Положення про обробку і захист персональних даних у базах персональних даних, власником яких є продавець

Зміст:

1. Загальні поняття та сфера застосування.
2. Список індивідуальних баз даних.
3. Мета обробки персональних даних.
4. Порядок обробки персональних даних: одержання згоди, передача прав та дій на персональні дані суб'єкта даних.
5. Місцезнаходження бази персональних даних.
6. Умови передачі персональних даних третім особам.
7. Захист персональних даних: методи захисту, відповідальні особи, співробітники, які обробляють та/або отримують доступ до персональних даних безпосередньо у зв'язку з виконанням своїх службових завдань, тривалість зберігання персональних даних.
8. Права суб’єкта персональних даних.
9. Порядок опрацювання запитів від суб'єкта персональних даних.
10. Державна реєстрація бази персональних даних.

1. Загальні поняття та сфера застосування.

1.1. Визначення термінів:

Персональна база даних – це сукупність персональних даних, відсортованих в електронному вигляді та/або у вигляді листів персональних даних.

Відповідальний – конкретна особа, яка відповідно до законодавства організовує роботу, пов’язану із захистом персональних даних під час їх обробки.

Власник бази персональних даних – фізична або юридична особа, яка за законом або за згодою заінтересованої особи має право на обробку таких даних, узгодивши мету обробки персональних даних у цій базі даних, визначає склад даних та відповідні методи обробки.

Державний реєстр баз персональних даних – єдина державна інформаційна система для збору, зберігання та обробки інформації про зареєстровані бази персональних даних.

Загальнодоступні джерела персональних даних – довідники, адресні книги, реєстри та інші систематичні збірники публічної інформації, що містять персональні дані, опубліковані та розкриті з відома суб’єкта персональних даних.

Соціальні мережі та онлайн-ресурси, в яких суб’єкт залишає свої персональні дані, не вважаються загальнодоступними джерелами персональної інформації (якщо суб’єкт даних прямо не вказує, що персональні дані публікуються для вільного поширення та використання).

Згода суб’єкта даних – це будь-який добровільний та документально підтверджений прояв бажання особи дати дозвіл на обробку своїх персональних даних відповідно до заявленої мети їх обробки.

Анонімізація персональних даних – експорт (вилучення) персональної інформації.

Обробка персональних даних – будь-яка дія або сукупність дій, що виконуються повністю або частково в інформаційній системі (автоматизованій) та файлах персональних даних, пов'язаних зі збором, записом, зберіганням, архівуванням, персоналізацією, модифікацією, оновленням, використанням і розповсюдженням, деперсоналізацією, знищенням персональної інформації.

Персональні дані – інформація про особу, яка є або може бути конкретно ідентифікована.

Розпорядник бази персональних даних – фізична або юридична особа, якій надано право на обробку таких даних власником бази персональних даних або законом.

Суб'єкт персональних даних – це особа, для якої обробляються її персональні дані відповідно до законодавства.

Третя особа – будь-яка особа, крім суб'єкта персональних даних, власника або розпорядника бази персональних даних та державного органу, уповноваженого на захист персональної інформації, якому власник або адміністратор бази персональних даних передає персональні дані відповідно до законодавства.

Особливими категоріями даних є персональні дані про расове чи етнічне походження, політичні, релігійні чи ідеологічні переконання, участь у політичних партіях і профспілках, а також дані про здоров’я чи статеве життя.

1.2. Це Положення є обов’язковим для виконання керівником та співробітниками продавця, які обробляють та/або мають безпосередній доступ до персональних даних у зв’язку з виконанням службових обов’язків.

2. Список індивідуальних баз даних.

2.1. Продавець має такі персональні бази даних:

• база персональних даних контрагентів

3. Мета обробки персональних даних.

3.1. Метою системи обробки персональних даних є зберігання та обслуговування даних про контрагентів відповідно до статей 6 та 7 Закону України «Про захист персональних даних».

