Peraturan Pemrosesan Data Pribadi ООО «101 ГРУПП»

Peraturan tentang Tata Cara Pemrosesan Data Pribadi ООО «101 ГРУПП» ini (selanjutnya disebut Peraturan) menetapkan tujuan, ketentuan, dan tata cara pemrosesan data pribadi serta persyaratan umum untuk menjamin keamanan data pribadi yang diproses oleh ООО «101 ГРУПП» (selanjutnya disebut Perusahaan), baik dengan maupun tanpa sarana otomatisasi.

Aplikasi ini dikembangkan dengan memperhatikan persyaratan Undang-Undang Federal No. 152-ФЗ tanggal 27.07.2006 “Tentang Data Pribadi”.

1. ISTILAH DAN DEFINISI

Peraturan ini menggunakan istilah dan definisi sesuai Pasal 3 Undang-Undang Federal No. 152-ФЗ tanggal 27.07.2006 “Tentang Data Pribadi”:

1.1. Pemblokiran data pribadi adalah penghentian sementara pemrosesan data pribadi, kecuali jika pemrosesan diperlukan untuk memperjelas data pribadi.

1.2. Sistem informasi data pribadi adalah kumpulan data pribadi dalam basis data beserta teknologi informasi dan sarana teknis yang memungkinkan pemrosesannya.

1.3. Depersonalisasi data pribadi adalah tindakan yang membuat keterkaitan data pribadi dengan subjek data pribadi tertentu tidak dapat ditentukan tanpa informasi tambahan.

1.4. Pemrosesan data pribadi adalah setiap tindakan (operasi) atau rangkaian tindakan (operasi) terhadap data pribadi, dengan atau tanpa sarana otomatisasi, termasuk pengumpulan, pencatatan, sistematisasi, penghimpunan, penyimpanan, klarifikasi (pembaruan, perubahan), pengambilan, pemblokiran, penghapusan, dan pemusnahan data pribadi.

1.5. Operator adalah badan negara, badan pemerintah daerah, badan hukum, atau orang perseorangan yang, sendiri atau bersama pihak lain, menyelenggarakan dan/atau melaksanakan pemrosesan data pribadi serta menentukan tujuan pemrosesan, data pribadi yang akan diproses, dan tindakan (operasi) terhadapnya.

1.6. Data pribadi adalah setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara langsung atau tidak langsung (subjek data pribadi).

1.7. Penyebarluasan data pribadi adalah tindakan yang bertujuan mengungkapkan data pribadi kepada kelompok orang yang tidak ditentukan.

1.8. Transfer data pribadi lintas batas adalah pemindahan data pribadi ke wilayah negara asing, kepada otoritas negara asing, orang perseorangan asing, atau badan hukum asing.

1.9. Pemusnahan data pribadi adalah tindakan yang membuat isi data pribadi dalam sistem informasi data pribadi tidak dapat dipulihkan dan/atau mengakibatkan musnahnya media fisik yang memuat data pribadi.

1.10. Pemrosesan otomatis data pribadi adalah pemrosesan data pribadi menggunakan perangkat komputasi.

1.11. Pemberian data pribadi adalah tindakan yang bertujuan mengungkapkan data pribadi kepada orang tertentu atau kelompok orang tertentu.

2. KETENTUAN UMUM

2.1. Tujuan dan ruang lingkup Peraturan

Peraturan ini menetapkan tujuan pemrosesan data pribadi serta persyaratan keamanan umum bagi data pribadi yang diproses Perusahaan dengan atau tanpa sarana otomatisasi.

Setiap karyawan Perusahaan yang memproses data pribadi wajib mempelajari Peraturan ini dengan membubuhkan tanda tangan. Dengan tanda tangan pribadi, setiap karyawan menegaskan bahwa ia telah diberi tahu mengenai pemrosesan data pribadi yang dilakukannya dan kategori data yang diproses, serta telah memahami persyaratan pemrosesan dan keamanan dalam Peraturan dan dokumen internal lain yang mengatur pemrosesan data pribadi, sejauh berkaitan dengan tugas jabatannya.

