Апрель капитал — Политика обработки персональных данных

Политика обработки персональных данных в Акционерном обществе Управляющей компании «Апрель Капитал»

1. Общие положения

1.1. Настоящая Политика обработки персональных данных в Акционерном обществе Управляющей компании «Апрель Капитал» (далее - Политика), разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Федеральный закон) и иными нормативными правовыми актами в области обработки персональных данных (далее совместно - законодательство Российской Федерации в области персональных данных).

1.2. Настоящая Политика обработки персональных данных в Акционерном обществе Управляющей компании «Апрель Капитал» (далее - Организация) определяет основные принципы, цели, условия и способы обработки персональных данных, субъектов персональных данных, права и обязанности Организации и субъектов персональных данных, сведения о реализуемых требованиях к защите персональных данных при их обработке, а также порядок осуществления внутреннего контроля соответствия обработки персональных данных требованиям, установленным законодательство Российской Федерации в области персональных данных.

1.3. Настоящая Политика применяется ко всей информации, относящейся согласно законодательству Российской Федерации к персональным данным.

1.4. Действие настоящей Политики распространяется на любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных в Организации.

1.5. Организация в своей деятельности исходит из того, что при взаимодействии с Организацией субъект персональных данных предоставляет точную и достоверную информацию о своих персональных данных, и своевременно извещает Организацию об изменении своих персональных данных. Организация не проводит дополнительные проверки, кроме случаев, предусмотренных Федеральным законом, другими нормативными правовыми актами и внутренними документами Организации.

1.6. Приказом Генерального директора Организации назначается лицо, ответственное за организацию обработки и обеспечения безопасности персональных данных.

2. Термины и определения

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.

Безопасность персональных данных - состояние защищенности персональных данных, при котором обеспечены их конфиденциальность, доступность и целостность.

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Клиент - юридическое или физическое лицо, заключившее с Организацией договор доверительного управления, в том числе владелец инвестиционных паев паевого инвестиционного фонда.

Конфиденциальность персональных данных – обязательное для выполнения лицом, получившим доступ к персональным данным, требование не раскрывать третьим лицам и не распространять такие персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Несанкционированный доступ – доступ к персональным данным или действия с персональными данными, нарушающие правила разграничения доступа, в том числе с использованием средств, предоставляемых информационной системой персональных данных.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Получатель финансовых услуг - клиент, а также физическое лицо, намеренное заключить с Организацией договор доверительного управления, в том числе путем приобретения инвестиционных паев паевого инвестиционного фонда.

Работник - лицо, осуществляющее свою деятельность в Организации на основании трудового или гражданского-правового договора, и имеющее возможность получить доступ к персональным данным, обрабатываемым как с применением автоматизированных средств обработки персональных данных, так и без таковых.

Субъект персональных данных - физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Уполномоченный орган по защите прав субъектов персональных данных - федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных Организацией осуществляется на основе следующих принципов:

законности и справедливости обработки персональных данных;
ограничения обработки достижением конкретных, заранее определенных и законных целей;
недопущения обработки персональных данных, не совместимой с целями сбора персональных данных;
соответствия объема и содержания обрабатываемых персональных данных заявленным целям обработки;
обеспечения точности персональных данных, их достаточности и актуальности по отношению к целям обработки персональных данных;
недопустимости обработки персональных данных, избыточных по отношению к заявленным целям их обработки;
недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
хранения персональных данных в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
уничтожения или обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4. Условия обработки персональных данных

4.1. Обработка персональных данных в Организации осуществляется смешанным способом: с применением автоматизированных средств обработки персональных данных и без таковых, с передачей по внутренней сети, а также по информационно-телекоммуникационной сети «Интернет».

