ПОЛОЖЕНИЕ об ОБРАБОТКе и защите
ПЕРСОНАЛЬНЫХ ДАННЫХ 

1. Общие положения

1.1. Настоящее Положение является локальным нормативным актом АО «РКЗ» (полное наименование — Акционерное общество «Рязанский кирпичный завод»; ИНН 6 228 000 351, КПП 623 401 001, ОГРН 1 036 212 011 131; адрес: 390 007, г. Рязань, ул. Кирпичного завода, д. 18; далее — Общество, Оператор), принятым с учетом главы 14 Трудового кодекса Российской Федерации и Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).
1.2. В Положении устанавливаются:

• цель, порядок и условия обработки персональных данных;
• категории субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований;
• положения, касающиеся защиты персональных данных, процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в области персональных данных, на устранение последствий таких нарушений.

1.3. В Положении используются термины и определения в соответствии с их значениями, определенными в Законе о персональных данных.
1.4. Положение вступает в силу с момента его утверждения директором Общества и действует до его отмены или утверждения новой редакции.
1.5. Изменения в Положение вносятся приказом директора. Работники, которых касаются изменения, знакомятся с ними под подпись в установленном порядке.

2. Категории субъектов персональных данных

2.1. К субъектам, персональные данные которых обрабатываются Обществом в соответствии с Положением, относятся:

• кандидаты для приема на работу, в том числе лица, включенные в кадровый резерв на основании отдельного согласия;
• работники и бывшие работники Общества;
• члены семей работников — в случаях, когда сведения о них необходимы для исполнения законодательства, предоставления гарантий и компенсаций;
• физические лица — контрагенты, представители и работники контрагентов, акционеры и их представители, члены органов управления;
• посетители сайта и территории Общества при наличии соответствующей обработки, а также иные лица, данные которых Общество обязано или вправе обрабатывать на законном основании.
• лица, предоставившие отдельное согласие на обработку контактных данных в целях направления информационных и рекламных материалов и на получение рекламы.

3. Цели обработки персональных данных, категории (перечни) обрабатываемых персональных данных

3.1. Персональные данные обрабатываются в целях исполнения трудового, гражданского, корпоративного, налогового, бухгалтерского и иного применимого законодательства, заключения и исполнения договоров, а также осуществления законной деятельности Общества, в том числе при:

• подборе персонала, рассмотрении кандидатур и формировании кадрового резерва на основании отдельного волеизъявления соискателя;
• заключении, изменении, исполнении и прекращении трудовых договоров, ведении кадрового и бухгалтерского учета;
• начислении и выплате заработной платы и иных выплат, исчислении налогов, осуществлении обязательного социального и пенсионного страхования, ведении воинского учета;
• организации охраны труда, обязательных медицинских осмотров, обучения, аттестации, повышения квалификации, предоставления гарантий и компенсаций;
• обеспечении личной безопасности, сохранности имущества, пропускного и внутриобъектового режима при наличии соответствующих процессов;
• заключении и исполнении гражданско-правовых договоров, взаимодействии с контрагентами, государственными органами и иными уполномоченными лицами;
• осуществлении корпоративного управления, обеспечении прав акционеров и деятельности органов управления Общества в предусмотренном законом объеме;
• рассмотрении обращений, защите прав и законных интересов Общества, выполнении обязательных требований и форм отчетности.
• обеспечение функционирования и безопасности сайта, приём и рассмотрение обращений, ведение статистики посещаемости и анализ использования сайта с применением аналитических файлов cookie и сервиса «Яндекс Метрика» при наличии отдельного согласия пользователя;
• направление информационных и рекламных материалов о продукции, ценах, специальных предложениях, акциях, мероприятиях и деятельности АО «РКЗ» при наличии отдельного предварительного согласия субъекта.

