2.4. Порядок и условия обработки персональных данных
2.4.1. Обработка ПДн Компанией осуществляется путем сбора, записи, систематизации, накопления,
хранения, уточнения (обновления, изменения), извлечения, использования, передачи
(распространения, предоставления, доступа), обезличивания, блокирования, удаления, уничтожения.
2.4.2. Компания осуществляет смешанную обработку ПДн (производится как при помощи средств
вычислительной техники, так и без них).
2.4.3. Автоматизированная обработка ПДн осуществляется согласно требованиям и положениям
настоящей Политики в части обработки ПДн в информационных системах ПДн Компании, а
также требованиям законодательства РФ.
2.4.4. Обработка ПДн без использования средств автоматизации осуществляется согласно ЛНА
Компании, а также в соответствии с настоящей Политикой.
2.4.5. В случае необходимости осуществления трансграничной передачи ПДн Компания, перед
совершением такой передачи, обязано убедиться в том, что иностранным государством, на
территорию которого осуществляется передача ПДн, обеспечивается адекватная защита прав
субъектов ПДн, а также отсутствии установленных законодательством запретов или
ограничений на передачу ПДн на территорию данного иностранного государства.
2.4.6. Трансграничная передача ПДн на территорию иностранных государств не может
осуществляться без уведомления Роскомнадзора, а также без получения дополнительных согласий субъектов ПДн.
2.4.7. Компания вправе поручить обработку ПДн Субъектов третьим лицам, в том числе лицам,
указанным в Приложении № 1 к настоящей Политике.
2.4.8. Лицо, осуществляющее обработку персональных данных по поручению Компании, соблюдает
принципы и правила обработки персональных данных, предусмотренные настоящей Политикой. В поручении Компании определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, способы и цели обработки, установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также указаны требования к защите обрабатываемых персональных данных.
2.4.9. При поручении обработки персональных данных другому лицу ответственность перед
субъектом персональных данных за действия указанного лица несет Компания. Лицо,
осуществляющее обработку персональных данных по поручению Компании, несет ответственность перед Компанией.
2.4.10. Распространение ПДн может осуществляться только после получения согласия на
распространение ПДн, оформленного отдельно от иных согласий субъекта ПДн на обработку
его ПДн, в котором должен быть определен перечень ПДн, разрешенных субъектом ПДн для
распространения.
2.4.11. Уточнение ПДн осуществляется по запросам субъектов ПДн, их законных представителей или
в случае обращения уполномоченных органов.
2.4.12. Основанием для уничтожения ПДн, обрабатываемых Компанией, является:
− достижение цели обработки ПДн;
− прекращение необходимости в достижении цели обработки ПДн;
− отзыв субъектом ПДн согласия на обработку ПДн, за исключением случаев, когда обработка
указанных ПДн является обязательной в соответствии с законодательством РФ или договором,
либо обработка может осуществляться без согласия субъекта ПДн;
− выявление неправомерных действий с ПДн и невозможность устранения допущенных
нарушений в срок, не превышающий трех рабочих дней с даты такого выявления;
− истечение срока хранения ПДн, установленного законодательством РФ, локальными
нормативными актами Компании, договором, заключенным с субъектом ПДн, согласием
субъекта ПДн;
− предписание Роскомнадзора или иного уполномоченного органа.
2.4.13. Уничтожение ПДн, собранных и обрабатываемых Компанией для целей, указанных в п.2.3.,
пп.2.4.7. настоящей Политики, производится путем измельчения с использованием шредера
(для уничтожения бумажных документов) и путем стирания или форматирования носителя (при
угичтожении ПДн, соержащихся на электронных носителях).Документальная фиксация
уничтожения ПДн осуществляется путем оформления соответствующего акта о прекращении
обработки и уничтожении ПДн.
2.4.14. Обрабатываемые ПДн подлежат обезличиванию или уничтожению по достижении целей
обработки или в случае прекращения необходимости в достижении этих целей, если иное не
предусмотрено законодательством РФ.