4.2. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Такое согласие должно быть дано свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

4.3. Организация вправе обрабатывать персональные данные без согласия субъекта персональных данных в случае, если:

обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Организацию функций, полномочий и обязанностей;
обработка персональных данных необходима для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
обработка персональных данных необходима для осуществления прав и законных интересов Организации или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением случаев, установленных в статье 15 Федерального закона, при условии обязательного обезличивания персональных данных;
осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом;
осуществляется обработка персональных данных, полученных из общедоступных источников;
в иных случаях, установленных законодательством Российской Федерации в области персональных данных.

4.4. Организация осуществляет передачу персональных данных государственным органам и уполномоченным лицам по основаниям, предусмотренным законодательством Российской Федерации.

4.5. Организация включает персональные данные субъектов в общедоступные источники персональных данных в случае получения письменного согласия субъекта персональных данных.

4.6. Организация осуществляет обработку специальных категорий персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, информация о судимости) только в случае получения письменного согласия субъекта персональных данных или без его согласия в случаях, установленных законодательством Российской Федерации.

4.7. Организация осуществляет обработку биометрических персональных данных (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) в случае получения письменного согласия субъекта персональных данных, или без его согласия в случаях, установленных законодательством Российской Федерации.

4.8. Персональные данные, обрабатываемые в целях продвижения услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, обрабатываются Организацией только при условии предварительного согласия субъекта персональных данных.

4.9. Организация не осуществляет трансграничную (на территорию иностранного государства, органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу) передачу персональных данных.

4.10. Организация не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных, за исключением случаев наличия письменного согласия субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

4.11. Если иное не предусмотрено федеральным законом, Организация вправе поручить обработку персональных данных другому лицу на основании заключаемого с этим лицом договора, при условии наличия согласия субъекта персональных данных.

4.12. В случае если Организация поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Организация. Лицо, осуществляющее обработку персональных данных по поручению Организации, несет ответственность перед Организацией.

Организации, несет ответственность перед Организацией. 4.13. Организация прекращает обработку или обеспечивает прекращение обработки персональных данных (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) и (или) удаляет персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) в следующих случаях:

после получения требования субъекта персональных данных (или его представителя либо уполномоченного органа по защите прав субъектов персональных данных) об уничтожении его персональных данных в случае, если персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
при выявлении неправомерной обработки персональных данных, если невозможно обеспечить ее правомерность;
при достижении целей обработки персональных данных, если Организация не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами, или если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Организацией и субъектом персональных данных;
в случае утраты необходимости в достижении целей обработки, если иное не предусмотрено Федеральным законом;
при отзыве субъектом персональных данных согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки персональных данных, если Организация не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами, или если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Организацией и субъектом персональных данных.

4.14. Организация прекращает передачу (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения после получения требования субъекта персональных данных.

4.15. Уничтожение персональных данных субъекта осуществляется комиссией, созданной на основании распоряжения Генерального директора Организации. По результату уничтожения персональных данных оформляется Акт об уничтожении персональных данных (Приложение № 1).

5. Цели обработки персональных данных, субъекты персональных данных

5.1. Организация осуществляет обработку персональных данных следующих категорий субъектов персональных данных в связи с целями обработки персональных данных:

