Положение об обработке и защите ПДн

1. Общие положения

Настоящее Положение об обработке и защите персональных данных АНО "Спотклуб РОЗА" определяет порядок обработки и обеспечения безопасности персональных данных субъектов персональных данных в АНО "Спортклуб РОЗА".

Настоящее Положение:

разработано в соответствии с действующим законодательством Российской Федерации в области обработки и защиты персональных данных;

обязательно для исполнения всеми лицами, непосредственно осуществляющими обработку персональных данных в АНО "Спортклуб РОЗА".

Все персональные данные, обрабатываемые АНО "Спортклуб РОЗА", относятся к сведениям конфиденциального характера.

Положение пересматривается по мере необходимости, но не реже одного раза в три года с момента проведения предыдущего пересмотра Положения.

2. Список сокращений, аббревиатур, понятий и определений

В Положении используются следующие сокращения и аббревиатуры:

АРМ	Автоматизированное рабочее место
БД	База данных
ГК РФ	Гражданский кодекс Российской Федерации
ИТ	Информационные технологии
ИСПДн	Информационная система персональных данных
КоАП РФ	Кодекс об административных правонарушениях Российской Федерации
Оператор или Организация	АНО "Спортклуб РОЗА"
ПДн	Персональные данные
Положение	Положение об обработке и защите персональных данных АНО "Спортклуб РОЗА"
Роскомнадзор	Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций Российской Федерации (уполномоченный орган по защите прав субъектов персональных данных)
РФ	Российская Федерация
СЗИ	Средства защиты информации
СКЗИ	Средства криптографической защиты информации
СЗПДн	Система защиты персональных данных
ТЗКИ	Техническая защита конфиденциальной информации
ТК РФ	Трудовой кодекс Российской Федерации
УЗ	Уровень защищенности (персональных данных при обработке в информационной системе персональных данных)
УК РФ	Уголовный кодекс Российской Федерации
ФСБ России	Федеральная служба безопасности Российской Федерации (федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности)
ФСТЭК России	Федеральная служба по техническому и экспортному контролю Российской Федерации (федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации)
149-ФЗ	Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
152-ФЗ	Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
1119-ПП	Требования к защите персональных данных при их обработке в информационных системах персональных данных (утв. постановлением Правительства РФ от 01.11.2012 № 1119)
687-ПП	Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (утв. постановлением Правительства РФ от 15.09.2008 № 687)

В Положении используются следующие основные понятия и определения:

Автоматизиро-ванная обработка ПДн	Обработка ПДн с помощью средств вычислительной техники.
Автоматизиро-ванное рабочее место	Комплекс средств вычислительной техники и программного обеспечения, располагающийся, непосредственно на рабочем месте работника и предназначенный для автоматизации его работы в рамках специальности.
База данных	Представленная в объективной форме совокупность самостоятельных материалов (статей, расчетов, нормативных актов, судебных решений и иных подобных материалов), систематизированных таким образом, чтобы эти материалы могли быть найдены и обработаны с помощью электронной вычислительной машины.
Биометрические ПДн	Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.
Блокирование ПДн	Временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн).
Доступ к ПДн	Возможность получения ПДн и их использования.
Запись ПДн	Ввод ПДн в электронную вычислительную машину и (или) фиксация ПДн на материальном носителе.
Изменение ПДн	Действия, направленные на модификацию значений ПДн.
Извлечение ПДн	Действия, направленные на построение структурированных ПДн из неструктурированных или слабоструктурированных машиночитаемых документов.
Информация	Сведения (сообщения, данные) независимо от формы их представления.
Информационная система	Совокупность содержащейся в БД информации и обеспечивающих ее обработку информационных технологий и технических средств.
Информационная система ПДн	Совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
Информационный поиск ПДн	Действия, методы и процедуры, позволяющие осуществлять отбор определенных ПДн из массива данных.
Информационные технологии (ИТ)	Процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.
Использование ПДн	Действия (операции) с ПДн, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта ПДн или других лиц, либо иным образом затрагивающих права и свободы субъекта ПДн или других лиц.
Конфиденциаль-ность информации	Обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.
Материальный носитель информации (ПДн)	Материальный объект, используемый для закрепления и хранения на нем речевой, звуковой или изобразительной информации (ПДн), в т.ч. в преобразованном виде.
Накопление ПДн	Действия, направленные на формирование исходного, несистематизированного массива ПДн.
Неавтоматизированная обработка ПДн	Обработка ПДн без помощи средств вычислительной техники.
Обновление ПДн	Действия, направленные на приведение записанных ПДн в соответствие с состоянием отображаемых объектов предметной области.
Обработка ПДн	Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.
Обработка ПДн без использования средств автоматизации	Обработка ПДн, содержащихся в ИСПДн либо извлеченных из такой системы, если такие действия с ПДн, как использование, уточнение, распространение, уничтожение ПДн в отношении каждого из субъектов ПДн, осуществляются при непосредственном участии человека.
Обработчик	Лицо, осуществляющее обработку ПДн по поручению оператора.
Общедоступные источники ПДн	Содержащиеся в информационных системах или зафиксированные на материальных носителях ПДн, доступ неограниченного круга лиц к которым предоставлен с письменного согласия субъекта этих ПДн.
Оператор обработки персональных данных	Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.
Оператор информационной системы ПДн	Гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации ИСПДн, в т.ч. по обработке ПДн, содержащихся в ее БД. Если иное не установлено федеральными законами, оператором ИСПДн является собственник технических средств, используемых для обработки содержащихся в БД ПДн, который правомерно пользуется такими БД, или лицо, с которым этот собственник заключил договор об эксплуатации ИСПДн.
Персональные данные	Любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту ПДн).
Передача ПДн	Распространение ПДн, предоставление ПДн или предоставление доступа к ПДн.
Помещение	Часть объема здания или сооружения, имеющая определенное назначение и ограниченная строительными конструкциями, в которой: осуществляется обработка ПДн; размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой, аутентифицирующей и парольной информации СКЗИ.
Предоставление ПДн	Действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.
Программно-техническая база ИСПДн	Программные и технические средства серверной части ИСПДн, включая системное (в т.ч. операционная система), прикладное (в т.ч. система управления базами данных) и специальное программное обеспечение.
Раскрытие ПДн	Обеспечение доступа к ПДн неограниченного круга лиц независимо от цели получения указанных ПДн.
Распространение ПДн	Действия, направленные на раскрытие ПДн неопределенному кругу лиц.
Сайт в сети «Интернет»	Совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-телекоммуникационной сети «Интернет» по доменным именам и (или) по сетевым адресам, позволяющим идентифицировать сайты в сети «Интернет».
Сбор ПДн	Целенаправленные действия оператора или специально привлеченных оператором для этого третьих лиц по получению ПДн непосредственно от субъекта ПДн или его представителя.
Система защиты ПДн	Совокупность организационных и (или) технических мер, определенных с учетом актуальных угроз безопасности ПДн и информационных технологий, используемых в ИСПДн.
Систематизированные собрания бумажных носителей ПДн	картотеки и иные собрания бумажных носителей ПДн, созданные в соответствии с определенной структурой и целью логического объединения, т.е. упорядоченные и хранящиеся физически в одном месте
Средства криптографиче-ской защиты информации	Аппаратные, программные и программно-аппаратные шифровальные (криптографические) средства, реализующие алгоритмы криптографического преобразования информации для ограничения доступа к ней, в том числе при ее хранении, обработке и передаче.
Систематизация ПДн	Действия, направленные на объединение и расположение ПДн в определенной последовательности.
Специальные категории ПДн	ПДн, в т.ч., касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, о судимости.
Техническое средство	Изделие, оборудование, аппаратура или их составные части, функционирование которых основано на законах электротехники, радиотехники и (или) электроники, содержащие электронные компоненты и (или) схемы, которые выполняют одну или несколько следующих функций: усиление, генерирование, преобразование, переключение и запоминание.
Удаление ПДн	Изъятие ПДн из информационных систем с сохранением последующей возможности их восстановления.
Уничтожение ПДн	Действия, в результате которых становится невозможным восстановить содержание ПДн в ИСПДн и (или) в результате которых уничтожаются материальные носители ПДн.
Уточнение ПДн	Действия, направленные на обновление или изменение ПДн.
Хранение ПДн	Действия, направленные на неизменность состояния материального носителя ПДн.

3. Общие положения по организации обработки и обеспечению безопасности ПДн

Необходимость организации обработки и обеспечения безопасности ПДн обусловлена требованиями действующих нормативных правовых актов, устанавливающими для Оператора обязанности по соответствию объема и содержания обрабатываемых ПДн заявленным целям сбора, уточнению, хранению и уничтожению ПДн, соблюдению условий обработки ПДн, обеспечению безопасности ПДн при их обработке.

Оператором разрабатывается система локальных актов по вопросам обработки и обеспечения безопасности ПДн, в том числе устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ в области ПДн, устранение последствий таких нарушений.

Оператором разрабатывается и размещается в свободном доступе документ, определяющий политику Оператора в отношении обработки ПДн.

Оператором направляется в Роскомнадзор уведомление об обработке ПДн. В случае изменения сведений, содержащихся в уведомлении, а также в случае прекращения обработки ПДн Оператор также уведомляет об этом Роскомнадзор. Формы уведомлений установлены приказом Роскомнадзора от 28.10.2022 № 180.

Работники Оператора, непосредственно осуществляющие обработку ПДн и (или) обеспечивающие их безопасность, ознакомляются (инструктируются) с положениями законодательства РФ в области ПДн, локальными актами Оператора по вопросам обработки и обеспечения безопасности ПДн, а также проходят дополнительный инструктаж в случае изменений законодательства РФ или локальных актов Оператора в области обработки и защиты ПДн и недопущения нарушения установленных требований.

Оператором назначается ответственный за организацию обработки ПДн.

Оператором может создаваться комиссия по вопросам организации обработки и обеспечения безопасности ПДн.

Выполнение требований законодательства РФ в области обработки и защиты ПДн контролируется ответственным за организацию обработки ПДн, комиссией по вопросам организации обработки и обеспечения безопасности ПДн (при ее создании) посредством проведения внутреннего контроля. В случае выявления нарушений требований законодательства РФ и локальных актов Оператора в области обработки и обеспечения безопасности ПДн Оператор проводит внутреннее расследование и мероприятия по устранению последствий таких нарушений и их предотвращению.

Обеспечение безопасности ПДн, обрабатываемых в ИСПДн, осуществляется в соответствии с требованиями 1119-ПП, нормативных актов ФСТЭК России и ФСБ России. Оператор осуществляет контроль за выполнением указанных требований 1 раз в 3 года самостоятельно или с привлечением организации, имеющей лицензию на осуществление деятельности по ТЗКИ.

Оператор на регулярной основе совершенствует порядок обработки ПДн и порядок обеспечения безопасности ПДн с учетом изменений требований действующего законодательства РФ и характеристик процессов организации обработки ПДн, новых подходов и практик обработки и обеспечения безопасности ПДн.

Совершенствование достигается посредством уточнения (пересмотра) настоящего Положения и иных локальных актов Оператора в области обработки и защиты ПДн, использования результатов внутреннего контроля и проверок (государственного надзора), реализации корректирующих и предупреждающих действий.

Оператор проводит мероприятия по устранению причин несоответствий требованиям действующего законодательства РФ в области ПДн и локальных актов с целью предупредить их повторное возникновение. Предупреждающие действия предпринимаются с учетом соответствия размеру вреда, который может быть причинен Оператору.

В совершенствовании процессов обработки и защиты ПДн принимают участие:

ответственный за организацию обработки ПДн;
комиссия по вопросам организации обработки и обеспечения безопасности ПДн;
иные заинтересованные работники, которые вовлечены в обработку и (или) защиту ПДн;
привлекаемые третьи лица, обладающие необходимыми компетенциями.

4. Организация обработки ПДн

4.1. Основные правила и порядок обработки ПДн

Обработка ПДн осуществляется только в случаях, определенных 152-ФЗ.

Принципы и условия обработки ПДн соответствуют требованиям 152-ФЗ и определены в Политике Организации в отношении обработки персональных данных.

Перечень обрабатываемых ПДн утверждается руководителем Организации в составе Политики Организации в отношении обработки персональных данных.

Цели обработки ПДн, состав обрабатываемых ПДн, категории субъектов ПДн, способы обработки ПДн, сроки обработки ПДн указаны в перечне обрабатываемых ПДн.

Обработка ПДн включает в себя любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, в том числе сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение ПДн.

Сбор ПДн осуществляется Оператором в соответствии с целями обработки ПДн.

Оператором применяются следующие способы сбора (получения) ПДн субъектов:

заполнение субъектом ПДн соответствующих форм;
предоставление субъектом ПДн соответствующих документов;
получение ПДн от третьих лиц, в том числе в рамках поручения Организации обработки ПДн;
получение ПДн на основании запроса третьим лицам.

Оператор сообщает субъекту о целях, способах и источниках получения его ПДн, а также о характере подлежащих получению ПДн и возможных последствиях отказа субъекта предоставить согласие на их получение.

Типовые формы согласий на обработку персональных данных приведены в Приложении № 8.

Оператор может осуществлять запись (ввод) ПДн в ИСПДн следующими способами:

ввод информации при помощи клавиатуры;
сканирование бумажных носителей информации, позволяющее получать их цифровое изображение;
ввод существующих цифровых файлов;
получение информации из других информационных систем.

При осуществлении Организацией обработки ПДн по поручению другого лица, являющегося оператором передаваемых ПДн (далее – Заказчик), на основании заключенного с ним договора:

перечень обрабатываемых ПДн, перечень действий (операций) с ПДн и цели их обработки определены в соответствующем поручении обработки ПДн;
Организация не обязана получать согласие субъекта ПДн на обработку его ПДн, наличие согласия обеспечивается Заказчиком;
Организация несет ответственность только перед Заказчиком, ответственность перед субъектом ПДн за действия Организации несет Заказчик.

ПДн субъектов могут храниться Оператором на материальных носителях информации с соблюдением требований законодательства РФ и локальных актов Оператора по вопросам обработки и защиты ПДн.

Уничтожение ПДн осуществляется в соответствии с порядком, установленным настоящим Положением.

4.2. Порядок предоставления доступа работников к ПДн

Доступ к ПДн имеют работники Оператора, которые обязаны осуществлять их обработку в связи с исполнением своих должностных обязанностей.

Перечень работников, допущенных к обработке ПДн, определяется ответственным за организацию обработки ПДн и утверждается руководителем Оператора.

Трудовой договор с работником, допущенным к обработке ПДн, должен содержать положения о соблюдении требований обработки ПДн, конфиденциальности информации и обеспечения безопасности ПДн при обработке согласно Приложениям № 3 и 4.

Запрещается допуск работников Оператора к обработке ПДн до прохождения процедуры предоставления доступа к ПДн, предусматривающей следующее:

проверку наличия подписанного соглашения о неразглашении информации, содержащей персональные данные, и необходимых положений по защите ПДн в трудовом договоре;
проведение инструктажа для доведения и разъяснения работникам порядка обработки и обеспечения безопасности ПДн, установленного действующим законодательством и локальными нормативными актами Оператора;
ознакомление работника под роспись с настоящим Положением и другими локальными нормативными актами Оператора по вопросам обработки и защиты ПДн;
регистрация факта проведения инструктажа в журнале учёта проведения инструктажей работников по соблюдению требований к обработке и защите ПДн (форма журнала приведена в Приложении № 1);
включение работника в перечень работников, допущенных к обработке ПДн.

В случае выявления отсутствия служебной необходимости доступа к ПДн у работника, имеющего доступ к ПДн, в частности, по причине увольнения, перевода на другую должность, изменения должностных обязанностей работника, непосредственный руководитель работника своевременно ограничивает его доступ к ПДн и уведомляет ответственного за организацию обработки ПДн для принятия необходимых мер (например, инициация пересмотра прав доступа работника к ПДн в ИСПДн (при наличии), внесение изменений в перечень работников, допущенных к обработке ПДн).

При увольнении работника, имеющего доступ к ПДн, непосредственный руководитель работника изымает у него все материальные носители ПДн и своевременно инициирует ограничение доступа к ИСПДн.

4.3. Порядок уничтожения ПДн

Сроки обработки ПДн и условия ее прекращения указаны в Политике Организации в отношении обработки ПДн.

Установлены следующие сроки уничтожения ПДн, соответствующие законодательству:

при достижении целей обработки ПДн или утрате необходимости в достижении целей обработки ПДн – не более 30 календарных дней с даты достижения цели;
при предоставление субъектом ПДн или его законным представителем сведений, подтверждающих, что ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки – не более 7 рабочих дней с даты представления сведений;
при невозможности обеспечения правомерности обработки ПДн в случае выявления неправомерной обработки ПДн – не более 10 рабочих дней с даты выявления;
при отзыве субъектом ПДн согласия на обработку ПДн – не более 30 календарных дней с даты поступления отзыва;
при ликвидации Оператора – не позднее даты ликвидации;
в иных предусмотренных законодательством РФ случаях – в сроки, установленные законодательством РФ.

