تحدد هذه اللائحة بشأن إجراءات معالجة البيانات الشخصية لدى ООО «101 ГРУПП» (ويشار إليها فيما يلي باسم «اللائحة») أغراض معالجة البيانات الشخصية وشروطها وإجراءاتها، وتضع المتطلبات العامة لضمان أمن البيانات الشخصية التي تعالجها ООО «101 ГРУПП» (ويشار إليها فيما يلي باسم «الشركة») باستخدام وسائل الأتمتة أو بدونها.
طُوّر هذا التطبيق مع مراعاة متطلبات القانون الاتحادي رقم 152-ФЗ المؤرخ 27.07.2006 «بشأن البيانات الشخصية».
1. المصطلحات والتعريفات
تُستخدم في اللائحة المصطلحات والتعريفات الواردة في المادة 3 من القانون الاتحادي رقم 152-ФЗ المؤرخ 27.07.2006 «بشأن البيانات الشخصية»:
1.1. حجب البيانات الشخصية: الإيقاف المؤقت لمعالجة البيانات الشخصية، باستثناء الحالات التي تكون فيها المعالجة ضرورية لتدقيق البيانات الشخصية.
1.2. نظام معلومات البيانات الشخصية: مجموعة البيانات الشخصية الموجودة في قواعد البيانات، وتقنيات المعلومات والوسائل التقنية التي تتيح معالجتها.
1.3. إخفاء هوية البيانات الشخصية: إجراءات تجعل من المستحيل تحديد ارتباط البيانات الشخصية بصاحب بيانات معين دون استخدام معلومات إضافية.
1.4. معالجة البيانات الشخصية: أي إجراء (عملية) أو مجموعة إجراءات (عمليات) تُجرى على البيانات الشخصية باستخدام وسائل الأتمتة أو بدونها، بما يشمل جمع البيانات وتسجيلها وتنظيمها وتجميعها وتخزينها وتدقيقها (تحديثها وتعديلها) واستخراجها وحجبها وحذفها وإتلافها.
1.5. المشغّل: جهة حكومية أو بلدية أو شخص اعتباري أو طبيعي ينظم و/أو ينفذ معالجة البيانات الشخصية بصورة مستقلة أو بالاشتراك مع آخرين، ويحدد كذلك أغراض المعالجة والبيانات الشخصية الخاضعة لها والإجراءات (العمليات) التي تُجرى عليها.
1.6. البيانات الشخصية: أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد، بصورة مباشرة أو غير مباشرة (صاحب البيانات الشخصية).
1.7. نشر البيانات الشخصية: إجراءات تهدف إلى كشف البيانات الشخصية لدائرة غير محددة من الأشخاص.
1.8. نقل البيانات الشخصية عبر الحدود: نقل البيانات الشخصية إلى إقليم دولة أجنبية أو إلى سلطة تابعة لدولة أجنبية أو شخص طبيعي أجنبي أو شخص اعتباري أجنبي.
1.9. إتلاف البيانات الشخصية: إجراءات تجعل استعادة محتوى البيانات الشخصية في نظام معلومات البيانات الشخصية مستحيلة و/أو تؤدي إلى إتلاف الوسائط المادية التي تحتوي عليها.
1.10. المعالجة الآلية للبيانات الشخصية: معالجة البيانات الشخصية باستخدام معدات الحوسبة.
1.11. تقديم البيانات الشخصية: إجراءات تهدف إلى كشف البيانات الشخصية لشخص محدد أو لدائرة محددة من الأشخاص.
2. أحكام عامة
2.1. أغراض اللائحة ونطاق سريانها
تحدد اللائحة أغراض معالجة البيانات الشخصية، وتضع المتطلبات العامة لضمان أمن البيانات الشخصية التي تعالجها الشركة باستخدام وسائل الأتمتة أو بدونها.
يجب إطلاع كل موظف في الشركة يعالج البيانات الشخصية على اللائحة وأخذ توقيعه على ذلك. ويؤكد كل موظف بتوقيعه الشخصي أنه أُبلغ بقيامه بمعالجة البيانات الشخصية وبفئات البيانات التي يعالجها، وأنه اطّلع على متطلبات المعالجة وضمان الأمن الواردة في اللائحة والوثائق الداخلية الأخرى المنظمة لمعالجة البيانات الشخصية، في حدود ما يتعلق بواجباته الوظيفية.