3.2. В соответствии с целями, указанными в п. 3.1 Положения, Общество обрабатывает следующие персональные данные в объеме, необходимом для конкретной цели:

• фамилия, имя, отчество (при наличии), прежние фамилия, имя, отчество и сведения об их изменении;
• пол — когда его обработка необходима в соответствии с законодательством или характером оформляемых документов;
• дата и место рождения;
• фотографическое изображение — при его предоставлении или необходимости оформления пропуска и иных внутренних документов, без применения технологий биометрической идентификации;
• сведения о гражданстве;
• вид, серия, номер документа, удостоверяющего личность, сведения о выдаче документа;
• страховой номер индивидуального лицевого счета (СНИЛС);
• идентификационный номер налогоплательщика (ИНН);
• адрес регистрации по месту жительства или пребывания, адрес фактического проживания;
• контактные данные: номер телефона, адрес электронной почты и иные указанные субъектом способы связи;
• сведения, содержащиеся в документах о государственной регистрации актов гражданского состояния, — в случаях, предусмотренных законодательством;
• сведения о семейном положении и членах семьи — только в объеме, необходимом для предоставления гарантий, компенсаций и исполнения иных обязанностей работодателя;
• сведения об образовании, квалификации, специальных знаниях, обучении, аттестации и повышении квалификации;
• сведения о владении иностранными языками и иных профессиональных навыках, относящихся к деловым качествам;
• сведения об отношении к воинской обязанности, воинском учете и реквизиты документов воинского учета;
• сведения о трудовой деятельности, предыдущих местах работы, стаже, должности, трудовой функции и условиях труда;
• сведения из документов, подтверждающих право иностранного гражданина на пребывание и трудовую деятельность в Российской Федерации;
• сведения о разрешении на временное проживание, виде на жительство и иных документах иностранных граждан — в применимых случаях;
• сведения о доходах, выплатах, налоговых вычетах и обязательствах по исполнительным документам;
• реквизиты банковского счета и платежной карты, предоставленные для перечисления заработной платы и иных выплат;
• сведения о состоянии здоровья — только в случаях и объеме, необходимых для определения возможности выполнения трудовой функции, организации обязательных медицинских осмотров, охраны труда, предоставления гарантий и компенсаций;
• сведения о наличии или отсутствии судимости и уголовного преследования — только для должностей и работ, для которых получение таких сведений предусмотрено федеральным законом;
• сведения о договорных, корпоративных и представительских полномочиях, должности и месте работы, банковские реквизиты, сведения об акциях и реализации корпоративных прав — в применимой части;
• иные персональные данные, обработка которых необходима для конкретной законной цели и не является избыточной.
• технические данные посетителей сайта: IP-адрес, дата и время обращения к сайту, адрес запрашиваемой страницы, сведения о браузере, операционной системе и типе устройства, технические и сессионные файлы cookie;
• аналитические данные, обрабатываемые после получения отдельного согласия: идентификаторы аналитических файлов cookie, просмотренные страницы, источник перехода, продолжительность посещения, сведения о действиях пользователя, технические идентификаторы пользователя, посещения и сессии, статистические данные сервиса «Яндекс Метрика»;
• для направления информационных и рекламных материалов: фамилия, имя, отчество — если предоставлены; номер телефона; адрес электронной почты; почтовый адрес — при выборе почтовой рассылки; выбранные каналы связи; дата, время, способ и редакция предоставленного согласия; сведения о направлении сообщений и об отказе от рекламы.

3.3. Общество не обрабатывает специальные категории персональных данных о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях и интимной жизни. Сведения о здоровье обрабатываются только в случаях, предусмотренных законом, либо на основании отдельного письменного согласия, когда оно требуется.