В соответствии с ч.6 ст.21 152-ФЗ при невозможности уничтожения ПДн в вышеуказанные сроки, осуществляется блокирование ПДн и дальнейшее уничтожение ПДн в течение 6 месяцев, если иной срок не установлен законодательством РФ.

Организацию и контроль уничтожения ПДн осуществляет комиссия по вопросам организации обработки и обеспечения безопасности ПДн (при ее создании).

Работники, допущенные к обработке ПДн, обязаны контролировать наступление условий прекращения обработки доступных им ПДн и своевременно инициировать направление их непосредственными руководителями информации о ПДн, подлежащих уничтожению, на рассмотрение комиссии по вопросам организации обработки и обеспечения безопасности ПДн (при ее создании).

На основании представленной информации комиссия по вопросам организации обработки и обеспечения безопасности ПДн принимает решения по вопросам уничтожения ПДн.

Уничтожение ПДн производится способом, исключающим возможность восстановления этих ПДн.

Уничтожение ПДн, если это допускается материальным носителем ПДн, может производиться способом, исключающим дальнейшую обработку этих ПДн с сохранением возможности обработки иных данных, зафиксированных на материальном носителе ПДн (физическое удаление, вымарывание).

Если невозможно уничтожить ПДн без повреждения их материального носителя, которое будет препятствовать его дальнейшему использованию по назначению, то уничтожению подлежат и ПДн, и их материальный носитель.

Уничтожение ПДн на бумажных носителях информации осуществляется путем измельчения на мелкие части, исключающие возможность последующего восстановления информации, или путем сжигания.

Уничтожение ПДн в ИСПДн, на АРМ и на отчуждаемых машинных носителях информации в случае допустимости повторного использования носителя осуществляется с применением специализированных программных и (или) аппаратных средств, исключающих возможность последующего восстановления информации.

Уничтожение машинных носителей ПДн, в том числе входящих в состав средств вычислительной техники, осуществляется путем нанесения им неустранимого физического повреждения, исключающего возможность их использования, а также восстановления ПДн. Вышеуказанное достигается путем деформирования, нарушения единой целостности носителя, нарушения электромагнитных свойств носителя.

По результатам уничтожения ПДн составляется акт (Приложение № 2).

В случае составления акта об уничтожении ПДн исключительно в электронной форме, такой акт подписывается электронной подписью в соответствии с требованиями законодательства.

При уничтожении ПДн в ИСПДн осуществляется выгрузка из журнала регистрации событий в ИСПДн, отражающей сведения в соответствии с требованиями законодательства.

Акт об уничтожении ПДн и выгрузка из журнала регистрации событий хранятся в течение 3 лет с момента уничтожения ПДн.

Уничтожение ПДн Обработчиком ПДн осуществляется в порядке, установленном договором с Оператором, и с учетом требований настоящего Положения.

4.4. Порядок обмена ПДн с третьими лицами

4.4.1. Получение ПДн

Оператор вправе получить ПДн от третьего лица, не являющегося субъектом ПДн, согласно ч. 8 ст. 9 152-ФЗ при условии предоставления Оператору подтверждения наличия оснований, указанных в пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 152-ФЗ.

До предоставления ПДн третьим лицом, не являющимся субъектом ПДн, в случаях, предусмотренных законодательством, Оператор получает согласие субъекта ПДн.

Организация вправе получить ПДн в рамках поручения обработки ПДн на основании ч. 3 ст. 6 152-ФЗ, при этом не обязано получать согласие субъекта ПДн на обработку его ПДн на основании ч. 4 ст. 6 152-ФЗ.

4.4.2. Распространение ПДн

Оператор может осуществлять распространение ПДн в соответствии с законодательством, в частности, ст. 10.1 152-ФЗ.

Распространение ПДн Оператором допускается только при наличии согласия на обработку ПДн, разрешенных субъектом ПДн для распространения, которое:

должно быть предоставлено непосредственно субъектом ПДн или с использованием информационной системы Роскомнадзора;
не может быть получено в результате молчания или бездействия субъекта ПДн;
оформляется отдельно от иных согласий субъекта ПДн на обработку его ПДн;
позволяет субъекту ПДн определить перечень ПДн по каждой категории ПДн;
позволяет субъекту ПДн установить запреты на передачу (кроме предоставления доступа) ПДн Организацией неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) ПДн неограниченным кругом лиц;
прекращает свое действие с момента поступления оператору соответствующего требования субъекта ПДн.

Оператор в срок не позднее 3 рабочих дней с момента получения соответствующего согласия субъекта ПДн публикует информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц ПДн, разрешенных субъектом ПДн для распространения.

4.4.3. Передача ПДн

Передача ПДн третьим лицам осуществляется только с согласия субъекта ПДн, за исключением случаев, предусмотренных законодательством.

ПДн субъекта могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого субъекта, за исключением случаев, когда передача ПДн субъекта без его согласия допускается действующим законодательством РФ либо договором, регламентирующим правоотношения Оператора с субъектом.

При законной и обоснованной необходимости передачи ПДн третьим лицам в случаях, предусмотренных законодательством, она осуществляется способом, позволяющим подтвердить факт передачи ПДн и указания необходимости соблюдения требований законодательства в области обработки и защиты ПДн, в частности их конфиденциальности, например, с оформлением акта приема-передачи информации, содержащей ПДн (Приложение № 5).

Передача ПДн третьим лицам должна осуществляться с применением мер обеспечения конфиденциальности передаваемой информации, в частности методов криптографической защиты в случае передачи по незащищенным каналам связи.

Обязательным условием договоров Оператора с третьими лицами, в рамках исполнения которых Организация осуществляет передачу (предоставление, доступ) ПДн, является обязанность соблюдения третьими лицами мер обеспечения безопасности ПДн при их обработке.

4.4.3.1. Обязательный раздел о защите ПДн

В соответствии с требованиями 152-ФЗ Оператор проявляет должную осмотрительность при передаче ПДн третьим лицам, в частности контрагентам, путем заключения между Оператором и контрагентом документа о защите ПДн, который может быть, как отдельным актом (соглашение), так и составной частью заключаемого (заключенного) договора между ними (раздел договора, дополнительное соглашение). Типовая (примерная) форма соглашения (раздела договора) о защите ПДн приведена в Приложении № 6.

Соглашение (раздел договора) о защите ПДн заключается в любых случаях передачи ПДн контрагенту без поручения обработки ПДн. При этом, Оператор и контрагент самостоятельно несут предусмотренную законодательством ответственность в случае нарушения требований 152-ФЗ и подзаконных актов.

В случае заключения соглашения о защите ПДн, оно может быть рамочным и распространяться на все существующие и возникающие договорные отношения между Оператором и контрагентом.

4.4.3.2. Поручение обработки ПДн

В соответствии с ч.3 ст.6 152-ФЗ Оператор вправе как поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено законодательством, так и осуществлять обработку ПДн по поручению другого лица на основании заключаемого с ним договора.

Поручение обработки ПДн контрагенту формализовано в виде заключаемого между Оператором и контрагентом соглашения о поручении обработки ПДн, который может быть, как отдельным актом (соглашение), так и составной частью заключаемого (заключенного) договора между ними (раздел договора, дополнительное соглашение). Типовая (примерная) форма соглашения (раздела договора) о поручении обработки ПДн приведена в Приложении № 7.

Необходимость в поручении обработки ПДн возникает в том случае, если:

Оператором, при наличии возможности самостоятельно осуществлять обработку ПДн для достижения определенной цели, в силу различных причин принято решение делегировать (полностью или в какой-либо части) функцию (определенный бизнес-процесс) своему контрагенту - Обработчику;
обработка ПДн является самостоятельным предметом правоотношений (договора) между Оператором и Обработчиком;
возмездное выполнение Обработчиком различных действий с ПДн неразрывно связано с достижением цели обработки ПДн, определенной Оператором.

В случае поручения обработки ПДн другому лицу ответственность перед субъектом ПДн за действия указанного лица несет Оператор.

Поручение обработки ПДн должно определять:

цели обработки ПДн;
перечень действий (операций) с ПДн, которые осуществляет Обработчик по поручению Оператора;
обязанность обеспечения конфиденциальности и безопасности ПДн Обработчиком;
конкретизация требований к Обработчику по защите ПДн в соответствии со ст.19 152-ФЗ.

При осуществлении обработки ПДн по поручению Заказчика Организация обязана:

осуществлять обработку ПДн в соответствии с определенными в поручении перечнем ПДн, перечнем действий (операций) с ПДн, целями их обработки;
соблюдать принципы и правила обработки ПДн, предусмотренные 152-ФЗ;
использовать базы данных, находящиеся на территории РФ;
по запросу Заказчика в течение срока действия поручения, в том числе до обработки ПДн, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения требований, установленных в соответствии со ст. 6 152-ФЗ;
соблюдать конфиденциальность ПДн;
принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных 152-ФЗ, в частности ст. 18.1;
обеспечивать безопасность ПДн при их обработке, в том числе в соответствии с требованиями ст. 19 152-ФЗ;
уведомлять Заказчика о случаях установления факта неправомерной или случайной передачи ПДн, повлекшей нарушение прав субъектов ПДн, в соответствии с ч.3.1 ст. 21 152-ФЗ.

4.4.3.3. Трансграничная передача ПДн

Организация может осуществлять трансграничную передачу ПДн, предварительно уведомив Роскомнадзор о своем намерении в установленном 152-ФЗ порядке, если вышеуказанным органом не принято решение о ее запрещении или ограничении. Данное уведомление направляется в виде документа на бумажном носителе или в форме электронного документа, подписывается уполномоченным лицом и должно содержать следующие сведения:

наименование (фамилия, имя, отчество), адрес Организации, а также дату и номер уведомления о намерении осуществлять обработку ПДн, ранее направленного Организацией в соответствии со ст. 22 152-ФЗ;
наименование (фамилия, имя, отчество) лица, ответственного за организацию обработки ПДн, номера контактных телефонов, почтовые адреса и адреса электронной почты;
правовое основание и цель трансграничной передачи ПДн и дальнейшей обработки переданных ПДн;
категории и перечень передаваемых ПДн;
категории субъектов ПДн, ПДн которых передаются;
перечень иностранных государств, на территории которых планируется трансграничная передача ПДн;
дату проведения Организацией оценки соблюдения органами власти иностранных государств, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача ПДн (далее – получающая сторона), конфиденциальности ПДн и обеспечения безопасности ПДн при их обработке;
иные сведения, предусмотренные законодательством РФ.

До подачи вышеуказанного уведомления Организация получает от получающей стороны следующие сведения:

о принимаемых получающей стороной мерах по защите передаваемых ПДн и об условиях прекращения их обработки;
о правовом регулировании в области ПДн иностранного государства, под юрисдикцией которого находится получающая сторона (за исключением государств, включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн);
сведения о получающей стороне (наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые адреса и адреса электронной почты).

Вышеуказанные сведения предоставляются Организацией Роскомнадзору по его запросу в течение 10 рабочих дней для оценки достоверности сведений в уведомлении о намерении осуществлять трансграничную передачу ПДн. Указанный срок может быть продлен, но не более чем на 5 рабочих дней, в случае направления Организацией в адрес Роскомнадзора мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

Организация вправе осуществлять трансграничную передачу ПДн на территории иностранных государств, указанных в соответствующем уведомлении и:

включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн, – после направления уведомления;
не включенных в вышеуказанный перечень, – после истечения 10 рабочих дней с даты поступления уведомления Роскомнадзору, при этом возможна приостановка его рассмотрения в случае направления Роскомнадзором запроса в целях оценки достоверности сведений.

Трансграничная передача ПДн может быть запрещена или ограничена решением Роскомнадзора в случаях, предусмотренных ч. 7 ст. 12 152-ФЗ. В случае принятия такого решения, Организация обеспечивает уничтожение получающей стороной ранее переданных ей ПДн.

5. Обеспечение безопасности ПДн

Обработка ПДн осуществляется только работниками, включенными в утвержденный перечень работников, допущенных к обработке ПДн.

Работники Организации осуществляют сбор и поддержание в актуальном состоянии сведений о местах обработки (в том числе хранения) ПДн (материальных носителей ПДн), об АРМ, используемых для обработки ПДн, об отчуждаемых машинных носителях ПДн и систематизированных собраниях бумажных носителей ПДн путем ведения соответствующих журналов учета (типовые формы приведены в Приложениях № 9 – 11). Непосредственные руководители работников организуют указанные мероприятия и при проведении внутреннего контроля предоставляют журналы учета ответственному за организацию обработки ПДн и комиссии по вопросам организации обработки и обеспечения безопасности ПДн (при ее создании) для исполнения ими возложенных на них функций и обязанностей.

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Оператор уведомляет Роскомнадзор с момента выявления такого инцидента:

в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов ПДн, и предполагаемом вреде, нанесенном правам субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором, по вопросам, связанным с выявленным инцидентом;
в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

5.1. Обеспечение безопасности ПДн при неавтоматизированной обработке

При обработке ПДн, осуществляемой без использования средств автоматизации, применяются меры по обеспечению безопасности в соответствии с 687-ПП, в частности следующие:

ПДн обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях ПДн, в специальных разделах или на полях форм (бланков);
не допускается фиксация на одном материальном носителе ПДн, цели обработки которых заведомо не совместимы;
для обработки различных категорий ПДн используется отдельный материальный носитель для каждой категории ПДн;
обработка ПДн осуществляется таким образом, чтобы в отношении каждой категории ПДн можно было определить места хранения ПДн (материальных носителей ПДн) и установить перечень лиц, осуществляющих обработку ПДн либо имеющих к ним доступ;
обеспечивается раздельное хранение ПДн (материальных носителей ПДн), обработка которых осуществляется в различных целях;
при хранении материальных носителей ПДн соблюдаются условия, обеспечивающие сохранность ПДн и исключающие несанкционированный к ним доступ, в частности хранение материальных носителей ПДн в запираемых шкафах и сейфах, пропускной режим на территорию Оператора, разграничение и контроль доступа в помещения с применением технических средств охраны.

5.2. Порядок доступа в помещения, в которых осуществляется обработка ПДн

Порядок организации доступа на территорию и в помещения Оператора установлен документами, регламентирующими обеспечение пропускного и внутриобъектового режимов и физической безопасности.

Безопасность помещений, в которых осуществляется обработка ПДн с использованием средств автоматизации и (или) без использования средств автоматизации, обеспечивается, в частности, следующими мерами:

использование помещений строго по назначению;
наличие на входах в помещения дверей, оборудованных запорными устройствами;
содержание дверей помещений в нерабочее время в состоянии, закрытом на запорное устройство;
содержание окон в помещениях в нерабочее время в закрытом состоянии;
постановка помещений в нерабочее время под усиленную охрану.

Доступ в помещения, в которых осуществляется обработка ПДн с использованием средств автоматизации и (или) без использования средств автоматизации, запрещен лицам, не допущенных к обработке ПДн в установленном порядке. Их нахождение в таких помещениях возможно только на основании служебной необходимости, в сопровождении и под контролем работников, имеющих право доступа.

При обнаружении признаков, указывающих на возможное несанкционированное проникновение в помещение, в котором осуществляется обработка ПДн, о случившемся должно быть немедленно сообщено ответственному за организацию обработки ПДн.

5.3 Обеспечение безопасности ПДн при их обработке в ИСПДн

Для обеспечения безопасности ПДн, обрабатываемых в ИСПДн, проводится определение и внедрение организационных и технических мер защиты информации, необходимых в соответствии с требованиями действующего законодательства РФ в области защиты ПДн, в частности:

определение перечня актуальных угроз безопасности ПДн при их обработке в каждой из ИСПДн;
определение уровня защищенности ПДн при их обработке в ИСПДн, согласование и утверждение соответствующих актов комиссией по вопросам организации обработки и обеспечения безопасности ПДн (при ее создании);
назначение ответственного за организацию защиты ПДн при их обработке в ИСПДн, в отношении которой установлена необходимость обеспечения 2-го или 3-го УЗ ПДн;
формирование или назначение структурного подразделения, ответственного за обеспечение безопасности ПДн при их обработке в ИСПДн, в отношении которых установлена необходимость обеспечения 1-го УЗ;
проектирование и создание СЗПДн для каждой ИСПДн;
организация мер обеспечения безопасности помещений, в которых размещены ИСПДн;
обнаружение фактов несанкционированного доступа к ПДн и принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них;
недопущение воздействия на технические средства ИСПДн, в результате которого может быть нарушено их функционирование;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установление правил доступа к ПДн, обеспечение регистрации и учета всех действий, совершаемых с ПДн;
контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн;
обеспечение взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных;
иные мероприятия в соответствии с 1119-ПП и с учетом установленного УЗ ПДн.