2.2. مبادئ معالجة البيانات الشخصية
يجب أن تتم معالجة البيانات الشخصية وفق المبادئ التالية:
- مشروعية أغراض معالجة البيانات الشخصية وطرقها وحسن النية
- توافق أغراض المعالجة مع الأغراض المحددة مسبقًا والمعلنة عند جمع البيانات الشخصية، وكذلك مع صلاحيات الشركة
- تناسب حجم البيانات الشخصية المعالجة وطبيعتها وطرق معالجتها مع أغراض المعالجة
- دقة البيانات الشخصية وكفايتها لأغراض المعالجة، وعدم جواز معالجة بيانات تزيد عما تتطلبه الأغراض المعلنة عند جمعها
- عدم جواز دمج قواعد بيانات أنظمة معلومات البيانات الشخصية المنشأة لأغراض غير متوافقة فيما بينها.
2.3. تخزين البيانات الشخصية
يجب تخزين البيانات الشخصية بصيغة تتيح تحديد صاحبها. ولا يجوز الاحتفاظ بها لمدة تتجاوز ما تقتضيه أغراض المعالجة، ما لم يحدد قانون اتحادي أو عقد يكون صاحب البيانات طرفًا فيه أو مستفيدًا منه أو ضامنًا له مدةً للتخزين. ويجب إتلاف البيانات المعالجة أو إخفاء هويتها عند تحقيق أغراض المعالجة أو زوال الحاجة إلى تحقيقها، ما لم ينص القانون الاتحادي على خلاف ذلك.
2.4. طرق معالجة البيانات الشخصية
يجوز للشركة معالجة البيانات الشخصية باستخدام وسائل الأتمتة أو بدونها. وتسري جميع تدابير الحماية أثناء المعالجة على وسائط المعلومات الورقية والإلكترونية.
يجوز للشركة تنفيذ الإجراءات التالية عند معالجة البيانات الشخصية:
- الجمع
- التسجيل
- التنظيم
- التجميع
- التخزين
- التدقيق (التحديث والتعديل)
- الاستخراج
- الاستخدام
- النقل (النشر والتقديم وإتاحة الوصول)
- إخفاء الهوية
- الحجب
- الحذف
- الإتلاف.
2.5. وجوب إخطار الجهة المخوّلة بحماية حقوق أصحاب البيانات الشخصية
تلتزم الشركة بإخطار الجهة المخوّلة بحماية حقوق أصحاب البيانات الشخصية بمعالجة البيانات الشخصية، وفقًا للمادة 22 من القانون الاتحادي رقم 152-ФЗ المؤرخ 27.07.2006 «بشأن البيانات الشخصية».
3. أصحاب البيانات الشخصية وفئاتها
3.1. أصحاب البيانات الشخصية
يجوز للشركة معالجة البيانات الشخصية للفئات التالية من أصحاب البيانات:
- الموظفون الذين كانت لهم أو ما زالت لهم علاقة عمل بالشركة
- الأشخاص الطبيعيون الذين كانت لهم أو ما زالت لهم علاقات تعاقدية أو غيرها من العلاقات المدنية مع الشركة
- مستخدمو تطبيق الأجهزة المحمولة 101 GROUP (ويشار إليه فيما يلي باسم «تطبيق الهاتف المحمول»)
- زوار الموقع الإلكتروني 101-app.com (ويشار إليه فيما يلي باسم «الموقع الإلكتروني»).