2.2. Prinsip pemrosesan data pribadi

Pemrosesan data pribadi harus dilakukan berdasarkan prinsip berikut:

  • Keabsahan tujuan dan metode pemrosesan data pribadi serta iktikad baik
  • Kesesuaian tujuan pemrosesan data pribadi dengan tujuan yang ditetapkan sebelumnya dan dinyatakan saat pengumpulan data, serta kewenangan Perusahaan
  • Kesesuaian cakupan dan sifat data pribadi yang diproses serta metode pemrosesannya dengan tujuan pemrosesan
  • Keakuratan data pribadi, kecukupannya untuk tujuan pemrosesan, serta larangan memproses data yang berlebihan dibandingkan tujuan yang dinyatakan saat pengumpulan
  • Larangan menggabungkan basis data sistem informasi data pribadi yang dibuat untuk tujuan yang saling tidak sesuai.

2.3. Penyimpanan data pribadi

Data pribadi harus disimpan dalam bentuk yang memungkinkan identifikasi subjek data pribadi. Data pribadi tidak boleh disimpan lebih lama daripada yang diperlukan untuk tujuan pemrosesan, kecuali jangka waktu penyimpanan ditetapkan oleh undang-undang federal atau perjanjian yang subjek data pribadinya merupakan pihak, penerima manfaat, atau penjamin. Data pribadi yang diproses wajib dimusnahkan atau didepersonalisasi setelah tujuan pemrosesan tercapai atau ketika pencapaian tujuan tersebut tidak lagi diperlukan, kecuali ditentukan lain oleh undang-undang federal.

2.4. Metode pemrosesan data pribadi

Perusahaan dapat memproses data pribadi dengan maupun tanpa sarana otomatisasi. Semua langkah perlindungan dalam pemrosesan data pribadi berlaku terhadap media informasi kertas dan elektronik.

Perusahaan dapat melakukan tindakan berikut dalam pemrosesan data pribadi:

  • Pengumpulan
  • Pencatatan
  • Sistematisasi
  • Penghimpunan
  • Penyimpanan
  • Klarifikasi (pembaruan, perubahan)
  • Pengambilan
  • Penggunaan
  • Transfer (penyebarluasan, pemberian, akses)
  • Depersonalisasi
  • Pemblokiran
  • Penghapusan
  • Pemusnahan.

2.5. Kewajiban pemberitahuan kepada badan berwenang untuk perlindungan hak subjek data pribadi

Perusahaan wajib memberitahukan pemrosesan data pribadi kepada badan berwenang untuk perlindungan hak subjek data pribadi sesuai Pasal 22 Undang-Undang Federal No. 152-ФЗ tanggal 27.07.2006 “Tentang Data Pribadi”.

3. SUBJEK DAN KATEGORI DATA PRIBADI

3.1. Subjek data pribadi

Perusahaan dapat memproses data pribadi dari kategori subjek berikut:

  • Karyawan yang pernah atau sedang memiliki hubungan kerja dengan Perusahaan
  • Orang perseorangan yang pernah atau sedang memiliki hubungan kontraktual atau hubungan hukum perdata lainnya dengan Perusahaan
  • Pengguna aplikasi perangkat seluler 101 GROUP (selanjutnya disebut Aplikasi Seluler)
  • Pengunjung situs web 101-app.com (selanjutnya disebut situs web).

Disarankan membedakan kategori data pribadi berikut:

  • Data pribadi yang termasuk kategori khusus menurut Undang-Undang Federal No. 152-ФЗ tanggal 27.07.2006 “Tentang Data Pribadi”
  • Data pribadi yang termasuk data pribadi biometrik menurut Undang-Undang Federal No. 152-ФЗ tanggal 27.07.2006 “Tentang Data Pribadi”
  • Data pribadi yang termasuk data pribadi yang tersedia untuk umum atau telah didepersonalisasi menurut Undang-Undang Federal No. 152-ФЗ tanggal 27.07.2006 “Tentang Data Pribadi”
  • Data pribadi yang tidak dapat digolongkan sebagai kategori khusus, data biometrik, data yang tersedia untuk umum, atau data yang telah didepersonalisasi.

