1. Термины и определения
1.1. Оператор персональных данных (Оператор): — Общество с ограниченной ответственностью «Экориум», которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
1.2. Субъекты персональных данных – физическое лицо, которое прямо или косвенно определено или определяемо, и персональные данные которого обрабатываются Оператором.
1.3. Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.
1.4. Обработка ПДн – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.5. Архивирование – процесс перемещения из операционных систем в системы долговременного хранения для обеспечения сохранности в установленные сроки.
1.6. Блокирование ПДн – временное прекращение обработки персональных данных.
1.7. Уничтожение ПДн – действия, в результате которых становится невозможным восстановление ПДн в информационной системе и/или на материальных носителях.
1.8. Инцидент – случай неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекший нарушение прав субъектов.
1.9. Комиссия по уничтожению ПДн - группа лиц (в исключительных случаях лицо), отвечающее за процесс физического удаления данных и документальное подтверждение этого факта.
1.10. Акт об уничтожении ПДн – документ, подтверждающий факт уничтожения, составленный по форме Приложения к настоящей Политике.
1.11. Выгрузка из журнала регистрации событий – документ, формируемый информационной системой персональных данных (ИСПДн), фиксирующий факт удаления записей.
2. Общие положения
2.1. Настоящая Политика устанавливает порядок действий Оператора (ООО «Экориум») при наступлении обстоятельств, обязывающих прекратить обработку и уничтожить персональные данные.
2.2. Политика обязательна для исполнения всеми работниками Оператора, допущенными к обработке персональных данных, а также лицами, привлекаемыми на договорной основе.
2.3. Контроль за исполнением требований настоящей Политики возлагается на лицо, ответственное за организацию обработки персональных данных (DPO) — Кулика Евгения Валерьевича.
2.4. Лицо, ответственное за организацию обработки ПДн инициирует создание комиссии по уничтожению персональных данных, состав которой утверждается приказом Генерального директора и включает лицо, ответственное за организацию обработки ПДн (DPO), а также иных работников, необходимых для проведения процедуры уничтожения.
3. Основания, сроки и порядок прекращения обработки и уничтожения ПДн
3.1. Основание: достижение цели обработки персональных данных
Срок: прекратить обработку и уничтожить ПДн в срок не более 30 (тридцати) дней с даты достижения цели обработки (ч. 4 ст. 21 152-ФЗ). При обработке ПДн по поручению третьим лицом обеспечить прекращение и уничтожение данных лицом, обрабатывающим данные, в срок не более 30 (тридцати) дней с даты достижения цели обработки.
Исключения: Срок прекращения обработки и уничтожения ПДн может быть изменен при наличии законного основания у Оператора продолжать обработку ПДн без согласия субъекта ПДн в соответствии с п. 2-11 ч. 1 ст. 6 152-ФЗ или при наличии договора (соглашения) с субъектом с указанием иного срока.
3.2. Основание: отзыв субъектом ПДн согласия на обработку персональных данных.
Срок: прекратить обработку и уничтожить ПДн, если их сохранение более не требуется для целей обработки в срок до 30 (тридцати) дней с даты поступления отзыва согласия (ч. 5 ст. 21 152-ФЗ). При обработке ПДн по поручению третьим лицом обеспечить прекращение и уничтожение данных лицом, обрабатывающим данные, в срок не более 30 (тридцати) дней с даты поступления отзыва согласия. Исключение: Срок прекращения обработки и уничтожения ПДн может быть изменен при наличии законного основания у Оператора продолжать обработку ПДн без согласия субъекта ПДн в соответствии с п. 2-11 ч. 1 ст. 6 152-ФЗ или при наличии договора (соглашения) с субъектом с указанием иного срока и уведомлением субъекта ПДн.
3.3. Основание: требование субъекта ПДн о прекращении обработки ПДн (при обработке ПДн в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации в соответствии со ст.15 152-ФЗ) Срок: немедленно прекратить обработку ПДн и обеспечить прекращение обработки третьими лицами, действующими по поручению (ч.2 ст. 15 152-ФЗ)
3.4. Основание: неправомерная обработка. Под неправомерной обработкой ПДн понимается обработка без законного основания (например: отсутствие согласия на обработку ПДн или иных законных оснований в соответствии с п. 2-11 ч. 1 ст. 6 152-ФЗ; обработка ПДн в целях, несоответствующих сбору; сбор избыточных данных) Срок: прекратить обработку ПДн в срок до 3 (трех) рабочих дней с даты выявления неправомерной обработки (ч. 3 ст. 21 152-ФЗ) и установить наличие законных оснований для обработки ПДн. При обработке ПДн по поручению третьим лицом обеспечить прекращение обработки в срок до 3 (трех) рабочих дней. При невозможности дальнейшего обеспечения законной обработки уничтожить ПДн в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки. При обработке ПДн по поручению третьим лицом обеспечить уничтожение ПДн в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки.
Примечание: Об устранении допущенных нарушений или об уничтожении персональных данных уведомить субъекта ПДн/представителя субъекта ПДн или Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (в случае направления обращения субъекта ПДн/представителя субъекта ПДн РКН, либо получения запроса РКН)
3.4.1. Основание: предоставление субъектом ПДн сведений, подтверждающих неправомерную обработку его данных.