4. Порядок и условия обработки персональных данных

4.1. До начала обработки персональных данных Общество направляет в Роскомнадзор уведомление, за исключением предусмотренных законом случаев, и обеспечивает своевременное внесение изменений в сведения реестра операторов.
4.2. Правовыми основаниями обработки являются Трудовой кодекс Российской Федерации, Закон о персональных данных, Гражданский и Налоговый кодексы Российской Федерации, Федеральные законы № 402-ФЗ «О бухгалтерском учете», № 125-ФЗ «Об архивном деле в Российской Федерации», № 208-ФЗ «Об акционерных обществах», Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» — в части направления рекламы при наличии предварительного согласия адресата, законодательство об обязательном социальном и пенсионном страховании, воинском учете, охране труда и иные применимые нормативные правовые акты, договоры и отдельные согласия субъектов.
4.3. Обработка персональных данных осуществляется с соблюдением принципов и условий, предусмотренных законодательством в области персональных данных и настоящим Положением.
4.4. Обработка персональных данных в Обществе выполняется следующими способами:

• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка персональных данных.

4.5. Обработка персональных данных осуществляется без согласия субъекта в случаях, предусмотренных законом, в том числе когда она необходима для исполнения обязанностей работодателя или договора с субъектом. В иных случаях Общество получает отдельное, конкретное, предметное, информированное, сознательное и однозначное согласие.
4.5.1. Обработка персональных данных, разрешенных субъектом для распространения, допускается только на основании отдельного согласия с соблюдением статьи 10.1 Закона о персональных данных.
Согласие на обработку персональных данных оформляется отдельно от иных информации и документов, подтверждаемых или подписываемых субъектом. Молчание, бездействие и заранее проставленная отметка не признаются согласием.
4.5.2. Биометрическая обработка персональных данных в рамках настоящего Положения не осуществляется. При возникновении законной необходимости она оформляется отдельным локальным процессом и отдельным письменным согласием, если иное не предусмотрено федеральным законом.
4.5.3. Обработка контактных данных в целях направления информационных и рекламных материалов осуществляется только на основании отдельного добровольного согласия субъекта.
Согласие на рекламу не объединяется с согласием на рассмотрение обращения, с согласием соискателя или работника, а также с согласием на использование аналитических файлов cookie.
Общество фиксирует дату, время, способ и редакцию полученного согласия. После получения отказа адресата направление рекламы прекращается.
Работники и соискатели не включаются в рекламные рассылки на основании их трудовых или кадровых контактных данных без самостоятельного добровольного согласия.
4.6. Общество не осуществляет трансграничную передачу персональных данных. При возникновении такой необходимости до начала передачи выполняются требования статьи 12 Закона о персональных данных и актуализируются локальные документы и уведомление Роскомнадзора.
4.7. Обработка осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения, извлечения, использования, предоставления, доступа, обезличивания, блокирования, удаления и уничтожения. Распространение допускается только при наличии отдельного правового основания.
4.7.1. Сбор, запись, систематизация, накопление и уточнение персональных данных осуществляются посредством:

• получения оригиналов документов либо их копий;
• копирования оригиналов документов;
• внесения сведений в учетные формы на бумажных и электронных носителях;
• создания документов, содержащих персональные данные, на бумажных и электронных носителях;
• внесения персональных данных в информационные системы персональных данных.

4.7.2. В Обществе используются следующие информационные системы и ресурсы:

• корпоративная электронная почта Общества;
• системы электронного документооборота, бухгалтерского и налогового учета, используемые Обществом;
• системы кадрового учета, используемые Обществом;
• системы управления доступом, пропускного режима и видеонаблюдения — при наличии;
• сайт www.ryazanbrick.ru, формы обратной связи и сервис «Яндекс Метрика», системы и сервисы электронной, телефонной, почтовой и иной адресной рассылки — при их фактическом использовании и наличии договора поручения обработки персональных данных;
• хостинговые, облачные и иные сервисы, которым обработка поручена на основании договора — при наличии;
• иные информационные системы персональных данных, используемые Обществом в пределах целей обработки.

4.8. Передача персональных данных осуществляется в случаях, предусмотренных законом, договором или надлежащим согласием. При поручении обработки договор должен определять цели, перечень данных и операций, требования к конфиденциальности и безопасности, локализации, уведомлению об инцидентах и уничтожению данных.