в целях обеспечения соблюдения трудового законодательства Российской Федерации и ведения кадрового учета – персональные данные Работников, бывших Работников;
в целях ведения бухгалтерского учета – персональные данные Работников, бывших Работников;
в целях обеспечения соблюдения налогового законодательства – персональные данные Работников, бывших Работников, Клиентов, бывших Клиентов;
в целях обеспечения соблюдения пенсионного законодательства – персональные данные Работников, бывших Работников;
в целях обеспечения страхования Работников (по программе добровольного медицинского страхования, обязательного медицинского, обязательного социального страхования) – персональные данные Работников, бывших Работников;
в целях содействия в трудоустройстве – персональные данные лиц, претендующих на занятие вакантной должности в Организации;
в целях предложения услуг, предоставляемых или планируемых к предоставлению Организацией, проведения рекламных и (или) маркетинговых акций, опросов, анкетирования, маркетинговых исследований в отношении услуг, оказываемых Организацией - персональные данные, разрешенные Работниками для распространения;
в целях оказания услуг на финансовом рынке, предусмотренных Уставом и лицензией Организации - персональные данные получателей финансовых услуг (и их представителей), а также физических лиц - представителей получателей финансовых услуг, являющихся юридическими лицами;
в рамках программ, реализуемых в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения – персональные данные получателей финансовых услуг и других физических лиц, данные которых обрабатываются в связи с получателем финансовых услуг (физическим либо юридическим лицом), а также бенефициарных владельцев Организации;
в целях заключения, исполнения, прекращения гражданско-правовых договоров с юридическими лицами, физическими лицами, индивидуальными предпринимателями - персональные данные представителей контрагентов, оказывающих услуги и/или поставляющих товары Организации, физических лиц и индивидуальных предпринимателей, предоставивших свои персональные данные в связи с оказанием услуг и/или поставкой товаров Организации;
в целях исполнения специальных требований законодательства в отношении участников, Работников, и других лиц при осуществлении лицензируемых видов деятельности - персональные данные Работников, участников (владельцев долей в уставном капитале) Организации, аффилированных лиц Организации или руководителей, участников/акционеров юридического лица, являющегося аффилированным лицом или зависимым обществом по отношению к Организации;
в целях обеспечения взаимодействия с корреспондентами - персональные данные лиц, обратившихся в Организацию с просьбой, жалобой, предложением или заявлением любого характера, и предоставивших, в связи с этим, свои персональные данные;
в целях оформления пропуска на территорию Организации - персональные данные посетителей и Работников.

6. Права и обязанности

6.1. Организация вправе:

6.1.1. Отстаивать свои интересы в суде.

6.1.2. Предоставлять персональные данные субъектов персональных данных третьим лицам, если это предусмотрено законодательством Российской Федерации (правоохранительные, налоговые органы и др.).

6.1.3. Отказывать в предоставлении персональных данных за исключением случаев, предусмотренных законодательством Российской Федерации.

6.1.4. Обрабатывать персональные данные субъекта персональных данных без его согласия в случаях, предусмотренных Федеральным законом.

6.2. Организация обязана:

6.2.1. Обеспечивать конфиденциальность в отношении персональных данных, ставших известными Организации в ходе осуществления ею своей деятельности.

6.2.2. Не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом.

6.2.3. Предоставлять субъекту персональных данных или его представителю при обращении либо по его запросу информацию, касающуюся обработки персональных данных соответствующего субъекта, либо на законных основаниях предоставить отказ.

6.2.4. Сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу необходимую информацию.

6.2.5. Осуществлять или обеспечивать осуществление блокирования, уточнения персональных данных, прекращения обработки, уничтожения персональных данных в случаях и в порядке, установленных Федеральным законом.

6.2.6. Уведомлять субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных. Исключение составляют следующие случаи:

субъект персональных данных уведомлен об осуществлении обработки его персональных данных Организацией;
персональные данные получены Организацией на основании Федерального закона или в связи с исполнением договора, стороной которого, либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10.1 Федерального закона;
предоставление субъекту персональных данных сведений, содержащихся в уведомлении об обработке персональных данных, нарушает права и законные интересы третьих лиц.

6.2.7. При обработке персональных данных принять необходимые меры по обеспечению безопасности персональных данных и обеспечить их защиту.

6.2.8. Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством Российской Федерации в области персональных данных.

6.2.9. Если в соответствии с Федеральным законом предоставление персональных данных и (или) получение Организацией согласия на обработку персональных данных являются обязательными, Организация обязана разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные и (или) дать согласие на их обработку.