Sistem informasi Perusahaan tidak boleh memproses data pribadi yang berkaitan dengan:

  • Kategori khusus data pribadi mengenai ras, etnis, pandangan politik, keyakinan agama atau filsafat, kesehatan, kehidupan intim, atau riwayat pemidanaan
  • Data pribadi tentang kehidupan pribadi, keanggotaan subjek data pribadi dalam organisasi kemasyarakatan, atau kegiatan serikat pekerjanya.

Data pribadi yang disebut dalam butir 3.2.2 Peraturan hanya dapat diproses dalam keadaan yang ditetapkan peraturan perundang-undangan.

4. TUJUAN PEMROSESAN DATA PRIBADI

Perusahaan menetapkan tujuan pemrosesan data pribadi berikut:

4.1. Data pribadi karyawan Perusahaan dapat diproses untuk:

  • Menyelenggarakan pencatatan karyawan
  • Menyelenggarakan administrasi personalia dan akuntansi
  • Membantu karyawan dalam penempatan kerja
  • Pelatihan
  • Pengembangan karier
  • Menjamin keselamatan pribadi karyawan
  • Mengawasi kuantitas dan kualitas pekerjaan
  • Menjamin keamanan harta benda
  • Membuka rekening bank pribadi karyawan untuk pembayaran gaji
  • Mengikutsertakan dalam program asuransi kesehatan sukarela
  • Membayarkan iuran asuransi ke dana pensiun nonnegara
  • Memanfaatkan berbagai fasilitas sesuai Kitab Undang-Undang Ketenagakerjaan Federasi Rusia, Kitab Undang-Undang Perpajakan Federasi Rusia, undang-undang federal lainnya, serta anggaran dasar dan peraturan Perusahaan.

4.2. Data pribadi orang perseorangan yang pernah atau sedang memiliki hubungan kontraktual atau hubungan hukum perdata lainnya dengan Perusahaan diproses untuk:

  • Memperoleh keuntungan
  • Membuat perjanjian dan memenuhi kewajiban berdasarkan perjanjian yang telah dibuat
  • Melaksanakan kegiatan yang ditentukan dalam dokumen pendirian Perusahaan.

4.3. Data pribadi pengguna Aplikasi Seluler diproses untuk:

  • Pendaftaran dan otorisasi pengguna Aplikasi Seluler
  • Mengirimkan pesan informasi dan pesan layanan kepada pengguna
  • Memberikan informasi kepada pengguna melalui panggilan telepon
  • Mengevaluasi dan menganalisis pengoperasian Aplikasi Seluler
  • Meningkatkan pengoperasian dan fungsionalitas Aplikasi Seluler
  • Mengirimkan pemberitahuan kepada pengguna Aplikasi Seluler tentang produk dan layanan baru, penawaran khusus, serta berbagai acara.

4.4. Data pribadi pengunjung situs web diproses untuk:

  • Berkomunikasi dengan pengunjung situs dan mengirimkan pemberitahuan, permintaan, serta informasi mengenai pengoperasian situs web dan layanan
  • Melaksanakan perjanjian dengan pengunjung situs dan memproses permintaan serta permohonan mereka
  • Memberikan informasi berkala mengenai layanan dan kegiatan Perusahaan
  • Mengevaluasi dan menganalisis pengoperasian situs web
  • Meningkatkan pengoperasian dan fungsionalitas situs web
  • Memberikan informasi kepada pengunjung situs web melalui panggilan telepon.

