Настоящая политика (далее - Политика) разработана в соответствии со ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее - Закон о ПДн) и является внутренним документом Акционерного общества «Нижнетагильская Энергосбытовая компания» (далее - Организация или АО «НТЭСК»), определяющим деятельность в области обработки и защиты персональных данных (далее - ПДн), оператором которых является АО «НТЭСК» (далее - Оператор).
Политика разработана в целях реализации требований законодательства в области обработки и защиты ПДн и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн в Организации, в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайн.
Политика применяется в отношении всех персональных данных, которые могут быть получены Организацией в процессе деятельности, в том числе работников и потребителей, при обработке их персональных данных с использованием средств автоматизации или без использования таких средств.
Положения Политики распространяются на отношения по обработке и защите ПДн, полученных Организацией как до, так и после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите ПДн, полученных до ее утверждения.
2.1. Обработка ПДн в Организации осуществляется в связи с выполнением законодательно возложенных на Организацию функций, полномочий и обязанностей, определяемых:
2.2. Обработка ПДн в Организации осуществляется в ходе трудовых и иных непосредственно связанных с ними отношений, в которых Организация выступает в качестве работодателя, в связи с реализацией Организацией своих прав и обязанностей как юридического лица. При этом обрабатываются ПДн лиц, претендующих на трудоустройство в Организацию, работников Организации (далее - Работники) и бывших Работников.
2.3. В рамках осуществления функций энергоснабжения ПДн потребителей обрабатываются Организацией в случае:
2.4. Обработка персональных данных потребителей осуществляется в рамках исполнения агентских полномочий по расчетам за жилищно-коммунальные услуги физических лиц. Обработка персональных данных осуществляется в том числе при заключении договоров на поставку коммунальных услуг, производстве расчетов объемов потребления энергоресурсов, осуществления расчетов с покупателями энергоресурсов.
2.5. Организацией осуществляется обработка персональных данных собственников (законных владельцев) жилых/нежилых помещений при взаимодействии с исполнителями коммунальных услуг (управляющими организациями и товариществами собственников жилья и т.п.) в рамках заключенных договоров на поставку ресурса и иных заключаемых договоров с целью взаимодействия с указанными исполнителями.
2.6. В связи с реализацией своих прав и обязанностей как юридического лица, Организацией обрабатываются ПДн физических лиц, являющихся контрагентами (возможными контрагентами) Организации по гражданско-правовым договорам, ПДн руководителей, членов коллегиальных исполнительных органов и представителей юридических лиц, ПДн иных физических лиц, представленные участниками закупки, физических лиц, ПДн которых используются для осуществления пропускного режима в занимаемых Организацией помещениях, а также граждан, письменно обращающихся в Организацию по вопросам ее деятельности.
2.7. ПДн получаются и обрабатываются Организацией на основании федеральных законов и иных нормативных правовых актов Российской Федерации, а в необходимых случаях - при наличии письменного согласия субъекта ПДн.
2.8. В целях исполнения своих функций Организация в установленном порядке вправе поручить обработку ПДн третьим лицам. В договоры с лицами, которым Организация поручает обработку ПДн, включаются условия, обязывающие таких лиц соблюдать предусмотренные законодательством требования к обработке и защите ПДн.
2.9. Организация предоставляет обрабатываемые ПДн государственным органам и организациям, имеющим, в соответствии с федеральным законом, право на получение соответствующих ПДн.
2.10. В Организации не производится обработка ПДн, несовместимая с целями их сбора. Если иное не предусмотрено федеральным законом, по окончании обработки ПДн в Организации, в том числе при достижении целей их обработки или утраты необходимости в достижении этих целей, обрабатывавшиеся Организацией ПДн уничтожаются или обезличиваются.
2.11. При обработке ПДн обеспечиваются их точность, достаточность и актуальность по отношению к целям обработки. Организация принимает необходимые меры по удалению или уточнению неполных или неточных ПДн.