5. Сроки обработки и хранения персональных данных

5.1. Обработка персональных данных Обществом прекращается:

• при выявлении факта неправомерной обработки персональных данных. Срок прекращения обработки — в течение трех рабочих дней с даты выявления такого факта;
• при достижении целей их обработки (за некоторыми исключениями);
• по истечении срока действия или при отзыве субъектом персональных данных согласия на обработку его персональных данных (за некоторыми исключениями), если в соответствии с Законом о персональных данных их обработка допускается только с согласия;
• при поступлении требования субъекта о прекращении обработки, если отсутствуют основания для продолжения обработки: не позднее 10 рабочих дней с даты получения требования; срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления.

5.2. Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки. Исключение — случаи, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных.
5.3. Персональные данные на бумажных носителях хранятся в Обществе в течение сроков, установленных законодательством об архивном деле и Перечнем типовых управленческих архивных документов, утвержденным Приказом Росархива от 20.12.2019 № 236, а также специальными нормами для соответствующих документов.
5.4. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

6. Порядок блокирования и уничтожения персональных данных

6.1. Общество блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.
6.2. При достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются либо обезличиваются. Исключение может предусматривать федеральный закон.
6.3. Незаконно полученные персональные данные или те, которые не являются необходимыми для цели обработки, уничтожаются в течение семи рабочих дней со дня представления субъектом персональных данных (его представителем) подтверждающих сведений.
6.4. Персональные данные, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 рабочих дней с даты выявления факта неправомерной обработки.
6.5. Персональные данные уничтожаются в течение 30 дней с даты достижения цели обработки, если их дальнейшее хранение не требуется по закону, договору или иному соглашению с субъектом.
6.5.1. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются в течение 30 дней.
6.6. При отзыве согласия персональные данные уничтожаются в течение 30 дней, если отсутствуют иные законные основания для обработки или хранения.
6.7. Отбор материальных носителей (документы, жесткие диски, флеш-накопители и т. п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют подразделения Общество, обрабатывающие персональные данные.
6.8. Уничтожение персональных данных осуществляет комиссия, созданная приказом директора.
6.8.1. Комиссия составляет список с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
6.8.2. Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
6.8.3. Комиссия подтверждает уничтожение персональных данных, указанных в п. п. 6.4, 6.5, 6.6 Положения, согласно Требованиям к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 № 179, а именно:

• актом об уничтожении персональных данных — если данные обрабатываются без использования средств автоматизации;
• актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных — если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.

Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями.
Формы акта и выгрузки из журнала с учетом сведений, которые должны содержаться в указанных документах, утверждаются приказом директора.
6.8.4. Акты об уничтожении и выгрузки из журнала регистрации событий передаются работнику, ответственному за организацию обработки персональных данных, и хранятся в течение 3 лет с момента уничтожения персональных данных.
6.8.5. Уничтожение персональных данных, не указанных в п. 6.8.3 Положения, подтверждается актом, который оформляется непосредственно после уничтожения таких данных. Форма акта утверждается приказом директора.

7. Защита персональных данных. Процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений

7.1. Общество не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом. Для предоставления данных определенному лицу согласие оформляется, когда отсутствует иное законное основание; для распространения требуется отдельное согласие по статье 10.1 Закона о персональных данных.
7.1.1. Передача персональных данных по телефону допускается только после надежной идентификации получателя и при наличии законного основания; сведения не сообщаются лицам, полномочия которых не подтверждены.
7.2. С целью защиты персональных данных приказами директора назначаются (утверждаются):

• работник, ответственный за организацию обработки персональных данных;
• перечень должностей, при замещении которых обрабатываются персональные данные;
• перечень персональных данных, к которым имеют доступ работники, занимающие должности, предусматривающие обработку персональных данных;
• порядок доступа в помещения, в которых ведется обработка персональных данных;
• порядок передачи и предоставления персональных данных внутри Общества и внешним получателям;
• формы отдельных согласий, включая согласие соискателя, согласие пользователя сайта, согласие на использование аналитических файлов cookie, согласие на обработку персональных данных в рекламных целях и на получение рекламы, а также при необходимости согласие на обработку персональных данных, разрешённых для распространения;
• порядок защиты персональных данных при их обработке в информационных системах персональных данных;
• порядок проведения внутренних расследований, проверок;
• иные локальные нормативные акты, принятые в соответствии с требованиями законодательства в области персональных данных.