5. CAKUPAN DAN ISI DATA PRIBADI

Untuk tujuan pemrosesan dalam Bagian 4 Peraturan, ditetapkan cakupan dan isi data pribadi berikut:

5.1. Cakupan dan isi data pribadi karyawan Perusahaan:

  • Nama keluarga, nama depan, dan patronimik
  • Tanggal lahir
  • Tempat lahir
  • Jenis kelamin
  • Kewarganegaraan
  • Data paspor atau dokumen identitas lainnya (seri, nomor, tanggal penerbitan, dan pihak penerbit)
  • Informasi mengenai ciri fisiologis (citra wajah)
  • Alamat tempat tinggal
  • Nomor telepon
  • Alamat email
  • Informasi kontak lainnya
  • Informasi pendidikan, kualifikasi, pengetahuan khusus, dan pelatihan khusus
  • Informasi kegiatan kerja, gaji, serta penghasilan dan pengeluaran lainnya
  • Informasi pendaftaran militer
  • Informasi status perkawinan dan anak
  • Informasi polis asuransi kesehatan wajib dan/atau sukarela
  • Informasi nomor identifikasi wajib pajak
  • Perjanjian kerja dan buku riwayat kerja
  • Salinan surat keputusan penerimaan, mutasi, pemutusan hubungan kerja, kenaikan gaji, bonus, penghargaan, dan sanksi
  • Kartu data pribadi dengan formulir Т-2
  • Permohonan, catatan penjelasan, dan memo internal karyawan
  • Informasi lain yang diperlukan untuk mencapai tujuan di atas dan ditentukan oleh peraturan ketenagakerjaan yang berlaku.

5.2. Cakupan dan isi data pribadi orang perseorangan yang pernah atau sedang memiliki hubungan kontraktual atau hubungan hukum perdata lainnya dengan Perusahaan:

  • Nama keluarga, nama depan, dan patronimik
  • Tanggal lahir
  • Tempat lahir
  • Jenis kelamin
  • Kewarganegaraan
  • Data paspor atau dokumen identitas lainnya (seri, nomor, tanggal penerbitan, dan pihak penerbit)
  • Informasi mengenai ciri fisiologis (citra wajah)
  • Informasi nomor identifikasi wajib pajak
  • Alamat tempat tinggal
  • Nomor telepon
  • Alamat email
  • Informasi kontak lainnya
  • Informasi lain yang diperlukan untuk mencapai tujuan di atas dan ditentukan oleh peraturan ketenagakerjaan yang berlaku.

5.3. Cakupan dan isi data pribadi pengguna Aplikasi Seluler:

  • Nama keluarga, nama depan, dan patronimik
  • Nomor telepon
  • Alamat email
  • Data pengunjung yang telah didepersonalisasi dan diproses menggunakan layanan Yandex Metrica dan Google Analytics.

5.4. Cakupan dan isi data pribadi orang perseorangan yang mengunjungi situs web:

  • Nama keluarga, nama depan, dan patronimik
  • Nomor telepon
  • Alamat email
  • Data pengunjung yang telah didepersonalisasi dan diproses menggunakan layanan Yandex Metrica dan Google Analytics.

6. JANGKA WAKTU PEMROSESAN DATA PRIBADI

Untuk tujuan yang ditetapkan dalam Bagian 4 Peraturan, ditentukan jangka waktu pemrosesan data pribadi berikut:

  1. Untuk data pribadi karyawan Perusahaan: selama berlakunya perjanjian kerja. Perusahaan memproses data pribadi mantan karyawan selama jangka waktu yang ditetapkan dalam butir 5 bagian 3 Pasal 24 Bagian Pertama Kitab Undang-Undang Perpajakan Federasi Rusia dan bagian 1 Pasal 29 Undang-Undang Federal No. 402-ФЗ tanggal 06.12.2011 “Tentang Akuntansi”.
  2. Untuk data pribadi orang perseorangan yang pernah atau sedang memiliki hubungan kontraktual atau hubungan hukum perdata lainnya dengan Perusahaan: selama berlakunya perjanjian dengan mereka. Setelah perjanjian berakhir, Perusahaan dapat memproses data pribadi pelanggan selama jangka waktu yang ditetapkan dalam butir 5 bagian 3 Pasal 24 Bagian Pertama Kitab Undang-Undang Perpajakan Federasi Rusia dan bagian 1 Pasal 29 Undang-Undang Federal No. 402-ФЗ tanggal 06.12.2011 “Tentang Akuntansi”.
  3. Untuk data pribadi pengguna Aplikasi Seluler: hingga akun dalam Aplikasi Seluler dihapus.
  4. Untuk data pribadi pengunjung situs web: hingga tujuan pemrosesan data pribadi tercapai.

