ПОЛОЖЕНИЕ
об обработке персональных данных
в ИП Долибы Николая Михайловича

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящее Положение определяет и устанавливает порядок сбора, учёта, обработки, накопления и хранения документов, содержащих сведения, отнесённые к персональным данным работников (в том числе бывших) ИП Долиба Н.М. (далее – ИП) и их представителей, соискателей на вакантные должности ИП, клиентов ИП, являющихся физическими лицами, и их представителей, представителей и бенефициарных владельцев клиентов, являющихся юридическими лицами или индивидуальными предпринимателями, контрагентов (исполнители, продавцы), являющихся физическими лицами, и их представителей, представителей контрагентов (исполнители, продавцы), являющихся юридическими лицами или индивидуальными предпринимателями (далее – субъекты персональных данных).
Под работниками (бывшими работниками) подразумеваются физические лица, заключившие трудовой договор с ИП.
Под соискателями на вакантные должности подразумеваются физические лица, претендующие на вакантные должности у ИП, до оформления трудовых отношений.
Под клиентами подразумеваются юридические лица, индивидуальные предприниматели обращающиеся (обратившиеся) к ИП с целью заключения договора (заключившие договор), в рамках осуществляемой деятельности.
Под контрагентами (исполнителями, продавцами) подразумеваются юридические лица, индивидуальные предприниматели, физические лица, оказывающие услуги, выполняющие работы или реализующие товары по заключённым с ИП договорам гражданско-правового характера.
Под бенефициарным владельцем подразумевается физическое лицо, которое в конечном счете прямо или косвенно (через третьих лиц) владеет (имеет преобладающее участие более 25 процентов в капитале) юридическим лицом либо имеет возможность контролировать действия юридического лица. Бенефициарным владельцем физического лица считается это лицо, за исключением случаев, если имеются основания полагать, что бенефициарным владельцем является иное физическое лицо;
Под представителями подразумеваются дееспособные физически лица, действующие от имени представляемого в силу полномочия, основанного на доверенности, указании закона либо акте уполномоченного на то государственного органа или органа местного самоуправления, при совершении сделок, которые непосредственно создают, изменяют и прекращают гражданские права и обязанности представляемого. Полномочие может также явствовать из обстановки, в которой действует представитель.
1.2..Цель настоящего Положения - обеспечение защиты прав и свобод субъектов персональных данных при обработке их персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну; защиты персональных данных субъектов персональных данных от несанкционированного доступа и разглашения. Персональные данные всегда являются конфиденциальной, строго охраняемой информацией.
1.3..Обработка персональных данных субъектов персональных данных основана на принципах:
- законности целей и способов обработки персональных данных, добросовестности и справедливости в деятельности в ИП;
- достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
-..обработки только персональных данных, которые отвечают целям их обработки;
-..соответствия содержания и объёма обрабатываемых персональных данных заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
-..недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;
- обеспечения точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. ИП принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
-..хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных.
1.4..Основанием для разработки настоящего Положения являются в частности: Конституция РФ, ФЗ «О персональных данных», Трудовой кодекс РФ и другие нормативные правовые акты в области обработки и обеспечения защиты персональных данных.
1.5..Лицом, ответственным за обработку персональных данных субъектов персональных данных, является ответственный за организацию обработки персональных данных. Функции, права, обязанности ответственного за организацию обработки персональных данных закреплены в инструкции ответственного за организацию обработки персональных данных.
1.6..Настоящее Положение и изменения к нему утверждаются ИП и вводятся соответствующим приказом. Все работники ИП, включённые в список должностных лиц, доступ которых к персональным данным необходим для выполнения служебных (трудовых) обязанностей, до начала работы должны быть ознакомлены с положениями законодательства РФ о персональных данных, в том числе с требованиями к защите персональных данных, настоящим Положением и изменениями к нему, локальными нормативными актами ИП по вопросам обработки и защиты персональных данных. Обучение (инструктажи) указанных работников организуется ответственным за организацию обработки персональных данных.
1.7. ИП до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (далее – Роскомнадзор) о своём намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 22 ФЗ «О персональных данных».
ИП обязан уведомить Роскомнадзор обо всех произошедших изменениях сведений, представленных ИП и содержащихся в уведомлении об обработке персональных данных, не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, за указанный период.
ИП обязан уведомить Роскомнадзор в случае прекращения обработки персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных.
1.8. ИП, в рамках осуществления мероприятий по обеспечению безопасности персональных данных, вправе принимать и издавать соответствующие локальные нормативные акты, приказы, инструкции, журналы и прочие документы, которые являются неотъемлемой частью настоящего Положения и входят в состав документов, разработанных ИП в целях обеспечения безопасности персональных данных.
1.9. ИП осуществляет обработку персональных данных, как с использованием средств автоматизации (автоматизированная обработка), так и без использования средств автоматизации. Правила обработки и защиты персональных данных без использования средств автоматизации устанавливаются в отдельном локальном нормативном акте ИП.
1.10. Настоящее Положение является частью Политики ИП в отношении обработки персональных данных.

2. ОСНОВНЫЕ ПОНЯТИЯ
2.1. Основные понятия, используемые в Положении:
- персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
-..персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
- оператор персональных данных (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
- обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:
• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передачу (распространение, предоставление, доступ);
• обезличивание;
• блокирование;
• удаление;
• уничтожение.
- автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
- распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
- предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
-..блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
- уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
- трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
В настоящем Положении используются иные понятия, определённые в ФЗ «О персональных данных», иных нормативных правовых актах в области обработки и обеспечения защиты персональных данных, локальных нормативных актах ИП.
В случае противоречия понятий, указанных в ФЗ «О персональных данных», иных нормативных правовых актах, и локальных нормативных актах ИП, то применяются понятия, закреплённые в ФЗ «О персональных данных», иных нормативных правовых актах в области обработки и обеспечения защиты персональных данных.

3. ЦЕЛИ ОБРАБОТКИ, КАТЕГОРИИ И ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ, СПОСОБЫ, СРОКИ ИХ ОБРАБОТКИ И ХРАНЕНИЯ, ПОРЯДОК УНИЧТОЖЕНИЯ
3.1..Сведениями, составляющими персональные данные, обрабатываемые у ИП, является любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
Обработке подлежат только персональные данные, которые отвечают целям их обработки.
Обработка персональных данных работников ИП может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
3.2. Состав персональных данных определяется в зависимости от целей их обработки, с учётом положений действующего законодательства РФ, в частности ФЗ «О персональных данных», Трудового кодекса РФ и другими нормативными правовыми актами в области обработки персональных данных.
3.3. Целью обработки персональных данных является осуществления и выполнение возложенных законодательством РФ на ИП функций, полномочий и обязанностей, в частности в сфере: противодействия легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма; трудовых правоотношений.
3.3.1..Категории субъектов персональных данных, категории и перечень обрабатываемых персональных данных для цели, указанной в п. 3.3:
а) Категория субъектов персональных данных: работники ИП (в том числе бывшие).
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- гражданство;
- пол;
- сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
- сведения об опыте работы;
- сведения о трудовой деятельности, в том числе наличие поощрений, награждений и/или дисциплинарных взысканий;
- семейное положение, наличие детей, родственные связи;
- сведения о регистрации брака;
- паспортные данные или данные документа, удостоверяющего личность;
- сведения о воинском учёте;
- сведения о социальных льготах;
- сведения о трудовом и общем стаже;
- сведения о предыдущем месте работы;
- специальность;
- СНИЛС;
- ИНН;
- занимаемая должность;
- адрес места жительства (места регистрации) и адрес фактического проживания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- иные персональные данные, предоставляемые работниками самостоятельно, в том числе определённые трудовым законодательством РФ, необходимые для цели, указанной в п. 3.3.
Категория обрабатываемых персональных данных: специальные. Перечень обрабатываемых персональных данных:
- сведения о судимости (в случаях и в порядке, которые определяются в соответствии с федеральными законами).
Категория обрабатываемых персональных данных биометрические. Перечень обрабатываемых персональных данных:
-.сведения о медицинском обследовании на предмет годности к осуществлению трудовых обязанностей;
- сведения об инвалидности.
