Ловим и перерабатываем рыбу в море

ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

 

1. Общие положения

1.1. Настоящее Положение об обработке персональных данных (далее – Положение) разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных), Трудовым кодексом Российской Федерации (далее – ТК РФ), Гражданским кодексом Российской Федерации, постановлениями Правительства Российской Федерации и иными нормативными правовыми актами в области персональных данных, а также на основании Политики Оператора в отношении обработки персональных данных.

1.2. Настоящее Положение устанавливает порядок и условия обработки персональных данных работников и иных субъектов персональных данных оператором – ООО «Эльбрус» (ОГРН 1112538003160, ИНН 2538146392), местонахождение: 692459, Приморский край, Ольгинский район, п. Моряк-Рыболов, ул. Советская, дом 22Е (далее – Оператор), определяет категории обрабатываемых персональных данных, цели, способы и сроки обработки, порядок хранения, передачи, уничтожения персональных данных, права субъектов персональных данных, а также процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации в области персональных данных, в том числе при размещении видеозаписей с участием работников на сайте Оператора в сети Интернет и в официальных аккаунтах Оператора в социальных сетях (далее – видеозаписей).

1.3. Действие настоящего Положения распространяется на всех работников Оператора, имеющих доступ к персональным данным, в том числе участвующих в съёмке, монтаже, размещении, хранении и удалении видеозаписей, являющихся субъектами персональных данных либо участвующих в обработке персональных данных в связи с исполнением трудовых обязанностей.

1.4. Обработка персональных данных осуществляется Оператором только при наличии правовых оснований, предусмотренных Законом о персональных данных, ТК РФ, иными федеральными законами, а для обработки персональных данных работников в целях размещения видеозаписей – исключительно при наличии отдельного письменного согласия работника на обработку, распространение персональных данных и использование изображения (далее – Согласие).

2. Категории субъектов персональных данных

2.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

а) работники Оператора, состоящие с ним в трудовых отношениях;

б) бывшие работники Оператора (в пределах, необходимых для исполнения требований законодательства);

в) кандидаты на замещение вакантных должностей;

г) посетителей официального сайта Оператора https://elbrus-fish.ru ;

д) иные субъекты, персональные данные которых обрабатываются Оператором в связи с осуществлением его деятельности.

2.2. В целях размещения видеозаписей и/или фотографий обрабатываются персональные данные только тех работников, которые дали Согласие и принимают участие в видеозаписи, фотографии; обработка персональных данных иных лиц, случайно попавших в кадр (посетителей, контрагентов, иных работников), не допускается, за исключением случаев, предусмотренных законодательством (например, съёмка в местах, открытых для свободного посещения, при условии, что изображение таких лиц не является основным объектом использования).

 

3. Цели обработки персональных данных

3.1. Обработка персональных данных осуществляется в целях:

а) регулирования трудовых отношений с работниками (ведение кадрового делопроизводства, учёт рабочего времени, начисление оплаты труда, предоставление гарантий и компенсаций, обязательное социальное страхование, соблюдение требований налогового, пенсионного и иного законодательства);

б) исполнения требований законодательства Российской Федерации;

в) обеспечения безопасности и контроля доступа в помещения Оператора;
г) осуществления деятельности, предусмотренной уставом (Положением) Оператора;

д) размещения видеозаписей с участием работников на сайте Оператора и в официальных аккаунтах Оператора в социальных сетях в целях информирования о деятельности Оператора, формирования его имиджа, рекламы и маркетинга, сохранения и популяризации корпоративных мероприятий (далее – цель размещения видеозаписей);

е) информация, необходимая Оператору для получения предварительной информации о желании рассмотреть открытые вакансии Оператора, формирования индивидуального коммерческого предложения, предоставления обратной связи посетителям сайта, а также анализа пользовательской активности сайта с помощью сервиса «Яндекс.Метрика», «Yandex SmartCaptcha», «Rutube» и передачи данных им о поведении пользователя и использование сервисов.

Для целей анализа пользовательской активности могут собираться: пользовательские данные и файлы «cookie» (url и заголовок страницы; реферер страницы; сведения о местоположении и часовом поясе; тип и версия операционной системы; тип и версия браузера; тип устройства и разрешение его экрана; источник, откуда пользователь был перенаправлен на сайт - с какого сайта или по какой рекламе; язык операционной системы и браузера; какие страницы открывает и на какие кнопки нажимает пользователь, сведения об IP-адресах пользователя); сведения о почтовом клиенте; сведения об используемом браузере; сведения о переходах по ссылкам в электронных письмах; сведения о месторасположении; сведения об IP-адресах пользователя, с которых пользователь открывает электронное письмо.