7.3. Работники, которые занимают должности, предусматривающие обработку персональных данных, допускаются к ней после подписания обязательства об их неразглашении.
7.4. Материальные носители персональных данных хранятся в запираемых шкафах или помещениях с ограниченным доступом. Порядок выдачи ключей, носителей и документов устанавливается локальными актами Общества.
7.5. Доступ к информационным системам предоставляется по индивидуальным учетным записям с разграничением прав доступа. Действия пользователей регистрируются в объеме, необходимом для контроля безопасности.
7.6. Общество применяет актуальные средства защиты информации, антивирусную защиту, резервное копирование и иные меры, определенные с учетом актуальных угроз и уровня защищенности информационных систем.
7.7. Работники, обрабатывающие персональные данные, знакомятся с локальными актами и проходят периодическое обучение требованиям законодательства и информационной безопасности.
7.8. В должностные инструкции работников Общества, обрабатывающих персональные данные, включаются, в частности, положения о необходимости сообщать о любых случаях несанкционированного доступа к персональным данным.
7.9. В Общество проводятся внутренние расследования в следующих ситуациях:

• при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов персональных данных;
• в иных случаях, предусмотренных законодательством в области персональных данных.

7.10. Работник, ответственный за организацию обработки персональных данных, осуществляет внутренний контроль:

• за соблюдением работниками, уполномоченными на обработку персональных данных, требований законодательства в области персональных данных, локальных нормативных актов;
• соответствием указанных актов требованиям законодательства в области персональных данных.

Внутренний контроль проходит в виде внутренних проверок.
7.10.1. Внутренние плановые проверки осуществляются на основании ежегодного плана, который утверждается директором.
7.10.2. Внутренние внеплановые проверки осуществляются по решению работника, ответственного за организацию обработки персональных данных. Основанием для них служит информация о нарушении законодательства в области персональных данных, поступившая в устном или письменном виде.
7.10.3. По итогам внутренней проверки оформляется докладная записка на имя директора. Если выявлены нарушения, в документе приводится перечень мероприятий по их устранению и соответствующие сроки.
7.11. Внутреннее расследование проводится, если выявлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее — инцидент).
7.11.1. В случае инцидента Общество в течение 24 часов уведомляет Роскомнадзор:

• об инциденте;
• его предполагаемых причинах и вреде, причиненном правам субъекта (нескольким субъектам) персональных данных;
• принятых мерах по устранению последствий инцидента;
• лице, уполномоченном Обществом на взаимодействие с Роскомнадзором по вопросам инцидента.

При направлении уведомления нужно руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 № 187.
7.11.2. В течение 72 часов Общество:

• уведомить Роскомнадзор о результатах внутреннего расследования;
• предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).

При направлении уведомления также необходимо руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 № 187.
7.12. При получении подтвержденной информации о неполноте, неточности или неактуальности персональных данных Общество вносит изменения в течение 7 рабочих дней и уведомляет субъекта и получателей данных, когда это требуется законом.
7.13. Общество уведомляет субъекта об устранении нарушений неправомерной обработки; Роскомнадзор уведомляется, если обращение или запрос поступили от него.
7.13.1. В случае уничтожения персональных данных, которые обрабатывались неправомерно, уведомление направляется в соответствии с п. 7.13 Положения.
7.14. Общество уведомляет субъекта и соответствующих получателей о принятых мерах по уничтожению незаконно полученных или избыточных персональных данных, когда такая обязанность предусмотрена законом.

8. Ответственность за нарушение норм, регулирующих обработку персональных данных

8.1. Лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами. Кроме того, они привлекаются к административной, гражданско-правовой или уголовной ответственности в порядке, установленном федеральными законами.
8.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к их защите, установленных Законом о персональных данных, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.