Оператор обеспечивает обработку ПДн с использованием баз данных, находящихся на территории Российской Федерации. В случае возникновения необходимости обработки ПДн с использованием облачных технологий и невозможности установить точное местоположение баз данных ввиду распределенности серверов ИСПДн, в договорах с провайдерами (поставщиками облачных услуг) необходимо указывать требование об условии размещения баз данных ПДн Оператора только на серверах, находящихся на территории Российской Федерации.

При создании СЗПДн Оператор руководствуется:

- 1119-ПП, которое определяет необходимость и порядок создания СЗПДн;

- П-21, который описывает процедуру определения состава и содержания технических и организационных мер обеспечения безопасности ПДн в ИСПДн;

- иными нормативными актами ФСТЭК России и ФСБ России.

Оператор создает СЗПДн для каждой ИСПДн в следующей последовательности действий:

использует проведенную оценку вреда, который может быть причинён субъекту ПДн. Если в ИСПДн обрабатываются ПДн по поручению других лиц (контрагентов), оператор ИСПДн, наряду с собственной оценкой вреда, использует оценку вреда каждого из контрагентов;

разрабатывает модель угроз безопасности ПДн при их обработке во всех ИСПДн, включая модель нарушителя, после чего разрабатывает частную модель угроз безопасности ПДн при их обработке в конкретной ИСПДн, по результатам формирования которой делает вывод о типе угроз, актуальных для данной ИСПДн, в соответствии с ПП-1119;

определяет необходимый УЗ ПДн при их обработке в ИСПДн, исходя из типа актуальных угроз для ИСПДн и совокупной оценки вреда, полученной от всех операторов ПДн, по поручению которых производится обработка ПДн в ИСПДн;

определяет требования к созданию СЗПДн в соответствии с П-21 путем поочерёдного выполнения следующих этапов:

определение базового набора мер по обеспечению безопасности ПДн для установленного УЗ ПДн;
адаптация базового набора мер с учетом структурно-функциональных характеристик ИСПДн, ИТ, особенностей функционирования ИСПДн;
уточнение адаптированного базового набора мер, с учетом не выбранных ранее мер, по результатам которого определяются меры по обеспечению безопасности ПДн, направленные на нейтрализацию всех актуальных угроз безопасности ПДн для конкретной ИСПДн;
дополнение уточненного адаптированного базового набора мер мерами, обеспечивающими выполнение требований к защите ПДн, установленными иными нормативными правовыми актами в области обеспечения безопасности ПДн и защиты информации.

Адаптация базового набора мер и уточнение адаптированного базового набора мер производится Оператором ИСПДн с учётом уровня централизации сервисов информационного обеспечения и других особенностей информационной инфраструктуры. При этом, для отдельных выбранных мер по обеспечению безопасности ПДн техническая реализация может быть признана невозможной, либо они могут быть признаны экономически нецелесообразными на основании оценки потенциального вреда субъектам ПДн при реализации угроз, исключаемых данными мерами. Вышеуказанные отдельные меры заменяются компенсирующими мерами, направленными на нейтрализацию данных актуальных угроз безопасности ПДн, в том числе и с использованием СЗИ, прошедших процедуру оценки соответствия в форме, отличной от сертификации. СЗИ, применяемые при создании одной СЗПДн, могут одновременно использоваться и в СЗПДн других ИСПДн.

проектирует СЗПДн (разрабатывает техническую документацию на создание СЗПДн, отвечающей ранее определенным требованиям);

осуществляет подготовительные мероприятия (в том числе, закупку СЗИ);

внедряет СЗИ и проводит испытания;

производит ввод в эксплуатацию СЗПДн.

СЗПДн может быть интегрирована в общую систему ИБ Оператора.

6. Ответственный за организацию обработки ПДн

Ответственный за организацию обработки ПДн:

назначается приказом руководителя Оператора;
получает указания непосредственно от руководителя Оператора и подотчетен ему;
должен входить в состав комиссии по вопросам организации обработки и обеспечения безопасности ПДн (при ее создании).

Ответственный за организацию обработки ПДн обеспечивает:

вовлеченность руководителей структурных подразделений Организации в организацию деятельности по обработке ПДн;
организацию исполнения Оператором требований законодательства и локальных актов Оператора в области обработки ПДн.

Ответственный за организацию обработки ПДн осуществляет или обеспечивает осуществление следующих основных функций:

соответствие процессов обработки ПДн Оператором требованиям законодательства и локальным нормативным актам в области обработки ПДн;
контроль соблюдения Оператором и его работниками законодательства в области обработки ПДн;
поддержание в актуальном состоянии локальной нормативной базы Оператора в области обработки ПДн;
повышение уровня осведомленности работников, допущенных к обработке ПДн, в области обработки ПДн;
взаимодействие с субъектами ПДн или их представителями по вопросам обработки ПДн;
взаимодействие с Роскомнадзором и иными уполномоченными органами по вопросам обработки ПДн;
организация применения правовых, организационных и технических мер обеспечения безопасности ПДн.

Права, функции и обязанности ответственного за организацию обработки ПДн закреплены в соответствующей должностной инструкции.

7. Комиссия по вопросам организации обработки и обеспечения безопасности ПДн

Организацией по решению (приказом) ее руководителя может создаваться Комиссия по вопросам организации обработки и обеспечения безопасности ПДн. Если Комиссия по вопросам организации обработки и обеспечения безопасности ПДн в Организации не создана ее функции осуществляет Ответственный за организацию обработки ПДн.

Комиссия по вопросам организации обработки и обеспечения безопасности ПДн:

является коллегиальным совещательным органом Организации;
создается в целях соблюдения требований законодательства в области обработки и защиты ПДн;
руководствуется в своей деятельности законодательством и локальными нормативными актами Оператора в области обработки и защиты ПДн.

Состав комиссии по вопросам организации обработки и обеспечения безопасности ПДн:

формируется по предложению ответственного за организацию обработки ПДн;
утверждается и изменяется приказом руководителя Оператора.

Организационно-техническое и документационное обеспечение деятельности комиссии по вопросам организации обработки и обеспечения безопасности ПДн осуществляет ее председатель или уполномоченное им лицо.

Комиссия по вопросам организации обработки и обеспечения безопасности ПДн осуществляет следующие функции:

контроль выполнения Оператором требований по обработке и защите ПДн путем проведения внутренних проверок соответствия Оператора требованиям законодательства и локальных нормативных актов Оператора в области обработки и защиты ПДн, включая подготовку рекомендаций по устранению выявленных нарушений установленного порядка обработки и защиты ПДн, предложений по совершенствованию процессов обработки и защиты ПДн;
оценка вреда, который может быть причинен субъектам ПДн в случае нарушения действующего законодательства в области ПДн, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством РФ в области ПДн;
организация уничтожения ПДн;
проведение служебных / внутренних расследований по фактам неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн и иных нарушений установленных требований обработки и обеспечения безопасности ПДн.

8. Работники, допущенные к обработке ПДн

Работники, которым требуется доступ к ПДн по служебной необходимости, при трудоустройстве подписывают соглашение о неразглашении информации, содержащей персональные данные (Приложение № 3).

Работники для допуска к обработке ПДн проходят обязательный первичный инструктаж по порядку обработки и обеспечения безопасности ПДн, установленного действующим законодательством и локальными нормативными актами Оператора.

Работники проходят обучение, проводимое с целью повышения осведомленности по вопросам обработки и защиты ПДн.

Работники, которым стали известны ПДн, обеспечивают соблюдение установленных требований законодательства и локальных нормативных актов Оператора в области обработки и защиты ПДн.

Обязанности работников, допущенные к обработке ПДн, по обеспечению защиты ПДн включены в трудовой договор (Приложение № 4).

Работники в Организации выполняют следующие функции:

участие в определении целей и правовых оснований обработки ПДн;
обеспечение сохранности носителей ПДн;
участие в определении перечня ПДн, обрабатываемых в рамках процессов обработки ПДн;
участие в определении работников структурных подразделений, которым для выполнения трудовых обязанностей необходимо предоставить доступ к ПДн;
участие в уничтожении ПДн, включая уничтожение бумажных носителей ПДн;
выполнение требований законодательства и локальных нормативных актов Организации в области обработки и защиты ПДн;
участие во взаимодействии с субъектами ПДн;
контроль точности, полноты и правильности ПДн при вводе в ИСПДн (при наличии);
информирование ответственного за организацию обработки ПДн о нарушениях установленных требований обработки и защиты ПДн;
оказание содействия ответственному за организацию обработки ПДн по его запросам.

9. Порядок проведения внутренних проверок

В целях осуществления внутреннего контроля за соблюдением обязательных требований в сфере обработки и защиты ПДн, а также в рамках соблюдения требований п.4 ч.1 ст.18 152-ФЗ и п.17 1119-ПП, Оператор регулярно проводит проверки состояния организации обработки и обеспечения безопасности ПДн.

Внутренние проверки проводятся:

ответственным за организацию обработки ПДн;
комиссией по вопросам организации обработки и обеспечения безопасности ПДн.

Процедура проверки должна обеспечивать объективность и беспристрастность внутреннего контроля. Проверяющие не должны проводить проверку своей собственной работы.

При проведении проверок применяются требования (контроли) действующего законодательства РФ в области ПДн.

Результаты проверки оформляются в виде акта, который должен содержать:

указание на период проведения проверки;
описание нарушений и недостатков, выявленных в процессе проверки;
предложения и рекомендации по снижению рисков, устранению недостатков и повышению эффективности внутреннего контроля.

По результатам проведения проверок, при необходимости, формируется и утверждается план устранения недостатков, выявленных в ходе проверок, содержащий следующие сведения:

выявленные недостатки;
наименование мероприятий по устранению недостатков;
срок проведения мероприятий;
наименование ответственных лиц;
перечень ожидаемых результатов устранения недостатков.

Контроль за устранением выявленных недостатков осуществляется ответственным за организацию обработки ПДн.

10. Порядок взаимодействия с субъектами ПДн или их представителями

Организация процесса обработки обращений субъектов ПДн или их представителей в Организации возлагается на ответственного за организацию обработки ПДн.

Права субъектов ПДн предусмотрены ст. 14 – 17 Закона 152-ФЗ.

Обязанности Организации при обращении к ней субъектов ПДн или их представителей и соответствующие сроки предусмотрены ст. 20 Закона 152-ФЗ.

Все обращения и запросы субъектов ПДн или их представителей, поступающие Организации, фиксируются в журнале учета обращений субъектов ПДн (Приложение № 12).

11. Порядок взаимодействия с уполномоченными органами

Полномочиями по обеспечению контроля и надзора за соответствием обработки ПДн требованиям 152-ФЗ наделен Роскомнадзор, который в ходе проведения плановых и внеплановых проверок рассматривает документы Оператора и осуществляет обследование ИСПДн в части вопросов обработки и защиты ПДн.

Полномочиями проведения контрольно-надзорных мероприятий в области обеспечения безопасности ПДн наделены также ФСТЭК России и ФСБ России, в частности, по проведению проверок по обращению Роскомнадзора, внеплановые проверки по контролю нарушений обязательных требований, контролю над соблюдением правил пользования СЗКИ.

Обязанности взаимодействия с уполномоченными органами, осуществляющими мероприятия по контролю над выполнением Оператором требований к обеспечению надлежащей организации обработки и обеспечению безопасности ПДн возложены на ответственного за организацию обработки ПДн.

При получении Оператором запроса уполномоченного органа (в частности, Роскомнадзор, ФСТЭК России, ФСБ России) о предоставлении информации ответственный за организацию обработки ПДн:

организует проверку законности и обоснованности запроса;
информирует руководителя Оператора;
при подтверждении законности и обоснованности запроса предоставляет запрашиваемую информацию;
организует хранение нижеуказанных документов в течение пяти лет, а по истечении указанного срока передачу следующих документов на архивное хранение:
запросы и требования уполномоченных органов;
ответы Оператора на запросы и требования уполномоченных органов;
иные документы и копии иных документов, непосредственно связанные с выполнением Оператором своих обязанностей по рассмотрению запросов и требований уполномоченных органов.

Мониторинг включения Оператора в план проверок уполномоченных органов осуществляется ответственным за организацию обработки ПДн. При включении Оператора в план проверок уполномоченных органов ответственный за организацию обработки ПДн незамедлительно уведомляет о предстоящей плановой проверке руководителя Оператора, всех работников, допущенных к обработке ПДн Оператором, проводит в установленном порядке мероприятия по внутреннему контролю и (или) аудиту соответствия обработки ПДн Закону 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, локальным нормативным актам Организации.

В процессе проведения уполномоченными органами проверки ответственный за организацию обработки ПДн:

предоставляет должностным лицам уполномоченных органов информацию, необходимую для реализации проверок;
регистрирует сведения о проведении проверки в журнале учета проверок уполномоченных органов (Приложение № 13).

Ответственный за организацию обработки ПДн осуществляет контроль соответствия хода проверки следующим требованиям:

представление проверяющим исключительно тех сведений и документов, которые относятся к предмету проверки;
не допущение изъятия оригиналов документов.

В ходе проведения проверки ответственный за организацию обработки ПДн сопровождает проверяющих. В случае получения в ходе проведения проверки замечаний и (или) рекомендаций от проверяющих, Оператор инициирует их устранение и (или) выполнение до момента окончания проверки и осуществляет контроль за данными мероприятиями.

Оператором организуется обсуждение результатов проведенной проверки с целью фиксации и дальнейшего использования полученного опыта взаимодействия с Роскомнадзором и иными уполномоченными органами.

В случае получения предписания об устранении выявленных нарушений по результатам проведенных проверок, Оператор проводит необходимые для этого мероприятия и уведомляет уполномоченный орган об осуществлении их устранения.

Приложение № 1 Форма журнала учёта инструктажей по соблюдению требований к обработке и защите персональных данных

№_________

Начат "___" ______________ 20___ года

Страница_________

Примерное содержание инструктажа по правилам обработки и защиты ПДн: (1) информирование о факте обработки ПДн; (2) информирование о целях обработки ПДн, категориях обрабатываемых ПДн, категориях субъектов ПДн, способах и сроках обработки; (3) разъяснение порядка организации обработки и обеспечения безопасности ПДн, установленного законодательством РФ, включая ознакомление с актуальными редакциями Закона 152-ФЗ и 687-ПП); (4) разъяснение порядка организации обработки и обеспечения безопасности ПДн, установленного локальными нормативными актами АНО "Спортклуб РОЗА", включая Политику в отношении обработки ПДн, настоящее Положение.
Дата	Инструктируемое лицо			Инструктирующее лицо
Дата	Ф.И.О.	Табельный номер	Подпись	Ф.И.О.	Подпись

Приложение № 2 Акт об уничтожении персональных данных

(типовая форма)

г. Москва

"__" _________ 20__ года

Оператор персональных данных: АНО "Спортклуб РОЗА"

Комиссия по вопросам организации обработки и обеспечения безопасности персональных данных составила настоящий акт об уничтожении персональных данных субъектов персональных данных, обрабатываемых Оператором, и установила, что следующие персональные данные подлежат уничтожению:

№	Наименование носителя / ИСПДн	Тип и регистрационный номер носителя	ФИО субъекта ПДн	Перечень категорий уничтоженных ПДн	Способ уничтожения ПДн	Причина уничтожения ПДн
1	Например, "ИСПДн "_______"", "Корпоративный ноутбук", "Служебная карта памяти" или "Договор об оказании услуг от __.__.____ № _____"	Например, ИСПДн, автоматизированное рабочее место, отчуждаемый машинный носитель (HDD, USB Flash Card и т.д.), бумажный носитель и др. с указанием производителя и марки средства вычислительной техники, машинного носителя, количества листов (в случае обработки ПДн без использования средств автоматизации)			Например, при условии дальнейшего (повторного) использования материального носителя: вымарывание ПДн на бумажных носителях, необратимое удаление ПДн в ИСПДн, на АРМ или на машинных носителях информации с помощью программных и (или) аппаратных средств; без дальнейшего (повторного) использования материального носителя: разрезание, сжигание, механическое уничтожение, сдача предприятию по утилизации вторичного сырья с обязательством уничтожения и т.п.	Например, достижение цели обработки ПДн, требование субъекта ПДн и т.д.

Перечисленные персональные данные и их носители (за исключением подлежащих дальнейшему использованию) уничтожены и исключены из журналов учета (при наличии).