6.3. Права субъектов персональных данных:

6.3.1. Субъект персональных данных в соответствии с Федеральным законом имеет право получать от Организации информацию, касающуюся обработки своих персональных данных, на основании запроса и в порядке, установленном Федеральным законом, в том числе:

подтверждение факта обработки персональных данных Организацией;
правовые основания и цели обработки персональных данных;
цели и применяемые Организацией способы обработки персональных данных;
наименование и место нахождения Организации, сведения о лицах (за исключением Работников), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Организацией или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления прав, предусмотренных Федеральным законом;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Организации, если обработка поручена или будет поручена такому лицу;
информацию о способах исполнения Организацией обязанностей, установленных статьей 18.1 Федерального закона;
иные сведения, предусмотренные Федеральным законом или другими федеральными законами.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе, если:
- обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения;
- доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

6.3.2. Требовать от Организации уточнения персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные Федеральным законом меры по защите своих прав и интересов.

6.3.3. Отозвать согласие на обработку своих персональных данных.

6.3.4. Если субъект персональных данных считает, что Организация осуществляет обработку его персональных данных с нарушением требований Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействие Организации при обработке его персональных данных. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

6.3.5. Работники Организации также имеют право:

6.3.5.1. На свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные Работника, за исключением случаев ограничения доступа к персональным данным, предусмотренных федеральными законами Российской Федерации.

6.3.5.2. На определение своих представителей для защиты своих персональных данных.

6.3.5.3. Требовать исключения (удаления) или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Трудового кодекса 1 или иного федерального закона Российской Федерации. При отказе Организации исключить (удалить) или исправить неверные или неполные персональные данные Работника он имеет право заявить Организации в письменной форме о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера Работник имеет право дополнить заявлением, выражающим его собственную точку зрения.

6.3.5.4. Требовать об извещении Организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные Работника, обо всех произведенных в них исключениях, исправлениях или дополнениях.

6.4. Обязанности Работников и иных субъектов персональных данных в целях обеспечения достоверности их персональных данных:

6.4.1. Работник передает Организации документы, содержащие достоверные сведения о себе, перечень которых установлен Правилами внутреннего трудового распорядка Организации, Положением о порядке оценки соответствия квалификационным требованиям и требованиям к деловой репутации кандидатов на должность, должностных лиц и Работников, а также другие документы, предусмотренные законодательством Российской Федерации, в том числе Трудовым кодексом и нормативными актами Банка России.

6.4.2. Субъекты персональных данных предоставляют Организации документы, содержащие достоверные сведения о себе, с целью надлежащего исполнения своих прав и обязанностей во взаимоотношениях с Организацией, а также извещают Организацию об изменении своих персональных данных в случаях и в порядке, установленном федеральными законами, иными нормативными правовыми актами Российской Федерации и/или договором с субъектом персональных данных.

Обеспечение безопасности персональных данных, сведения о реализуемых требованиях к защите персональных данных при их обработке

7.1. При обработке персональных данных Организация принимает необходимые правовые, организационные и технические меры для защиты персональных данных субъектов персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, включающие, в том числе:

определение угроз безопасности персональных данных при их обработке в информационной системе персональных данных;
применение организационных и технических мер по обеспечению безопасности персональных данных при обработке персональных данных в информационной системе персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по устранению несанкционированного доступа к персональным данным;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
обработку персональных данных без средств автоматизации таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения и установить перечень лиц, осуществляющих обработку персональных данных или имеющих к ним доступ;
раздельное хранение персональных данных на материальных носителях, обработка которых осуществляется в различных целях без средств автоматизации;
соблюдение порядка хранения документов на бумажных носителях и применение мер защиты информации, установленных, в том числе, внутренними документами Организации.