3.2. Метою обробки персональних даних є забезпечення здійснення цивільно-правових відносин, надання/отримання та оплата придбаних товарів/послуг відповідно до Податкового кодексу України, Закону про бухгалтерський облік та фінансову звітність в Україні.

4. Порядок обробки персональних даних: одержання згоди, передача прав та дій на персональні дані суб'єкта даних.

4.1. Згода суб'єкта даних має бути добровільним вираженням волі суб'єкта даних дати згоду на обробку його чи її персональних даних відповідно до заявленої мети їх обробки. Згода зацікавленої особи може бути надана у таких формах:

• Роздрукований документ із даними, що ідентифікують цей паперовий носій та людину;
• Комп'ютерний документ, який має містити обов'язкові дані, що дозволяють ідентифікувати цей документ та фізичну особу. Добровільна заява про намір суб'єкта обробляти його чи її персональні дані має бути підтверджена електронним підписом суб'єкта даних;
• Відмітка в електронному файлі, який розміщується на веб-сайті або в інформаційній системі на основі задокументованих програмних та апаратних рішень.

4.2. Згода заінтересованої особи надається при реєстрації цивільних правовідносин відповідно до чинного законодавства.

4.3. Розкриття інформації про суб'єкта персональних даних щодо включення його персональних даних до персональної бази даних, прав, визначених Законодавством України «Про захист персональних даних», цілей збору даних та осіб, яким його персональні дані будуть передані під час оформлення цивільно-правових відносин відповідно до чинного законодавства.

4.4. Забороняється обробка персональних даних, що стосуються расового чи етнічного походження, політичних поглядів, релігійних чи ідеологічних переконань, участі в політичних партіях та профспілках, а також даних щодо здоров'я чи статевого життя (особливі категорії даних).

5. Місцезнаходження бази персональних даних.

5.1. Персональні бази даних, зазначені в розділі 2 цих Правил, мають зберігатися за адресою продавця.

6. Умови передачі персональних даних третім особам.

6.1. Процедура доступу до персональних даних третіх осіб ґрунтується на умовах згоди суб'єкта даних, наданого власнику персональної бази даних на обробку цих даних, або відповідно до вимог чинного законодавства.

6.2. Доступу до персональних даних не буде надано третім особам, якщо ця особа відмовляється виконувати вимоги Закону України «Про захист персональних даних» або не може їх надати.

6.3. Предметом відносин щодо персональних даних є запит на доступ (далі – запит) до персональних даних власника персональної бази даних.

6.4. У запиті необхідно зазначити:

• прізвище, ім'я та по батькові, місце проживання (місце) та реквізити документа, що засвідчує особу, яка подає заяву (у разі фізичної особи – заявник);
• назва, місцезнаходження юридичної особи-заявника, посада, прізвище, ім'я та по батькові особи, яка засвідчує заявку; Підтвердження відповідності змісту заявки повноваженням юридичної особи (для юридичної особи – заявника);
• прізвище, ім'я та по батькові, а також інша інформація, що дозволяє ідентифікувати фізичну особу, на яку подається заява;
• інформація про особисту базу даних, для якої створюється програма, або інформація про власника або адміністратора цієї бази даних;
• список персональних даних, що запитуються;
• ціль запиту.

6.5. Строк розгляду заяви про задоволення не може перевищувати десяти робочих днів з дня її отримання.

Протягом цього періоду власник особистої бази даних повідомляє заявника про те, що заявку буде дотримано або що відповідні персональні дані не будуть надані, вказавши причини, зазначені у відповідному правовому акті.

Заява має бути заповнена протягом тридцяти календарних днів із моменту отримання, якщо інше не передбачено законом.

6.6. Усі співробітники власника персональної бази даних зобов'язані дотримуватись вимог конфіденційності персональних даних та інформації про рахунки депо та цінні папери, що знаходяться в обігу.

6.7. Відкласти доступ до персональних даних третім особам дозволяється, якщо необхідні дані не можуть бути надані протягом 30 календарних днів з моменту отримання запиту. У цьому загальний час вирішення питань, порушених у скарзі, не має перевищувати сорока п'яти календарних днів.

