персональных данных возможно получить только у третьей стороны, то субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Должностное лицо оператора направляет субъекту персональных данных уведомление, в котором должно сообщить ему о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа субъекта персональных данных дать письменное согласие на их получение.
При отказе субъекта персональных данных от ознакомления с уведомлением о предполагаемом получении его персональных данных у иного лица составляется акт, который должен быть подписан лицами, предъявившими субъекту персональных данных соответствующее уведомление.
Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных настоящим пунктом, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
2) цель обработки персональных данных и ее правовое основание;
3) перечень персональных данных;
4) предполагаемые пользователи персональных данных;
5) установленные настоящим Федеральным законом права субъекта персональных данных;
6) источник получения персональных данных.
Оператор освобождается от обязанности предоставить субъекту персональных данных вышеперечисленные сведения в случаях, если:
1) субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором;
2) персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
3) обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10.1 Закона о персональных данных;
4) оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, если при этом не нарушаются права и законные интересы субъекта персональных данных;
5) предоставление субъекту персональных данных указанных сведений нарушает права и законные интересы третьих лиц.
6.10.6. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 Закона о персональных данных.
6.11. При передаче персональных данных работника оператор должен соблюдать следующие требования:
6.11.1. Не сообщать персональные данные субъекта персональных данных третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в случаях, установленных федеральным законом.
6.11.2. Не сообщать персональные данные субъекта персональных данных в коммерческих целях без его письменного согласия. Обработка персональных данных субъектов персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только с его предварительного согласия.
6.11.3. Предупредить лиц, получивших персональные данные субъекта персональных данных, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получившие персональные данные субъекта персональных данных, обязаны соблюдать режим секретности (конфиденциальности). Данное Положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами.
6.11.4. Осуществлять передачу персональных данных субъектов персональных данных в пределах Судпроф и (или) его структурных организаций в соответствии с настоящим Положением.
6.11.5. Разрешать доступ к персональным данным субъектов персональных данных только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные субъекта персональных данных, которые необходимы для выполнения конкретной функции.
6.11.6. Передавать персональные данные субъекта персональных данных представителям субъектов персональных данных в порядке, установленном законодательством Российской Федерации, и ограничивать эту информацию только теми персональными данными субъекта, которые необходимы для выполнения указанными представителями их функции.
- ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
7.2. В целях выполнения обязанностей, предусмотренных Законом о персональных данных, оператор принимает следующие меры:
7.2.1. приказом (распоряжением) по организации назначает ответственного за организацию обработки персональных данных.
Лицо, ответственное за организацию обработки персональных данных, в частности, обязано:
1) осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
2) доводить до сведения субъектов персональных данных положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
3) организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
7.2.2. издает документы, определяющие политику оператора в отношении обработки персональных данных;
7.2.3. применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со статьей 19 Закона о персональных данных, в том числе:
1) определяет угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
2) применяет организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
3) применяет прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации;
4) оценивает эффективность принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
5) обнаруживает факты несанкционированного доступа к персональным данным и принимает меры, в том числе меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
6) восстанавливает персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним;
7) устанавливает правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных;
8) осуществляет контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
- ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Персональные данные субъектов персональных данных обрабатываются и хранятся в соответствии с целями их обработки уполномоченными оператором лицами.
8.2. Персональные данные субъектов персональных данных могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.
8.3. Субъекты персональных данных предоставляют оператору достоверные сведения о себе. Уполномоченные оператором лица проверяют достоверность сведений, сверяя данные, предоставленные субъектом персональных данных, с имеющимися у него документами.
8.4. Право доступа, обработки и хранения персональных данных в Судпроф имеют следующие лица:
– председатель Профсоюза, либо лицо, его замещающее в установленном порядке – ко всем персональным данным, обрабатываемым Судпроф;
– главный бухгалтер Профсоюза – к персональным данным, обрабатываемым в целях бухгалтерского учета, начисления и выплаты денежных средств, уплаты налогов и страховых взносов, вопросов, связанных с передачей сведений в государственные органы и фонды, а также право доступа и обработки персональных данных в информационных системах, применяемых Судпроф;
— главный правовой инспектор Профсоюза в целях осуществления представительства и защиты социально-трудовых прав и законных интересов субъектов персональных данных, осуществления уставной работы Профсоюза, обучения, информационной работы Судпроф;
— начальник информационно-организационного отдела Профсоюза осуществления уставной работы Судпроф, обучения, информационной работы Судпроф, награждения;
— главный технический инспектор Профсоюза в целях вопросы охраны труда, специальной оценки условий труда, микротравм и несчастных случаев, обучения, информационной работы Судпроф.
8.5. Определение лиц, имеющих право доступа, обработки и хранения персональных данных в структурных организациях Судпроф, осуществляется уполномоченными органами профсоюзной организации.
8.6. Работники, имеющие право доступа и обработки персональных данных субъектов персональных данных, дают обязательство о неразглашении персональных данных субъектов персональных данных, ставших им известных в период работы в Судпроф и (или) его структурной организации, в письменной форме.
8.7. Сроки обработки и хранения персональных данных работников определяются законодательством Российской Федерации.
- ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъектов персональных данных, несут дисциплинарную административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.
8.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Законом о персональных данных, а также требований к защите персональных данных, установленных в соответствии с Законом о персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
[1] Далее по тексту – Судпроф, Профсоюз.
[2] П. 2.1 Устава Профсоюза.
[3] Структурные организации Профсоюза (п. 2.4. Устава Профсоюза).