Председатель комиссии:	__________________/	__________________________/
Председатель комиссии:	подпись	расшифровка подписи
Члены комиссии:	__________________/	__________________________/
Члены комиссии:	подпись	расшифровка подписи
	__________________/	__________________________/
	подпись	расшифровка подписи

Приложение № 3 Соглашение о неразглашении информации, содержащей персональные данные

(для заключения с работником)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

осознаю, что:

получаю доступ к персональным данным, обрабатываемым АНО "Спортклуб РОЗА" (далее – "Организация"), и во время исполнения своих обязанностей осуществляю их обработку (в том числе сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, изменение, уничтожение);

разглашение персональных данных может нанести прямой и (или) косвенный ущерб субъектам персональных данных, чьи персональные данные обрабатывает Организация,

и выражаю своё обязательство при обработке персональных данных, обрабатываемых Организацией строго соблюдать требования законодательства РФ в области персональных данных, Политики Организации в отношении обработки персональных данных, Положения об обработке и защите персональных данных Организации и иных локальных нормативных актов и организационно-распорядительной документации Организации в области персональных данных.

Настоящим я подтверждаю, что:

ознакомлен с Политикой Организации в отношении обработки персональных данных", Положением об обработке и защите персональных данных Организации, перечнем целей обработки Организацией персональных данных, категориями и перечнем обрабатываемых персональных данных, категориями субъектов персональных данных, способами и сроками обработки персональных данных, отраженными в Приложении № 1 к Политике Организации в отношении обработки персональных данных, и иными локальными нормативными актами и организационно-распорядительной документацией Организации в области персональных данных;

не имею права разглашать персональные данные, обрабатываемые Организацией;

предупрежден(а) о том, что в случае нарушения мною требований законодательства РФ в области персональных данных и (или) Политики Организации в отношении обработки персональных данных", Положения об обработке и защите персональных данных Организации и (или) иных локальных нормативных актов и организационно-распорядительной документации Организации в области персональных данных, в том числе в случае неправомерного разглашения ПДн, я несу ответственность в соответствии с законодательством РФ, в частности ст. 90 ТК РФ.

"___" ___________ 20___ года

__________________/

__________________________/

Приложение № 4 Положения о защите персональных данных для включения в трудовой договор с работником

(типовая форма)

В трудовом договоре с работником Организации, которому для исполнения должностных обязанностей необходимо обрабатывать ПДн, должны быть отражены следующие положения:

Работник обязуется:

соблюдать конфиденциальность и безопасность обработки персональных данных (далее – ПДн), ставших известными Работнику в связи с исполнением им должностных обязанностей;

обрабатывать ПДн исключительно в целях, предусмотренных применимым законодательством и локальными актами Работодателя;

оказывать содействие работодателю в расследовании при возникновении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн;

прекратить обработку ПДн при прекращении действия настоящего Договора.

Работодатель обязуется создавать Работнику необходимые условия для соблюдения им конфиденциальности и безопасности обработки ПДн, а также имеет право контролировать соблюдение Работником соответствующих требований законодательства и локальных актов Работодателя в области ПДн.

Работник несет ответственность в случае нарушения им требований законодательства, локальных нормативных актов и организационно-распорядительной документации в области ПДн, в соответствии с законодательством РФ и нормами, установленными у Работодателя.

Приложение № 5 Акт приема-передачи информации, содержащей персональные данные

(типовая форма)

г. Москва

"__" _________ 20__ года

Во исполнение ________ [указать основание, например, договор и его реквизиты] АНО "Спортклуб РОЗА" (далее – "Передающая сторона") в лице [Ф.И.О., наименование должности, осуществляющего передачу персональных данных], передает, а [Наименование принимающей стороны] (далее – "Получающая сторона"), расположенное по адресу ______________________________, в лице [Ф.И.О., наименование должности представителя, осуществляющего прием персональных данных], получает следующие персональные данные и их материальные носители:

№	Наименование и тип носителя	Регистрационный № носителя / количество листов	Перечень категорий ПДн	ФИО субъектов ПДн

Полученные персональные данные субъектов могут быть использованы Получающей Стороной только с целью ________ [указать, например, исполнения договора], а также для осуществления, выполнения и соблюдения прав, обязанностей и запретов, предусмотренных применимыми нормами законодательства.

Получающая Сторона обязуется в течение ________ [указать срок] дней с момента получения требования Передающей Стороны возвратить ей зафиксированные в настоящем Акте материальные носители персональных данных, а также передать или уничтожить все копии переданных персональных данных и их носителей, за исключением подлежащих в соответствии с требованиями применимого законодательства хранению у Получающей стороны.

Передал:	__________________/	__________________________/
Передал:	подпись	расшифровка подписи

Принял:	__________________/	__________________________/
Принял:	подпись	расшифровка подписи

Приложение № 6 Соглашение (раздел договора) о защите персональных данных

(типовая (примерная) форма)

АНО "Спортклуб РОЗА" , созданное и действующее в соответствии с законодательством РФ, в лице ________________ [наименование должности и Ф.И.О. уполномоченного лица], действующего на основании ________________ [наименование основания], с одной стороны, и ________________ [наименование контрагента], созданное и действующее в соответствии с законодательством ________________ [наименование государства], в лице ________________ [наименование должности и Ф.И.О. уполномоченного лица], действующего на основании ________________ [наименование основания], с другой стороны, в дальнейшем именуемые совместно "Стороны", а по отдельности – "Сторона", договорились о нижеследующем:

Термины и определения:

(1) персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных, далее – "субъект");

(2) оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

(3) обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая передачу персональных данных;

(4) передача персональных данных – любые действия, направленные на пересылку и направление персональных данных любыми средствами (как физическими, так и электронными), предоставление доступа к персональным данным, включая удаленный доступ, а также действия, направленные на сохранение, ввод персональных данных в информационные системы;

(5) разумный срок – временной период, необходимый Стороне для исполнения обязательства по настоящему Соглашению (договору), определяемый Сторонами совместно в каждом конкретном случае с учетом особенностей взаимодействия между Сторонами, объемом передаваемых между Сторонами персональных данных, технических, организационных и иных возможностей соответствующей Стороны. Если от исполнения обязательства по настоящему Соглашению (договору) зависит своевременное исполнение одной из Сторон законодательных обязанностей, согласованный Сторонами срок исполнения обязательства должен позволять такой Стороне своевременно исполнить законодательные обязанности;

(6) инцидент – любаянеправомерная или случайная передача (предоставление, распространение, доступ) персональных данных , полученных одной Стороной от другой Стороны .

1. Стороны, каждая из которых может выступать как передающей персональные данные (далее – ПДн), так и получающей ПДн, договорились о том, что они могут передавать друг другу ПДн, включая _____________ [указать в соответствии с перечнем обрабатываемых персональных данных каждой из Сторон], относящиеся к _____________ [указать категории субъектов ПДн, например, работникам, представителям, собственникам, бенефициарным владельцам Сторон и (или) иным категориям субъектов (при наличии таковых)].

2. Стороны заверяют и гарантируют правомерность передачи ПДн друг другу и их последующей обработки с соблюдением требований применимого законодательства для достижения актуальных для взаимоотношений между Сторонами целей, определенных в документах каждой из Сторон, определяющих политику Стороны в отношении обработки ПДн [при необходимости уточнить конкретные цели].

3. Стороны передают друг другу только те ПДн, которые необходимы для достижения вышеуказанных целей, исключая избыточность.

4. Каждая из Сторон признает, что в отношении полученных от другой Стороны ПДн является самостоятельно действующим оператором, самостоятельно определяет цели обработки ПДн, их состав и действия (операции), совершаемые с ними между Сторонами. Настоящий пункт не распространяется на случаи осуществления обработки ПДн по поручению другой Стороны в соответствии с заключенным между Сторонами документом о поручении обработки ПДн.

5. Получающая Сторона обязуется прекратить или обеспечить прекращение обработки ПДн, полученных от передающей Стороны, путем их уничтожения по достижении целей или в случае утраты необходимости в достижении этих целей, а также в случае невозможности обеспечения правомерности обработки ПДн, если иное не предусмотрено применимым законодательством. Порядок уничтожения ПДн определяется процедурами, установленными у получающей Стороны.

6. В целях, предусмотренных настоящим _____________ [указать подходящее: Соглашением / разделом Договора] получающая ПДн Сторона имеет право привлекать третьих лиц к обработке полученных ПДн путем поручения им обработки указанных ПДн и (или) путем передачи ПДн третьим лицам без поручения обработки ПДн. Привлечение третьих лиц к обработке ПДн может осуществляться только при наличии соответствующих правовых оснований у получающей ПДн Стороны и при условии обеспечения третьими лицами конфиденциальности и безопасности ПДн при их обработке. Получающая Сторона, в разумный срок с момента получения соответствующего запроса от передающей Стороны, предоставляет сведения о привлекаемых к обработке ПДн третьих лицах, об обрабатываемых ими категориях ПДн, категориях субъектов и о целях, в которых ПДн переданы третьим лицам.

7. Стороны заверяют и гарантируют обеспечение конфиденциальности и безопасности получаемых друг от друга ПДн при их обработке в соответствии с требованиями применимого законодательства и договорённостями между Сторонами. Стороны обязуются принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн при их передаче между Сторонами посредством электронных каналов связи, машинных и бумажных носителей информации или иным способом. В случае несоответствия действительности указанных в настоящем пункте заверений и гарантий получающая ПДн Сторона немедленно откажется от получения ПДн и (или) в разумный срок прекратит обработку ПДн, ранее полученных от передающей Стороны.

8. Получающая Сторона обязуется уведомлять передающую Сторону в случае выявления ею инцидента (или обоснованного предположения о его наличии) в отношении ПДн, полученных от передающей Стороны, в соответствии со следующим порядком:

8.1. Не позднее 12 (двенадцати) часов с момента наступления инцидента в отношении ПДн направляется первое уведомление, содержащее информацию:

− о факте, дате и времени выявления инцидента;

− о перечне (категориях) ПДн и о категориях субъектов, затронутых инцидентом;

− о точном или примерном количестве субъектов и записей о субъектах, затронутых инцидентом;

− о предполагаемых причинах (например, компьютерная атака) и характере (неправомерный или случайный) инцидента;

− о предполагаемых последствиях нарушения, в том числе об оценке и последствиях вреда, нанесенного правам субъектов (при наличии такого вреда);

− о принятых и (или) планируемых мерах по устранению (уменьшению масштаба) инцидента и его последствий;

− о принятых и (или) планируемых мерах по внутреннему расследованию инцидента;

− о контактных данных лица, которое от имени уведомляющей Стороны может предоставить новую и (или) дополнительную информацию об инциденте.

8.2. Не позднее 48 (сорока восьми) часов с момента наступления вышеуказанных обстоятельств направляется второе уведомление, содержащее информацию:

− о результатах внутреннего расследования инцидента;

− о лицах, действия которых стали или могли стать причиной инцидента (при наличии таких лиц).

8.3. Дополнительные уведомления, содержащие новую и (или) дополнительную информацию об инциденте, направляются в максимально короткие сроки по мере появления такой информации.

8.4. Каждая Сторона без предварительного разрешения другой Стороны с учетом соблюдения требований законодательства не будет уведомлять соответствующие уполномоченные органы и (или) субъектов о любом инциденте или делать любые публичные заявления или иным образом уведомлять каких-либо лиц о любом инциденте, если такие уведомления / заявления могут затронуть интересы другой Стороны.

9. Передающая Сторона, в разумный срок с момента получения соответствующего запроса от получающей Стороны, предоставляет получающей Стороне сведения и (или) документы, подтверждающие либо факт получения согласия субъектов на осуществление передачи и последующей обработки их ПДн, либо наличие иных правовых оснований для осуществления передачи и последующей обработки ПДн субъектов, а также факт надлежащего уведомления субъектов о передаче и последующей обработки их ПДн.

10. Стороны соглашаются добросовестно сотрудничать и оказывать необходимое разумное содействие друг другу в случае прекращения действия согласия субъектов или иных оснований правомерности передачи и последующей обработки ПДн в соответствии с настоящим _____________ [указать подходящее: Соглашением / разделом Договора], а также при рассмотрении и урегулировании запросов, касающихся передаваемых между Сторонами ПДн, полученных любой из Сторон от субъектов, представителей субъектов, уполномоченных органов.

11. Вышеперечисленные заверения и гарантии являются заверениями об обстоятельствах. Каждая из Сторон обеспечивает, что эти заверения и гарантии являются достоверными в любой момент времени действия настоящего _____________ [указать подходящее: Соглашения / Договора, составной частью которого является настоящий раздел]. Сторона, не исполнившая или ненадлежащим образом исполнившая требования настоящего _____________ [ указать подходящее: Соглашения / раздела Договора], несет ответственность в размере документально подтвержденного реального ущерба, причиненного другой Стороне в связи и исключительно в размере удовлетворенных в соответствии с судебными актами требований и (или) в размере взысканных административных и иных штрафов. Стороны не несут ответственность за упущенную выгоду или иные косвенные убытки, понесенные по причине неисполнения или ненадлежащего исполнения настоящего _____________ [указать подходящее: Соглашения / раздела Договора].

[Следующие пункты 12–13 предназначены для Соглашения, то есть подлежат удалению в случаях включения вышеописанных требований защиты ПДн в раздел договора.]

12. Настоящее Соглашение составлено в [двух] экземплярах, имеющих равную юридическую силу, по одному для каждой из Сторон, вступает в силу с даты его подписания обеими Сторонами и будет действовать бессрочно. Настоящее Соглашение может быть расторгнуто по взаимному соглашению Сторон. Одна Сторона вправе в одностороннем внесудебном порядке расторгнуть настоящее Соглашение досрочно по собственному усмотрению, надлежащим образом уведомив другую Сторону о таком расторжении не менее чем за 30 (тридцать) календарных дней.

13. Стороны договорились распространить действие настоящего Соглашения на являющиеся предметом настоящего Соглашения отношения Сторон, которые возникли в прошлом (если применимо) и могут возникнуть в будущем. Если между Сторонами ранее были заключены и действуют договоры и соглашения о конфиденциальности или иным образом затрагивающие предмет настоящего Соглашения, то содержание Соглашения имеет преимущественную силу перед такими договорами и соглашениями применительно к являющимся предметом настоящего Соглашения отношениям Сторон, за исключением документов о поручении обработки ПДн, которые могут заключаться Сторонами в отношении отдельных случаев обработки персональных данных.

Приложение № 7

Соглашение (раздел договора) о поручении обработки персональных данных

(типовая (примерная) форма)

________________ [наименование организации, осуществляющей поручение обработки персональных данных другой Стороне], созданное и действующее в соответствии с законодательством ________________ [наименование государства], в лице ________________ [наименование должности и Ф.И.О. уполномоченного лица], действующего на основании ________________ [наименование основания], с одной стороны (далее – Оператор), и ________________ [наименование организации, осуществляющей обработку персональных данных по поручению другой Стороны], созданное и действующее в соответствии с законодательством ________________ [наименование государства], в лице ________________ [наименование должности и Ф.И.О. уполномоченного лица], действующего на основании ________________ [наименование основания], с другой стороны (далее – Обработчик) в дальнейшем именуемые совместно "Стороны", а по отдельности – "Сторона", договорились о нижеследующем:

1. Термины и определения

1.1. Для целей настоящего Поручения применять термины в значении, указанном ниже:

(1) Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту Персональных данных, далее – "субъект"), обработку которых осуществляет(ют) Обработчик(и) на основании и во исполнение Поручения;

(2) Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку Персональных данных, а также определяющие цели обработки Персональных данных, состав Персональных данных, подлежащих обработке, действия (операции), совершаемые с Персональными данными;

(3) Обработчик – юридическое или физическое лицо, государственный, муниципальный орган или иной орган, который обрабатывает Персональные данные от имени и по поручению Оператора;

(4) Основной договор (Основные договоры) – гражданско-правовой договор (договоры) или иная (иные) сделка (сделки) между Сторонами, для исполнения которой поручается обработка Персональных данных;

(5) Безопасность Персональных данных – состояние защищенности Персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении Персональных данных при их обработке;

(6) Инцидент – нарушение безопасности Персональных данных в форме неправомерной или случайной передачи (предоставления, распространения, доступа) Персональных данных;

(7) Нарушение безопасности – любое нарушение безопасности Персональных данных (включая Инцидент) или требований применимого законодательства о персональных данных или условий Поручения в отношении обработки Персональных данных.

2. Предмет поручения

2.1. Оператор поручает (или может поручить в будущем), а Обработчик принимает на себя обязательство осуществлять обработку Персональных данных в соответствии с условиями Поручения. Оператор имеет право в предусмотренном Поручением порядке направлять Обработчику дополнительные инструкции по обработке и защите Персональных данных, а Обработчик обязуется следовать им, если они не нарушают требования применимого законодательства.

2.2. Если Обработчик считает, что Поручение и (или) дополнительные инструкции Оператора нарушают требования применимого законодательства, то Обработчик немедленно уведомляет Оператора об этом. В таких случаях Обработчик имеет право прекратить обработку Персональных данных до тех пор, пока Поручение и (или) соответствующая инструкция не будет подтверждена или изменена Оператором.