7. KEHARUSAN PERSETUJUAN UNTUK PEMROSESAN DATA PRIBADI

Data pribadi kategori subjek yang disebut dalam butir 3.1 Peraturan hanya dapat diproses dengan persetujuan tertulis dari subjek data pribadi.

Untuk setiap kategori subjek dalam butir 3.1 Peraturan harus disusun formulir persetujuan pemrosesan data pribadi yang disahkan melalui keputusan pimpinan Perusahaan. Formulir persetujuan harus disusun sesuai persyaratan Undang-Undang Federal No. 152-ФЗ tanggal 27.07.2006 “Tentang Data Pribadi”.

8. KETENTUAN PEMROSESAN DATA PRIBADI

8.1. Kerahasiaan data pribadi

Sesuai Keputusan Presiden Federasi Rusia No. 188 tanggal 06.03.1997 “Tentang Pengesahan Daftar Informasi yang Bersifat Rahasia”, data pribadi termasuk informasi rahasia.

8.1.1 Perusahaan harus mendokumentasikan dan mengesahkan daftar data pribadi yang diproses.

8.1.2. Dalam pemrosesan oleh Perusahaan dan pihak ketiga yang memperoleh akses ke data pribadi, kerahasiaannya harus dijamin dengan menciptakan kondisi yang mencegah penyebarluasan data pribadi tanpa persetujuan subjek, kecuali dalam keadaan berikut:

  • Jika data pribadi telah didepersonalisasi
  • Terhadap data pribadi yang tersedia untuk umum.

8.2. Penugasan pemrosesan data pribadi kepada pihak ketiga

Jika Perusahaan menugaskan pemrosesan data pribadi kepada pihak lain berdasarkan perjanjian, kewajiban pihak tersebut untuk menjamin kerahasiaan dan keamanan data pribadi selama pemrosesan merupakan syarat esensial perjanjian.

8.3. Penyimpanan dan pemusnahan data pribadi

Data pribadi harus disimpan dalam bentuk yang memungkinkan identifikasi subjek, tidak lebih lama daripada yang diperlukan untuk tujuan pemrosesannya.

Kecuali ditentukan lain oleh peraturan perundang-undangan, Perusahaan harus menghentikan pemrosesan dan memusnahkan data pribadi yang dikumpulkan dalam keadaan berikut, dalam jangka waktu yang ditentukan oleh hukum:

  • Setelah tujuan pemrosesan tercapai atau pencapaian tujuan itu tidak lagi diperlukan
  • Atas permintaan subjek atau badan berwenang untuk perlindungan hak subjek data pribadi, apabila datanya tidak lengkap, usang, tidak akurat, diperoleh secara melawan hukum, atau tidak diperlukan untuk tujuan pemrosesan yang dinyatakan
  • Apabila subjek menarik persetujuan atas pemrosesan data pribadinya, jika persetujuan tersebut diwajibkan hukum
  • Apabila operator tidak dapat memperbaiki pelanggaran yang dilakukan dalam pemrosesan data pribadi.

8.4. Pemrosesan data pribadi untuk promosi barang dan jasa

Pemrosesan data pribadi untuk mempromosikan barang dan jasa di pasar melalui kontak langsung dengan calon konsumen menggunakan sarana komunikasi hanya diperbolehkan dengan persetujuan terlebih dahulu dari subjek data pribadi, yang disusun dan disahkan sesuai butir 7.2 Peraturan.