Срок: уничтожить ПДн в срок, не превышающий 7 (семи) рабочих дней с даты предоставления субъектом ПДн/его представителем сведений, подтверждающих неправомерную обработку данных (ч. 3 ст. 21 152-ФЗ). При обработке ПДн по поручению третьим лицом обеспечить уничтожение ПДн в срок, не превышающий 7 (семи) рабочих дней с даты предоставления субъектом ПДн/его представителем сведений, подтверждающих неправомерную обработку данных.
Примечание: Об уничтожении персональных данных уведомить субъекта ПДн/представителя субъекта ПДн.
3.5. Основание: инцидент (установленная неправомерная или случайная передача/предоставление/ распространение/доступ) Срок: уведомить РКН о произошедшем инциденте, предполагаемых причинах и принятых мерах в течение 24 часов с момента, когда Оператору стало известно об инциденте (момент выявления инцидента), провести внутреннее расследование и уведомить РКН о полученных результатах в течение 72 часов.
3.6. В случае невозможности уничтожения в сроки, указанные в п. 3.1-3.5, Оператор обязан заблокировать такие ПДн, при обработке ПДн по поручению третьим лицом обеспечить блокирование ПДн на период до возможности уничтожения, но не более 6 (шести) месяцев с момента, когда уничтожение должно было быть произведено (ч. 6 ст. 21 152-ФЗ).
4. Основания и порядок архивирования
4.1. Архивирование ПДн может осуществляется при условии достижения целей их обработки в текущей деятельности, но при наличии обязанности Оператора по их дальнейшему хранению в соответствии с законодательством РФ в следующих случаях:
- Исполнение требований законодательства (например налогового, бухгалтерского).
- Соблюдение сроков хранения документов по личному составу (трудовое законодательство).
- Наличие неурегулированных судебных споров или претензий, требующих сохранения доказательной базы до истечения сроков исковой давности.
4.2. При истечении срока активного использования ПДн, данные подлежат выгрузке из операционных баз данных в архивные таблицы баз данных или выделенные защищенные файловые хранилища. Доступ к электронным архивам ограничивается техническими средствами (логин, пароль, логирование обращений) и предоставляется только для исполнения запросов субъектов, государственных органов или в целях судебной защиты.
При архивировании данных на бумажных носителях документы, содержащие ПДн и подлежащие хранению, изымаются из текущего документооборота, формируются в дела (папки) с маркировкой указания сроков хранения и даты уничтожения и передаются на хранение в специально оборудованное помещение (архив), доступ к которому имеют исключительно сотрудники, назначенные приказом Оператора. Помещения должны быть оснащены запирающимися шкафами (сейфами) и средствами охранно-пожарной сигнализации.
4.3. Срок архивного хранения устанавливается исходя из требований законодательства РФ.
5. Процедура уничтожения
5.1. При наступлении любого из оснований, указанных в разделе 3 настоящей Политики ответственный за организацию обработки персональных данных уведомляет Генерального директора о необходимости создании комиссии по уничтожению ПДн. Комиссия по уничтожению ПДн в течение 3 рабочих дней устанавливает наличие/отсутствие препятствий для уничтожения, определяет перечень ПДн (материальных носителей и/или электронных записей), подлежащих уничтожению, назначает ответственных за техническое уничтожение/производит техническое уничтожение данных способами, исключающими их восстановление.
5.2. Данные, содержащие ПДн на бумажном носителе уничтожаются способом, исключающим возможность прочтения и восстановления информации - путем шредироввания, о чем составляется Акта об уничтожении в соответствии с Приказом РКН от 28.10.2022 № 179
5.3. Уничтожение ПДн, содержащихся в информационных системах (электронные данные) осуществляется путем удаления записей из базы данных (например, PostgreSQL, MongoDB) способом, исключающим возможность восстановления данных стандартными программными средствами с выгрузкой из журнала регистрации событий в информационной системе персональных данных и составлением Акта об уничтожении в электронной форме в соответствии с Приказом РКН от 28.10.2022 № 179.
5.4. При обработке ПДн по поручению третьим лицом, Оператор обязан направить такому лицу требование об уничтожении данных с подтверждением исполнения, после чего Оператор обязан самостоятельно составить Акт об уничтожении на основании сведений от третьего лица, подтверждающих фактическое уничтожение ПДн.
5.5. В случае, если обработка ПДн осуществлялась автоматизированным и неавтоматизированным способом, по результатам уничтожения ПДн Комиссией составляется Акт об уничтожении ПДн, Акт об уничтожении ПДн в электронной форме и Выгрузка из журнала регистрации событий.
5.6. Документы об уничтожении ПДн хранятся у Оператора в течение 3 (трех) лет с момента уничтожения персональных данных (п. 8 Приказа №179).
6. Ответственность и контроль
6.1. Ответственным за организацию и своевременность архивирования и уничтожения ПДн является лицо, ответственное за организацию обработки персональных данных (DPO);
6.2. Контроль за соблюдением настоящей Политики осуществляется ответственным за организацию обработки персональных данных (DPO) не реже одного раза в год.