2.4.15. Обезличивание ПДн должно осуществляться следующими методами:
− введения идентификаторов, путем замены части сведений на идентификаторы, с созданием
таблицы соответствия идентификаторов исходным данным;
− изменения состава или семантики ПДн путем их замены результатами статистической
обработки, преобразования, обобщения или удаления части сведений;
− декомпозиции, путем разделения множества (массива) данных на несколько подмножеств с
последующим раздельным хранением подмножеств;
− перемешивания, путем перестановки отдельных значений или групп значений атрибутов
данных в массиве данных.
2.4.16. При обработке ПДн в информационных системах ПДн с целью обеспечения безопасности ПДн,
при наличии технической возможности, Компания стремится:
− исключать фиксацию на одном материальном носителе ПДн и иных видов информации, а также
ПДн, цели обработки которых заведомо несовместимы;
− для каждой категории ПДн использовать отдельный материальный носитель.
2.4.17. Хранение ПДн на материальных носителях осуществляется в специально отведенных в
Компанией и обособленных подразделениях Компании местах хранения ПДн в специальных
помещениях (специальных сейфах/шкафах).
2.4.18. При хранении материальных носителей соблюдаются условия, обеспечивающие сохранность
ПДн и исключающие несанкционированный доступ к ним.
2.4.19. Сроки обработки и хранения ПДн для всех целей, предусмотренных п.2.3., пп.2.4.7. настоящей
Политики, определяются в соответствии с настоящей Политикой, сроками, указанными в
согласиях на обработку ПДн, договорами, заключенными с субъектами ПДн, а также
требованиями законодательства РФ.
2.4.20. Компания осуществляет хранение ПДн в форме, позволяющей определить субъекта ПДн, не
дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен
федеральным законом, договором, согласием субъекта ПДн.

   
2.5. Основные меры по обеспечению безопасности персональных данных
2.5.1. В Компании принимаются следующие меры по обеспечению выполнения обязанностей,
предусмотренных ФЗ «О персональных данных»:
− назначение ответственного за организацию обработки и защиты ПДн;
− издание Компанией локальных нормативных актов по вопросам обработки ПДн, а также
локальных нормативных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
− осуществление внутреннего контроля и учета соответствия обработки ПДн требованиям
законодательства РФ, настоящей Политике, иным локальным нормативным актам Компании;
− применение правовых, организационных и технических мер по обеспечению безопасности
ПДн;
− оценка возможного вреда субъектам ПДн, причиненного в случае нарушения требований ФЗ «О
персональных данных», соотношение указанного вреда и принимаемых Компанией мер,
направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ «О персональных данных»;
− ознакомление работников, непосредственно осуществляющих обработку ПДн с положениями
законодательства РФ о персональных данных, в том числе требованиями к защите ПДн,
настоящей Политикой, иными локальными нормативными актами Компании по вопросам
обработки ПДн.
2.5.2. Обеспечение безопасности ПДн достигается:
− определением угроз безопасности ПДн при их обработке в информационных системах
Компании;
− применением организационных и технических мер по обеспечению безопасности ПДн при их
обработке в информационных системах Компании, необходимых для выполнения требований к
защите ПДн, исполнение которых обеспечивает установленные уровни защищенности ПДн;
− применением прошедших в установленном порядке процедуру оценки соответствия средств
защиты информации;
− оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в
эксплуатацию информационных систем Компании.
− обеспечением учета и сохранности носителей ПДн;
− своевременным уничтожением и обезличиванием ПДн;
− обнаружением фактов несанкционированного доступа к ПДн и принятием мер;
− восстановлением ПДн, модифицированных или уничтоженных вследствие
несанкционированного доступа к ним;
− установлением правил доступа к ПДн, обеспечением регистрации и учета всех действий,
совершаемых с ПДн в информационных системах Компании;
− контролем за принимаемыми мерами по обеспечению безопасности ПДн и уровня
защищенности информационных систем Компании;
− назначением ответственных за организацию обработки ПДн;
− ознакомлением работников Компании, непосредственно осуществляющих обработку ПДн, с
положениями законодательства РФ о персональных данных, в том числе с требованиями к
защите персональных данных, локальными актами в отношении обработки персональных
данных, и (или) обучением указанных сотрудников.