8.5. Transfer data pribadi lintas batas

Transfer data pribadi lintas batas (melintasi perbatasan negara Federasi Rusia kepada otoritas, orang perseorangan, atau badan hukum negara asing) hanya dapat dilakukan dengan persetujuan tertulis subjek data pribadi, yang disusun dan disahkan sesuai butir 7.2 Peraturan.

Transfer data pribadi lintas batas dapat dilakukan tanpa persetujuan subjek dalam keadaan berikut:

  • Pelaksanaan perjanjian yang subjek data pribadinya merupakan salah satu pihak
  • Perlindungan kehidupan, kesehatan, atau kepentingan vital lain dari subjek data pribadi atau orang lain ketika persetujuan tertulis subjek tidak mungkin diperoleh.

8.6. Penanganan pengaduan dan permintaan

Perusahaan harus menetapkan dan mendokumentasikan prosedur tindakan atas permintaan badan berwenang untuk perlindungan hak subjek data pribadi atau otoritas pengawas lain yang melakukan pengendalian dan pengawasan di bidang data pribadi.

9. LANGKAH UNTUK MENJAMIN KEAMANAN DATA PRIBADI

9.1. Ketentuan umum

Langkah untuk menjamin keamanan data pribadi merupakan bagian yang tidak terpisahkan dari kegiatan Perusahaan.

9.1.1 Untuk memilih dan menerapkan metode serta sarana perlindungan data pribadi, dapat dilibatkan organisasi yang memiliki izin yang diterbitkan sesuai prosedur untuk kegiatan perlindungan teknis informasi rahasia.

9.1.2. Perusahaan harus menetapkan, mendokumentasikan, dan mengesahkan daftar orang yang memerlukan akses ke data pribadi yang diproses dalam sistem informasi Perusahaan untuk melaksanakan kewajiban dinas, kerja, atau jabatannya.

9.1.3. Karyawan dapat dicantumkan dalam daftar berdasarkan peran sesuai jabatannya, dengan memenuhi persyaratan berikut:

  • Peran karyawan harus diidentifikasi dan ditetapkan dalam dokumen.
  • Peran harus diberikan kepada orang tertentu dengan penetapan tanggung jawab atas pelaksanaannya, dan tanggung jawab tersebut harus dicatat dalam uraian jabatan.
  • Prosedur pengawasan kegiatan karyawan yang memiliki gabungan kewenangan (peran) yang memungkinkan penguasaan atas aset informasi Perusahaan yang dilindungi harus didokumentasikan dan dilaksanakan.
  • Prosedur perekrutan yang memengaruhi keamanan informasi harus didokumentasikan dan mengatur pencatatan hasil pemeriksaan. Prosedur tersebut mencakup verifikasi keaslian dokumen yang diserahkan, kualifikasi yang dinyatakan, keakuratan dan kelengkapan riwayat hidup, pemeriksaan keterampilan profesional, serta penilaian kelayakan profesional.
  • Prosedur pemeriksaan berkala atas keterampilan dan kelayakan profesional karyawan harus didokumentasikan beserta hasilnya. Pemeriksaan di luar jadwal, dengan hasil yang didokumentasikan, juga harus diatur ketika ditemukan perilaku tidak biasa, keterlibatan dalam insiden keamanan informasi, atau dugaan perilaku maupun keterlibatan tersebut.
  • Semua karyawan Perusahaan harus memberikan pernyataan tertulis untuk menjaga kerahasiaan dan mematuhi aturan etika perusahaan, termasuk persyaratan pencegahan benturan kepentingan.
  • Dalam hubungan dengan organisasi eksternal dan pelanggan, persyaratan keamanan informasi harus diatur dalam ketentuan yang dimuat dalam kontrak (perjanjian) dengan mereka.
  • Kewajiban karyawan untuk memenuhi persyaratan keamanan informasi harus dimasukkan dalam perjanjian kerja dan/atau uraian jabatan.

9.1.4. Akses karyawan Perusahaan ke data pribadi dan pemrosesan data pribadi karyawan Perusahaan hanya boleh dilakukan untuk pelaksanaan tugas jabatan mereka.