б).Категория субъектов персональных данных: представители работников ИП, контрагентов (исполнители, продавцы) ИП, являющихся юридическими лицами, индивидуальными предпринимателями, физическими лицами.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес регистрации (места жительства) или места пребывания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- сведения, содержащиеся в документе подтверждающим наличие полномочий;
-.иные персональные данные, предоставляемые представителями работников ИП, контрагентов (исполнители, продавцы) ИП, являющихся физическими лицами, в том числе необходимые для цели, указанной в п. 3.3;
в).Категория субъектов персональных данных: представители и бенефициарные владельцы клиентов, являющихся юридическими лицами, индивидуальными предпринимателями, физическими лицами.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата рождения;
- гражданство;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес места жительства (места регистрации) или места пребывания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
-.должность, наименование и адрес работодателя (в случае, если клиентом является иностранным публичным должностным лицом, должностным лицом публичных международных организаций, а также лицом, замещающим (занимающим) государственные должности РФ, должности членов Совета директоров Центрального банка РФ, должности федеральной государственной службы, назначение на которые и освобождение от которых осуществляются Президентом РФ или Правительством РФ, должности в Центральном банке РФ, государственных корпорациях и иных организациях, созданных РФ на основании федеральных законов, включённые в перечни должностей, определяемые Президентом РФ;
- степень родства либо статус (супруг или супруга) клиента по отношению к лицу, являющимся иностранным публичным должностным лицом, должностным лицом публичных международных организаций, а также лицом, замещающим (занимающим) государственные должности РФ, должности членов Совета директоров Центрального банка РФ, должности федеральной государственной службы, назначение на которые и освобождение от которых осуществляются Президентом РФ или Правительством РФ, должности в Центральном банке РФ, государственных корпорациях и иных организациях, созданных РФ на основании федеральных законов, включённые в перечни должностей, определяемые Президентом РФ;
- сведения о целях установления и предполагаемом характере деловых отношений с ИП, сведения о целях финансово-хозяйственной деятельности;
- сведения о финансовом положении;
- сведения о деловой репутации;
- сведения об источниках происхождения денежных средств и (или) иного имущества;
- сведения о бенефициарном владельце клиента;
- сведения о выгодоприобретателе клиента;
-.сведения документа, подтверждающего право иностранного гражданина или лица без гражданства на пребывание (проживание) в РФ (данные миграционной карты в случае отсутствия иных документов): серия (если имеется) и номер документа, дата начала срока действия права пребывания (проживания), дата окончания срока действия права пребывания (проживания);
- СНИЛС;
- ИНН;
- сведения, содержащиеся в документе, подтверждающим наличие полномочий;
-.иные персональные данные, предоставляемые представителями и бенефициарными владельцами клиентов, являющихся юридическими лицами или индивидуальными предпринимателями, необходимые для цели, указанной в п. 3.3.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- гражданство;
- дата рождения;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес регистрации (места жительства) или места пребывания;
- ИНН.
д) Категория субъектов персональных данных: клиенты ИП, являющиеся физическими лицами.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата рождения;
- гражданство;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес места жительства (места регистрации) или места пребывания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
-.должность, наименование и адрес работодателя (в случае, если клиентом является иностранным публичным должностным лицом, должностным лицом публичных международных организаций, а также лицом, замещающим (занимающим) государственные должности РФ, должности членов Совета директоров Центрального банка РФ, должности федеральной государственной службы, назначение на которые и освобождение от которых осуществляются Президентом РФ или Правительством РФ, должности в Центральном банке РФ, государственных корпорациях и иных организациях, созданных РФ на основании федеральных законов, включённые в перечни должностей, определяемые Президентом РФ;
- степень родства либо статус (супруг или супруга) клиента по отношению к лицу, являющимся иностранным публичным должностным лицом, должностным лицом публичных международных организаций, а также лицом, замещающим (занимающим) государственные должности РФ, должности членов Совета директоров Центрального банка РФ, должности федеральной государственной службы, назначение на которые и освобождение от которых осуществляются Президентом РФ или Правительством РФ, должности в Центральном банке РФ, государственных корпорациях и иных организациях, созданных РФ на основании федеральных законов, включённые в перечни должностей, определяемые Президентом РФ;
- сведения о целях установления и предполагаемом характере деловых отношений с ИП, сведения о целях финансово-хозяйственной деятельности;
- сведения о финансовом положении;
- сведения о деловой репутации;
- сведения об источниках происхождения денежных средств и (или) иного имущества;
- сведения о бенефициарном владельце клиента;
- сведения о выгодоприобретателе клиента;
-.сведения документа, подтверждающего право иностранного гражданина или лица без гражданства на пребывание (проживание) в РФ (данные миграционной карты в случае отсутствия иных документов): серия (если имеется) и номер документа, дата начала срока действия права пребывания (проживания), дата окончания срока действия права пребывания (проживания);
- СНИЛС;
- ИНН;
- иные персональные данные, предоставляемые клиентами, являющиеся физическими лицами, необходимые для цели, указанной в п. 3.3.
3.3.2..Способы обработки персональных данных для цели, указанной в п. 3.3.: автоматизированная и без использования средств автоматизации (смешанная), с передачей по внутренней сети ИП (при необходимости), а также с передачей по сети «Интернет» (в предусмотренных законодательством РФ случаях).
3.3.3..Сроки обработки персональных данных для цели, указанной в п. 3.3., определяются следующими условиями:
- до достижения цели обработки персональных данных;
- до окончания срока действия согласия на обработку персональных данных либо в случае его отзыва субъектом персональных данных, за исключением случаев, когда ИП вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в ФЗ «О персональных данных»;
- до истечения сроков хранения документов, содержащих персональные данные (на бумажных и электронных носителях);
- до истечения сроков исковой давности;
- до наступления иных событий, установленных законодательством РФ или согласием на обработку персональных данных.
Указанные в настоящем пункте сроки обработки персональных данных применяются, если иные сроки не установлены федеральным законом.
3.3.4..Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цель обработки персональных данных, указанная в п. 3.3, если срок хранения персональных данных не установлен федеральным законом.
3.3.5..Порядок уничтожения персональных данных, обрабатываемых для цели, указанной в п. 3.3:
3.3.5.1. В случае достижения цели обработки персональных данных, указанной в п. 3.3, или в случае отзыва субъектом персональных данных согласия на обработку персональных данных, ИП обязан прекратить обработку и уничтожить персональные данные субъекта персональных данных ИП в срок, не превышающий 30 рабочих дней с даты достижения цели обработки или с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных, иным соглашением между ИП и субъектом персональных данных либо если ИП не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.
3.3.5.2. В целях оперативной организации уничтожения персональных данных на бумажных носителях (без использования средств автоматизации) приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке без использования средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных при их обработке без использования средств автоматизации подлежит хранению в течение 3 лет с момента уничтожения персональных данных.
3.3.5.3. При уничтожении персональных данных в ИСПДн (с использованием средств автоматизации), приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке с использованием средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование ИСПДн, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных в электронной форме, подписанный в соответствии с законодательством РФ, признается электронным документом, равнозначным акту об уничтожении персональных данных на бумажном носителе, подписанному собственноручной подписью лиц, указанных в пп. «в» настоящего пункта.
Помимо акта об уничтожении персональных данных при их обработке с использованием средств автоматизации документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является выгрузка из журнала регистрации событий в ИСПДн, которая должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование ИСПДн, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала регистрации событий в ИСПДн не позволяет указать отдельные сведения, предусмотренные в настоящем пункте, то недостающие сведения вносятся в акт об уничтожении персональных данных при их обработке с использованием средств автоматизации.
Акт об уничтожении персональных данных при их обработке с использованием средств автоматизации и выгрузка из журнала регистрации событий в ИСПДн подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
3.3.5.4. Документы, содержащие персональные данные субъектов персональных данных, уничтожаются путём измельчения в бумагорезательной машине или ином техническом устройстве, которое исключает дальнейшее использование документов в качестве первоисточника.
Персональные данные, обрабатываемые в ИСПДн, уничтожаются путём их стирания (удаления) в ИСПДн ИП.
3.4. Целью обработки персональных данных является привлечения и отбор соискателей на вакантные должности ИП.
3.4.1..Категории субъектов персональных данных, категории и перечень обрабатываемых персональных данных для цели, указанной в п. 3.4.:
а) Категория субъектов персональных данных: соискатели на вакантные должности ИП.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- гражданство;
- пол;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
-.сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
- сведения об опыте работы;
- СНИЛС;
- ИНН;
- образование;
- сведения о трудовом и общем стаже;
- сведения о предыдущем месте работы;
- сведения о воинском учёте;
- специальность;
-.иные персональные данные, предоставляемые соискателями на вакантные должности самостоятельно, в том числе необходимые для цели, указанной в п. 3.4.
Категория обрабатываемых персональных данных: специальные. Перечень обрабатываемых персональных данных:
- сведения о судимости (в случаях и в порядке, которые определяются в соответствии с федеральными законами).
Категория обрабатываемых персональных данных: биометрические. Обрабатываемых персональных данных:
- сведения о медицинском обследовании на предмет годности к осуществлению трудовых обязанностей;
- сведения об инвалидности.
3.4.2..Способы обработки персональных данных для цели, указанной в п. 3.4.: автоматизированная и без использования средств автоматизации (смешанная), с передачей по внутренней сети ИП (при необходимости).