7.2. Для обеспечения безопасности персональных данных Организация реализует следующие требования к защите персональных данных в соответствии с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, установленными постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»:

назначает Приказом Генерального директора Организации лицо, ответственное за организацию обработки и обеспечение безопасности персональных данных;
организует режим обеспечения безопасности помещений, в которых размещена информационная система, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
обеспечивает режим сохранности носителей персональных данных;
утверждает перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе персональных данных, необходим для выполнения ими служебных (трудовых) обязанностей;
обеспечивает использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Осуществление внутреннего контроля соответствия обработки персональных данных требованиям, установленным законодательством Российской Федерации в области персональных данных

8.1. В рамках осуществления внутреннего контроля, реализуемого в целях предотвращения и выявления нарушений Организацией и ее работниками требований законодательства Российской Федерации в области персональных данных, в Организации предусматривается проведение проверок условий обработки персональных данных на предмет соответствия требованиям Федерального закона, принятых в соответствии с ним нормативных правовых актов, настоящей Политики и других внутренних документов Организации в области персональных данных (далее - проверки).

8.2. Проверки осуществляются должностным лицом, ответственным за организацию обработки персональных данных в Организации, в следующем порядке и в следующие сроки:

8.2.1. Ежегодная проверка - осуществляется не реже 1 (Одного) раза в календарный год.

8.2.2. Внеплановая проверка - осуществляется на основании поступившего обращения субъекта персональных данных или его законного представителя или запроса уполномоченного органа по защите прав субъектов персональных данных (далее - заявитель) о нарушении законодательства/возможном нарушении законодательства Российской Федерации в области персональных данных.

8.3. По результатам Ежегодной проверки лицом, ответственным за организацию обработки персональных данных, составляется Отчет внутреннего контроля соответствия обработки персональных данных требованиям, установленным Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами (далее – Отчет), который включает в себя следующую информацию:

о мерах, принятых Организацией для определения угроз безопасности персональных данных при их обработке, о количестве выявленных фактов несанкционированного доступа к персональным данным и принятых мерах, в том числе мерах по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных (при наличии указанных атак);
о мерах, принятых Организацией для восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
о нарушениях, выявленных в ходе осуществления внутреннего контроля соответствия обработки персональных данных требованиям, установленным Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами (при наличии указанных нарушений);
предложения по повышению эффективности принимаемых мер обеспечению безопасности персональных данных (при наличии указанных предложений).

8.4. Отчет утверждается Генеральным директором ежегодно не позднее 30 июня года, следующего за отчетным.

8.5. Внеплановая проверка осуществляется в срок не более 10 (Десяти) рабочих дней со дня поступления в Организацию обращения или запроса.

8.6. Внеплановая проверка, связанная с возможной неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных, повлекшей нарушение прав субъектов персональных данных, осуществляется в срок не более 2 (Двух) рабочих дней со дня выявления такого инцидента Организацией, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом.

8.7. Отчет по результатам внеплановой проверки включает в себя следующую информацию:

основания для проведения проверки;
сроки проведения проверки;
подтвержденные и иные обнаруженные в ходе проверки нарушения требований, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами;
причины совершения нарушения;
лица, виновные в совершении нарушения;
меры, необходимые для устранения выявленного нарушения и рекомендации по недопущению подобных нарушений в дальнейшей деятельности Организации

8.8. По результатам проведенной внеплановой проверки Генеральный директор Организации в течение 5 (Пяти) рабочих дней со дня окончания проверки дает заявителю письменный ответ.

9. Заключительные положения

9.1. Настоящая Политика утверждается приказом Генерального директора Организации и подлежит размещению на официальном сайте Организации в сети «Интернет».

9.2. В случае противоречия положений настоящей Политики законодательству Российской Федерации, приоритет имеют нормы законодательства Российской Федерации.

9.3. Контроль за исполнением положений настоящей Политики осуществляется лицом, ответственным за организацию обработки и обеспечения безопасности персональных данных в Организации.

9.4. Генеральный директор Организации несет ответственность за общую организацию обработки персональных данных в Организации.

9.5. Ответственность за выполнение необходимых мероприятий по организации режима конфиденциальности персональных данных в структурных подразделениях возлагается на руководителей структурных подразделений.

9.6. Ответственность Работников, имеющих доступ к персональным данным и/или осуществляющих обработку персональных данных, а также лиц, ответственных за организацию обработки и обеспечения безопасности персональных данных, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами Организации