2.3. Если Обработчик выходит за пределы условий Поручения и самостоятельно определяет цели обработки Персональных данных, перечень категорий Персональных данных и иные условия обработки Персональных данных, то в этом случае Обработчик будет осуществлять обработку Персональных данных в качестве самостоятельного оператора, чьи действия не покрываются условиями Поручения и который действует под свою ответственность.

2.4. Если Обработчик обязан осуществлять обработку Персональных данных на основании требований применимого законодательства, то Обработчик надлежащим образом и без неоправданной задержки уведомляет Оператора об этом до начала такой обработки Персональных данных, если применимое законодательство прямо не запрещает такого рода информирование. В таких случаях Оператор и Обработчик должны согласовать между собой, может ли такая обработка Персональных данных быть осуществлена на законных основаниях. В противном случае Обработчик будет осуществлять обработку Персональных данных в качестве самостоятельного оператора, чьи действия не покрываются условиями Поручения и который действует под свою ответственность.

2.5. Стороны настоящим согласились, что Поручение является неотъемлемой частью Основного договора (Основных договоров) между Сторонами, для исполнения которого поручается обработка персональных данных. Стоимость обработки Персональных данных, осуществляемой на основании и во исполнение Поручения, включена в цену вышеуказанного Основного договора (Основных договоров).

2.6. Цель обработки Персональных данных, перечень категорий Персональных данных и иные условия обработки и защиты Персональных данных определяются Сторонами в Приложении или Приложениях (при наличии между Сторонами отношений по более, чем одному Основному договору, требующему поручения обработки Персональных данных, – в отношении каждого из Основных договоров) к Поручению. При отсутствии действующего(их) Приложения или Приложений к Поручению признается, что обработка Персональных данных на основании и во исполнение Поручения не осуществляется.

3. Заверения и гарантии об обстоятельствах

3.1. Оператор заверяет и гарантирует (и обеспечивает, что эти заверения и гарантии являются достоверными в любой момент времени/периода обработки Персональных данных в рамках Поручения), что:

цели обработки Персональных данных соответствуют целям исполнения Поручения;

им обеспечивается наличие законных оснований для поручения обработки Персональных данных Обработчику, как то наличие полученных надлежавшим образом согласий субъектов на поручение обработки Персональных данных Обработчику на условиях, указанных в Поручении и соответствующих Приложениях к нему, когда получение таких согласий необходимо в соответствии с требованиями применимого законодательства.

3.2. Обработчик заверяет и гарантирует (и обеспечивает, что эти заверения и гарантии являются достоверными в любой момент времени/периода обработки Персональных данных, осуществляемой в рамках Поручения), что соблюдает принципы и правила обработки и защиты Персональных данных, предусмотренные применимым законодательством, подзаконными нормативными правовыми актами и локальными актами Обработчика, а также соблюдает конфиденциальность Персональных данных.

4. Обязанности Оператора

4.1. Оператор обязуется не позднее 10 (десяти) рабочих дней со дня получения запроса Обработчика предоставить Обработчику сведения и (или) документы, подтверждающие факт наличия законных оснований для поручения обработки Персональных данных Обработчику на условиях, указанных в Поручении и соответствующих Приложениях к нему, как то наличие полученных надлежавшим образом согласий субъектов на поручение обработки Персональных данных Обработчику, когда получение таких согласий необходимо в соответствии с требованиями применимого законодательства. Определение Оператором состава и содержания предоставляемых сведений и (или) документов осуществляется с учетом требований применимого законодательства, а также c соблюдением прав и законных интересов субъектов, Сторон и иных лиц.

4.2. Обработчик не должен злоупотреблять правом, закреплённым в пункте 4.1 Поручения, и должен пользоваться данным правом только в том случае, когда от получения предусмотренных сведений и (или) документов будет зависеть своевременное и надлежащее выполнение Обработчиком требований применимого законодательства или предупреждение возможностей нарушения таких требований.

5. Обязанности Обработчика

5.1. Обработчик обязуется соблюдать ограничение обработки Персональных данных достижением целей, определенных в Поручении, и недопущение обработки Персональных данных, несовместимой с указанными в Поручении целями обработки Персональных данных.

5.2. Обработчик обязуется обеспечивать конфиденциальность Персональных данных и безопасность их обработки в соответствии с требованиями применимого законодательства и условиями Поручения, а также дополнительным инструкциями Оператора.

5.3. Обработчик обязуется не позднее 2 (двух) рабочих дней со дня получения требования Оператора в отношении определённых в этом требовании Персональных данных, обрабатываемых Обработчиком в рамках Поручения, осуществлять или обеспечить (если к обработке Персональных данных Обработчиком привлечены третьи лица) осуществление уточнения (обновления, изменения), передачи (предоставления, доступа), блокирования, удаления или уничтожения. Выполнение этих действий в соответствии с данным пунктом Поручения предполагается, и Обработчик не обязан уведомлять Оператора о результатах этих действий. Вместе с тем Обработчик обязуется не позднее 5 (пяти) рабочих дней со дня получения запроса Оператора предоставить Оператору сведения и (или) документы о результатах этих действий.

5.4. Обработчик обязуется не позднее 5 (пяти) рабочих дней со дня окончания периода обработки Персональных данных, предусмотренного Приложением или Приложениям к Поручению, прекратить обработку Персональных данных и уничтожить Персональные данные или обеспечить прекращение обработки Персональных данных и уничтожение Персональных данных (если к обработке Персональных данных Обработчиком привлечены третьи лица) без дополнительного требования (волеизъявления) Оператора. Уничтожение Персональных данных в соответствии с данным пунктом Поручения предполагается, и Обработчик не обязан уведомлять Оператора о результатах этих действий. Вместе с тем Обработчик обязуется не позднее 5 (пяти) рабочих дней со дня получения запроса Оператора предоставить Оператору сведения и (или) документы о результатах этих действий. Подтверждение уничтожения Обработчиком персональных данных должен соответствовать требованиями, установленным применимым законодательством, в том числе частью 7 статьи 21 Федерального закона Российской Федерации от 27.07.2006 года №152-ФЗ "О персональных данных".

5.5. Если Персональные данные, подлежащие уничтожению, содержатся в подлиннике документа в электронной форме или на бумажном носителе, полученном от Оператора либо образовавшемся в процессе исполнения Основного договора и связанным с осуществлением прав и законных интересов Оператора (например, подлинник судебного акта, исполнительного листа, договора, свидетельства, электронный платежный документ за электронной подписью и т.п.), указанные подлинники возвращаются Обработчиком Оператору по акту приема-передачи не позднее 5 (пяти) рабочих дней со дня окончания периода обработки Персональных данных, предусмотренного Приложением или Приложениями к Поручению, если возвращение указанных подлинников не нарушает прав и законных интересов Обработчика или иных лиц, а также не нарушает требования применимого законодательства.

5.6. Обработчик обязуется добросовестно сотрудничать с Оператором и оказывать необходимое ему разумное содействие при рассмотрении и урегулировании любых обращений (запросов, жалоб, требований, предписаний, судебных исков), касающихся Поручения и полученных Обработчиком от субъектов, представителей субъектов, уполномоченных органов или иных лиц. В частности, Обработчик, получивший такое обращение, обязан надлежащим образом и без неоправданной задержки уведомить об этом Оператора не позднее 3 (трех) рабочих дней с момента наступления указанного события, если иное не предусмотрено применимым законодательством.

5.7. Обработчик обязуется направить Оператору по его письменному требованию в течение 5 (пяти) рабочих дней с даты получения такого требования заверенное единоличным исполнительным органом или иным уполномоченным лицом Обработчика и его (её) печатью (при наличии) письмо со сведениями о наименовании основных и резервных баз данных (информационных систем), используемых Обработчиком и (или) привлеченными Обработчиком третьими лицами для обработки Персональных данных в рамках Поручения, а также со сведениями об адресе (страна, город, улица, дом) расположения таких баз данных (информационных систем).

5.8. Обработчик обязуется не позднее 10 (десяти) рабочих дней со дня получения запроса Оператора предоставить Оператору сведения и (или) документы:

подтверждающие факт принятия или обеспечения Обработчиком необходимых мер безопасности при обработке Персональных данных в рамках Поручения;

подтверждающие факт надлежащим образом оформленного присоединения к настоящему Поручению третьих лиц – в случае привлечения таковых Обработчиком (см. пункт 6.2 Поручения);

о результатах проведенного контроля за выполнением требований к защите Персональных данных при обработке Персональных данных в информационных системах, используемых Обработчиком для целей Поручения .

5.9. Обработчик обязуется не позднее 10 (десяти) рабочих дней со дня получения запроса Оператора предоставить Оператору нижеприведенные сведения и (или) документы для каждой информационной системы, используемой Обработчиком при обработке Персональных данных для целей Поручения:

описание информационных технологий и технических средств, используемых для обработки Персональных данных;

описание актуальных угроз безопасности Персональных данных;

описание технических и (или) организационных мер защиты Персональных данных.

5.10. Обработчик обязуется в течение срока действия Поручения, в том числе до обработки персональных данных, не позднее 5 (пяти) рабочих дней со дня получения запроса Оператора предоставить Оператору сведения и (или) документы, подтверждающие принятие Обработчиком мер и соблюдение Обработчиком требований, предусмотренных Поручением и установленных в соответствии со статьей 6 Федерального закона Российской Федерации от 27.07.2006 года №152-ФЗ "О персональных данных".

5.11. Запросы, указанные в пунктах 5.7-5.10 Поручения, Оператор имеет право направлять Обработчику при наличии обоснованной необходимости запрошенных сведений. Определение Сторонами состава и содержания предоставляемых сведений и (или) документов осуществляется с учетом требований применимого законодательства, а также c соблюдением прав и законных интересов субъектов, Сторон и иных лиц.

6. Дополнительные Обработчики

6.1. Обработчик обязуется осуществить обработку Персональных данных в рамках Поручения самостоятельно, либо на условиях, предусмотренных Поручением, имеет право привлечь к обработке Персональных данных третьих лиц (далее – "Дополнительные Обработчики"), оставаясь ответственным перед Оператором за выполнение своих обязательств по Поручению.

6.2. Обработчик обязан в письменной форме сообщить Оператору о намерении привлечь Дополнительных Обработчиков (при наличии таковых) и (или) указать их перечень в Приложении или Приложениях к Поручению. Оператор должен в письменной форме подтвердить (например, путем подписания Поручения) или отклонить привлечение Дополнительных Обработчиков. Перечень Дополнительных Обработчиков может быть изменен (дополнен) Обработчиком по письменному согласованию с Оператором.

6.3. Если Оператор отказывается подтвердить привлечение Дополнительных Обработчиков по разумным причинам, связанным со способностью таких третьих лиц соблюдать условия Поручения, Обработчик не привлекает Дополнительных Обработчиков, или Оператор может без штрафных санкций отказаться от заключения Поручения, а также может приостановить или прекратить действие Поручения.

6.4. Привлечение к обработке Персональных данных Дополнительных Обработчиков осуществляется путем их надлежащим образом оформленного присоединения к настоящему Поручению и только при условии безоговорочного принятия всех положений Поручения в его актуальной редакции. До начала исполнения Поручения Дополнительные Обработчики обязаны внедрить все необходимые меры безопасности (правовые, организационные и технические) при обработке Персональных данных, предусмотренные Поручением.

6.5. Обработчик заверяет и гарантирует (и обеспечивает, что эти заверения и гарантии являются достоверными в любой момент времени/периода обработки Персональных данных, осуществляемой в рамках Поручения), что Дополнительные Обработчики соблюдают:

обязательства и ограничения в отношении обработки, конфиденциальности и безопасности Персональных данных, предусмотренные условиями Поручения;

принципы и правила обработки и защиты Персональных данных, предусмотренные применимым законодательством и подзаконными нормативными правовыми актами, а также условиями Поручения и дополнительным инструкциями Оператора.

7. Конфиденциальность

7.1. Обработчик при выполнении Поручения обязуется обеспечить конфиденциальность Персональных данных, обрабатываемых Обработчиком в рамках Поручения. Требование по обеспечению конфиденциальности Персональных данных сохраняет свою силу также после прекращения действия Поручения, если иное не предусмотрено Поручением или применимым законодательством.

7.2. Обработчик обязуется раскрывать информацию о Персональных данных Оператора своим работникам и иным лицам, привлеченным Обработчиком к обработке Персональных данных, только в тех пределах, которые необходимы для исполнения Поручения.

7.3. Обработчик заверяет и гарантирует, что его работники и иные (третьи) лица, привлеченные Обработчиком к обработке Персональных данных в рамках Поручения, приняли обязательства по соблюдению конфиденциальности Персональных данных.

7.4. Обработчик обязуется не позднее 10 (десяти) рабочих дней со дня получения запроса Оператора предоставить Оператору сведения и (или) документы, подтверждающие факт принятия вышеуказанного обязательства работниками Обработчика и иными (третьими) лицами, допущенными Обработчиком к обработке Персональных данных. Подобные запросы Оператор имеет право направлять Обработчику при наличии обоснованной необходимости запрошенных сведений. Определение Сторонами состава и содержания предоставляемых сведений и (или) документов осуществляется с учетом требований применимого законодательства, а также c соблюдением прав и законных интересов субъектов, передающей Стороны и иных лиц.

7.5. Обработчик обязуется не раскрывать информацию о Персональных данных Оператора третьим лицам за исключением случаев, предусмотренных применимым законодательством, или при наличии явного разрешения Оператора. Стороны соглашаются, что настоящее Поручение, а также Приложения к нему вместе и каждое из таких Приложений по отдельности признаются явным разрешением Оператора.

8. Безопасность

8.1. Обработчик обязан своевременно и надлежащим образом принимать необходимые меры безопасности (правовые, организационные и технические) или обеспечивать их принятие при обработке Персональных данных с использованием средств автоматизации (автоматизированная обработка Персональных данных) и (или) без использования средств автоматизации (неавтоматизированная обработка Персональных данных) в соответствии с требованиями применимого законодательства, предъявляемыми к защите Персональных данных, в том числе для поддержания соответствующего уровня защищенности Персональных данных при их обработке в информационных системах, в зависимости от типа актуальных угроз безопасности Персональных данных.

8.2. В зависимости от способа обработки Персональных данных обеспечение Обработчиком безопасности Персональных данных достигается:

- назначением лица, ответственного за организацию обработки персональных данных, а также назначением лиц(а), ответственных(ого) за обеспечение безопасности персональных данных при их обработке в информационных системах Обработчика (если применимо);

- изданием Обработчиком, являющимся юридическим лицом, документов, определяющих политику Обработчика в отношении обработки персональных данных, локальных актов Обработчика по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов Обработчика, устанавливающих процедуры, направленные на предотвращение и выявление нарушений применимого законодательства, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на Обработчика не предусмотренные применимым законодательством полномочия и обязанности;

- осуществлением внутреннего контроля и (или) аудита соответствия обработки персональных данных требованиям применимого законодательства, требованиям к защите персональных данных, политике Обработчика в отношении обработки персональных данных, локальным актам Обработчика по вопросам обработки персональных данных, а также условиям Поручения и дополнительным инструкциями Оператора;

- осуществлением оценки вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных в Российской Федерации, который может быть причинен субъектам в случае нарушения требований применимого законодательства, соотношение указанного вреда и принимаемых Обработчиком мер, направленных на обеспечение выполнения обязанностей, предусмотренных требованиям применимого законодательства;

- ознакомлением лиц, привлеченных (допущенных) Обработчиком к обработке персональных данных, с требованиями применимого законодательства, в том числе требованиями к защите персональных данных, документами, определяющими политику Обработчика в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных лиц;

- определением угроз безопасности Персональных данных, которые могут возникнуть при их обработке в информационных системах Обработчика;

- применением организационных и (или) технических мер по обеспечению безопасности Персональных данных при их обработке, в том числе в информационных системах Обработчика, необходимых для обеспечения постоянной конфиденциальности, целостности, доступности и устойчивости процессов и (или) систем, связанных с обработкой Персональных данных;

- применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности Персональных данных и информационных технологий, используемых в информационных системах Обработчика;

- оценкой эффективности принимаемых мер по обеспечению безопасности Персональных данных до ввода в эксплуатацию информационных систем Обработчика;

- определением мест хранения материальных (в том числе машинных) носителей Персональных данных, обеспечением учета и сохранности таких носителей Персональных данных, исключением несанкционированного доступ к носителям Персональных данных, а также раздельным хранением Персональных данных (материальных носителей), обработка которых осуществляется в различных целях;

- недопущением объединения баз с Персональными данными или фиксации Персональных данных на одном материальном носителе, если обработка Персональных данных осуществляется в несовместимых между собой целях;

- обнаружением фактов несанкционированного доступа к Персональным данным и принятием надлежащих мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы Обработчика, связанные с обработкой Персональных данных, и по реагированию на компьютерные инциденты в них;

- восстановлением Персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- установлением правил доступа к Персональным данным, обрабатываемым в информационных системах Обработчика, а также обеспечением регистрации и учета всех действий, совершаемых с Персональными данными в информационных системах Обработчика;

- контролем за принимаемыми мерами по обеспечению безопасности Персональных данных и уровня защищенности информационных систем Обработчика, связанных с обработкой Персональных данных;

- установлением и утверждением перечня лиц (должностей), привлеченных (допущенных) Обработчиком к автоматизированной и (или) неавтоматизированной обработке Персональных данных, в том числе в информационных системах Обработчика, и ограничением доступа к Персональным данным для иных лиц;

- информированием лиц, привлеченных (допущенных) Обработчиком к обработке Персональных данных без использования средств автоматизации в рамках Поручения, о факте обработки указанными лицами Персональных данных, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых Персональных данных, категориях субъектов, а также об особенностях и правилах осуществления такой обработки, предусмотренные применимым законодательством и подзаконными нормативными правовыми актами, а также локальными актами Обработчика;

- организацией мер обеспечения безопасности помещений, в которых осуществляется обработка Персональных данных и (или) размещены программно-аппаратные средства, используемые для обработки Персональных данных, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

- уничтожением Персональных данных способом, исключающим последующее восстановление и дальнейшую обработку Персональных данных, а также подтверждением уничтожения Персональных данных в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных в Российской Федерации.

