Положення про безпеку персональних даних
Дізнайтесь як ми піклуємось про захист ваших даних
1. Загальні положення

1.1. Цим Порядком обробки персональних даних (далі – Порядок) визначено загальні вимоги до обробки та захисту персональних даних суб'єктів персональних даних, що обробляються повністю чи частково із застосуванням автоматизованих засобів, а також персональних даних, що містяться у картотеці чи призначені до внесення до картотеки, із застосуванням неавтоматизованих засобів.

1.2. Отримувач, розпорядник персональних даних самостійно визначає порядок обробки персональних даних, враховуючи специфіку обробки персональних даних у різних сферах, відповідно до вимог, визначених Законом України «Про захист персональних даних» (далі – Закон) та цим Порядком.

1.3. Вимоги цього Порядку враховуються під час розробки кодексів поведінки щодо обробки персональних даних професійними та іншими громадськими об'єднаннями чи юридичними особами відповідно до статті 27 Закону.

2. Вимоги до обробки персональних даних

2.1. Отримувач визначає:

1) мету та підстави обробки персональних даних;

2) категорії суб'єктів персональних даних;

3) склад персональних даних;

4) порядок обробки персональних даних, а саме:

– спосіб збору, накопичення персональних даних;

– строк та умови зберігання персональних даних;

– умови та процедуру зміни, видалення або знищення персональних даних;

– умови та процедуру передачі персональних даних та перелік третіх осіб, яким можуть передаватися персональні дані;

– порядок доступу до персональних даних осіб, які здійснюють обробку, а також суб'єктів персональних даних;

– заходи забезпечення захисту персональних даних;

– процедуру збереження інформації про операції, пов'язані з обробкою персональних даних та доступом до них.

2.2. У випадках, передбачених Законом, отримувач також визначає обов'язки та права осіб, відповідальних за організацію роботи, пов'язаної із захистом персональних даних під час їх обробки.

2.3. Процедури обробки, строк обробки та склад персональних даних повинні бути адекватними меті обробки.

2.4. Мета обробки персональних даних повинна бути чіткою і законною.

2.5. Мета оброки персональних даних повинна бути визначена до початку їх збору.

2.6. У разі зміни визначеної мети обробки персональних даних на нову мету, яка є несумісною з попередньою, для подальшої обробки даних володілець персональних даних, окрім випадків, визначених законодавством, повинен отримати згоду суб'єкта персональних даних на обробку його даних відповідно до нової мети.

2.7. Обробка персональних даних здійснюється отримувачем персональних даних лише за згодою суб'єкта персональних даних, за винятком тих випадків, коли така згода не вимагається Законом.

2.8. Згода суб'єкта на обробку його персональних даних повинна бути добровільною та інформованою. Згода може надаватися суб'єктом за умови ознайомлення з цим положенням в розділі сайту "Загальні умови", що дає змогу зробити висновок про її надання, письмової згоди при цьому не потрібно надавати.

2.9. Отримувач персональних даних, крім випадків, передбачених законодавством України, повідомляє суб'єкта персональних даних про склад і зміст зібраних персональних даних, його права, визначені Законом, мету збору персональних даних та третіх осіб, яким передаються його персональні дані:

– в момент збору персональних даних шляхом наведення конкретної мети збору даних у попередженні у формі збору контактів, якщо персональні дані збираються у суб'єкта персональних даних;

2.10. Персональні дані обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, у строк не більше, ніж це необхідно відповідно до мети їх обробки, конкретно 3 роки. В будь-якому разі вони обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, не довше, ніж це передбачено законодавством у сфері архівної справи та діловодства.

2.11. У разі виявлення відомостей про особу, які не відповідають дійсності, такі відомості мають бути невідкладно змінені або знищені.

2.12. Суб'єкт персональних даних має право пред'являти вмотивовану вимогу Отримувачу персональних даних щодо заборони обробки своїх персональних даних (їх частини) та/або зміни їх складу/змісту. Така вимога розглядається Отримувачем впродовж 10 днів з моменту отримання.

2.13. Якщо за результатами розгляду такої вимоги виявлено, що персональні дані суб'єкта (їх частина) обробляються незаконно Отримувач припиняє обробку персональних даних суб'єкта (їх частини) та інформує про це суб'єкта персональних даних.

Якщо за результатами розгляду такої вимоги виявлено, що персональні дані суб'єкта (їх частина) є недостовірними, Отримувач припиняє обробку персональних даних суб'єкта (чи їх частини) та/або змінює їх склад/зміст та інформує про це суб'єкта персональних даних.

2.14. У разі якщо вимога не підлягає задоволенню, суб'єкту надається мотивована відповідь щодо відсутності підстав для її задоволення.