يوصى بالتمييز بين الفئات التالية من البيانات الشخصية:
- البيانات المصنفة ضمن الفئات الخاصة من البيانات الشخصية وفقًا للقانون الاتحادي رقم 152-ФЗ المؤرخ 27.07.2006 «بشأن البيانات الشخصية»
- البيانات المصنفة بيانات شخصية بيومترية وفقًا للقانون الاتحادي رقم 152-ФЗ المؤرخ 27.07.2006 «بشأن البيانات الشخصية»
- البيانات المصنفة بيانات شخصية متاحة للعامة أو مخفية الهوية وفقًا للقانون الاتحادي رقم 152-ФЗ المؤرخ 27.07.2006 «بشأن البيانات الشخصية»
- البيانات الشخصية التي لا يمكن تصنيفها ضمن الفئات الخاصة أو البيانات البيومترية أو البيانات المتاحة للعامة أو البيانات مخفية الهوية.
يجب ألا تعالج أنظمة معلومات الشركة البيانات الشخصية المتعلقة بما يلي:
- الفئات الخاصة من البيانات الشخصية المتعلقة بالأصل العرقي أو القومي أو الآراء السياسية أو المعتقدات الدينية أو الفلسفية أو الحالة الصحية أو الحياة الحميمة أو السوابق الجنائية
- البيانات الشخصية المتعلقة بالحياة الخاصة أو عضوية أصحاب البيانات في الجمعيات العامة أو نشاطهم النقابي.
لا تجوز معالجة البيانات الشخصية المحددة في البند 3.2.2 من اللائحة إلا في الحالات التي يحددها التشريع.
4. أغراض معالجة البيانات الشخصية
حددت الشركة الأغراض التالية لمعالجة البيانات الشخصية:
4.1. يجوز معالجة البيانات الشخصية لموظفي الشركة للأغراض التالية:
- تنظيم سجلات الموظفين
- إمساك سجلات شؤون الموظفين والسجلات المحاسبية
- مساعدة الموظفين في التوظيف
- التدريب
- الترقية الوظيفية
- ضمان السلامة الشخصية للموظفين
- مراقبة كمية العمل المنجز وجودته
- ضمان المحافظة على الممتلكات
- فتح حسابات مصرفية شخصية للموظفين لتحويل الأجور
- التأمين ضمن برامج التأمين الطبي الطوعي
- تحويل الاشتراكات التأمينية إلى صناديق التقاعد غير الحكومية
- الاستفادة من مختلف المزايا وفقًا لقانون العمل وقانون الضرائب في الاتحاد الروسي والقوانين الاتحادية الأخرى، وكذلك النظام الأساسي للشركة ولوائحها.
4.2. تُعالج البيانات الشخصية للأشخاص الطبيعيين الذين كانت لهم أو ما زالت لهم علاقات تعاقدية أو غيرها من العلاقات المدنية مع الشركة للأغراض التالية:
- تحقيق الربح
- إبرام العقود والوفاء بالالتزامات الناشئة عن العقود المبرمة
- ممارسة الأنشطة المنصوص عليها في الوثائق التأسيسية للشركة.
4.3. تُعالج البيانات الشخصية لمستخدمي تطبيق الهاتف المحمول للأغراض التالية:
- تسجيل مستخدمي تطبيق الهاتف المحمول ومنحهم صلاحية الدخول
- إرسال رسائل معلوماتية ورسائل خدمية إلى المستخدمين
- إبلاغ المستخدمين بالمعلومات عبر المكالمات الهاتفية
- تقييم أداء تطبيق الهاتف المحمول وتحليله
- تحسين أداء تطبيق الهاتف المحمول ووظائفه
- إرسال إشعارات إلى مستخدمي تطبيق الهاتف المحمول عن المنتجات والخدمات الجديدة والعروض الخاصة والفعاليات المختلفة.
4.4. تُعالج البيانات الشخصية لزوار الموقع الإلكتروني للأغراض التالية:
- التواصل مع زوار الموقع وإرسال إشعارات وطلبات ومعلومات تتعلق بعمل الموقع والخدمات
- تنفيذ الاتفاقات مع زوار الموقع ومعالجة طلباتهم والتماساتهم
- تقديم معلومات دورية عن خدمات الشركة وأنشطتها
- تقييم أداء الموقع الإلكتروني وتحليله
- تحسين أداء الموقع الإلكتروني ووظائفه
- إبلاغ زوار الموقع الإلكتروني بالمعلومات عبر المكالمات الهاتفية.