Субъект ПД вправе ознакомиться с политикой оператора в отношении персональных данных и иными правовыми документами сервисов по ссылка https://yandex.ru/legal, https://rutube.ru/info/privacy/.

 

4. Объем обрабатываемых персональных данных

4.1. Для цели регулирования трудовых отношений обрабатываются персональные данные, предусмотренные трудовым законодательством и необходимыми для исполнения обязанностей работодателя: фамилия, имя, отчество, дата и место рождения, сведения о документе, удостоверяющем личность, адрес места жительства, ИНН, СНИЛС, сведения об образовании и квалификации, сведения о трудовой деятельности и занимаемой должности, сведения о доходах и налоговых вычетах, иные сведения, необходимые для исполнения требований законодательства.

4.2. Для цели размещения видеозаписей и фотографий обрабатываются следующие персональные данные работников: фамилия, имя, отчество, занимаемая должность, видеоизображение и/или фотоизображение (в том числе изображение лица), голос, иные сведения, содержащиеся в видеозаписи и непосредственно связанные с участием работника в мероприятии или деятельности Оператора Сбор и обработка сведений о частной жизни, состоянии здоровья, семейном положении, политических и религиозных убеждениях, а равно иных специальных категорий персональных данных для указанной цели не допускаются, если такие сведения не являются необходимыми составной частью видеозаписи и прямо не вытекают из цели обработки.

4.3. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определённых и законных целей выполняться в объёме, необходимом и достаточном для их достижения, и не допускать избыточности.

 

5. Правовые основания обработки персональных данных

5.1. Правовыми основаниями обработки персональных данных являются: Конституция Российской Федерации, ТК РФ, Закон о персональных данных, Гражданский кодекс Российской Федерации (в части охраны изображения гражданина – статья 152.1), трудовые договоры с работниками, согласия субъектов персональных данных, устав (Положение) Оператора, иные федеральные законы и нормативные правовые акты, регулирующие отношения в области персональных данных.

5.2. Обработка персональных данных работников в цели размещения видеозаписей осуществляется исключительно на основании Согласия, оформленного в письменной форме отдельно от иных документов, подписываемых работником в связи с трудовыми отношениями, Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным и содержать сведения, предусмотренные статьёй 9 Закона о персональных данных: фамилию, имя, отчество и адрес работника, реквизиты документа, удостоверяющего личность, наименование и адрес Оператора, цель обработки, перечень персональных данных, на обработку которых даётся согласие, перечень действий с персональными данными, на совершение которых даётся согласие, и общее описание используемых способов обработки, срок, в течение которого действует Согласие, а также способ его отзыва, подпись работника.

5.3. Согласие на распространение персональных данных, разрешённых для распространения, оформляется отдельно от иных согласий работника на обработку персональных данных в соответствии со статьёй 10.1 Закона о персональных данных Молчание или бездействие работника ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешённых для распространения Субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) неограниченным кругом лиц, отказ Оператора в установлении таких запретов и условий не допускается.

5.4. В случае если из Согласия не следует, что работник согласился на распространение персональных данных, такие данные обрабатываются Оператором без права распространения, если не следует, что работник не установил запреты и условия, такие данные обрабатываются Оператором без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.

 

6. Условия и порядок обработки персональных данных при размещении видеозаписей и фотографий

6.1. Съёмка видеозаписей и/или фотография с участием работников осуществляется уполномоченными работниками Оператора (либо привлечёнными лицами на основании договора) в ходе мероприятий, проводимых Оператором (корпоративных праздников, конференций, деловых встреч, иных публичных мероприятий), а также в рабочей обстановке – только при условии предварительного уведомления работников о проведении съёмки и наличия Согласия соответствующих работников.

6.2. Перед проведением съёмки уполномоченное лицо обязано: уточнить перечень работников, давших Согласие, проинструктировать съёмочную группу о недопустимости сбора сведений о частной жизни и съёмки лиц, не давших Согласие (за исключением случаев, предусмотренных законом), обеспечить, чтобы изображение работников, отказавшихся от съёмки, не являлось основным объектом видеозаписи либо было исключено при монтаже.