9. Уведомление о Нарушении безопасности

9.1. Обработчик обязуется уведомлять Оператора в случае обнаружения Обработчиком Нарушения безопасности или если Обработчик обоснованно полагает, что имело место Нарушение безопасности.

9.2. Не позднее 12 (двенадцати) часов в отношении Нарушения безопасности, являющегося Инцидентом, или 24 (двадцати четырех) часов в отношении Нарушения безопасности, отличного от Инцидента, с момента наступления вышеуказанных обстоятельств Обработчик направляет Оператору первое уведомление, содержащее информацию:

о факте, дате и времени выявления Нарушения безопасности;

о перечне (категориях) персональных данных и о категориях субъектов, затронутых Нарушением безопасности;

о точном или приблизительном количестве субъектов и записей о субъектах, затронутых Нарушением безопасности;

об актуальности затронутых Нарушением безопасности персональных данных и о периоде времени, в течение которого были такие персональные данные собраны и (или) получены Обработчиком;

о затронутых Нарушением безопасности информационных системах Обработчика и процессах обработки персональных данных в рамках Поручения;

о предполагаемых причинах (например, компьютерная атака) и характере (неправомерный или случайный) Нарушения безопасности;

о предполагаемых последствиях Нарушения безопасности, в том числе об оценке и последствиях вреда, нанесенного правам субъектов (при наличии такого вреда);

о принятых и (или) планируемых мерах по устранению (уменьшению масштаба) Нарушения безопасности и его последствий;

о принятых и (или) планируемых мерах по внутреннему расследованию Нарушения безопасности;

о любых сообщениях Обработчика в отношении Нарушения безопасности, которые направленны и (или) планируется направить в соответствующие уполномоченные органы и (или) субъектам;

о любых публичных заявлениях Обработчика в отношении Нарушения безопасности, которые сделаны и (или) планируется сделать;

о контактных данных лица, которое от имени Обработчика может предоставить новую и (или) дополнительную информацию о Нарушении безопасности.

9.3. Не позднее 48 (сорока восьми) часов (в отношении Нарушения безопасности, являющегося Инцидентом) или 72 (семидесяти двух) часов (в отношении Нарушения безопасности, отличного от Инцидента) с момента наступления вышеуказанных обстоятельств Обработчик направляет Оператору второе уведомление, содержащее информацию:

о результатах внутреннего расследования Нарушения безопасности;

о лицах, действия которых стали или могли стать причиной Нарушения безопасности (при наличии таких лиц).

9.4. Дополнительные уведомления, содержащие новую и (или) дополнительную информацию о Нарушении безопасности, предоставляются Оператору в максимально короткие сроки по мере появления такой информации у Обработчика.

9.5. Состав и содержание информации о Нарушении безопасности в уведомлениях, предусмотренных пунктами 9.1-9.3 Поручения, может быть ограничено с учетом требований применимого законодательства, а также для соблюдения прав и законных интересов субъектов, Обработчика и третьих лиц.

9.6. Обработчик не будет без предварительного разрешения Оператора уведомлять соответствующие уполномоченные органы и (или) субъектов о любом Нарушении безопасности или делать любые публичные заявления или иным образом уведомлять каких-либо лиц о любом Нарушении безопасности, если это не нарушает требования законодательства.

9.7. Обработчик незамедлительно принимает все необходимые меры для устранения угрозы в отношении безопасности Персональных данных, минимизации вызванного Нарушением безопасности ущерба, а также для предотвращения любых возможных негативных последствий для субъектов, Оператора или максимально возможного сокращения негативных воздействий.

9.8. По требованию Оператора, Обработчик оказывает Оператору необходимую поддержку в разумном объеме в отношении выполнения обязательств, предусмотренных применимым законодательством для минимизации последствий Нарушения безопасности. Обработчик проводит и документально оформляет анализ причин Нарушения безопасности, а также не позднее 5 (пяти) рабочих дней со дня получения запроса Оператора предоставляет Оператору сведения и (или) документы о результатах такого анализа.

9.9. Обработчик также обязан:

в течение 5 (пяти) рабочих дней с момента выявления или получения информации о Нарушении безопасности разработать план, направленный на уменьшение вероятности повторения произошедшего нарушения;

представить этот план Оператору для проверки и согласования;

выполнить согласованный план и незамедлительно направить Оператору соответствующий отчет.

10. Аудит

10.1. Обработчик обязуется обеспечивать Оператору по его требованию, направленному не позднее, чем за 15 (пятнадцать) рабочих дней до планируемой даты проверки, но не чаще одного раза в год, возможность проведения Оператором проверки (далее – "Аудит") мест обработки Персональных данных (их материальных носителей), а также документов, информационных систем и процессов Обработчика, задействованных в обработке и (или) защите Персональных данных, по месту их нахождения и (или) на контролируемой Обработчиком территории с целью составления объективного представления об исполнении Обработчиком положений Поручения и требований применимого законодательства.

10.2. Аудит может осуществляться самим Оператором и (или) привлекаемыми им третьими лицами, принявшими на себя перед Оператором надлежащее обязательство о конфиденциальности в отношении результатов проверки, а также обладающими необходимыми лицензиями и сертификатами, если таковые требуются применимым законодательством. Привлекаемые Оператором третьи лица не должны быть прямым конкурентом Обработчика в отношении услуг (работ), предусмотренных Основным договором.

10.3. Аудит может, по выбору Оператора, быть проведен в форме поиска уязвимостей, теста на проникновение, анкетирования Обработчика или в иной форме. В случае анкетирования Обработчик обязан предоставить Оператору надлежащим образом заполненную и заверенную уполномоченным представителем Обработчика анкету не позднее 10 (десяти) рабочих дней с даты получения формы анкеты от Оператора.

10.4. В ходе проведения Аудита Обработчик обязуется действовать добросовестно и оказывать помощь Оператору и иным участвующим в проверке лицам в разумных пределах, если в этом будет необходимость. В то же время Аудит не должен оказывать несоразмерного вмешательства в деятельность Обработчика и связанных с ним лиц.

10.5. В случае привлечения Обработчиком к обработке Персональных данных Дополнительных Обработчиков Оператору предоставляется право на проведение Аудита в отношении Дополнительных Обработчиков – как до момента предоставления Оператором своего согласия на присоединение Дополнительных Обработчиков к Поручению, так и после присоединения Дополнительных Обработчиков к Поручению. Это право является аналогичным тому праву, которое есть у Оператора в отношении Обработчика согласно условиям Поручения.

10.6. В ходе проведения Аудита Обработчик не позднее 15 (пятнадцати) рабочих дней с даты получения от Оператора соответствующего указания проводит собственный аудит в отношении определённых Оператором Дополнительных Обработчиков. Результаты такого аудита должны быть должным образом задокументированы Обработчиком и предоставлены Оператору не позднее 10 (десяти) рабочих дней с даты завершения аудита.

11. Ответственность

11.1. Оператор Персональных данных несет полную ответственность перед субъектами за действия, осуществляемые Обработчиком при обработке Персональных данных согласно условиям Поручения. В случае, если Обработчик не является российским лицом (юридическим или физическим), то ответственность перед субъектами за действия, осуществляемые Обработчиком при обработке Персональных данных согласно условиям Поручения, в соответствии с частью 6 статьи 6 Федерального закона Российской Федерации от 27.07.2006 года №152-ФЗ "О персональных данных" несут Оператор и Обработчик.

11.2. Обработчик несет полную ответственность перед Оператором за действия, производимые при обработке Персональных данных Оператора, осуществляемые в рамках Поручения, в том числе за действия Дополнительных Обработчиков.

11.3. Оператор несет риск неисполнения (ненадлежащего исполнения) Основного договора (Основных договоров) со стороны Обработчика, ставшего следствием надлежащего и своевременного выполнения Обработчиком требования Оператора об уточнении (обновлении, изменении), передаче (предоставлении, доступу), блокировании, удалении или уничтожении Персональных данных, кроме случаев, когда требование об указанных действиях с Персональными данными предъявлено Оператором в силу его законной обязанности осуществить такие действия и возникшей не в связи с виновными действиями (бездействием) Обработчика.

11.4. Сторона, не исполнившая или ненадлежащим образом исполнившая любое из обязательств по Поручению, несет ответственность в размере документально подтвержденного реального ущерба, причиненного другой Стороне в связи и исключительно в размере удовлетворенных в соответствии с судебными актами требований и (или) в размере взысканных административных и иных штрафов. Ни при каких обстоятельствах Стороны не несут ответственность за упущенную выгоду или иные косвенные, или последующие убытки, понесенные по причине неисполнения или ненадлежащего исполнения Поручения.

11.5. Несмотря ни на что иное, указанное в Поручении, Оператор обязуется выплатить Обработчику денежную сумму в размере уплаченного административного штрафа, наложенного на Обработчика по факту неисполнения или ненадлежащего исполнения Оператором обязанности, предусмотренной пунктом 3.1 Поручения. Указанная в настоящем пункте выплата осуществляется Оператором только в том случае, если решение о наложении указанного в настоящем пункте штрафа надлежащим образом обжаловано Обработчиком в вышестоящий орган и (или) в судебном порядке и, если по результатам указанного обжалования, Обработчиком получен отказ в отмене решения о наложении штрафа.

11.6. Не исполнение или ненадлежащее исполнение обязательств по Поручению со стороны Обработчика выражается, но не ограничивается этим, в следующем:

неспособность Обработчика (или неспособность работников, Дополнительных Обработчиков или любых других привлекаемых Обработчиком лиц) надлежащим образом исполнить обязательства по Поручению;

любое Нарушение безопасности со стороны Обработчика;

любая небрежность или умышленное неправомерное поведение со стороны Обработчика, его работников, Дополнительных Обработчиков или любых контрагентов Обработчика или любой третьей стороны, которой Обработчик предоставляет возможность обрабатывать Персональные данные.

12. Применимое право и разрешение споров

12.1. Настоящее Поручение регулируется, а также подлежит применению и толкованию в соответствии с правом Российской Федерации, однако без учета его коллизионных норм права.

12.2. Все споры, которые могут возникнуть между Сторонами в ходе исполнения Поручения, Стороны обязуются разрешить путем переговоров. Досудебный порядок разрешения споров обязателен для Сторон. Срок ответа одной Стороны на претензию другой Стороны составляет 5 (пять) рабочих дней со дня получения претензии.

12.3. В случае если Сторонам не удастся разрешить путем переговоров споры, возникшие в ходе исполнения Поручения в течение 30 (тридцати) календарных дней, эти споры подлежат рассмотрению в Арбитражном суде города Москвы в соответствии с законодательством Российской Федерации.

13. Юридически значимые сообщения и корреспонденция

13.1. Все юридически значимые сообщения (запросы, требования, инструкции, уведомления, претензии) и корреспонденция передаются Сторонами друг другу способами, обеспечивающими фиксирование факта передачи сообщения и корреспонденции, такими как:

передача уполномоченному представителю Стороны лично под роспись;

пересылка отправления с описью вложения через курьерскую службу или государственную почтовую службу, а также телеграммой по адресу Стороны, указанному в Поручении и (или) в соответствующем Приложении к Поручению;

обмен электронными сообщениями (далее – "сообщения") по адресам электронной почты уполномоченных представителей Сторон, указанных в соответствующем Приложении к Поручению.

13.2. Стороны заверяют и гарантируют, что по их адресам и телефонам, указанным в соответствующем Приложении к Поручению, обеспечено наличие лиц, уполномоченных принимать сообщения и корреспонденцию. Стороны обязаны заблаговременно сообщать друг другу об изменении своих адресов и (или) телефонов и (или) другой контактной информации.

13.3. Каждая из Сторон несет риск не извещения другой Стороны об изменении своих адресов и (или) телефонов и (или) другой контактной информации. В случае уклонения одной Стороны от получения уведомления, направленного другой Стороной, уведомление считается полученным по истечении 10 (десяти) рабочих дней с момента его направления.

13.4. Стороны допускают обмен сообщениями и экземплярами документов (содержащих запросы, требования, инструкции, уведомления, претензии и иные документы), подписанных одной Стороной, сканированных и направленных на электронную почту уполномоченных представителей другой Стороны в виде электронных копий, содержащихся в сообщениях, при условии обязательного последующего обмена оригиналами документов в течение 10 (десяти) рабочих дней с даты направления соответствующих электронных копий. Тем самым Стороны безусловно признают юридическую силу получаемых таким образом сообщений и электронных копий документов, а также обязуются руководствоваться содержащейся в них информацией независимо от того, будут ли такие сообщения и документы подписаны электронной (цифровой) подписью или нет.

13.5. Стороны пришли к соглашению, что сообщение считается полученным принимающей Стороной, в течение 24 (Двадцати четырех) часов с момента отправки, даже при условии того, что принимающая Сторона не отправила подтверждение о получении сообщения, при условии направления соответствующего сообщения по надлежащему адресу в соответствии с условиями Поручения.

13.6. В случае рассмотрения судом спора, связанного с исполнением Сторонами Поручения, каждая из Сторон вправе подтверждать обстоятельства, на которые она ссылается как на основание своих требований и возражений, распечатками сообщений и документов, направленных другой Стороне или полученных от другой Стороны по электронной почте, заверенными печатью Стороны, представляющей в суд такие распечатки. Стороны соглашаются, что заверенные в установленном настоящим пунктом порядке распечатки и копии сообщений и документов будут допускаться в качестве письменных доказательств.

14. Заключительные положения

14.1. Указанные в Поручении заверения и гарантии являются заверениями об обстоятельствах, имеющими значение для заключения Поручения и (или) Основного договора.

14.2. Поручение вступает в силу с даты его подписания Сторонами и прекращает свое действие по истечении трех лет с даты прекращения или расторжения последнего из Основных договоров между Сторонами, либо по истечении одного года с даты заключения Поручения (если в течение этого года ни один Основной договор между Сторонами не была заключен). Стороны не вправе расторгнуть Поручение в одностороннем порядке при наличии хотя бы одного действующего Приложения к Поручению.

14.3. Стороны договорились распространить действие Поручения на отношения Сторон, возникшие в прошлом (если применимо), начиная с даты заключения первого Основного договора (при наличии).

14.4. Передача Сторонами своих прав и обязанностей по Поручению допускается только с предварительного письменного разрешения другой Стороны.

14.5. В случае реорганизации одной из Сторон все права и обязанности по Поручению переходят к правопреемнику реорганизованной Стороны. Кроме того, лица, в силу должностных обязанностей имеющие доступ к Персональным данным, но не ставшие работниками правопреемника Обработчика, не освобождаются от обязанности по соблюдению конфиденциальности Персональных данных в соответствии с условиями Поручения. В случае ликвидации Обработчика его бывшие работники и иные (третьи) лица, ранее привлеченные Обработчиком к обработке Персональных данных, несут обязанности по соблюдению конфиденциальности Персональных данных в соответствии с условиями Поручения.

14.6. Если одно или несколько положений Поручения будут или станут недействительными, или не имеющими законной силы, это не должно влиять на действительность и применимость остальных положений Поручения. Аналогичная норма применяется, если Поручение не содержит какого-либо существенного положения. Вместо недействительного или неисполнимого положения, или для заполнения договорного пробела применяется такое действующее и подлежащее исполнению положение, которое максимально точно отражает коммерческие намерения Сторон в отношении недействительного, неисполнимого или недостающего положения.

14.7. Во всем, что специально не предусмотрено Поручением, Стороны руководствуются Основным договором. В случае любого расхождения между условиями Основного договора и Поручения содержание Поручения имеет преимущественную силу применительно к отношениям Сторон, являющимся предметом Поручения. Если между Сторонами ранее были заключены и действуют договоры или соглашения о конфиденциальности или иным образом затрагивающие предмет Поручения, то содержание Поручения имеет преимущественную силу перед такими договорами или соглашениями применительно к отношениям Сторон, являющимся предметом Поручения.