2.15. Суб'єкт персональних даних має право відкликати згоду на обробку персональних даних без зазначення мотивів, у разі якщо єдиною підставою для обробки є згода суб'єкта персональних даних. З моменту відкликання згоди Отримувач зобов'язаний припинити обробку персональних даних.

2.16. Видалення та знищення персональних даних здійснюється у спосіб, що виключає подальшу можливість поновлення таких персональних даних.

2.17. Порядок доступу до персональних даних суб'єкта персональних даних та третіх осіб визначається статтями 16 – 17 Закону.

2.18. Отримувач повідомляє суб'єкта персональних даних про дії з його персональними даними на умовах, визначених статтею 21 Закону.

3. Захист персональних даних

3.1. Отримувач він же розпорядник персональних даних, вживають заходів щодо забезпечення захисту персональних даних на всіх етапах їх обробки, у тому числі за допомогою організаційних та технічних заходів.

3.2. Отримувач або розпорядник персональних даних самостійно визначають перелік і склад заходів, спрямованих на безпеку обробки персональних даних, з урахуванням вимог законодавства у сферах захисту персональних даних, інформаційної безпеки.

3.3. Захист персональних даних передбачає заходи, спрямовані на запобігання їх випадкових втрати або знищення, незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних.

3.4. Організаційні заходи охоплюють:

– визначення порядку доступу до персональних даних працівників отримувача/розпорядника;

– визначення порядку ведення обліку операцій, пов'язаних з обробкою персональних даних суб'єкта та доступом до них;

– розробку плану дій на випадок несанкціонованого доступу до персональних даних, пошкодження технічного обладнання, виникнення надзвичайних ситуацій;

– регулярне навчання співробітників, які працюють з персональними даними.

3.5. Отримувач/розпорядник веде облік працівників, які мають доступ до персональних даних суб'єктів. Отримувач/розпорядник визначає рівень доступу зазначених працівників до персональних даних суб'єктів. Кожен із цих працівників користується доступом лише до тих персональних даних (їх частини) суб'єктів, які необхідні йому у зв'язку з виконанням своїх професійних чи службових або трудових обов'язків.

3.6. Усі інші працівники Отримувача/розпорядника мають право на повну інформацію лише стосовно власних персональних даних.

3.7. Працівники, які мають доступ до персональних даних, дають письмове зобов'язання про нерозголошення персональних даних, які їм було довірено або які стали їм відомі у зв'язку з виконанням професійних чи службових або трудових обов'язків.

3.8. Датою надання права доступу до персональних даних вважається дата надання зобов'язання відповідним працівником.

3.9. Датою позбавлення права доступу до персональних даних вважається дата звільнення працівника, дата переведення на посаду, виконання обов'язків на якій не пов'язане з обробкою персональних даних.

3.10. У разі звільнення працівника, який мав доступ до персональних даних, або переведення його на іншу посаду, що не передбачає роботу з персональними даними суб'єктів, вживаються заходи щодо унеможливлення доступу такої особи до персональних даних, а документи та інші носії, що містять персональні дані суб'єктів, передаються іншому працівнику.

3.11. Отримувач/розпорядник веде облік операцій, пов'язаних з обробкою персональних даних суб'єкта та доступом до них. З цією метою отримувачем/розпорядником зберігається інформація про:

– дату, час та джерело збирання персональних даних суб'єкта;

– зміну персональних даних;

– перегляд персональних даних;

– будь-яку передачу (копіювання) персональних даних суб'єкта;

– дату та час видалення або знищення персональних даних;

– працівника, який здійснив одну із указаних операцій;

– мету та підстави зміни, перегляду, передачі та видалення або знищення персональних даних.

Отримувач/розпорядник персональних даних самостійно визначає процедуру збереження інформації про операції, пов'язані з обробкою персональних даних суб'єкта та доступом до них. У випадку обробки персональних даних суб'єктів за допомогою автоматизованої системи така система автоматично фіксує вказану інформацію. Ця інформація зберігається отримувачем/розпорядником упродовж одного року з моменту закінчення року, в якому було здійснено зазначені операції, якщо інше не передбачено законодавством України.

3.12 Вимоги щодо обліку та збереження інформації про перегляд персональних даних не поширюється на отримувачів/розпорядників, які здійснюють обробку персональних даних в реєстрі, який є відкритим для населення в цілому.

3.13. Персональні дані залежно від способу їх зберігання (паперові, електронні носії) мають оброблятися у такий спосіб, щоб унеможливити доступ до них сторонніх осіб.

3.14. З метою забезпечення безпеки обробки персональних даних вживаються спеціальні технічні заходи захисту, у тому числі щодо виключення несанкціонованого доступу до персональних даних, що обробляються та роботі технічного та програмного комплексу, за допомогою якого здійснюється обробка персональних даних.