6.8. Відстрочку буде надіслано у письмовій формі третій стороні, яка подала заявку, із зазначенням процедури оскарження такого рішення.

6.9. У повідомленні про відстрочку має бути зазначено:

• прізвище, ім'я та по батькові посадової особи;
• дата надсилання повідомлення;
• причина затримки;
• період, коли запит буде виконано.

6.10. Відмова у доступі до персональних даних допустима, якщо доступ до них заборонено законом.

6.11. Лист про відмову має містити:

• прізвище, ім'я, по батькові посадової особи, яка відмовляє у доступі;
• дата надсилання повідомлення;
• причина відмови.

6.12. Рішення про відстрочку або відмову в доступі до персональних даних може бути оскаржене до компетентного державного органу захисту персональних даних, до інших державних органів та органів місцевого самоврядування, до повноважень яких належить захист персональних даних, або до суду.

7. Захист персональних даних: методи захисту, відповідальні особи, співробітники, які обробляють та/або отримують доступ до персональних даних безпосередньо у зв'язку з виконанням своїх службових завдань, тривалість зберігання персональних даних.

7.1. Власник персональної бази даних оснащений системним програмним забезпеченням та засобами зв'язку, які запобігають втраті, крадіжці, несанкціонованому знищенню, фальсифікації, підробці інформації та відповідають вимогам міжнародних та національних стандартів.

7.2. Відповідальна особа організує роботу із захисту персональних даних під час їх обробки відповідно до положень законодавства. Відповідальна особа визначається від імені власника особистої бази даних.

Обов'язки відповідального за організацію праці щодо захисту персональних даних під час їх обробки зазначені у посадовій інструкції.

7.3. Відповідальна особа зобов'язана:

• знати законодавство України у сфері захисту персональних даних;
• розробити процедури доступу до персональних даних співробітників відповідно до їх професійних, службових або трудових зобов'язань;
• забезпечити дотримання співробітниками власника персональної бази даних вимог законодавства України у сфері захисту персональних даних та внутрішніх документів, що регулюють діяльність власника персональної бази даних щодо обробки та захисту персональних даних персональних баз даних;
• розробка процедури (порядку) внутрішнього контролю за дотриманням вимог законодавства України у сфері захисту персональних даних та внутрішніх документів, що регулюють діяльність власника персональної бази даних щодо обробки та захисту баз персональних даних, у конкретних стандартах, частота таких перевірок має містити норми щодо періодичності;
• інформувати власника персональної бази даних про факти порушення працівниками вимог законодавства України у сфері захисту персональних даних та внутрішніх документів, що регулюють діяльність власника персональної бази даних щодо обробки та захисту персональних даних у персональних базах даних не пізніше одного робочого дня з моменту виявлення таких порушень;
• забезпечення зберігання документів, що підтверджують згоду особи персональних даних на обробку її персональних даних та інформування суб'єкта даних про його права.

7.4. Для виконання своїх завдань відповідальна особа має право:

• отримувати необхідні документи, зокрема накази власника персональної бази даних та інші адміністративні документи, пов'язані з обробкою персональних даних;
• робити копії отриманих документів, у тому числі копії файлів, усіх записів, що зберігаються у локальних комп'ютерних мережах та автономних комп'ютерних системах;
• брати участь в обговоренні виконуваних ним обов'язків щодо організації роботи, пов'язаної із захистом персональних даних під час їх обробки;
• вносити пропозиції щодо вдосконалення діяльності та методів роботи, вносити коментарі та способи усунення виявлених недоліків в обробці персональних даних;
• отримувати пояснення щодо обробки персональних даних;
• підписувати та візувати документи в межах своєї компетенції.

7.5. Співробітники, які безпосередньо обробляють персональні дані у зв'язку з виконанням своїх службових (робочих) завдань та/або мають до них доступ, зобов'язані дотримуватись вимог законодавства України в галузі захисту персональних даних та внутрішніх документів, пов'язаних з обробкою та захистом персональних даних у персональних базах даних.