14.8. Настоящее Поручение составлено в двух экземплярах, имеющих равную юридическую силу, по одному для каждой из Сторон.

Приложение к Соглашению о поручении обработки персональных данных

Приложение № __ от ___ ______________ 20___ года

к Соглашению о поручении обработки персональных данных от "___" ______________ 20___ года (далее – "Приложение")

________________ [наименование организации, осуществляющей поручение обработки персональных данных другой Стороне], созданное и действующее в соответствии с законодательством ________________ [наименование государства], в лице ________________ [наименование должности и Ф.И.О. уполномоченного лица], действующего на основании ________________ [наименование основания], с одной стороны (далее – Оператор), и ________________ [наименование организации, осуществляющей обработку персональных данных по поручению другой Стороны], созданное и действующее в соответствии с законодательством ________________ [наименование государства], в лице ________________ [наименование должности и Ф.И.О. уполномоченного лица], действующего на основании ________________ [наименование основания], с другой стороны (далее – Обработчик) в дальнейшем именуемые совместно "Стороны", а по отдельности – "Сторона", во исполнение пункта 2.1 Соглашения о поручении обработки персональных данных от "__" ___________ 20__ года (далее – "Поручение") договорились о нижеследующем:

1. Общие положения

1.1. В соответствии с пунктом 2.6 Поручения цель обработки Персональных данных, перечень категорий Персональных данных и иные условия обработки и защиты Персональных данных определяются в Приложении.

Для целей Приложения применяются термины и определения, закрепленные в Поручении.

2. Условия обработки и защиты персональных данных

2.1. Основной договор: _____________ [ реквизиты (дата, номер, наименование) договора между Сторонами; также можно указать отдельные пункты договора, обращение к которым позволит более полно раскрыть предмет и содержание отношений между Сторонами по поводу обработки персональных данных, которые призвано урегулировать Поручение].

2.2. Оператор: _____________ [ наименование Оператора].

2.3. Перечень представителей Оператора, уполномоченных направлять Обработчику юридически значимые сообщения (запросы, требования, инструкции, уведомления, претензии) и (или) корреспонденцию, а также принимать такие сообщения и (или) корреспонденцию Обработчика:

(1) _____________;

(2) _____________ [ФИО, наименование должности, контактные данные (номер телефон и/или адрес электронной почты) не менее двух представителей].

2.4. Обработчик: _____________ [ наименование Обработчика].

2.5. Перечень представителей Обработчика, уполномоченных направлять Оператору юридически значимые сообщения (запросы, требования, уведомления, претензии) и (или) корреспонденцию, а также принимать такие сообщения и (или) корреспонденцию Оператора:

(1) _____________;

(2) _____________ [ФИО, наименование должности и места работы, контактные данные (номер телефон и/или адрес электронной почты) не менее двух представителей].

2.6. Цель обработки Персональных данных: _____________ [ в соответствии с перечнем обрабатываемых Оператором персональных данных, например, кадровый учет и оплата труда].

2.7. Функции (задачи) Обработчика: _____________ [ например, оказание юридического, организационного, технического содействия Оператору в достижения предусмотренной Приложением цели обработки Персональных данных].

2.8. Перечень категорий субъектов:

(1) _____________;

(2) _____________ [в соответствии с перечнем обрабатываемых Оператором персональных данных, например, работники Оператора].

2.9. Перечень обрабатываемых Персональных данных:

(1) _____________;

(2) _____________ [в соответствии с перечнем обрабатываемых Оператором персональных данных, например, фамилия, имя, отчество].

2.10. Перечень действий (операций) с Персональными данными:

(1) сбор;

(2) запись;

(3) систематизация;

(4) накопление;

(5) хранение;

(6) уточнение (обновление, изменение);

(7) извлечение;

(8) получение;

(9) поиск;

(10) копирование;

(11) сопоставление (сравнение);

(12) объединение (связывание);

(13) использование;

(14) передача (предоставление, доступ);

(15) обезличивание;

(16) блокирование;

(17) удаление;

(18) уничтожение [указать только подходящие действия].

2.11. Особые условия в отношении действий (операций) с Персональными данными граждан Российской Федерации:

сбор и непосредственно связанные с ним запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение Персональных данных производятся Обработчиком с использованием баз данных, находящихся на территории Российской Федерации, указанных в п.2.19 Приложения.

2.12. Способ распространения Персональных данных:

не применимо к отношениям Сторон [указано для случаев, когда Персональные данные распространению не подлежат; если поручается распространение персональных данных с использованием общедоступных и (или) открытых источников информации, то отдельно указывается способ распространения, например, включение в справочные и адресные книги, информационные ресурсы; размещение в открытом доступе на сайтах в сети "Интернет", информационных стендах; публикация в периодических изданиях, средствах массовой информации; сообщение неопределенному кругу лиц (любым заинтересованным лицам) путем рассылки по электронной почте и т.п.].

2.13. Трансграничная передача Персональных данных:

не применимо к отношениям Сторон.

2.14. Длительность обработки Персональных данных:

_____________ [указать время начала (дата или, например, со дня вступления в силу Приложения), и окончания обработки персональных данных (дата, конкретный срок или, например, до даты наступления любого из событий, указанных в п.3.1. Приложения, при условии, что иной срок и (или) условие прекращения обработки Персональных данных не предусмотрены применимым законодательством или соглашением между Оператором и Обработчиком)].

2.15. Способ и средства обработки Персональных данных:

_____________ [например, обработка Персональных данных может осуществляться с использованием средств автоматизации и без использования средств автоматизации, в том числе применяются информационные системы, автоматизированные рабочие места, отчуждаемые машинные носители информации, бумажные носители информации (как отдельные, так и включенные в систематизированные собрания)].

2.16. Способы передачи (предоставления, доступа) Персональных данных между Сторонами:

_____________ [например, электронная почта, информационные системы, информационно-телекоммуникационные сети, бумажные носители информации, машинные носители информации, телефонная связь, СМС-сообщения, системы мгновенного обмена сообщениями, устное сообщение и т.д.].

2.17. Перечень Дополнительных Обработчиков, которых Обработчик имеет право привлечь к обработке Персональных данных, и их функции:

_____________ [указать полное наименование (или ФИО), полный адрес местонахождения, ИНН юридического лица, краткое описание их функций в процессе обработки Персональных данных].

2.18. Перечень баз данных (информационных систем), которые могут использоваться Обработчиком и (или) Дополнительными Обработчиками при обработке Персональных данных:

_____________ [указать наименование основных и резервных баз с персональными данными (информационных систем) и адрес (страна, город, улица, дом) их местоположения].

2.19. Перечень лиц, которым Обработчику и (или) Дополнительным Обработчикам разрешается предоставлять Персональные данные без получения Обработчиком дополнительного разрешения от Оператора:

(1) работники Оператора;

(2) _____________ [при необходимости указать контрагентов (их полное наименование, адрес, ИНН), действующие договорные отношения с которыми являются необходимыми для достижения цели обработки Персональных данных, предусмотренной Приложением].

2.20. Требования к уровню защищенности Персональных данных при их обработке в информационных системах Обработчика и (или) Дополнительных Обработчиков, используемых для целей Поручения:

_____________ [с учетом применимости указать требования к уровню защищенности персональных данных определяются в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119; данный пункт применим только к Обработчику и (или) Дополнительным Обработчикам; если требуемый уровень защищенности различается для отдельных информационных систем, то необходимо указать уровень защищенности в отношении каждой из информационных систем].

2.21. Дополнительные требования к мерам безопасности при обработке Персональных данных с использованием средств автоматизации Обработчиком и (или) Дополнительными Обработчиками:

_____________ [при необходимости указать дополнительные требования].

3. Заключительные положения

3.1. Приложение вступает в силу с даты его подписания обеими Сторонами и утрачивает свою силу (в зависимости от того, что наступит раньше):

(1) с даты окончания действия Основного договора, указанного в пункте 2.1 Приложения, и исполнения Сторонами обязательств, предусмотренных Поручением;

(2) с даты, предусмотренной взаимным соглашением Сторон (в случае его заключения);

(3) по истечении 5 (пяти) рабочих дней с даты получения Обработчиком уведомления от Оператора о прекращении действия Приложения и о требовании прекратить обработку Персональных данных.

3.2. Приложение составлено в двух экземплярах, имеющих равную юридическую силу, по одному для каждой из Сторон, и является неотъемлемой частью Поручения.

Соглашение о поручении обработки персональных данных

(далее – Поручение) (нетиповая форма)

1. ________________ [наименование организации, осуществляющей поручение обработки персональных данных другой Стороне] (далее – Оператор) поручает [наименование организации, осуществляющей обработку персональных данных по поручению другой Стороны] (далее – Обработчик) обработку персональных данных [работников], которая осуществляется в рамках настоящего Договора с целью _____________ [указать цели обработки в соответствии с перечнем обрабатываемых Оператором персональных данных], следующими способами: [сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных].

Обработке подлежат следующие персональные данные: _____________ [перечислить категории ПДн, которые поручается обрабатывать Обработчику в рамках договора, в соответствии с перечнем обрабатываемых Оператором персональных данных].

Срок обработки: __________ [указать срок, например, в период действия Договора или иной конкретный срок].

2. Обработчик обязуется использовать персональные данные только в целях исполнения Договора.

3. Обработчик обязуется соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а также соблюдать требования, предусмотренные частью 5 статьи 18 и статьей 18.1 152-ФЗ.

При обработке персональных данных Обработчик обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. К защите обрабатываемых персональных данных устанавливаются требования в соответствии со статьей 19 152-ФЗ.

Обработчик обязуется при обработке персональных данных [работников], совершать все действия, требуемые применимым законодательством, и соблюдать все другие нормы применимого законодательства.

4. По запросу Оператора в любое время в течение срока действия Договора, в том числе до обработки персональных данных, Обработчик обязан незамедлительно предоставлять Оператору документы и иную информацию, подтверждающие принятие Обработчиком мер и соблюдение требований, установленных настоящим разделом Договора.

5. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию Обработчиком в порядке и сроки, предусмотренные 152-ФЗ, по достижении целей обработки или в случае утраты необходимости в достижении этих целей, либо при наступлении иных законных оснований, а также при поступлении соответствующего требования Оператора.

6. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Обработчик обязан:

1) незамедлительно, но в любом случае не позднее ________ часов с момента выявления такого инцидента, уведомить Оператора о произошедшем инциденте путем _____________ (указывается способ уведомления) с указанием следующей информации:

описание инцидента, включая перечень затронутых персональных данных и формы их неправомерной/случайной передачи;

дата и время выявления инцидента;

предполагаемые причины, повлекшие нарушение прав субъектов персональных данных;

предполагаемый вред, нанесенный правам субъектов персональных данных;

принятые меры по устранению последствий инцидента.

2) Не позднее ________ часов с момента выявления инцидента, уведомить Оператора о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).

7. В случае предъявления к Обработчику/Оператору претензий, требований или исков со стороны [работников], чьи персональные данные переданы по Договору, либо органов власти, в связи с нарушениями Обработчик требований 152-ФЗ или настоящего раздела Договора, допущенными при обработке персональных данных, Обработчик обязуется по требованию Оператора приложить все разумные усилия для урегулирования претензий, принять участие в их урегулировании, а также в течение ____ дней со дня предъявления Оператором письменного требования возместить Оператору убытки, понесенные в связи с претензией, в том числе наложенные органами власти штрафы, неустойки, расходы на юридические услуги и любые компенсации, выплаченные [работникам] и/или органам власти.

В случае предъявления к Обработчику, требований или исков со стороны [работников], чьи персональные данные переданы по Договору, либо органов власти Обработчик обязуется незамедлительно письменно уведомить об этом Оператора с приложением копий требований / претензий / исков и документов, подтверждающих правомерность действий Обработчика, либо факт допущенного нарушения.

Положения настоящего пункта действуют также в течение трех лет с даты прекращения обработки персональных данных.

8. В случае нарушений Обработчиком требований 152-ФЗ или настоящего раздела Договора, допущенных при обработке персональных данных, Обработчик обязуется по требованию Оператора уплатить штраф в размере _____________ рублей за каждый выявленный случай нарушения.

Приложение № 8

Типовые формы согласий на обработку персональных данных

Согласие на обработку персональных данных (для соискателей (кандидатов) на вакантную должность в Организации)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

принятие решения о приеме кандидата на работу.

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих нижеуказанных персональных данных (далее – Персональные данные):

Иные категории ПДн:

- фамилия, имя, отчество;

- данные документа, удостоверяющего личность (данные паспорта: серия и номер);

- дата рождения (число, месяц, год);

- адрес места жительства (адрес регистрации, адрес фактического проживания);

- сведения об образовании (среднем специальном/ высшем/ послевузовском/ дополнительном с указанием специальности (направления), квалификации (степени), года окончания и прочих сведений, которые содержатся в дипломах, свидетельствах, аттестатах, сертификатах, ученая степень, владение иностранными языками);

- сведения о прохождении воинской службы;

- семейное положение, наличие детей;

- опыт и стаж работы (с указанием наименований компаний, должности, выполняемых обязанностей, периода работы; даты увольнения и причины увольнения);

- контактная информация (мобильный/рабочий телефон и адрес электронной почты);

- фотографическое изображение лица;

- другие сведения, представленные кандидатом в резюме.

Специальные категории ПДн:

- сведения о судимости (в случаях, предусмотренных законодательством).

3. Лицо, осуществляющее обработку персональных данных по поручению Оператора (если обработка будет поручена такому лицу): _____________________________ (наименование или Ф.И.О., ИНН и (или) ОГРН (ОГРНИП)), находящееся по адресу: _______________________ (адрес).

4. Настоящее Согласие действует со дня его подписания и до истечения 3 (трех) лет с даты достижения цели обработки Персональных данных (утраты необходимости в ее достижении) . Срок действия настоящего Согласия прекращается по истечении 30 (тридцати) дней с даты отзыва мной настоящего Согласия.

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для работников Организации)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

1) ведение кадрового, бухгалтерского, налогового и управленческого учетов в соответствии с требованиями законодательства РФ, обеспечение соблюдения законных прав работников

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- предыдущие фамилия, имя, отчество, если изменялись;

- дата рождения (число, месяц, год);

- место рождения;

- пол;

- гражданство;

- данные документа, удостоверяющего личность (данные паспорта: серия, номер, когда и каким органом выдан, код подразделения);

- адрес места жительства (адрес регистрации, адрес фактического проживания);

- адрес предыдущих мест жительства (мест пребывания) в соответствии с регистрацией;

- дата регистрации по месту жительства;

- контактная информация (мобильный/рабочий телефон и адрес электронной почты, сведения о других способах связи);

- идентификационный номер налогоплательщика (ИНН);

- страховой номер индивидуального лицевого счета (СНИЛС);

- номер пропуска на территорию Организации;

- сведения о наличии воинской обязанности;

- реквизиты (серия и номер) трудовой книжки и вкладыша в трудовую книжку;

- сведения (например, об инвалидности), которые требуются в отдельных предусмотренных законодательством случаях и могут указать на информацию, потенциально относящуюся к специальным категориям ПДн;

- наименование и реквизиты (серия и номер, дата выдачи, наименование выдавшей организации) документа, подтверждающего инвалидность;

- семейное положение, состав семьи (с указанием степени родства, фамилии, имени, отчества и даты рождения);

- данные свидетельства о заключении брака;

-сведения о трудовом стаже, предыдущих местах работы, доходах с предыдущих мест работы;

- банковские реквизиты (наименование банка, номер банковской карты и срок ее действия, номер счета);

- информация о приеме, переводе, увольнении и иных событиях, относящихся к трудовой деятельности у Оператора;

- сведения финансового характера (оклад, ставка, иные начисления и выплаты, сведения о подлежащих уплате и уплачиваемых налогах, страховых взносах во внебюджетные фонды, статус налогоплательщика, данные об алиментах и кредитных задолженностях);

- сведения о командировочных расходах;

- фотографическое изображение лица;

- сведения о страховом стаже;

- сведения о ранее имевшемся гражданстве;

- образец подписи;

- сведения о прохождении обучения (повышение квалификации, переподготовке с указанием даты, периода, учебной программы, наименование проводившей обучение организации и иные сведения, которые содержаться в документах о прохождении обучения);

- сведения о профессиональных и дополнительных компетенциях, знаниях и навыках, результатах их проверки;

- сведения о награждении государственными и ведомственными наградам;

- сведения о поощрениях;

- сведения о материальной помощи, в том числе о выплатах;

- сведения о смерти;

- сведения об усыновлении ребенка;

- сведения о факте, причинах, периоде и продолжительности нетрудоспособности;

- реквизиты (номер, дата выдачи, наименование выдавшей организации) листов нетрудоспособности.