3.15. В органах державної влади, органах місцевого самоврядування, а також у отримувача чи розпорядника персональних даних, що здійснюють обробку персональних даних, яка підлягає повідомленню відповідно до Закону, створюється (визначається) структурний підрозділ або відповідальна особа, яка організовує роботу, пов'язану із захистом персональних даних при їх обробці.

3.16. Інформація про структурний підрозділ або відповідальну особу, що організовує роботу, пов'язану із захистом персональних даних при їх обробці, повідомляється Уповноваженому Верховної Ради України з прав людини відповідно до Закону.

3.17. Відповідальна особа/структурний підрозділ виконує такі завдання:

– інформує та консультує володільця або розпорядника персональних даних з питань додержання законодавства про захист персональних даних;

– взаємодіє з Уповноваженим Верховної Ради України з прав людини та визначеними ним посадовими особами його Секретаріату з питань запобігання та усунення порушень законодавства про захист персональних даних.

3.18. З метою виконання вказаних завдань відповідальна особа/структурний підрозділ:

– забезпечує реалізацію прав суб'єктів персональних даних;

– користується доступом до будь-яких даних, які обробляються володільцем/розпорядником та до всіх приміщень володільця/розпорядника, де здійснюється така обробка;

– у разі виявлення порушень законодавства про захист персональних даних та/або цього Порядку повідомляє про це керівника володільця/розпорядника з метою вжиття необхідних заходів;

– аналізує загрози безпеці персональних даних.

3.19. Вимоги відповідальної особи до заходів щодо забезпечення безпеки обробки персональних даних є обов'язковими для всіх працівників, які здійснюють обробку персональних даних.

4 ОСОБЛИВОСТІ ОРГАНІЗАЦІЇ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ що здійснюється без використання ЗАСОБІВ АВТОМАТИЗАЦІЇ.

Персональні дані при їх обробці без використання засобів відокремлення їх матеріальних даних, в спеціальних розділах або на полях форм (бланків). При фіксації даних на матеріальних носіях не допускається запис на одному матеріальному носії даних, мета обробки яких свідомо несумісні.

При обробці різних категорій персональних даних без використання засобів автоматизації для кожної категорії персональних даних повинен використовуватися окремий матеріальний носій.

Уточнення персональних даних при їх обробці без використання засобів автоматизації проводиться шляхом відновлення або зміни даних на матеріальному носії, а якщо ці закони не дозволяють технічними особливостями матеріального носія, - шляхом фіксації на тому ж матеріальному носії відомостей про внесені в них зміни або шляхом виготовлення нового матеріального носія з уточненими персональними даними.

5 ОРГАНІЗАЦІЯ ЗАХИСТУ ПЕРСОНАЛЬНИХ ДАНИХ

Персональні дані обробляються у Отримувача як з використанням засобів автоматизації, так і без використання таких засобів. Порядок обробки та захисту персональних даних в інформаційних системах Отримувача визначається Положенням про забезпечення безпеки персональних даних. Захист персональних даних від неправомірного їх використання або втрати забезпечується Отримувачем за рахунок власних коштів. Працівники Оператора, які в рамках виконання посадових обов'язків мають доступ до персональних даних, зобов'язані дотримуватися режиму конфіденційності персональних даних на всіх етапах їх обробки.

7 Заключні положення.

Інші права та обов'язки працівників, до функцій яких входить обробка персональних даних, визначаються Інструкцією користувача інформаційних систем персональних даних. Особи, винні в порушенні норм, що регулюють обробку і захист персональних даних, несуть матеріальну, дисциплінарну, адміністративну, цивільно-правову або кримінальну відповідальність у порядку, встановленому законами.

Розголошення персональних даних, їх публічне розкриття, втрата документів і інших носіїв, що містять персональні дані, а також інші порушення обов'язків по їх захисту та оброблення, встановлених цим Положенням, іншими локальними нормативними актами (наказами, розпорядженнями) Отримувача, тягне за собою накладення на працівника, який має доступ до персональних даних, дисциплінарного стягнення - зауваження, догани, звільнення.

Зміни своє життя на краще!
Мене звать Людмила і я консультант з харчування. Вже 6 років я допомагаю людям стати стрункішими, покращити самопочуття та стати енергійнішими
Онлайн консультації, кожного дня 09:00 - 20:00
З радістю відповім на ваші запитання.
Telegram Viber +380951141154
Замовити виклик
Залиште ваш телефон, ми зв'яжемось з вами в WhatsUp або Viber
Ваш телефон буде використано виключно для надання консультації згідно з політикою конфіденційності, наведеною в розділі "Загальні умови"