7.6. Співробітники, які мають доступ до персональних даних, у тому числі ті, хто їх обробляє, зобов'язані не допускати розголошення у будь-якій формі довірені їм персональні дані або дані, які стали відомі у зв'язку з виконанням професійних, офіційних чи трудових зобов'язань. Таке зобов'язання застосовується після закінчення їхньої діяльності щодо персональних даних, якщо інше не передбачено законом.

7.7 Особи, які мають доступ до персональних даних, у тому числі ті, хто їх опрацьовує, несуть відповідальність за порушення вимоги Закону України «Про захист персональних даних», відповідно до законодавства України.

7.8. Персональні дані не повинні зберігатися довше, ніж це необхідно для цілей, для яких ці дані зберігаються, але в будь-якому випадку не довше за термін зберігання даних, який визначається згодою суб'єкта даних на обробку цих даних.

8. Права суб'єкта персональних даних.

8.1. Суб'єкт даних має право:

• знати місцезнаходження персональної бази даних з її персональними даними, її призначення та ім'я, місцезнаходження та/або місце проживання (місце) власника або адміністратора цієї бази даних або відповідні інструкції щодо отримання цієї інформації від уповноваженої особи, якщо інше не передбачено законом;
• отримувати інформацію про умови доступу до персональних даних, зокрема інформацію про третіх осіб, яким буде передано його персональні дані, що містяться у відповідній персональній базі даних;
• на доступ до своїх особистих даних, що містяться у відповідній персональній базі даних;
• не пізніше тридцяти календарних днів після отримання запиту, якщо інше не передбачено законом, отримати відповідь про те, чи зберігаються його особисті дані у відповідній особистій базі даних, а також одержати зміст своїх даних що зберігаються у відповідній особистій базі даних;
• подати мотивований запит, щоб оскаржити обробку своїх персональних даних державними або місцевими органами влади при виконанні ними встановлених законом повноважень;
• подати цільовий запит на зміну або знищення своїх особистих даних власником та адміністратором цієї бази даних, якщо ці дані обробляються незаконно або ненадійні;
• на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження внаслідок умисного приховування, ненадання або несвоєчасного надання, а також від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;
• звертатися за захистом своїх прав щодо персональних даних до державних органів та органів місцевого самоврядування, до повноважень яких входить здійснення захисту персональних даних;
• оскаржити порушення правових норм щодо захисту персональних даних.

9. Порядок опрацювання запитів від суб'єкта персональних даних.

9.1. Суб’єкт персональних даних має право отримувати всю інформацію про себе у будь-якого суб’єкта відносин, пов’язаних з персональними даними, щодо персональних даних без зазначення мети запиту, якщо інше не передбачено законом.

9.2. Доступ суб'єкта персональних даних до даних про свою персону здійснюється безкоштовно.

9.3. Особа, що стосується персональних даних, надсилає запит на доступ (далі - запит) до персональних даних власнику персональної бази даних.

У запиті зазначаються:

• прізвище, ім'я, по батькові, місце проживання, дані посвідчення особи зацікавленої особи;
• інша інформація, що дозволяє ідентифікувати суб'єкт персональних даних;
• інформація про особисту базу даних, для якої створюється програма, або інформація про власника чи менеджера цієї бази даних;
• список особистих даних, що запитуються.

9.4. Строк розгляду заяви про задоволення не може перевищувати десяти робочих днів з дня її отримання.

9.5. Протягом цього періоду власник особистої бази даних повинен повідомити особу, яка стосується особистих даних, про те, що запит буде виконано або що відповідні особисті дані не можуть бути надані, вказавши причини, зазначені у відповідному правовому акті.

9.6. Запит буде виконано протягом тридцяти календарних днів із моменту його отримання, якщо інше не передбачено законодавством.

10. Державна реєстрація бази персональних даних.

10.1. Державна реєстрація баз персональних даних здійснюється відповідно до статті 9 Закону України «Про захист персональних даних».