3.4.3..Сроки обработки персональных данных для цели, указанной в п. 3.4., определяются следующими условиями:
- до достижения цели обработки персональных данных;
- до окончания срока действия согласия на обработку персональных данных либо в случае его отзыва субъектом персональных данных, за исключением случаев, когда ИП вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в ФЗ «О персональных данных»;
- до истечения сроков хранения документов, содержащих персональные данные (на бумажных и электронных носителях);
- до наступления иных событий, установленных законодательством РФ или согласием на обработку персональных данных.
Указанные в настоящем пункте сроки обработки персональных данных применяются, если иные сроки не установлены федеральным законом.
3.4.4..Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цель обработки персональных данных, указанная в п. 3.4., если срок хранения персональных данных не установлен федеральным законом.
3.4.5..Порядок уничтожения персональных данных, обрабатываемых для цели, указанной в п. 3.4.:
3.4.5.1. В случае достижения цели обработки персональных данных, указанной в п. 3.4., или в случае отзыва субъектом персональных данных согласия на обработку персональных данных, ИП обязан прекратить обработку и уничтожить персональные данные субъекта персональных данных ИП в срок, не превышающий 30 рабочих дней с даты достижения цели обработки или с даты поступления отзыва, либо если ИП не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.
3.4.5.2..В целях оперативной организации уничтожения персональных данных на бумажных носителях (без использования средств автоматизации) приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке без использования средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных при их обработке без использования средств автоматизации подлежит хранению в течение 3 лет с момента уничтожения персональных данных.
3.4.5.3. При уничтожении персональных данных в ИСПДн (с использованием средств автоматизации), приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке с использованием средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование ИСПДн, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных в электронной форме, подписанный в соответствии с законодательством РФ, признается электронным документом, равнозначным акту об уничтожении персональных данных на бумажном носителе, подписанному собственноручной подписью лиц, указанных в пп. «в» настоящего пункта.
Помимо акта об уничтожении персональных данных при их обработке с использованием средств автоматизации документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является выгрузка из журнала регистрации событий в ИСПДн, которая должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование ИСПДн, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала регистрации событий в ИСПДн не позволяет указать отдельные сведения, предусмотренные в настоящем пункте, то недостающие сведения вносятся в акт об уничтожении персональных данных при их обработке с использованием средств автоматизации.
Акт об уничтожении персональных данных при их обработке с использованием средств автоматизации и выгрузка из журнала регистрации событий в ИСПДн подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
3.4.5.4. Документы, содержащие персональные данные субъектов персональных данных, уничтожаются путём измельчения в бумагорезательной машине или ином техническом устройстве, которое исключает дальнейшее использование документов в качестве первоисточника.
Персональные данные, обрабатываемые в ИСПДн, уничтожаются путём их стирания (удаления) в ИСПДн ИП.
3.5..Целью обработки персональных данных является исполнение договоров, заключённых с клиентами ИП, являющимися юридическими лицами или индивидуальными предпринимателями, в рамках осуществления деятельности, определённой уставом, при наличии соответствующего согласия на обработку персональных данных от физических лиц, являющихся представителями таких клиентов.
3.5.1..Категории субъектов персональных данных, категории и перечень обрабатываемых персональных данных для цели, указанной в п. 3.5.:
а)..Категория субъектов персональных данных: представители клиентов ИП, являющихся юридическими лицами или индивидуальными предпринимателями.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес регистрации (места жительства) или места пребывания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- сведения, содержащиеся в документе подтверждающим наличие полномочий;
-.иные персональные данные, предоставляемые клиентами ИП, являющимися юридическими лицами или индивидуальными предпринимателями, их представителями, в том числе необходимые для цели, указанной в п. 3.5.
3.5.2..Способы обработки персональных данных для цели, указанной в п. 3.5.: автоматизированная и без использования средств автоматизации (смешанная), с передачей по внутренней сети ИП (при необходимости).
3.5.3..Сроки обработки персональных данных для цели, указанной в п. 3.5., определяются следующими условиями:
- до достижения цели обработки персональных данных;
- до окончания срока действия согласия на обработку персональных данных либо в случае его отзыва субъектом персональных данных, за исключением случаев, когда ИП вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в ФЗ «О персональных данных»;
- до истечения сроков хранения документов, содержащих персональные данные (на бумажных и электронных носителях);
- до наступления иных событий, установленных законодательством РФ или согласием на обработку персональных данных.
Указанные в настоящем пункте сроки обработки персональных данных применяются, если иные сроки не установлены федеральным законом.
3.5.4..Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цель обработки персональных данных, указанная в п. 3.5., если срок хранения персональных данных не установлен федеральным законом.
3.5.5..Порядок уничтожения персональных данных, обрабатываемых для цели, указанной в п. 3.5.:
3.5.5.1. В случае достижения цели обработки персональных данных, указанной в п. 3.5., или в случае отзыва субъектом персональных данных согласия на обработку персональных данных, ИП обязан прекратить обработку и уничтожить персональные данные субъекта персональных данных ИП в срок, не превышающий 30 рабочих дней с даты достижения цели обработки или с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между ИП и субъектом персональных данных либо если ИП не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.
3.5.5.2. В целях оперативной организации уничтожения персональных данных на бумажных носителях (без использования средств автоматизации) приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке без использования средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в).фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г).перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных при их обработке без использования средств автоматизации подлежит хранению в течение 3 лет с момента уничтожения персональных данных.
3.5.5.3. При уничтожении персональных данных в ИСПДн (с использованием средств автоматизации), приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке с использованием средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование ИСПДн, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных в электронной форме, подписанный в соответствии с законодательством РФ, признается электронным документом, равнозначным акту об уничтожении персональных данных на бумажном носителе, подписанному собственноручной подписью лиц, указанных в пп. «в» настоящего пункта.
Помимо акта об уничтожении персональных данных при их обработке с использованием средств автоматизации документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является выгрузка из журнала регистрации событий в ИСПДн, которая должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование ИСПДн, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала регистрации событий в ИСПДн не позволяет указать отдельные сведения, предусмотренные в настоящем пункте, то недостающие сведения вносятся в акт об уничтожении персональных данных при их обработке с использованием средств автоматизации.
Акт об уничтожении персональных данных при их обработке с использованием средств автоматизации и выгрузка из журнала регистрации событий в ИСПДн подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
3.5.5.4. Документы, содержащие персональные данные субъектов персональных данных, уничтожаются путём измельчения в бумагорезательной машине или ином техническом устройстве, которое исключает дальнейшее использование документов в качестве первоисточника.
Персональные данные, обрабатываемые в ИСПДн, уничтожаются путём их стирания (удаления) в ИСПДн ИП.
3.6..Целью обработки персональных данных является исполнение договоров, стороной которых либо выгодоприобретателем или поручителем по которым является субъект персональных данных, а также заключение договоров по инициативе субъекта персональных данных или договоров, по которым субъект персональных данных будет являться выгодоприобретателем или поручителем.
3.6.1..Категории субъектов персональных данных, категории и перечень обрабатываемых персональных данных для цели, указанной в п. 3.6.:
а) Категория субъектов персональных данных: работники ИП (в том числе бывшие).
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- гражданство;
- пол;
-.сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
- сведения об опыте работы;
- сведения о трудовой деятельности, в том числе наличие поощрений, награждений и/или дисциплинарных взысканий;
- паспортные данные или данные документа, удостоверяющего личность;
- сведения о заработной плате;
- сведения о социальных льготах;
- сведения о трудовом и общем стаже;
- сведения о предыдущем месте работы;
- специальность;
- СНИЛС;
- ИНН;
- занимаемая должность;
- адрес места жительства (места регистрации) и адрес фактического проживания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- банковские реквизиты;
- иные персональные данные, предоставляемые работниками ИП, в том числе необходимые для цели, указанной в п. 3.6.
Категория обрабатываемых персональных данных: специальные. Перечень обрабатываемых персональных данных:
- сведения о судимости (в случаях и в порядке, которые определяются в соответствии с федеральными законами).
Категория обрабатываемых персональных данных: биометрические. Перечень обрабатываемых персональных данных:
- сведения о медицинском обследовании на предмет годности к осуществлению трудовых обязанностей;
- сведения об инвалидности.
б).Категория субъектов персональных данных: представители работников ИП, контрагентов (исполнители, продавцы) ИП, являющихся физическими лицами.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес регистрации (места жительства) или места пребывания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- сведения, содержащиеся в документе подтверждающим наличие полномочий;
-.иные персональные данные, предоставляемые представителями работников ИП контрагентов (исполнители, продавцы) ИП, являющихся физическими лицами, необходимые для цели, указанной в п. 3.6.