2) Организация обучения, повышения квалификации, профессиональной подготовки (переподготовки) работников, проведение инструктажей и проверки знаний работников

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- контактная информация (мобильный/рабочий телефон и адрес электронной почты);

- адрес места жительства (адрес регистрации, адрес фактического проживания);

- место работы, подразделение, должность;

- сведения о профессиональных и дополнительных компетенциях, знаниях и навыках, результатах их проверки.

3) Обеспечение командировок, организация проживания, деловых и служебных поездок работников

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- гражданство;

- пол;

- адрес места жительства (адрес регистрации, адрес фактического проживания);

- контактная информация (мобильный/рабочий телефон и адрес электронной почты);

- характер, вид работы;

- стаж работы;

- место работы, подразделение, должность;

- табельный номер;

- данные документа, удостоверяющего личность гражданина РФ за пределами РФ (данные заграничного паспорта).

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

3. Лицо, осуществляющее обработку персональных данных по поручению Оператора (если обработка будет поручена такому лицу): _____________________________ (наименование или Ф.И.О., ИНН и (или) ОГРН (ОГРНИП) ), находящееся по адресу: _______________________ (адрес)

_____________________________ (наименование или Ф.И.О., ИНН и (или) ОГРН (ОГРНИП) в целях "_(указать цель обработки)______".

Лицо, осуществляющее обработку персональных данных по поручению Оператора (если обработка будет поручена такому лицу): _____________________________ (наименование или Ф.И.О., ИНН и (или) ОГРН (ОГРНИП)), находящееся по адресу: _______________________ (адрес)

_____________________________ (наименование или Ф.И.О., ИНН и (или) ОГРН (ОГРНИП) в целях "_(указать цель обработки)______".

5. Настоящее Согласие действует со дня его подписания и до истечения 5 (пяти) лет с даты прекращения трудового договора между работником и Оператором. Срок действия настоящего Согласия прекращается по истечении 30 (тридцати) дней с даты отзыва мной настоящего Согласия.

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для ведения воинского учета работников)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- предыдущие фамилия, имя, отчество, если изменялись;

- дата рождения;

- место рождения;

-пол;

-гражданство;

- адрес места жительства (адрес регистрации, адрес фактического проживания);

- страховой номер индивидуального лицевого счета (СНИЛС) и дата регистрации в системе обязательного пенсионного страхования;

- сведения о наличии воинской обязанности;

- наименование военного комиссариата по месту воинского учета;

- номер команды, партии воинского учета;

- сведения о военной службе;

- сведения о воинском звании, категории запаса, категории годности к воинской службе, составе (профиле) по воинскому учету, военно-учётной специальности, реквизиты документов воинского учета, полное кодовое обозначение военно-учетной специальности;

- водительское удостоверение (серия, номер, категории транспортных средств, дата выдачи)

- реквизиты (серия и номер, дата выдачи, наименование выдавшей организации) листов нетрудоспособности;

-дата приема на работу;

- место работы, подразделение, должность;

-дата вступления в должность;

-наименование профессии;

- сведения о трудовой деятельности;

- характер, вид работы;

-сведения о факте, дате и основании прекращения трудового договора;

- семейное положение;

- состав семьи (ФИО, степень родства и дата рождения);

- образец подписи;

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

3. Лицо, осуществляющее обработку персональных данных по поручению Оператора (если обработка будет поручена такому лицу): _____________________________ (наименование или Ф.И.О., ИНН и (или) ОГРН (ОГРНИП)), находящееся по адресу: _______________________ (адрес).

4. Настоящее Согласие действует со дня его подписания и до истечения 5 (пяти) лет с даты прекращения трудового договора между работником и Оператором. Срок действия настоящего Согласия прекращается по истечении 30 (тридцати) дней с даты отзыва мной настоящего Согласия.

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для оформления полисов добровольного медицинского страхования работников)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- пол;

- гражданство;

- адрес места жительства (фактического проживания);

- номер контактного телефона;

- место работы, подразделение, должность;

- дата вступления в должность;

- сведения о трудовом стаже;

- реквизиты (серия и номер, дата выдачи) страхового полиса и наименование страховой организации;

- номер страховой программы;

- сведения об индивидуальном страховом возмещении;

- данные документа, удостоверяющего личность гражданина РФ за пределами РФ (данные загранпаспорта: серия, номер);

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для предоставления услуг корпоративной мобильной связи работников)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- адрес места жительства (адрес регистрации, адрес фактического проживания);

- контактная информация (мобильный/рабочий телефон и адрес электронной почты);

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для преддоговорной и договорной работы (заключение, исполнение, изменение, прекращение договоров), представления и защиты интересов Организации)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- место рождения;

- гражданство;

- данные документа (только для подписанта договора или иного юридически значимого документа), удостоверяющего личность (данные паспорта: серия, номер, когда и каким органом выдан, код подразделения);

- адрес регистрации по месту жительства (только для подписанта договора или иного юридически значимого документа);

- идентификационный номер налогоплательщика (ИНН);

- страховой номер индивидуального лицевого счета (СНИЛС);

- место работы, подразделение, должность;

- образец подписи;

- сведения о факте выдачи доверенности, а также об объеме и сроке действия полномочий;

- реквизиты (сведения о дате выдачи и номер) доверенности;

-номер сертификата ключа проверки электронной подписи, даты начала и окончания срока действия сертификата;

- регистрационный номер доверенности.

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

4. Настоящее Согласие действует со дня его подписания и до истечения 5 (пяти) лет с даты достижения цели обработки Персональных данных (утраты необходимости в ее достижении). Срок действия настоящего Согласия прекращается по истечении 30 (тридцати) дней с даты отзыва мной настоящего Согласия.

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для близких родственников работников Организации, в рамках кадрового учета)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

1. Действуя свободно, своей волей и в своем интересе, даю АНО "Спортклуб РОЗА" (далее – Оператор), ИНН 7706471445, ОГРН 1147799003978, юридический адрес: 119180, г. Москва, вн.тер.г. муниципальный округ Якиманка, ул. Большая Якиманка, д.9, помещ./этаж 412/4, настоящее Согласие на обработку персональных данных (далее – Согласие) в целях ведение кадрового, бухгалтерского, налогового и управленческого учетов в соответствии с требованиями законодательства РФ, обеспечение соблюдения законных прав работников Организации

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- степень родства работнику Оператора;

- контактная информация (мобильный/рабочий телефон).

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для близких родственников работников,

в рамках добровольного медицинского страхования)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- данные документа, удостоверяющего личность гражданина РФ за пределами РФ (данные заграничного паспорта: серия, номер);

- пол;

- адрес фактического проживания;

- контактная информация (мобильный/рабочий телефон и адрес электронной почты).

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (в отношении несовершеннолетних детей, подопечных работников,

в рамках добровольного медицинского страхования)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

являясь законным представителем (отцом, матерью), опекуном, попечителем (необходимое подчеркнуть) моего (ей) несовершеннолетнего (ей) сына, дочери, подопечного (необходимое подчеркнуть)________________________________________________________________________, паспорт серии (или другой документ) ________, номер ___________________________, выданный _________________________________________________________"___" ___________ _____ года, зарегистрированного (ой) по адресу:____________________________________________________

1 Действуя свободно, своей волей и в своем интересе, даю АНО "Спортклуб РОЗА" (далее – Оператор), ИНН 7706471445, ОГРН 1147799003978, юридический адрес: 119180, г. Москва, вн.тер.г. муниципальный округ Якиманка, ул. Большая Якиманка, д.9, помещ./этаж 412/4 , настоящее Согласие на обработку персональных данных моего сына, моей дочери, моего подопечного (необходимое подчеркнуть) (далее – Согласие)

в целях оформления полисов добровольного медицинского страхования

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- пол;

- адрес места жительства (адрес регистрации, фактического проживания);

- наименование и реквизиты (серия и номер, дата выдачи, наименование и код выдавшего органа) документа, удостоверяющего личность лица на территории РФ;

- сведения о степени родства;

- контактная информация (мобильный/рабочий телефон и адрес электронной почты).

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для представителей и работников контрагентов Организации)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

1. Действуя свободно, своей волей и в своем интересе, даю АНО "Спортклуб РОЗА" (далее – Оператор), ИНН 7706471445, ОГРН 1147799003978, юридический адрес: 119180, г. Москва, вн.тер.г. муниципальный округ Якиманка, ул. Большая Якиманка, д.9, помещ./этаж 412/4, настоящее Согласие на обработку персональных данных (далее – Согласие) в целях преддоговорной и договорной работы (заключение, исполнение (в том числе организация доступа на объекты расположения персонала Организации), изменение, прекращение договоров), представления и защиты интересов Организации по договорам (правоотношениям) с контрагентом; независимой проверки бухгалтерской (финансовой) отчетности Оператора

в отношении моих нижеуказанных персональных данных:

- фамилия, имя, отчество;

- дата рождения;

- место рождения;

- гражданство;

- идентификационный номер налогоплательщика (ИНН);

- страховой номер индивидуального лицевого счета (СНИЛС);

- дата вступления в должность;

- место работы, подразделение, должность;

- образец подписи;

- сведения о факте выдачи доверенности, а также об объеме и сроке действия полномочий;

- реквизиты (сведения о дате выдачи и номер) доверенности;

-номер сертификата ключа проверки электронной подписи, даты начала и окончания срока действия сертификата;

- регистрационный номер доверенности.

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных работника (длянезависимой проверки бухгалтерской (финансовой) отчетности Оператора)

Я, ФИО
Документ, удостоверяющий личность	Паспорт
Дата выдачи:	Кем выдан
Зарегистрирован/а

- фамилия, имя, отчество;

- дата рождения;

- место рождения;

- гражданство;

- адрес и дата регистрации по месту жительства;

- идентификационный номер налогоплательщика (ИНН);

- страховой номер индивидуального лицевого счета (СНИЛС);

- реквизиты (сведения о дате заключения и номер) трудового договора;

- дата вступления в должность;

- сведения о факте, дате и основании прекращения трудового договора;

- дата приема на работу;

- место работы, подразделение, должность;

- сведения о начисленной и удержанной заработной плате;

- сведения о начисленных и уплаченных страховых взносах;

- сведения о премиях;

- сведения о выплатах материальной помощи;

- табельный номер;

- сведения (дата, период и обозначение учебной программы, наименование проводившей обучение организации) о прохождении обучения (повышения квалификации, переподготовке).

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Согласие на обработку персональных данных (для посетителей сайтов Организации olympic-collection.ru и olympic-collection.com)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

1. Действуя свободно, своей волей и в своем интересе, даю АНО "Спортклуб РОЗА" (далее – Оператор), ИНН 7706471445, ОГРН 1147799003978, юридический адрес: 119180, г. Москва, вн.тер.г. муниципальный округ Якиманка, ул. Большая Якиманка, д.9, помещ./этаж 412/4, настоящее Согласие на обработку персональных данных (далее – Согласие) в целях оценки посещаемости сайта с использованием статистики, формируемой сторонними сервисами метрики на основании полученных с сайта сведений о пользователях и их действиях

в отношении моих нижеуказанных персональных данных:

- сведения, содержащиеся в файлах cookie (в частности, уникальный идентификатор пользователя и его устройства, IP-адрес, характеристики устройства пользователя);

- сведения о действиях пользователя (в частности, URL-адрес просматриваемой страницы сайта, дата и время посещения страницы сайта, длительность ее просмотра, URL-адрес, по которому пользователь перешел на сайт).

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

4. Настоящее Согласие действует со дня его подписания и до истечения 3 (трех) лет с даты посещения сайта Оператора. Срок действия настоящего Согласия прекращается по истечении 30 (тридцати) дней с даты отзыва мной настоящего Согласия.

"___" ______________ 20___ года	________________/	__________________________/
"___" ______________ 20___ года	подпись	расшифровка подписи

Приложение № 9 Журнал учета систематизированных собраний бумажных носителей персональных данных

(типовая форма)

№_________

Начат "___" ______________ 20___ года

Наименование собрания	Дата постановки на учет	Назначение	Категории ПДн	Место хранения	Ответственные лица	Дата расформирования	Реквизиты акта о расформировании

Приложение № 10 Журнал учета отчуждаемых машинных носителей персональных данных

(типовая форма)

№_________

Начат "___" ______________ 20___ года

Регистраци-онный номер	Дата постановки на учет	Назначение	Категории ПДн	Место хранения	Ответственные лица	Дата уничтожения	Реквизиты акта об уничтожении

Приложение № 11 Журнал учета автоматизированных рабочих мест, используемых для обработки персональных данных

(типовая форма)

№_________

Начат "___" ______________ 20___ года

Инвентарный номер	Дата постановки на учет	Назначение	Категории ПДн	Место нахождения	Ответственные лица	Дата вывода из эксплуатации	Реквизиты акта о выводе из эксплуатации

Приложение № 12 Форма журнала учета обращений субъектов персональных данных (представителей субъектов)

№_________

Начат "___" ______________ 20___ года

Дата поступления запроса (обращения)	Сведения об обратившемся субъекте	Цель запроса (обращения)	Краткое содержание запроса (обращения)	Дата рассмотрения запроса (обращения)	Отметка о предпринятых действиях	Название, номер и дата исходящего документа (письма)

Приложение № 13 Журнал учета проверок уполномоченных органов

№_________

Начат "___" ______________ 20___ года

Дата проведения проверки	Наименование уполномо-ченного органа	Вид контрольного/ надзорного/ профилакти-ческого мероприятия	Правовое основание проведения контрольного/ надзорного/ профилакти-ческого мероприятия	Отметка о принятом решении (предпри-нятых действиях)	Название, номер и дата исходящего документа (письма)	ФИО, должность инспектора из контрольного/надзорного органа	ФИО, должности участников контрольного/ надзорного/ профилакти-ческого мероприятия со стороны Оператора	Результаты проверки

в соответствии с Приказом Роскомнадзора от 28.10.2022 № 179 "Об утверждении Требований к подтверждению уничтожения персональных данных"

Необходимо руководствоваться приказом Роскомнадзора от 21.06.2021 № 106 "Об утверждении Правил использования информационной системы Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций, в том числе порядка взаимодействия субъекта персональных данных с оператором"

Утверждает Роскомнадзор (перечень, актуальный на момент разработки настоящего Положения, утвержден приказом Роскомнадзора от 05.08.2022 № 128)

Информационная система персональных данных

При наличии

Указать необходимость дальнейшего (повторного) использования материального носителя

Например, машинный носитель (HDD, Flash Card и т.д.), бумажный носитель и др.

При наличии

При передаче бумажных носителей

Здесь и далее по тексту в квадратных скобках [пример] указаны пояснения, которые требуется удалить

Данный абзац предназначен для Соглашения, то есть подлежит удалению в случаях включения требований защиты ПДн в раздел договора

в случаях включения требований защиты ПДн в раздел договора термины и определения требуется включить в соответствующий раздел договора

инцидент – любая неправомерная или случайная передача (предоставление, распространение, доступ) персональных данных, полученных одной Стороной от другой Стороны.

Применяется в случаях обоснованной невозможности заключения типовой формы

Здесь и далее вместо [работников] указать категорию/категории субъектов, чьи ПДн поручается Обработчику обрабатывать в рамках договора, в соответствии с перечнем обрабатываемых Оператором персональных данных.

Указать перечень реально осуществляемых действий из перечисленных.

При необходимости, указать конкретные требования к защите обрабатываемых ПДн в соответствии со статьей 19 152-ФЗ.

Срок должен быть установлен с учетом обязанности Организации уведомить уполномоченный орган о произошедшем инциденте в течение 24 часов с момента его выявления.

Срок должен быть установлен с учетом обязанности Организации уведомить уполномоченный орган о результатах расследования инцидента в течение 72 часов с момента его выявления.

Срок определяется по усмотрению Организации и является предметом договоренности сторон Договора.

Данный пункт может включаться в Договор по усмотрению Организации

Цель применения, круг решаемых задач.

Иные, специальные, биометрические, общедоступные.

Адрес, номер помещения, номер шкафа, сейфа и т.п.

Указывается структурное подразделение и наименование относящихся к нему должностей, ответственных за реализацию мер по обеспечению сохранности ПДн и по исключению несанкционированного доступа к ПДн при хранении бумажных носителей.

Цель применения, круг решаемых задач.

Иные, специальные, биометрические, общедоступные.

Адрес, номер помещения, номер шкафа, сейфа и т.п.

Цель применения, круг решаемых задач.

Иные, специальные, биометрические, общедоступные.

Адрес, номер помещения и т.п.

Фамилия, имя, отчество, адрес и иные сведения.

Плановое, внеплановое, документарное, выездное, инспекционный визит, профилактический визит

Включение в План проведения плановых контрольных (надзорных) мероприятий; факт нарушения конфиденциальности ПДн; получение уведомления о проведении профилактического визита и т.д.