6.3. Монтаж и подготовка видеозаписи к публикации осуществляются уполномоченным работником, при этом подлежат исключению фрагменты, содержащие: сведения о частной жизни работников и третьих лиц, не относящиеся к цели обработки, изображения лиц, не давших Согласие (в тех случаях, когда их изображение является основным объектом фрагмента), информацию о состоянии здоровья, семейном положении работников, если такая информация не связана с целью размещения.

6.4. Размещение видеозаписи на сайте Оператора в официальных аккаунтах Оператора в социальных сетях осуществляется уполномоченным работником исключительно после: получения подписанного Согласия соответствующего работника (всех работников, изображённых на видеозаписи в качестве основного объекта), проверки готовой видеозаписи на предмет соответствия перечню данных, указанному в Согласии, направления (при необходимости) в уполномоченный орган по защите прав субъектов персональных данных уведомления об обработке персональных данных (изменений к нему) в порядке, предусмотренном статьёй 22 Закона о персональных данных.

6.5. При публикации видеозаписи в описании (подписи) к ней указываются фамилия, имя, отчество и должность работника только при наличии Согласия на распространение соответствующих персональных данных Дублирующая информация о работнике, не предусмотренная Согласием (номера телефонов, адреса электронной почты, адреса местожительства и т.п.), размещению не подлежит.

6.6. Оператор обеспечивает возможность работнику определить перечень персональных данных, разрешённых для распространения, по каждой категории персональных данных, указанной в Согласии (в том числе путём заполнения соответствующей таблицы в Согласии).

6.7. Передача персональных данных, содержащихся в видеозаписях, третьим лицам (в том числе лицам, осуществляющим техническую поддержку сайта, операторам социальных сетей, организаторам мероприятий) допускается только при наличии письменного согласия работника, за исключением случаев, прямо предусмотренных федеральными законами; лица, получающие персональные данные работника, предупреждаются о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и обязаны соблюдать режим конфиденциальности (секретности).

 

7. Сроки обработки и хранения видеозаписей

7.1. Видеозаписи, содержащие персональные данные работников, хранятся в течение срока действия Согласия, но не дольше срока, установленного настоящим Положением, после чего подлежат удалению (уничтожению).

7.2. Срок хранения видеозаписи в информационных системах Оператора и на материальных носителях не может превышать срока действия Согласия работника, указанного в Согласии, если иное не предусмотрено федеральным законом По истечении указанного срока либо при наступлении иных оснований (отзыв Согласия, прекращение трудовых отношений – в части, превышающей сроки, установленные законодательством об архивном деле) видеозапись и её копии подлежат удалению с сайта, из аккаунтов в социальных сетях, из облачных хранилищ и информационных систем Оператора, а материальные носители – уничтожению с составлением акта.

7.3. При отзыве работником Согласия Оператор обязан в срок, не превышающий десяти рабочих дней с момента получения заявления об отзыве, прекратить распространение персональных данных работника и удалить видеозапись с сайта и из аккаунтов в социальных сетях, если иное не предусмотрено законодательством, уведомив работника о совершенных действиях.

После поступления требования о прекращении передачи (распространения, предоставления, доступа) персональных данных, действие Согласия на распространение прекращается с момента поступления такого требования Оператору, а дальнейшая обработка персональных данных допускается только при наличии иных законных оснований, указанных в части 2 статьи 6 Закона о персональных данных.

 

8. Порядок уничтожения персональных данных

8.1. Уничтожению подлежат персональные данные: по достижении целей обработки или при наступлении иных законных оснований, при отзыве Согласия работником, установлении факта незаконной обработки – по требованию уполномоченного органа по защите прав субъектов персональных данных или в судебном порядке.

8.2. Уничтожение персональных данных, содержащихся в видеозаписях, осуществляется комиссией, назначаемой приказом Оператора, путём удаления видеозаписей из информационных систем Оператора, облачных сервисов и аккаунтов в социальных сетях, а также уничтожения материальных носителей (флеш-накопителей, дисков, карт памяти) способом, исключающим возможность восстановления содержащихся на них сведений (в том числе путём форматирования, физического уничтожения носителя).

8.3. Об уничтожении персональных данных составляется акт, в котором указываются: состав комиссии; перечень уничтоженных персональных данных; способ и дата уничтожения; основание уничтожения (реквизиты Согласия, заявления об отзыве, приказа Оператора, требования уполномоченного органа) Акт подписывается членами комиссии и хранится в порядке, установленном для внутренней документации Оператора.