в) Категория субъектов персональных данных: контрагенты (исполнители, продавцы), являющиеся физическими лицами.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес регистрации (места жительства) или места пребывания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- ИНН;
- СНИЛС;
- банковские реквизиты;
-.иные персональные данные, предоставляемые контрагентами (исполнители, продавцы), являющимися физическими лицами, необходимые для цели, указанной в п. 3.6.
3.6.2..Способы обработки персональных данных для цели, указанной в п. 3.6.: автоматизированная и без использования средств автоматизации (смешанная), с передачей по внутренней сети ИП (при необходимости).
3.6.3..Сроки обработки персональных данных для цели, указанной в п. 3.6., определяются следующими условиями:
- до достижения цели обработки персональных данных;
- до окончания срока действия согласия на обработку персональных данных либо в случае его отзыва субъектом персональных данных, за исключением случаев, когда ИП вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в ФЗ «О персональных данных»;
- до истечения сроков хранения документов, содержащих персональные данные (на бумажных и электронных носителях);
- до истечения сроков исковой давности;
- до наступления иных событий, установленных законодательством РФ или договором, заключённым с субъектом персональных данных, или согласием на обработку персональных данных.
Указанные в настоящем пункте сроки обработки персональных данных применяются, если иные сроки не установлены федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
3.6.4..Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цель обработки персональных данных, указанная в п. 3.6., если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
3.6.5..Порядок уничтожения персональных данных, обрабатываемых для цели, указанной в п. 3.6.:
3.6.5.1. В случае достижения цели обработки персональных данных, указанной в п. 3.6., или в случае отзыва субъектом персональных данных согласия на обработку персональных данных, ИП обязан прекратить обработку и уничтожить персональные данные субъекта персональных данных ИП в срок, не превышающий 30 рабочих дней с даты достижения цели обработки или с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных, иным соглашением между ИП и субъектом персональных данных либо если ИП не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.
3.6.5.2..В целях оперативной организации уничтожения персональных данных на бумажных носителях (без использования средств автоматизации) приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке без использования средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных при их обработке без использования средств автоматизации подлежит хранению в течение 3 лет с момента уничтожения персональных данных.
3.6.5.3. При уничтожении персональных данных в ИСПДн (с использованием средств автоматизации), приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке с использованием средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование ИСПДн, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных в электронной форме, подписанный в соответствии с законодательством РФ, признается электронным документом, равнозначным акту об уничтожении персональных данных на бумажном носителе, подписанному собственноручной подписью лиц, указанных в пп. «в» настоящего пункта.
Помимо акта об уничтожении персональных данных при их обработке с использованием средств автоматизации документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является выгрузка из журнала регистрации событий в ИСПДн, которая должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование ИСПДн, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала регистрации событий в ИСПДн не позволяет указать отдельные сведения, предусмотренные в настоящем пункте, то недостающие сведения вносятся в акт об уничтожении персональных данных при их обработке с использованием средств автоматизации.
Акт об уничтожении персональных данных при их обработке с использованием средств автоматизации и выгрузка из журнала регистрации событий в ИСПДн подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
3.6.5.4. Документы, содержащие персональные данные субъектов персональных данных, уничтожаются путём измельчения в бумагорезательной машине или ином техническом устройстве, которое исключает дальнейшее использование документов в качестве первоисточника.
Персональные данные, обрабатываемые в ИСПДн, уничтожаются путём их стирания (удаления) в ИСПДн ИП.
3.7..Целью обработки персональных данных является ведение кадрового делопроизводства и соблюдение локальных нормативных актов ИП.
3.7.1..Категории субъектов персональных данных, категории и перечень обрабатываемых персональных данных для цели, указанной в п. 3.7.:
а) Категория субъектов персональных данных: работники ИП (в том числе бывшие).
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- гражданство;
- пол;
-.сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
- сведения об опыте работы;
- сведения о трудовой деятельности, в том числе наличие поощрений, награждений и/или дисциплинарных взысканий;
- сведения о доходе с предыдущего места работы;
- семейное положение, наличие детей, родственные связи;
- сведения о регистрации брака;
- паспортные данные или данные документа, удостоверяющего личность;
- сведения о воинском учете;
- сведения о заработной плате;
- сведения о социальных льготах;
- сведения о трудовом и общем стаже;
- сведения о предыдущем месте работы;
- специальность;
- СНИЛС;
- ИНН;
- занимаемая должность;
- адрес места жительства (места регистрации) и адрес фактического проживания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- иные персональные данные, предоставляемые работниками ИП, в том числе определённые действующим законодательством РФ, локальными нормативными актами ИП, условиями заключённого договора с субъектом персональных данных, необходимые для цели, указанной в п. 3.7.
Категория обрабатываемых персональных данных: специальные. Перечень обрабатываемых персональных данных:
- сведения о судимости (в случаях и в порядке, которые определяются в соответствии с федеральными законами).
Категория обрабатываемых персональных данных: биометрические. Перечень обрабатываемых персональных данных:
-.сведения о медицинском обследовании на предмет годности к осуществлению трудовых обязанностей;
- сведения об инвалидности.
3.7.2..Способы обработки персональных данных для цели, указанной в п. 3.7.: автоматизированная и без использования средств автоматизации (смешанная), с передачей по внутренней сети ИП (при необходимости).
3.7.3..Сроки обработки персональных данных для цели, указанной в п. 3.7., определяются следующими условиями:
- до достижения цели обработки персональных данных;
- до окончания срока действия согласия на обработку персональных данных либо в случае его отзыва субъектом персональных данных, за исключением случаев, когда ИП вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в ФЗ «О персональных данных»;
- до истечения сроков хранения документов, содержащих персональные данные (на бумажных и электронных носителях);
- до наступления иных событий, установленных законодательством РФ или договором, заключённым с субъектом персональных данных, или согласием на обработку персональных данных, или локальными нормативными актами ИП.
Указанные в настоящем пункте сроки обработки персональных данных применяются, если иные сроки не установлены федеральным законом.
3.7.4..Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цель обработки персональных данных, указанная в п. 3.7., если срок хранения персональных данных не установлен федеральным законом.
3.7.5..Порядок уничтожения персональных данных, обрабатываемых для цели, указанной в п. 3.7.:
3.7.5.1. В случае достижения цели обработки персональных данных, указанной в п. 3.7., или в случае отзыва субъектом персональных данных согласия на обработку персональных данных, ИП обязана прекратить обработку и уничтожить персональные данные субъекта персональных данных ИП в срок, не превышающий 30 рабочих дней с даты достижения цели обработки или с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных, иным соглашением между ИП и субъектом персональных данных либо если ИП не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.
3.7.5.2..В целях оперативной организации уничтожения персональных данных на бумажных носителях (без использования средств автоматизации) приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке без использования средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в).фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных при их обработке без использования средств автоматизации подлежит хранению в течение 3 лет с момента уничтожения персональных данных.
3.7.5.3. При уничтожении персональных данных в ИСПДн (с использованием средств автоматизации), приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке с использованием средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование ИСПДн, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных в электронной форме, подписанный в соответствии с законодательством РФ, признается электронным документом, равнозначным акту об уничтожении персональных данных на бумажном носителе, подписанному собственноручной подписью лиц, указанных в пп. «в» настоящего пункта.
Помимо акта об уничтожении персональных данных при их обработке с использованием средств автоматизации документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является выгрузка из журнала регистрации событий в ИСПДн, которая должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б).перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование ИСПДн, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала регистрации событий в ИСПДн не позволяет указать отдельные сведения, предусмотренные в настоящем пункте, то недостающие сведения вносятся в акт об уничтожении персональных данных при их обработке с использованием средств автоматизации.
Акт об уничтожении персональных данных при их обработке с использованием средств автоматизации и выгрузка из журнала регистрации событий в ИСПДн подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
3.7.5.4. Документы, содержащие персональные данные субъектов персональных данных, уничтожаются путём измельчения в бумагорезательной машине или ином техническом устройстве, которое исключает дальнейшее использование документов в качестве первоисточника.
Персональные данные, обрабатываемые в ИСПДн, уничтожаются путём их стирания (удаления) в ИСПДн ИП.
3.8..Целью обработки персональных данных является заключение и исполнение договоров с контрагентами (исполнители, продавцы), являющимися юридическими лицами или индивидуальными предпринимателями.
3.8.1..Категории субъектов персональных данных, категории и перечень обрабатываемых персональных данных для цели, указанной в п. 3.8.:
а).Категория субъектов персональных данных: представители контрагентов (исполнители, продавцы), являющихся юридическими лицами или индивидуальными предпринимателями.