3.1. Основной задачей обеспечения безопасности ПДн при их обработке в Организации является предотвращение несанкционированного доступа к ним третьих лиц, предупреждение преднамеренных программно-технических и иных воздействий с целью хищения ПДн, разрушения (уничтожения) или искажения их в процессе обработки.
3.2. Для обеспечения безопасности ПДн Организация руководствуется следующими принципами:
4.1. Доступ к обрабатываемым в Организации ПДн имеют лица, уполномоченные приказом руководителя Организации, лица, которым Организация поручила обработку ПДн на основании заключенного договора, а также лица, чьи ПДн подлежат обработке.
4.2. Доступ Работников к обрабатываемым ПДн осуществляется в соответствии с их должностными обязанностями и требованиями локальных нормативных актов Организации.
4.3. Допущенные к обработке ПДн Работники под роспись знакомятся с документами Организации, устанавливающими порядок обработки ПДн, включая документы, устанавливающие права и обязанности конкретных Работников.
5.1. Организация принимает правовые, организационные и технические меры (или обеспечивает их принятие), необходимые и достаточные для обеспечения исполнения обязанностей, предусмотренных Законом о ПДн и принятыми в соответствии с ним нормативными правовыми актами, для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.
5.2. Состав указанных в пункте 5.1 Политики мер, включая их содержание и выбор средств защиты ПДн, определяется, а локальные нормативные акты по обработке и защите ПДн утверждаются Организацией исходя из требований:
5.3. Назначается Ответственный за организацию обработки ПДн, определяется его компетенция.
5.4. В предусмотренных законодательством случаях обработка ПДн осуществляется Организацией с согласия субъектов ПДн.
5.5. Организацией производится устранение выявленных нарушений законодательства об обработке и защите ПДн.
5.6. Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше чем этого требуют цели обработки ПДн, если срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.
5.7. Осуществляется ознакомление работников Организации, непосредственно осуществляющих обработку ПДн, с положениями законодательства о ПДн, в том числе требованиями к защите ПДн, Политикой и иными локальными нормативными актами по вопросам обработки ПДн.
5.8. Утверждаются (издаются) локальные нормативные акты по вопросам обработки и защиты ПДн, в том числе устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений.
5.9. Осуществляется внутренний контроль и (или) аудит соответствия обработки ПДн Закону о ПДн и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, Политике и локальными нормативными актами Организации.
5.10. Обеспечение безопасности ПДн в Организации при их обработке в ИСПДн достигается, в частности, путем:
применения организационных и технических мер по обеспечению безопасности ПДн, необходимых для выполнения требований к защите ПДн, обеспечивающих определенные уровни защищенности ПДн, включая применение средств защиты информации, прошедших процедуру оценки соответствия, когда применение таких средств необходимо для нейтрализации актуальных угроз.
5.11. Обеспечение защиты ПДн в Организации при их обработке, осуществляемой без использования средств автоматизации, достигается, в частности, путем:
6.1. Субъект персональных данных имеет право на получение сведений об обработке его персональных данных Оператором.
6.2. Субъект персональных данных вправе требовать от Оператора, который их обрабатывает, уточнения этих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
6.3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.
6.4. Для реализации своих прав и защиты законных интересов субъект персональных данных имеет право обратиться к Оператору. Тот рассматривает любые обращения и жалобы со стороны субъектов персональных данных, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.
6.5. Субъект персональных данных вправе обжаловать действия или бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов персональных данных.
6.6. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.
7.1. Настоящая Политика разработана Организацией, является общедоступной и подлежит размещению на официальном сайте Организации.
7.2. Контроль исполнения требований настоящей Политики осуществляется лицом, ответственным за организацию обработки персональных данных.
7.3. Настоящая Политика подлежит обязательному пересмотру в случаях изменения нормативных правовых актов, методических документов Российской Федерации и внутренних документов Организации в области обработки и защиты персональных данных.
7.4. Ответственность должностных лиц Организации, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами Организации.