 

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе: назначает лицо, ответственное за организацию обработки персональных данных; определяет угрозы безопасности персональных данных при их обработке в информационных системах; применяет организационные и технические меры, необходимые для выполнения требований к защите персональных данных, установленных Правительством Российской Федерации; устанавливает правила доступа к персональным данным, обрабатываемым в информационных системах (в том числе к аккаунтам в социальных сетях, административным панелям сайта), обеспечивает регистрацию и учет всех действий, совершаемых с персональными данными; осуществляет учёт машинных носителей персональных данных; обеспечивает обнаружение фактов несанкционированного доступа и принятие мер по предупреждению и ликвидации последствий компьютерных атак; осуществляет восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа; проводит внутренний контроль и (или) аудит соответствия обработки персональных данных Закону о персональных данных и принятым в соответствии с ним актам, настоящему Положению и Политике Оператора.

9.2. Доступ к персональным данным, в том числе к видеозаписям, исходным материалам съёмки и аккаунтам Оператора в социальных сетях, предоставляется только специально уполномоченным работникам Оператора согласно перечню должностей, утверждаемому приказом Оператора, указанные лица предупреждаются о конфиденциальности персональных данных и обязанности соблюдать требования законодательства, а также ознакомляются под подпись с настоящим Положением и Политикой Оператора.

9.3. Перечень информационных систем, в которых обрабатываются персональные данные (в том числе информационные системы, используемые для хранения и размещения видеозаписей), уровень защищённости персональных данных и применяемые меры защиты определяются отдельными локальными актами и (или) технической документацией Оператора.

 

10. Права субъекта персональных данных и порядок их реализации

10.1. Работник (субъект персональных данных) имеет право: получать сведения, касающиеся обработки его персональных данных (в том числе сведения о целях, правовых основаниях, способах обработки, применяемых Оператором мерах защиты), в порядке, предусмотренном статьёй 14 Закона о персональных данных, требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, отозвать Согласие в порядке, предусмотренном пунктом 7.3 настоящего Положения, обжаловать действия (бездействие) Оператора в уполномоченном органе по защите прав субъектов персональных данных или в судебном порядке, осуществлять иные права, предусмотренные законодательством.

10.2. Оператор обязан предоставить безвозмездно работнику возможность ознакомления с персональными данными, относящимися к этому работнику, в срок, не превышающий десяти рабочих дней с даты получения запроса, а в срок, не превышающий семи рабочих дней со дня представления работником сведений, подтверждающих, что персональные данные являются неполными, неточными, неактуальными, незаконно полученными или не являются необходимыми для заявленной цели обработки, – внести необходимые изменения или уничтожить такие данные, уведомив работника о внесённых изменениях и принятых мерах.

10.3. Запросы и обращения работников по вопросам обработки персональных данных направляются лицу, ответственному за организацию обработки персональных данных, в порядке, установленном локальными актами Оператора.

 

11. Лицо, ответственное за организацию обработки персональных данных

11.1. Ответственное лицо назначается приказом Оператора, получает указания непосредственно от исполнительного органа Оператора и подотчётно ему, Ответственное лицо, в частности, обязан: осуществлять внутренний контроль за соблюдением Оператором и его работниками законодательства о персональных данных, в том числе требований к защите персональных данных; доводить до сведения работников положения законодательства, локальных актов и требований к защите персональных данных; организовывать приём и обработку обращений и запросов субъектов персональных данных и (или) осуществлять контроль за их приёмом и обработкой; контролировать соблюдение порядка съёмки, монтажа, размещения, хранения и удаления видеозаписей, предусмотренного настоящим Положением; взаимодействовать с уполномоченным органом по защите прав субъектов персональных данных по вопросам обработки персональных данных.

12. Заключительные положения

12.1. Настоящее Положение утверждается приказом Оператора, вступает в силу с даты утверждения и действует до замены его новой редакцией Все изменения и дополнения к настоящему Положению утверждаются приказом Оператора.

12.2. Работники Оператора, непосредственно осуществляющие обработку персональных данных, ознакомляются с настоящим Положением под подпись С работниками, впервые принимаемыми на работу, ознакомление проводится до подписания трудового договора.

12.3. По вопросам, не урегулированным настоящим Положением, применяются нормы законодательства Российской Федерации в области персональных данных, Политика Оператора в отношении обработки персональных данных и иные локальные акты Оператора.

12.4. Контроль за исполнением настоящего Положения осуществляется Ответственным лицом.