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- паспортные данные или данные документа, удостоверяющего личность;
- адрес регистрации (места жительства) или места пребывания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- сведения, содержащиеся в документе подтверждающим наличие полномочий;
- иные персональные данные, предоставляемые контрагентами (исполнители, продавцы) и их представителями, в том числе необходимые для цели, указанной в п. 3.8.
3.8.2..Способы обработки персональных данных для цели, указанной в п. 3.8.: автоматизированная и без использования средств автоматизации (смешанная), с передачей по внутренней сети ИП (при необходимости).
3.8.3..Сроки обработки персональных данных для цели, указанной в п. 3.8., определяются следующими условиями:
- до достижения цели обработки персональных данных;
- до окончания срока действия согласия на обработку персональных данных либо в случае его отзыва субъектом персональных данных, за исключением случаев, когда ИП вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в ФЗ «О персональных данных»;
- до истечения сроков хранения документов, содержащих персональные данные (на бумажных и электронных носителях);
- до истечения сроков исковой давности;
- до наступления иных событий, установленных законодательством РФ, согласием на обработку персональных данных или локальными нормативными актами ИП.
Указанные в настоящем пункте сроки обработки персональных данных применяются, если иные сроки не установлены федеральным законом.
3.8.4..Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цель обработки персональных данных, указанная в п. 3.8., если срок хранения персональных данных не установлен федеральным законом.
3.8.5..Порядок уничтожения персональных данных, обрабатываемых для цели, указанной в п. 3.8.:
3.8.5.1. В случае достижения цели обработки персональных данных, указанной в п. 3.8., или в случае отзыва субъектом персональных данных согласия на обработку персональных данных, ИП обязана прекратить обработку и уничтожить персональные данные субъекта персональных данных ИП в срок, не превышающий 30 рабочих дней с даты достижения цели обработки или с даты поступления отзыва, либо если ИП не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.
3.8.5.2..В целях оперативной организации уничтожения персональных данных на бумажных носителях (без использования средств автоматизации) приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке без использования средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в).фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных при их обработке без использования средств автоматизации подлежит хранению в течение 3 лет с момента уничтожения персональных данных.
3.8.5.3. При уничтожении персональных данных в ИСПДн (с использованием средств автоматизации), приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке с использованием средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование ИСПДн, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных в электронной форме, подписанный в соответствии с законодательством РФ, признается электронным документом, равнозначным акту об уничтожении персональных данных на бумажном носителе, подписанному собственноручной подписью лиц, указанных в пп. «в» настоящего пункта.
Помимо акта об уничтожении персональных данных при их обработке с использованием средств автоматизации документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является выгрузка из журнала регистрации событий в ИСПДн, которая должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование ИСПДн, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала регистрации событий в ИСПДн не позволяет указать отдельные сведения, предусмотренные в настоящем пункте, то недостающие сведения вносятся в акт об уничтожении персональных данных при их обработке с использованием средств автоматизации.
Акт об уничтожении персональных данных при их обработке с использованием средств автоматизации и выгрузка из журнала регистрации событий в ИСПДн подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
3.8.5.4. Документы, содержащие персональные данные субъектов персональных данных, уничтожаются путём измельчения в бумагорезательной машине или ином техническом устройстве, которое исключает дальнейшее использование документов в качестве первоисточника.
Персональные данные, обрабатываемые в ИСПДн, уничтожаются путём их стирания (удаления) в ИСПДн ИП.
3.9. Целью обработки персональных данных является исполнение судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве.
3.9.1..Категории субъектов персональных данных, категории и перечень обрабатываемых персональных данных для цели, указанной в п. 3.9.:
а) Категория субъектов персональных данных: работники ИП (в том числе бывшие); контрагенты (исполнители, продавцы) ИП, являющиеся физическими лицами;
Категория обрабатываемых персональных данных: общие. Перечень обрабатываемых персональных данных:
- фамилия, имя, отчество;
- дата и место рождения;
- гражданство;
- пол;
- паспортные данные или данные документа, удостоверяющего личность;
- СНИЛС;
- ИНН;
- адрес места жительства (места регистрации) и адрес фактического проживания;
- контактные данные (номер телефона, адрес электронной почты и т.д.);
- банковские реквизиты;
- иные персональные данные, содержащиеся в судебных актах, актах других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве.
2.9.2..Способы обработки персональных данных для цели, указанной в п. 3.9.: автоматизированная и без использования средств автоматизации (смешанная), с передачей по внутренней сети ИП (при необходимости).
3.9.3..Сроки обработки персональных данных для цели, указанной в п. 3.9., определяются следующими условиями:
- до достижения цели обработки персональных данных;
- до истечения сроков хранения документов, содержащих персональные данные (на бумажных и электронных носителях);
- до истечения сроков исковой давности;
- до наступления иных событий, установленных законодательством РФ.
Указанные в настоящем пункте сроки обработки персональных данных применяются, если иные сроки не установлены федеральным законом.
3.9.4..Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цель обработки персональных данных, указанная в п. 3.9., если срок хранения персональных данных не установлен федеральным законом.
3.9.5..Порядок уничтожения персональных данных, обрабатываемых для цели, указанной в п. 3.9.:
3.9.5.1. В случае достижения цели обработки персональных данных, указанной в п. 3.9., или в случае отзыва субъектом персональных данных согласия на обработку персональных данных, ИП обязана прекратить обработку и уничтожить персональные данные субъекта персональных данных ИП в срок, не превышающий 30 рабочих дней с даты достижения цели обработки или с даты поступления отзыва, либо если ИП не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных ФЗ «О персональных данных» или другими федеральными законами.
3.9.5.2..В целях оперативной организации уничтожения персональных данных на бумажных носителях (без использования средств автоматизации) приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке без использования средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных при их обработке без использования средств автоматизации подлежит хранению в течение 3 лет с момента уничтожения персональных данных.
3.9.5.3. При уничтожении персональных данных в ИСПДн (с использованием средств автоматизации), приказом ИП назначается комиссия по уничтожению персональных данных, а также утверждается форма акта уничтожения персональных данных при их обработке с использованием средств автоматизации, которая должна содержать:
а) наименование и адрес ИП;
б) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
в) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
г) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
д) наименование ИСПДн, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных;
е) способ уничтожения персональных данных;
ё) причину уничтожения персональных данных;
ж) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
Акт об уничтожении персональных данных в электронной форме, подписанный в соответствии с законодательством РФ, признается электронным документом, равнозначным акту об уничтожении персональных данных на бумажном носителе, подписанному собственноручной подписью лиц, указанных в пп. «в» настоящего пункта.
Помимо акта об уничтожении персональных данных при их обработке с использованием средств автоматизации документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является выгрузка из журнала регистрации событий в ИСПДн, которая должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование ИСПДн, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала регистрации событий в ИСПДн не позволяет указать отдельные сведения, предусмотренные в настоящем пункте, то недостающие сведения вносятся в акт об уничтожении персональных данных при их обработке с использованием средств автоматизации.
Акт об уничтожении персональных данных при их обработке с использованием средств автоматизации и выгрузка из журнала регистрации событий в ИСПДн подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
3.9.5.4. Документы, содержащие персональные данные субъектов персональных данных, уничтожаются путём измельчения в бумагорезательной машине или ином техническом устройстве, которое исключает дальнейшее использование документов в качестве первоисточника.
Персональные данные, обрабатываемые в ИСПДн, уничтожаются путём их стирания (удаления) в ИСПДн ИП.
3.10. Указанные в настоящем разделе сведения и документы, содержащие персональные данные, являются конфиденциальными. Режим конфиденциальности персональных данных снимается в случаях обезличивания, включения их в общедоступные источники персональных данных или по истечении срока хранения, если иное не определено законодательством РФ.