9.1.5. Perusahaan harus menetapkan dan mendokumentasikan tata cara akses karyawan dan orang lain ke ruangan tempat pemrosesan data pribadi dilakukan.

9.1.6. Ketidakpatuhan karyawan terhadap persyaratan keamanan informasi harus dianggap sebagai kegagalan melaksanakan tugas jabatan dan sekurang-kurangnya mengakibatkan pertanggungjawaban disipliner.

9.2. Langkah keamanan data pribadi dalam pemrosesan otomatis

Keamanan data pribadi dalam sistem informasi data pribadi dijamin melalui sistem perlindungan data pribadi yang mencakup langkah organisasi, sarana perlindungan informasi, serta teknologi informasi yang digunakan dalam sistem tersebut.

9.2.1. Jenis ancaman terhadap semua sistem informasi data pribadi Perusahaan wajib diidentifikasi.

9.2.2. Perusahaan harus mengidentifikasi jenis ancaman terhadap sistem informasi data pribadi sesuai dengan:

  • Persyaratan perlindungan data pribadi dalam pemrosesan melalui sistem informasi data pribadi yang disahkan oleh Peraturan Pemerintah Federasi Rusia No. 1119 tanggal 01.11.2012.
  • Hasil identifikasi jenis ancaman terhadap sistem informasi data pribadi harus dituangkan dalam berita acara yang sesuai.
  • Untuk menggolongkan sistem otomatis (АБС) sebagai sistem informasi data pribadi digunakan pendekatan berikut: sistem otomatis yang salah satu tujuan pembuatan dan penggunaannya adalah pemrosesan data pribadi harus dimasukkan dalam daftar sistem informasi yang memproses data pribadi.
  • Untuk setiap sistem informasi data pribadi harus ditetapkan tujuan pemrosesan, cakupan dan isi data pribadi yang diproses, daftar tindakan terhadap data pribadi, serta metode pemrosesannya.
  • Peran harus diberikan kepada orang tertentu dengan penetapan tanggung jawab atas pelaksanaannya, dan tanggung jawab tersebut harus dicatat dalam uraian jabatan.
  • Cakupan dan isi data pribadi serta daftar tindakan dan metode pemrosesannya harus sesuai dengan tujuan pemrosesan.
  • Dalam hubungan dengan organisasi eksternal dan pelanggan, persyaratan keamanan informasi harus diatur dalam ketentuan yang dimuat dalam kontrak (perjanjian) dengan mereka.

9.2.3. Tingkat perlindungan data pribadi yang diproses dalam sistem informasi Perusahaan harus ditetapkan dan didokumentasikan.

9.3. Langkah keamanan data pribadi dalam pemrosesan tanpa sarana otomatisasi

Ketika Perusahaan memproses data pribadi pada media kertas, khususnya melalui formulir dokumen standar yang sifat informasinya mengharuskan atau memungkinkan pencantuman data pribadi, harus dipenuhi persyaratan “Peraturan tentang Kekhususan Pemrosesan Data Pribadi tanpa Sarana Otomatisasi”, yang disahkan oleh Peraturan Pemerintah Federasi Rusia No. 687 tanggal 15.09.2008.

9.3.1. Pemrosesan tanpa sarana otomatisasi harus diselenggarakan agar, untuk setiap kategori data pribadi, dapat ditentukan lokasi penyimpanan data (media fisik) dan daftar orang yang memproses atau memiliki akses ke data tersebut.

9.3.2. Data pribadi (media fisik) yang diproses untuk tujuan berbeda harus disimpan secara terpisah.

9.3.3. Media fisik harus disimpan dalam kondisi yang menjamin keamanan data pribadi dan mencegah akses tanpa izin.

9.3.4. Penyimpanan media fisik diperbolehkan dengan memenuhi kondisi yang menjamin keamanan data pribadi dan mencegah akses tanpa izin.

9.3.5. Karyawan yang memproses data pribadi tanpa otomatisasi harus diberi tahu bahwa mereka melakukan pemrosesan tanpa sarana otomatisasi, kategori data yang diproses, serta kekhususan dan Aturan pelaksanaan pemrosesan tersebut.

