Положение об обеспечении безопасности персональных данных

Другие документы

ПОЛОЖЕНИЕ

об обеспечении безопасности персональных данных
в ООО "И-Трейд"

Общество с ограниченной ответственностью "И-Трейд"
ОГРН 1256300013420
ИНН 6312221775
Сайт: https://lendmo.ru/

1. Общие положения

1.1. Настоящее Положение об обеспечении безопасности персональных данных (далее — Положение) разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами Российской Федерации.

1.2. Положение определяет основные организационные и технические меры, принимаемые ООО "И-Трейд". (далее — Оператор) для обеспечения безопасности персональных данных при их обработке.

1.3. Действие Положения распространяется на всех работников Оператора, а также на третьих лиц, допущенных к обработке персональных данных на законных основаниях.

1.4. Положение является локальным нормативным актом Оператора и действует с момента его утверждения руководителем Оператора.

1.5. Положение подлежит пересмотру и актуализации по мере необходимости, в том числе при изменении законодательства, условий обработки персональных данных либо используемых информационных систем.

2. Термины и определения

В Положении используются следующие термины:

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

Оператор — юридическое лицо, самостоятельно организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и способы такой обработки.

Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, хранение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

Автоматизированная обработка персональных данных — обработка персональных данных с использованием средств вычислительной техники.

Информационная система персональных данных (ИСПДн) — совокупность баз данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Иные термины используются в значениях, определенных законодательством Российской Федерации.

3. Принципы обеспечения безопасности персональных данных

3.1. Оператор обеспечивает безопасность персональных данных путем принятия необходимых и достаточных правовых, организационных и технических мер, направленных на защиту персональных данных от:

неправомерного или случайного доступа;
уничтожения, изменения, блокирования;
копирования, предоставления, распространения;
иных неправомерных действий.

3.2. Обеспечение безопасности персональных данных осуществляется с учетом:

характера и объема обрабатываемых персональных данных;
целей и способов обработки;
актуальных угроз безопасности персональных данных.

3.3. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без их использования.

4. Организация обеспечения безопасности персональных данных

4.1. Руководитель Оператора обеспечивает организацию обработки и защиту персональных данных, в том числе путем:

определения лиц, допущенных к обработке персональных данных;
установления порядка доступа к персональным данным;
утверждения внутренних распорядительных документов Оператора в области обработки и защиты персональных данных.

4.2. Доступ к персональным данным предоставляется только тем работникам и третьим лицам, которым он необходим для выполнения служебных или договорных обязанностей.

4.3. Лица, допущенные к обработке персональных данных, обязаны соблюдать конфиденциальность персональных данных и требования настоящего Положения.

4.4. В случае поручения обработки персональных данных третьему лицу Оператор обеспечивает включение в соответствующий договор условий о соблюдении конфиденциальности и обеспечении безопасности персональных данных.

5. Обеспечение безопасности при обработке персональных данных

5.1. Неавтоматизированная обработка

5.1.1. Персональные данные при неавтоматизированной обработке хранятся таким образом, чтобы исключить доступ к ним посторонних лиц.

5.1.2. Определяются места хранения материальных носителей персональных данных и перечень лиц, имеющих к ним доступ.

5.1.3. Уничтожение персональных данных осуществляется способом, исключающим возможность их восстановления.

5.2. Обработка в информационных системах персональных данных

5.2.1. При обработке персональных данных в ИСПДн Оператор принимает меры по защите информации, включая:

идентификацию и аутентификацию пользователей;
разграничение прав доступа;
учет действий пользователей;
резервное копирование информации (при необходимости).

5.2.2. Используемые программные и технические средства защиты информации применяются в объеме, необходимом для достижения целей защиты персональных данных.

6. Контроль и реагирование на инциденты

6.1. Оператор осуществляет контроль за соблюдением требований настоящего Положения.

6.2. В случае выявления фактов нарушения безопасности персональных данных Оператор принимает меры по их устранению и минимизации возможных последствий.

6.3. Работники Оператора обязаны незамедлительно сообщать ответственному лицу о любых обстоятельствах, которые могут привести к нарушению безопасности персональных данных.

7. Прекращение обработки и уничтожение персональных данных

7.1. При достижении целей обработки персональных данных либо при утрате необходимости в их достижении Оператор прекращает обработку персональных данных и обеспечивает их уничтожение либо обезличивание, если иное не предусмотрено законодательством Российской Федерации.

7.2. Сроки хранения персональных данных определяются целями обработки, условиями согласия субъекта персональных данных и требованиями законодательства.

8. Ответственность

8.1. Лица, виновные в нарушении требований законодательства Российской Федерации и настоящего Положения в области обработки и защиты персональных данных, несут ответственность в соответствии с законодательством Российской Федерации и внутренними распорядительными документами Оператора.

9. Заключительные положения

9.1. Настоящее Положение является обязательным для исполнения всеми работниками Оператора.

9.2. Положение подлежит предоставлению по запросу уполномоченных государственных органов в пределах их компетенции.