4. ПРАВА И ОБЯЗАННОСТИ
4.1. В целях обеспечения прав и свобод человека и гражданина ИП и её работники при обработке персональных данных субъектов персональных данных обязаны соблюдать общие требования, установленные ФЗ «О персональных данных», в том числе следующие:
4.1.1..При определении объёма и содержания, обрабатываемых персональных данных работники ИП должны руководствоваться следующими документами:
- Конституцией РФ;
- Гражданским кодексом РФ;
- Трудовым кодексом РФ;
- Налоговым кодексом РФ;
- ФЗ "Об обществах с ограниченной ответственностью";
- ФЗ "О бухгалтерском учете";
- ФЗ "Об обязательном пенсионном страховании в РФ";
- Законом РФ от 19.04.1991 N 1032-1 "О занятости населения в РФ";
- ФЗ "О персональных данных";
- ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма";
- ФЗ "О воинской обязанности и военной службе";
- Постановлением Правительства РФ от 27.11.2006 г. N 719 "Об утверждении Положения о воинском учёте"
- ФЗ "Об индивидуальном (персонифицированном) учёте в системах обязательного пенсионного страхования и обязательного социального страхования";
- Постановлением Правительства РФ от 26.02.2021 г. N 270 "О некоторых вопросах контроля за оборотом драгоценных металлов, драгоценных камней и изделий из них на всех этапах этого оборота и внесении изменений в некоторые акты Правительства РФ";
- ФЗ «Об уполномоченном по правам потребителей финансовых услуг»;
- Законом РФ «О защите прав потребителей»;
- Постановлением Правительства РФ от 31.07.2017 N 913 "Об утверждении Правил представления юридическими лицами информации о своих бенефициарных владельцах и принятых мерах по установлению в отношении своих бенефициарных владельцев сведений, предусмотренных Федеральным законом "О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма", по запросам уполномоченных органов государственной власти";
-.Положением Банка России от 12.12.2014 г. N 444-П "Об идентификации некредитными финансовыми организациями клиентов, представителей клиента, выгодоприобретателей, бенефициарных владельцев в целях противодействия легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма";
- Указанием Банка России от 30.12.2015 г. N 3927-У "О формах, сроках и порядке составления и представления в Банк России документов, содержащих отчёт о деятельности ломбарда и отчет о персональном составе руководящих органов ломбарда";
- договорами, заключаемыми между ИП и субъектом персональных данных;
-.согласие на обработку персональных данных, в том числе согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения;
- иными нормативными правовыми актами, локальными нормативными актами ИП, регулирующие отношения, связанные с деятельностью ИП в области обработки персональных данных.
4.1.2..При сборе персональных данных ИП обязан предоставить субъекту персональных данных по его просьбе следующую информацию:
1) подтверждение факта обработки персональных данных ИП;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных данных;
4).наименование и место нахождения ИП, сведения о лицах (за исключением работников ИП), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с ИП или на основании федерального закона;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ «О персональных данных»;
8) информацию об осуществлённой или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению ИП, если обработка поручена или будет поручена такому лицу;
10) информацию о способах исполнения ИП обязанностей, установленных ст. 18.1 ФЗ «О персональных данных»;
11) иные сведения, предусмотренные ФЗ «О персональных данных или другими федеральными законами.
4.1.3. ИП не имеет права получать и обрабатывать персональные данные субъектов персональных данных об их политических, религиозных и иных убеждениях и частной жизни, за исключением случаев, предусмотренных ч. 2 ст. 10 ФЗ «О персональных данных».
4.1.4..ИП имеет иные права и исполняет иные обязанности, предусмотренные действующим законодательством, локальными нормативными актами ИП в области обработки и обеспечения защиты персональных данных, в частности Политикой ИП в отношении обработки персональных данных.
4.2. Субъект персональных данных имеет следующие права:
- получение информации, касающейся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами
- требовать от ИП уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принятие предусмотренных законодательством РФ мер по защите своих прав;
- принимать предусмотренные законом меры по защите своих прав;
- обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействия ИП при обработке своих персональных данных;
- на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;
-.работники ИП имеют право на доступ к медицинским данным с помощью медицинского специалиста по своему выбору.
-.иные права, предусмотренные действующим законодательством РФ, локальными нормативными актами ИП в области обработки персональных данных.
4.3. Работники ИП обязаны:
4.3.1. передавать ИП комплекс достоверных документированных персональных данных, перечень которых установлен Трудовым кодексом РФ, локальными нормативными актами ИП;
4.3.2. Своевременно в разумный срок, но не превышающий 3 (Трёх) дней, сообщать ИП об изменении своих персональных данных способом, позволяющим подтвердить факт направления в адрес ИП.
4.4. Субъект персональных данных несёт обязанности, предусмотренные действующим законодательством РФ, локальными нормативными актами ИП, в частности Политикой ИП в отношении обработки персональных данных.

5. СБОР, ОБРАБОТКА И ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Правила обработки персональных данных в ИСПДн устанавливаются в инструкции пользователя информационной системы персональных данных.
5.2. Обработка персональных данных ИП осуществляется в следующих случаях:
1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Субъект персональных данных принимает решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе. согласия на обработку своих персональных данных ИП. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Форма такого согласия установлена в Приложении № 1 к настоящему Положению, в соответствии со ст. 9 ФЗ «О персональных данных». Согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных по форме Приложения № 2 к настоящему Положению, в соответствии со ст. 10.1 ФЗ «О персональных данных» и нормативным актом Роскомнадзора.
2)..обработка персональных данных необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на ИП функций, полномочий и обязанностей;
3)..обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве;
4) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
5) в иных случаях, указанных в разделе 3 настоящего Положения.
Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
В случае отзыва субъектом персональных данных согласия на обработку персональных данных ИП вправе продолжить обработку персональных данных без его согласия при наличии оснований, установленных ФЗ «О персональных данных».
5.3. При получении персональных данных не от субъекта персональных данных (за исключением случаев, предусмотренных ч. 4 ст. 18 ФЗ «О персональных данных) ИП до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
- наименование (фамилия, имя, отчество) и адрес ИП;
- цель обработки персональных данных и ее правовое основание;
- предполагаемые пользователи персональных данных;
- установленные ФЗ «О персональных данных» права субъекта персональных данных;
- источник получения персональных данных.
5.4. Лица, правомочные осуществлять обработку персональных данных в ИП со дня приёма на работу на соответствующие должности, заполняют и предоставляют в ИП соглашение о неразглашении персональных данных по форме, установленной в Приложении № 3.
5.5. ИП, получая от клиентов, контрагентов (исполнители, продавцы) ИП, являющихся юридическими лицами или индивидуальными предпринимателями, персональные данные их представителей удостоверена в том, что такие клиенты, контрагенты (исполнители, продавцы) имеют соответствующие согласия на обработку персональных данных таких субъектов персональных данных, в том числе с передачей персональных данных ИП. ИП может запросить такие согласия у клиентов, контрагентов (исполнители, продавцы) ИП, являющихся юридическими лицами или индивидуальными предпринимателями.

6. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. При передаче персональных данных ИП должен соблюдать следующие требования:
6.1.1. Персональные данные субъектов персональных данных могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде (посредством локальной компьютерной сети, ИСПДн, сети «Интернет» в предусмотренных законодательством РФ случаях, и т.д.).
6.1.2. Персональные данные без согласия субъекта персональных данных или, если это не предусмотрено действующим законодательством РФ, третьим лицам не передаются.
6.1.3. ИП обеспечивает субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешённых субъектом персональных данных для распространения. В согласии на обработку персональных данных, разрешённых субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ ИП в установлении субъектом персональных данных запретов и условий, предусмотренных в настоящем пункте, не допускается.
6.1.4. ИП опубликовывает в срок не позднее трёх рабочих дней с момента получения соответствующего согласия субъекта персональных данных информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешённых субъектом персональных данных для распространения.
6.1.5. ИП прекращает в любое время по требованию субъекта персональных данных передачи (распространения, предоставления, доступа) персональных данных, разрешённых субъектом персональных данных для распространения. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только ИП.
6.2..Трансграничная передача персональных данных субъектов персональных данных не осуществляется.
6.3..Все технические средства обработки персональных данных (рабочие станции, серверы, информационные системы персональных данных (ИСПДн)) находятся в пределах РФ по адресу зарегистрированному ИП.
6.4..Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешённых субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений настоящей статьи или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трёх рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трёх рабочих дней с момента вступления решения суда в законную силу.
6.5. В зависимости от целей обработки персональных данных, указанных в разделе 3 настоящего Положения, содержания согласия на обработку персональных данных, в том числе разрешённых субъектом персональных данных для распространения, требований законодательства РФ и условий заключённого с субъектом персональных данных договора, передача персональных данных может осуществляться внутри ИП между работниками ИП, имеющими право обрабатывать персональные данные, между обособленными подразделениями ИП (при наличии), как в бумажной, так и в электронной форме, а также могут предоставляться третьим лицам в указанных формах.

7. ПОРЯДОК БЛОКИРОВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1..В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных ИП обязана осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению ИП) с момента такого обращения или получения указанного запроса на период проверки.
7.2. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных ИП обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению ИП) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
7.3. В случае подтверждения факта неточности персональных данных ИП на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению ИП) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
7.4. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в частях 3 - 5.1 ст. 21 ФЗ «О персональных данных», ИП осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению ИП) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

8. ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ
8.1. Работники ИП должны иметь доступ только к тем персональным данным, которые необходимы им для выполнения своих должностных (трудовых) обязанностей.
Список лиц, допущенных к обработке персональных данных субъектов персональных данных, утверждается приказом ИП.
Доступ иных лиц к персональным данным, обрабатываемым ИП, может быть предоставлен исключительно в предусмотренных законодательством РФ случаях и в установленном законом порядке.