5. حجم البيانات الشخصية ومحتواها
لأغراض المعالجة المحددة في القسم 4 من اللائحة، حُدد حجم البيانات الشخصية ومحتواها على النحو التالي:
5.1. حجم البيانات الشخصية لموظفي الشركة ومحتواها:
- اسم العائلة والاسم الشخصي واسم الأب
- تاريخ الميلاد
- مكان الميلاد
- الجنس
- الجنسية
- بيانات جواز السفر أو وثيقة هوية أخرى (السلسلة والرقم وتاريخ الإصدار والجهة المصدرة)
- معلومات تصف الخصائص الفسيولوجية (صورة الوجه)
- عنوان السكن
- رقم الهاتف
- عنوان البريد الإلكتروني
- معلومات الاتصال الأخرى
- معلومات عن التعليم والمؤهلات والمعارف المتخصصة والتدريب الخاص
- معلومات عن النشاط المهني والأجور وغيرها من الإيرادات والمصروفات
- معلومات التسجيل العسكري
- معلومات عن الحالة الاجتماعية والأطفال
- معلومات عن وثائق التأمين الطبي الإلزامي و/أو الطوعي
- معلومات رقم التعريف الضريبي
- عقد العمل ودفتر سجل العمل
- نسخ من أوامر التعيين والنقل والفصل وزيادة الأجر والمكافآت والحوافز والجزاءات
- بطاقة الموظف وفق النموذج Т-2
- طلبات الموظف ومذكراته التفسيرية ومراسلاته الداخلية
- أي معلومات أخرى لازمة لتحقيق الأغراض المذكورة أعلاه وينص عليها تشريع العمل النافذ.
5.2. حجم البيانات الشخصية للأشخاص الطبيعيين الذين كانت لهم أو ما زالت لهم علاقات تعاقدية أو غيرها من العلاقات المدنية مع الشركة ومحتواها:
- اسم العائلة والاسم الشخصي واسم الأب
- تاريخ الميلاد
- مكان الميلاد
- الجنس
- الجنسية
- بيانات جواز السفر أو وثيقة هوية أخرى (السلسلة والرقم وتاريخ الإصدار والجهة المصدرة)
- معلومات تصف الخصائص الفسيولوجية (صورة الوجه)
- معلومات رقم التعريف الضريبي
- عنوان السكن
- رقم الهاتف
- عنوان البريد الإلكتروني
- معلومات الاتصال الأخرى
- أي معلومات أخرى لازمة لتحقيق الأغراض المذكورة أعلاه وينص عليها تشريع العمل النافذ.
5.3. حجم البيانات الشخصية لمستخدمي تطبيق الهاتف المحمول ومحتواها:
- اسم العائلة والاسم الشخصي واسم الأب
- رقم الهاتف
- عنوان البريد الإلكتروني
- بيانات مخفية الهوية عن الزوار تُعالج باستخدام خدمتي Yandex Metrica وGoogle Analytics.
5.4. حجم البيانات الشخصية للأشخاص الطبيعيين الزائرين للموقع الإلكتروني ومحتواها:
- اسم العائلة والاسم الشخصي واسم الأب
- رقم الهاتف
- عنوان البريد الإلكتروني
- بيانات مخفية الهوية عن الزوار تُعالج باستخدام خدمتي Yandex Metrica وGoogle Analytics.
6. مدد معالجة البيانات الشخصية
لأغراض المعالجة المحددة في القسم 4 من اللائحة، حُددت مدد معالجة البيانات الشخصية التالية:
- بالنسبة لبيانات موظفي الشركة: طوال مدة سريان عقد العمل. وتعالج الشركة بيانات الموظفين السابقين خلال المدة المحددة في البند 5 من الجزء 3 من المادة 24 من الجزء الأول من قانون الضرائب للاتحاد الروسي، والجزء 1 من المادة 29 من القانون الاتحادي رقم 402-ФЗ المؤرخ 06.12.2011 «بشأن المحاسبة».