9.3.6. Daftar lokasi penyimpanan data pribadi yang diproses tanpa sarana otomatisasi harus disahkan melalui keputusan pimpinan Perusahaan.

9.3.7. Saat menggunakan formulir dokumen standar yang sifat informasinya mengharuskan atau memungkinkan pencantuman data pribadi, ketentuan berikut harus dipenuhi:

Formulir standar harus memuat:

  • Informasi mengenai tujuan pemrosesan data pribadi
  • Nama dan alamat Perusahaan
  • Nama keluarga, nama depan, patronimik, dan alamat subjek data pribadi
  • Daftar tindakan terhadap data pribadi yang akan dilakukan selama pemrosesan
  • Uraian umum metode pemrosesan data pribadi yang digunakan Perusahaan.

9.3.8. Formulir standar harus menyediakan kolom bagi subjek data pribadi untuk menandai persetujuan atas pemrosesan data pribadinya.

9.3.9. Media fisik yang memuat data pribadi harus dimusnahkan setelah tujuan pemrosesan data di dalamnya tercapai, kecuali ditentukan lain oleh hukum (pemusnahan fisik secara menyeluruh dan tidak dapat dipulihkan atas data pribadi dalam media tersebut). Perusahaan harus menetapkan dan mendokumentasikan prosedur pemusnahan media fisik data pribadi.

9.4. Langkah keamanan data pribadi dalam penyimpanan media data pribadi

Perusahaan harus menetapkan dan mendokumentasikan tata cara pencatatan dan penyimpanan media fisik data pribadi yang mengatur:

  • Lokasi penyimpanan media data pribadi
  • Persyaratan keamanan data pribadi selama penyimpanan medianya
  • Pihak yang bertanggung jawab melaksanakan persyaratan keamanan data pribadi
  • Prosedur pengawasan pemenuhan persyaratan keamanan data pribadi selama penyimpanan media data pribadi.

10. ORANG YANG MENJALANKAN FUNGSI PERLINDUNGAN DATA PRIBADI

10.1 Orang yang bertanggung jawab atas pemrosesan data pribadi menjalankan fungsi penyelenggaraan perlindungan data pribadi di Perusahaan.

10.2. Orang yang bertanggung jawab atas pemrosesan data pribadi diangkat melalui keputusan pimpinan Perusahaan.

10.3. Orang yang bertanggung jawab atas pemrosesan data pribadi diangkat melalui keputusan pimpinan Perusahaan.

10.4. Dalam pekerjaannya, orang yang bertanggung jawab atas pemrosesan data pribadi berpedoman pada peraturan perundang-undangan Federasi Rusia di bidang perlindungan data pribadi, Peraturan ini, dan peraturan Perusahaan lainnya.

10.5. Hak, kewajiban, dan tanggung jawab orang yang bertanggung jawab atas pemrosesan data pribadi ditentukan dalam uraian jabatan.

11. PENGAWASAN PELAKSANAAN PERATURAN

11.1. Pemenuhan persyaratan Peraturan ini diawasi.

11.2. Daftar kegiatan dan frekuensi pengawasan ditentukan oleh Rencana Pengawasan Keamanan Data Pribadi, baik pengawasan internal maupun dengan melibatkan organisasi pemeriksa eksternal yang independen.

11.3. Pengawasan meliputi pemeriksaan kepatuhan terhadap persyaratan dokumen normatif perlindungan informasi serta penilaian dasar pertimbangan dan efektivitas langkah yang diambil.

11.4. Kesimpulan tertulis disusun berdasarkan hasil pengawasan.

11.5. Kegiatan pengawasan dapat dilakukan oleh organisasi pihak ketiga berdasarkan perjanjian.

11.6. Pihak yang bersalah melanggar Peraturan dikenai tanggung jawab perdata, administratif, disipliner, pidana, dan tanggung jawab lainnya sesuai hukum.

Beranda