8.2. Субъект персональных данных или его представитель имеют право доступа к персональным данным при личном обращении или при направлении в ИП соответствующего запроса, за исключением случаев, указанных в ст. 14 ФЗ «О персональных данных».
Полномочия представителя субъекта персональных данных подтверждаются доверенностью, оформленной в порядке ст. ст. 185 и 185.1 Гражданского кодекса РФ, ч. 2 ст. 53 Гражданского процессуального кодекса РФ или удостоверенной нотариально согласно ст. 59 Основ законодательства РФ о нотариате. Копия доверенности представителя, хранится у ИП не менее трёх лет, а в случае, если срок хранения персональных данных больше трёх лет, - не менее срока хранения персональных данных.
8.3. С целью организации своевременной обработки запросов и обращений субъектов персональных данных (их представителей) в ИП разработаны и утверждены правила рассмотрения обращений субъектов персональных данных (их представителей).
Работники ИП, в обязанность которых входит обработка обращений субъектов персональных данных, обязаны обеспечить каждому обратившемуся возможность ознакомления с документами и материалами, содержащими их персональные данные, если иное не предусмотрено законом, в соответствии с правилами рассмотрения обращений субъектов персональных данных (их представителей).
8.5. ИП должен предоставить персональные данные субъекту персональных данных в доступной форме. В них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
8.6. ИП обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных, по месту своего расположения в рабочее время.
8.7. ИП вправе предоставлять персональные данные субъекту персональных данных третьим лицам, если на это дано согласие субъекта персональных данных или если это предусмотрено действующим законодательством.
8.6. В случае обнаружения нарушений правил обработки персональных данных субъекта персональных данных в ИП и/или ответственный за организацию обработки персональных данных обязаны приостановить предоставление персональных данных до выявления и устранения причин нарушений.
8.7. Работники ИП, не имеющие доступа к персональным данным в соответствии с утверждённым приказом ИП списком, могут быть допущены к ним на основании отдельного приказа, подписанного ИП.
8.8. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.

9. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. В целях обеспечения сохранности и конфиденциальности персональных данных субъектов персональных данных все операции по оформлению, формированию, ведению и хранению данной информации должны выполняться только работниками, осуществляющими данную работу в соответствии со своими служебными (трудовыми) обязанностями, зафиксированными в их должностных инструкциях или приказами ИП.
9.2. Защита персональных данных при их обработке без использования средств автоматизации регламентируется правилами обработки персональных данных без использования средств автоматизации.
Защита персональных данных при их обработке в ИСПДн регламентирована инструкцией пользователя ИСПДн и другими локальными нормативными актами ИП.
9.3. Ответы на письменные запросы уполномоченных организаций и учреждений в пределах их компетенции и предоставленных полномочий даются в письменной форме на бланке ИП и в том объёме, который позволяет не разглашать излишний объем персональных сведений субъектов персональных данных.
9.4. Передача информации, содержащей сведения о персональных данных субъектов персональных данных, по телефону, факсу, электронной почте без письменного согласия субъектов персональных данных запрещается.
9.5. Документы, оформленные на бумажных носителях или на материальных носителях, содержащие персональные данные субъектов персональных данных, хранятся в сейфах, металлических шкафах и т.д. в помещениях, обеспечивающих защиту от несанкционированного доступа, оснащённых специальными средствами охранно-пожарной сигнализации.
9.6..Персональные компьютеры (вычислительная техника), в которых содержатся персональные данные, должны быть защищены паролями доступа, а также иметь программы, обеспечивающие защиту от неизвестных угроз (антивирусы и т.д.).
9.7..В ИП проводится периодическое тестирование (проверка) средств защиты персональных данных.
9.8. При направлении персональных данных третьим лицам (в случае наличия согласия на обработку персональных данных или в силу положений законодательства РФ) ИП использует средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации, в частности применяются шифровальные (криптографические) средства.
9.9. Для обеспечения защищённости персональных данных при их обработке в ИСПДн в ИП, в частности:
- назначено должностное лицо (работник), ответственное за обеспечение безопасности персональных данных в информационной системе;
- доступ к содержанию электронного журнала сообщений возможен исключительно для работников ИП или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.
9.10. ИП осуществляет взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ в порядке, установленном действующим законодательством РФ.
9.11. Контроль за выполнением требований к защите персональных данных при их обработке в ИСПДн организуется и проводится ИП самостоятельно и/или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанный контроль проводится не реже 1 раза в 3 года в течение трёх месяцев со дня начала календарного года, в котором должен осуществляться контроль.
9.12. ИП осуществляет взаимодействие с Роскомнадзором в целях учёта в реестре учёта инцидентов в области персональных данных информации о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных.
Указанное взаимодействие осуществляется в форме направления ИП в Роскомнадзор уведомления о таких фактах, содержащего:
- информацию о произошедшем инциденте (первичное уведомление);
-.информацию о результатах внутреннего расследования выявленного инцидента (дополнительное уведомление).
Первичное уведомление должно содержать:
1) сведения о произошедшем инциденте (дату и время выявления инцидента, характеристику (характеристики) персональных данных (содержание базы данных, ставшей доступной неограниченному кругу лиц в результате неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных (далее - скомпрометированная база данных), количество содержащихся в ней записей. Дополнительно ИП может представить информацию об актуальности скомпрометированной базы данных, а также о периоде, в течение которого собраны персональные данные);
2) сведения о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных (предварительные причины неправомерного распространения персональных данных, повлекшего нарушение прав субъектов персональных данных);
3) сведения о предполагаемом вреде, нанесённом правам субъектов персональных данных (результаты предварительной оценки вреда, который может быть нанесён субъектам персональных данных, в связи с неправомерным распространением персональных данных, а также последствия такого вреда, проведённой в соответствии с п. 5 ч. 1 ст. 18.1 ФЗ «О персональных данных»;
4) сведения о принятых мерах по устранению последствий соответствующего инцидента (перечень принятых ИП организационных и технических мер по устранению последствий инцидента в соответствии со статьями 18.1, 19 ФЗ «О персональных данных»;
5) сведения о лице, уполномоченном оператором на взаимодействие с Роскомнадзором по вопросам, связанным с выявленным инцидентом;
6) полное и сокращённое (при наличии) наименование ИП;
7) ИНН ИП;
8) адрес ИП в пределах места нахождения ИП;
9) адрес электронной почты (при наличии);
10) иные сведения и материалы, находящиеся в распоряжении ИП, в том числе об источнике получения информации об инциденте, а также подтверждающие принятие мер по устранению последствий инцидента (при наличии).
Дополнительное уведомление должно содержать:
1) сведения о результатах внутреннего расследования выявленного инцидента (информация о причинах, повлекших нарушение прав субъектов персональных данных, и вреде, нанесённом правам субъектов персональных данных, о дополнительно принятых мерах по устранению последствий соответствующего инцидента (при наличии), а также о решении ИП, о проведении внутреннего расследования с указанием его реквизитов);
2) о лицах, действия которых стали причиной выявленного инцидента (при наличии) (фамилия, имя, отчество (при наличии) должностного лица ИП с указанием должности (если причиной инцидента стали действия сотрудника ИП), фамилия, имя, отчество (при наличии) физического лица, индивидуального предпринимателя или полное наименование юридического лица, действия которых стали причиной выявленного инцидента, IP-адрес компьютера или устройства, предполагаемое местонахождение таких лиц и (или) устройств (если причиной инцидента стали действия посторонних лиц) и иные сведения о выявленном инциденте, имеющиеся в распоряжении ИП).
В случае если ИП на момент направления первичного уведомления располагает сведениями о результатах внутреннего расследования выявленного инцидента, то она вправе указать такие сведения в первичном уведомлении.
Уведомление направляется в виде документа на бумажном носителе или в форме электронного документа.
Уведомление в виде документа на бумажном носителе направляется по адресу Роскомнадзора.
Уведомление в форме электронного документа направляется ИП посредством заполнения специализированной формы, размещённой на Портале персональных данных Роскомнадзора в информационно-телекоммуникационной сети "Интернет" (далее – Портал), после прохождения процедуры идентификации и аутентификации посредством федеральной государственной информационной системы "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме" (Постановление Правительства РФ от 10 июля 2013 г. N 584 "Об использовании федеральной государственной информационной системы "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме" (ЕСИА) и подписывается электронной подписью в соответствии с ФЗ "Об электронной подписи".
ИП с момента поступления уведомления в Роскомнадзор по адресу электронной почты, указанному в первичном уведомлении, направляется информационное письмо, содержащее сведения о дате и времени передачи уведомления в информационную систему Роскомнадзора, а также номер и ключ уведомления. При направлении дополнительного уведомления посредством Портала ИП должна указать номер и ключ уведомления.