- بالنسبة لبيانات الأشخاص الطبيعيين الذين كانت لهم أو ما زالت لهم علاقات تعاقدية أو غيرها من العلاقات المدنية مع الشركة: طوال مدة سريان العقود المبرمة معهم. ويجوز للشركة بعد انتهائها معالجة بيانات العملاء خلال المدة المحددة في البند 5 من الجزء 3 من المادة 24 من الجزء الأول من قانون الضرائب للاتحاد الروسي، والجزء 1 من المادة 29 من القانون الاتحادي رقم 402-ФЗ المؤرخ 06.12.2011 «بشأن المحاسبة».
- بالنسبة لبيانات مستخدمي تطبيق الهاتف المحمول: حتى حذف الحساب في التطبيق.
- بالنسبة لبيانات زوار الموقع الإلكتروني: حتى تحقيق غرض معالجة البيانات الشخصية.
7. ضرورة الموافقة على معالجة البيانات الشخصية
لا يجوز معالجة بيانات فئات الأشخاص المشار إليهم في البند 3.1 من اللائحة إلا بموافقة خطية من أصحاب البيانات الشخصية.
يجب إعداد نموذج موافقة على معالجة البيانات الشخصية لكل فئة من أصحاب البيانات المحددة في البند 3.1 من اللائحة واعتماده بأمر من رئيس الشركة. ويجب إعداد النموذج وفقًا لمتطلبات القانون الاتحادي رقم 152-ФЗ المؤرخ 27.07.2006 «بشأن البيانات الشخصية».
8. شروط معالجة البيانات الشخصية
8.1. سرية البيانات الشخصية
وفقًا لمرسوم رئيس الاتحاد الروسي رقم 188 المؤرخ 06.03.1997 «بشأن اعتماد قائمة المعلومات ذات الطبيعة السرية»، تُعد البيانات الشخصية معلومات سرية.
8.1.1 يجب على الشركة توثيق قائمة بالبيانات الشخصية التي تعالجها واعتمادها.
8.1.2. عند معالجة البيانات الشخصية من قبل الشركة والأطراف الثالثة التي تحصل على صلاحية الوصول إليها، يجب ضمان سريتها بتهيئة ظروف تمنع نشرها دون موافقة صاحب البيانات، باستثناء الحالات التالية:
- في حال إخفاء هوية البيانات الشخصية
- فيما يتعلق بالبيانات الشخصية المتاحة للعامة.
8.2. إسناد معالجة البيانات الشخصية إلى طرف ثالث
إذا أسندت الشركة معالجة البيانات الشخصية إلى شخص آخر بموجب عقد، فإن التزام ذلك الشخص بضمان سرية البيانات وأمنها أثناء المعالجة يُعد شرطًا أساسيًا في العقد.
8.3. تخزين البيانات الشخصية وإتلافها
يجب تخزين البيانات الشخصية بصيغة تسمح بتحديد صاحبها، ولمدة لا تتجاوز ما تقتضيه أغراض معالجتها.
ما لم ينص التشريع على خلاف ذلك، يجب على الشركة وقف المعالجة وإتلاف البيانات الشخصية المجمّعة في الحالات التالية وخلال المدد القانونية:
- عند تحقيق أغراض المعالجة أو زوال الحاجة إلى تحقيقها
- بناءً على طلب صاحب البيانات أو الجهة المخوّلة بحماية حقوق أصحاب البيانات، إذا كانت البيانات غير مكتملة أو قديمة أو غير دقيقة أو جُمعت بصورة غير مشروعة أو غير لازمة للغرض المعلن للمعالجة
- عندما يسحب صاحب البيانات موافقته على معالجة بياناته إذا كانت هذه الموافقة مطلوبة بموجب التشريع
- عندما يعجز المشغّل عن إزالة المخالفات المرتكبة أثناء معالجة البيانات الشخصية.
8.4. معالجة البيانات الشخصية لترويج السلع والخدمات
لا يُسمح بمعالجة البيانات الشخصية لترويج السلع والخدمات في السوق عبر التواصل المباشر مع المستهلكين المحتملين باستخدام وسائل الاتصال إلا بموافقة مسبقة من صاحب البيانات، تُعد وتُعتمد وفق متطلبات البند 7.2 من اللائحة.