Оператор предоставляет недостающие сведения и (или) пояснения относительно некорректности представленных в уведомлении сведений в Роскомнадзор в течение трёх рабочих дней со дня получения соответствующего запроса от Роскомнадзора.
Оператор предоставляет ответ на требование Роскомнадзора о необходимости представить сведения о результатах внутреннего расследования выявленного инцидента в течение одного рабочего дня со дня получения такого требования в виде документа на бумажном носителе или в форме электронного документа.
ИП, которой направлено требование о необходимости представить уведомление, направляет его в Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 ФЗ «О персональных данных».
В случае неподтверждения ИП факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, и (или) не установления принадлежности скомпрометированной базы данных, содержащей персональные данные, ИП при выявлении такого инцидента Роскомнадзором или иным заинтересованным лицом, ИП направляется уведомление, предусмотренное ч. 3.1 ст. 21 ФЗ «О персональных данных». В указанном случае к дополнительному уведомлению ИП прикладывается акт о проведённом внутреннем расследовании, подтверждающий отсутствие факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, и (или) неустановления принадлежности скомпрометированной базы данных, содержащей персональные данные, ИП в деятельности ИП.
В случае установления ИП, Роскомнадзором или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, содержащихся в базе данных, характеристики которых полностью соответствуют ранее скомпрометированной базе данных, ИП направляется уведомление, предусмотренное ч. 3.1 ст. 21 ФЗ «О персональных данных». В указанном случае при направлении уведомления ИП указывается дата и номер ранее направленного уведомления, содержащего сведения, предусмотренные ч. 3.1 ст. 21 ФЗ «О персональных данных», о ранее скомпрометированной базе данных, содержащей персональные данные.

10. ПРОЦЕДУРЫ, НАПРАВЛЕННЫЕ НА ВЫЯВЛЕНИЕ И ПРЕДОТВРАЩЕНИЕ НАРУШЕНИЙ ЗАКОНОДАТЕЛЬСТВА РФ В СФЕРЕ ПЕРСОНАЛЬНЫХ ДАННЫХ И УСТРАНЕНИЕ ИХ ПОСЛЕДСТВИЙ
10.1 К процедурам, направленным на выявление и предотвращение нарушений законодательства РФ в сфере персональных данных и устранение таких последствий, относятся:
- реализация мер, направленных на обеспечение выполнения ИП своих обязанностей;
- выполнение предусмотренных законодательством РФ обязанностей, возложенных на ИП;
- обеспечение персональной ответственности работников, осуществляющих обработку либо имеющих доступ к персональным данным;
-.организация рассмотрения запросов субъектов персональных данных или их представителей и ответов на такие запросы;
- организация внутреннего контроля соответствия обработки персональных данных требованиям к защите, установленным действующим законодательством РФ и локальными нормативными актами ИП;
- сокращение объёма обрабатываемых данных;
- стандартизация операций, осуществляемых с персональными данными;
-.определение порядка доступа работников ИП в помещения, в которых ведётся обработка персональных данных;
- проведение необходимых мероприятий по обеспечению безопасности персональных данных и носителей персональных данных;
- проведение периодических проверок условий обработки персональных данных;
- повышение осведомлённости работников, имеющих доступ к персональным данным, путём ознакомления с положениями законодательства РФ, локальными нормативными актами ИП и организации обучения;
-.блокирование, внесение изменений и уничтожение персональных данных в предусмотренных действующим законодательством РФ случаях;
-.оповещение субъектов персональных данных в предусмотренных действующим законодательством РФ случаях;
-.разъяснение прав субъектам персональных данных в вопросах обработки и обеспечения безопасности персональных данных;
-.публикация и обеспечение доступа неограниченному кругу лиц документов, определяющих политику в отношении обработки персональных данных;
-.оценка вреда в соответствии с требованиями, установленными Роскомнадзором, который может быть причинён субъектам персональных данных в случае нарушения ФЗ «О персональных данных», соотношение указанного вреда и принимаемых ИП мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ «О персональных данных».
Указанный перечень процедур не является закрытым и может дополняться.
10.2. Оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения ФЗ «О персональных данных», осуществляется ответственным за организацию обработки персональных данных либо комиссией, образуемой ИП.
ИП для целей оценки вреда определяет одну из степеней вреда, который может быть причинён субъекту персональных данных в случае нарушения ФЗ «О персональных данных»:
10.2.1. Высокую в случаях:
- обработки сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются ИП для установления личности субъекта персональных данных, за исключением случаев, установленных федеральными законами, предусматривающими цели, порядок и условия обработки биометрических персональных данных;
- обработки специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, сведений о судимости, за исключением случаев, установленных федеральными законами, предусматривающими цели, порядок и условия обработки специальных категорий персональных данных;
- обработки персональных данных несовершеннолетних для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является несовершеннолетний, а также для заключения договора по инициативе несовершеннолетнего или договора, по которому несовершеннолетний будет являться выгодоприобретателем или поручителем в случаях, не предусмотренных законодательством РФ;
- обезличивания персональных данных, в том числе с целью проведения оценочных (скоринговых) исследований, оказания услуг по прогнозированию поведения потребителей товаров и услуг, а также иных исследований, не предусмотренных п. 9 ч. 1 ст. 6 ФЗ «О персональных данных»;
-.поручения иностранному лицу (иностранным лицам) осуществлять обработку персональных данных граждан РФ;
- сбора персональных данных с использованием баз данных, находящихся за пределами РФ.
10.2.2. Среднюю в случаях:
- распространения персональных данных на официальном сайте в информационно-телекоммуникационной сети "Интернет" ИП (при наличии), а равно предоставление персональных данных неограниченному кругу лиц, за исключением случаев, установленных федеральными законами, предусматривающими цели, порядок и условия такой обработки персональных данных;
-..обработки персональных данных в дополнительных целях, отличных от первоначальной цели сбора;
- продвижения товаров, услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с использованием баз персональных данных, владельцем которых является иной оператор;
- получения согласия на обработку персональных данных посредством реализации на официальном сайте в информационно-телекоммуникационной сети "Интернет" функционала, не предполагающего дальнейшую идентификацию и (или) аутентификацию субъекта персональных данных;
- осуществления деятельности по обработке персональных данных, предполагающей получение согласия на обработку персональных данных, содержащего положения о предоставлении права осуществлять обработку персональных данных определённому и (или) неопределённому кругу лиц в целях, несовместимых между собой.
10.2.2. Низкую в случаях:
-.ведения общедоступных источников персональных данных, сформированных в соответствии со ст. 8 ФЗ «О персональных данных»;
- назначения в качестве ответственного за обработку персональных данных лица, не являющегося штатным сотрудником ИП.
10.3. Результаты оценки вреда оформляются актом оценки вреда, который должен содержать:
а) наименование и адрес ИП;
б) дату издания акта оценки вреда;
в) дату проведения оценки вреда;
г).фамилию, имя, отчество (при наличии), должность лиц (лица) (при наличии), проводивших оценку вреда, а также их (его) подпись;
д) степень вреда, которая может быть причинена субъекту персональных данных, в соответствии с пп.10.2.1 – 10.2.3 п. 10.2 настоящего Положения.
Акт оценки вреда в электронной форме, подписанный в соответствии с ФЗ «Об электронной подписи» электронной подписью, признаётся электронным документом, равнозначным акту оценки вреда на бумажном носителе, подписанному собственноручной подписью.
В случае если по итогам проведённой оценки вреда установлено, что в рамках деятельности по обработке персональных данных субъекту персональных данных в соответствии пп.10.2.1 – 10.2.3 п. 10.2 настоящего Положения могут быть причинены различные степени вреда, подлежит применению более высокая степень вреда.

11. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ,
РЕГУЛИРУЮЩИХ ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
11.1..Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъектов персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.
11.2..Моральный вред, причинённый субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к защите персональных данных, установленных ФЗ «О персональных данных», подлежит возмещению в соответствии с законодательством РФ.
11.3. Неправомерность деятельности органов государственной власти и организаций по сбору персональных данных может быть установлена в судебном порядке по требованию субъекта персональных данных, действующего на основании законодательства о персональных данных.
11.4. В случае, когда нарушение конфиденциальности, целостности или доступности персональных данных повлекло за собой какие-либо финансовые потери для ИП, виновные должностные лица обязаны возместить причинённый ущерб.
12. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ.
12.1. Настоящее Положение подлежит изменению, дополнению в случае появления новых нормативных правовых актов по обработке и защите персональных данных и/или в случае изменения внутренних процессов ИП по обработке и защите персональных данных.
12.2..Контроль исполнения требований настоящего Положения осуществляется ответственным за организацию обработки персональных данных в ИП.
12.3..Во всём, что не предусмотрено в настоящем Положении, работники ИП руководствуются положениями действующего законодательства РФ, локальными нормативными актами ИП по обработке и защиты персональных данных.