8.5. نقل البيانات الشخصية عبر الحدود
لا يجوز نقل البيانات الشخصية عبر الحدود (عبر حدود دولة الاتحاد الروسي إلى سلطة أو شخص طبيعي أو اعتباري تابع لدولة أجنبية) إلا بموافقة خطية من صاحب البيانات تُعد وتُعتمد وفق متطلبات البند 7.2 من اللائحة.
يجوز نقل البيانات الشخصية عبر الحدود دون موافقة صاحبها في الحالات التالية:
- تنفيذ عقد يكون صاحب البيانات الشخصية طرفًا فيه
- حماية حياة صاحب البيانات أو غيره من الأشخاص أو صحتهم أو مصالحهم الحيوية الأخرى عند تعذر الحصول على الموافقة الخطية لصاحب البيانات.
8.6. معالجة المراسلات والطلبات
يجب على الشركة تحديد وتوثيق إجراءات التعامل مع طلبات الجهات المخوّلة بحماية حقوق أصحاب البيانات أو غيرها من الهيئات الرقابية التي تمارس الرقابة والإشراف في مجال البيانات الشخصية.
9. تدابير ضمان أمن البيانات الشخصية
9.1. أحكام عامة
تُعد تدابير ضمان أمن البيانات الشخصية جزءًا لا يتجزأ من أنشطة الشركة.
9.1.1 يجوز الاستعانة بمنظمة تحمل ترخيصًا صادرًا حسب الأصول لمزاولة أنشطة الحماية التقنية للمعلومات السرية، لاختيار طرق ووسائل حماية البيانات الشخصية وتنفيذها.
9.1.2. يجب على الشركة تحديد وتوثيق واعتماد قائمة بالأشخاص الذين يحتاجون إلى الوصول إلى البيانات الشخصية المعالجة في أنظمة معلومات الشركة لأداء واجباتهم الرسمية أو المهنية أو الوظيفية.
9.1.3. يجوز إدراج الموظفين في القائمة على أساس الأدوار بحسب مناصبهم، وفقًا للمتطلبات التالية:
- يجب تحديد أدوار الموظفين وتوثيقها.
- يجب إسناد الأدوار إلى أشخاص محددين وتحديد مسؤوليتهم عن أدائها، وتوثيق هذه المسؤولية في الوصف الوظيفي.
- يجب توثيق وتنفيذ إجراءات مراقبة أنشطة الموظفين الذين يملكون مجموعة صلاحيات (أدوار) تتيح لهم السيطرة على أصل معلوماتي محمي تابع للشركة.
- يجب توثيق إجراءات التوظيف المؤثرة في أمن المعلومات، على أن تنص على تسجيل نتائج الفحوص. وتشمل التحقق من صحة الوثائق المقدمة والمؤهلات المعلنة ودقة المعلومات المتعلقة بالسيرة الذاتية واكتمالها، وفحص المهارات المهنية وتقييم الملاءمة المهنية.
- يجب توثيق إجراءات الفحوص الدورية لمهارات الموظفين وملاءمتهم المهنية مع تسجيل النتائج، وكذلك الفحوص غير المجدولة مع تسجيل نتائجها عند اكتشاف سلوك غير اعتيادي أو مشاركة في حوادث أمن المعلومات أو الاشتباه في مثل ذلك السلوك أو المشاركة.
- يجب أن يقدم جميع موظفي الشركة تعهدًا خطيًا بالحفاظ على السرية والالتزام بقواعد أخلاقيات الشركة، بما فيها متطلبات منع تضارب المصالح.
- عند التعامل مع المنظمات الخارجية والعملاء، يجب تنظيم متطلبات أمن المعلومات بموجب أحكام تُدرج في العقود (الاتفاقات) المبرمة معهم.
- يجب إدراج التزام الموظفين بالامتثال لمتطلبات أمن المعلومات في عقود العمل و/أو الأوصاف الوظيفية.
9.1.4. يجب أن يقتصر وصول موظفي الشركة إلى البيانات الشخصية ومعالجة البيانات الشخصية لموظفي الشركة على أداء واجباتهم الوظيفية.
9.1.5. يجب على الشركة تحديد وتوثيق إجراءات دخول الموظفين وغيرهم إلى الأماكن التي تُعالج فيها البيانات الشخصية.
9.1.6. يجب اعتبار عدم امتثال موظفي الشركة لمتطلبات أمن المعلومات إخلالًا بالواجبات الوظيفية، وأن يترتب عليه، كحد أدنى، مسؤولية تأديبية.
9.2. تدابير ضمان أمن البيانات الشخصية أثناء المعالجة الآلية
يُضمن أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية بواسطة نظام لحماية البيانات يشمل تدابير تنظيمية ووسائل حماية المعلومات وتقنيات المعلومات المستخدمة في تلك الأنظمة.
9.2.1. يجب تحديد أنواع التهديدات التي تتعرض لها جميع أنظمة معلومات البيانات الشخصية في الشركة.
9.2.2. يجب أن تحدد الشركة أنواع تهديدات أنظمة معلومات البيانات الشخصية وفقًا لما يلي:
- متطلبات حماية البيانات الشخصية عند معالجتها في أنظمة معلومات البيانات الشخصية، المعتمدة بقرار حكومة الاتحاد الروسي رقم 1119 المؤرخ 01.11.2012.
- يجب توثيق نتائج تحديد أنواع تهديدات أنظمة معلومات البيانات الشخصية في محضر رسمي مناسب.
- عند تصنيف الأنظمة الآلية (АБС) ضمن أنظمة معلومات البيانات الشخصية، يُتبع النهج التالي: تُدرج الأنظمة الآلية التي يكون من أغراض إنشائها واستخدامها معالجة البيانات الشخصية في قائمة أنظمة المعلومات التي تُعالج فيها البيانات الشخصية.
- يجب تحديد أغراض المعالجة وحجم البيانات الشخصية المعالجة ومحتواها وقائمة الإجراءات التي تُجرى عليها وطرق معالجتها لكل نظام معلومات للبيانات الشخصية.
- يجب إسناد الأدوار إلى أشخاص محددين وتحديد مسؤوليتهم عن أدائها، وتوثيق هذه المسؤولية في الوصف الوظيفي.
- يجب أن يتوافق حجم البيانات الشخصية ومحتواها وقائمة الإجراءات وطرق المعالجة مع أغراض المعالجة.
- عند التعامل مع المنظمات الخارجية والعملاء، يجب تنظيم متطلبات أمن المعلومات بموجب أحكام تُدرج في العقود (الاتفاقات) المبرمة معهم.
9.2.3. يجب تحديد مستويات حماية البيانات الشخصية المعالجة في أنظمة معلومات الشركة وتوثيقها.
9.3. تدابير ضمان أمن البيانات الشخصية أثناء المعالجة دون وسائل الأتمتة
عند معالجة الشركة بيانات شخصية على وسائط ورقية، ولا سيما باستخدام نماذج وثائق موحدة تقتضي طبيعة معلوماتها أو تسمح بإدراج بيانات شخصية فيها، يجب الالتزام بمتطلبات «اللائحة بشأن خصائص معالجة البيانات الشخصية دون استخدام وسائل الأتمتة»، المعتمدة بقرار حكومة الاتحاد الروسي رقم 687 المؤرخ 15.09.2008.
9.3.1. يجب تنظيم المعالجة دون وسائل الأتمتة بطريقة تسمح، لكل فئة من البيانات الشخصية، بتحديد أماكن تخزين البيانات (الوسائط المادية) وقائمة الأشخاص الذين يعالجونها أو يمكنهم الوصول إليها.
9.3.2. يجب ضمان التخزين المنفصل للبيانات الشخصية (الوسائط المادية) التي تُعالج لأغراض مختلفة.
9.3.3. يجب تخزين الوسائط المادية في ظروف تضمن المحافظة على البيانات الشخصية وتمنع الوصول غير المصرح به إليها.
9.3.4. يُسمح بتخزين الوسائط المادية بشرط الالتزام بظروف تضمن المحافظة على البيانات الشخصية وتمنع الوصول غير المصرح به إليها.
9.3.5. يجب إبلاغ موظفي الشركة الذين يعالجون البيانات الشخصية دون أتمتة بأنهم يعالجون بيانات دون وسائل الأتمتة، وبفئات البيانات المعالجة، وكذلك بخصائص هذه المعالجة وقواعد تنفيذها.
9.3.6. تُعتمد قائمة أماكن تخزين البيانات الشخصية المعالجة دون وسائل الأتمتة بأمر من رئيس الشركة.
9.3.7. عند استخدام نماذج وثائق موحدة تقتضي طبيعة معلوماتها أو تسمح بإدراج بيانات شخصية، يجب استيفاء الشروط التالية:
يجب أن يتضمن النموذج الموحد:
- معلومات عن غرض معالجة البيانات الشخصية
- اسم الشركة وعنوانها
- اسم عائلة صاحب البيانات واسمه الشخصي واسم أبيه وعنوانه
- قائمة الإجراءات التي ستُجرى على البيانات الشخصية أثناء معالجتها
- وصفًا عامًا لطرق معالجة البيانات الشخصية التي تستخدمها الشركة.
9.3.8. يجب أن يتضمن النموذج الموحد خانة يستطيع صاحب البيانات أن يضع فيها علامة تدل على موافقته على معالجة بياناته الشخصية.
9.3.9. يجب إتلاف الوسائط المادية للبيانات الشخصية بعد تحقيق أغراض معالجة البيانات التي تحتوي عليها، ما لم ينص التشريع على خلاف ذلك (إتلاف مادي كامل وغير قابل للاستعادة للبيانات الشخصية الموجودة على هذه الوسائط). ويجب على الشركة تحديد وتوثيق إجراءات إتلاف الوسائط المادية للبيانات الشخصية.
9.4. تدابير ضمان أمن البيانات الشخصية عند تخزين وسائطها
يجب على الشركة تحديد وتوثيق إجراءات حصر الوسائط المادية للبيانات الشخصية وتخزينها، بحيث تحدد:
- أماكن تخزين وسائط البيانات الشخصية
- متطلبات ضمان أمن البيانات الشخصية عند تخزين وسائطها
- الأشخاص المسؤولين عن تنفيذ متطلبات أمن البيانات الشخصية
- إجراءات مراقبة الامتثال لمتطلبات أمن البيانات الشخصية عند تخزين وسائطها.
10. الشخص الذي يؤدي مهام حماية البيانات الشخصية
10.1 يتولى الشخص المسؤول عن معالجة البيانات الشخصية مهام تنظيم حماية البيانات الشخصية في الشركة.
10.2. يُعيَّن الشخص المسؤول عن معالجة البيانات الشخصية بأمر من رئيس الشركة.
10.3. يُعيَّن الشخص المسؤول عن معالجة البيانات الشخصية بأمر من رئيس الشركة.
10.4. يسترشد الشخص المسؤول عن معالجة البيانات الشخصية في عمله بالقوانين واللوائح الروسية المتعلقة بحماية البيانات الشخصية، وباللائحة وغيرها من اللوائح التنظيمية للشركة.
10.5. يحدد الوصف الوظيفي حقوق الشخص المسؤول عن معالجة البيانات الشخصية وواجباته ومسؤوليته.
11. مراقبة الامتثال للائحة
11.1. يخضع الامتثال لمتطلبات اللائحة للمراقبة.
11.2. تُحدد قائمة تدابير المراقبة ودوريتها في خطة مراقبة ضمان أمن البيانات الشخصية، بما يشمل المراقبة الداخلية والمراقبة بمشاركة جهات تدقيق خارجية مستقلة.
11.3. تتمثل المراقبة في التحقق من استيفاء متطلبات الوثائق التنظيمية لحماية المعلومات وتقييم مبررات التدابير المتخذة وفعاليتها.
11.4. يُعد تقرير استنتاجي بنتائج المراقبة.
11.5. يجوز أن تنفذ منظمات خارجية تدابير المراقبة على أساس تعاقدي.
11.6. يتحمل المخالفون لمتطلبات اللائحة المسؤولية المدنية والإدارية والتأديبية والجنائية وغيرها من المسؤوليات المنصوص عليها في التشريع.