ООО «101 ГРУПП»-ის პერსონალური მონაცემების დამუშავების წესის შესახებ ეს დებულება (შემდგომ — დებულება) განსაზღვრავს პერსონალური მონაცემების დამუშავების მიზნებს, პირობებსა და წესს და ადგენს ზოგად მოთხოვნებს იმ პერსონალური მონაცემების უსაფრთხოებისთვის, რომლებსაც ООО «101 ГРУПП» (შემდგომ — კომპანია) ამუშავებს ავტომატიზაციის საშუალებებით ან მათ გარეშე.
ეს აპლიკაცია შემუშავებულია 27.07.2006-ის № 152-ФЗ ფედერალური კანონის „პერსონალური მონაცემების შესახებ“ მოთხოვნების გათვალისწინებით.
1. ტერმინები და განმარტებები
დებულებაში გამოიყენება 27.07.2006-ის № 152-ФЗ ფედერალური კანონის „პერსონალური მონაცემების შესახებ“ მე-3 მუხლით განსაზღვრული ტერმინები და განმარტებები:
1.1. პერსონალური მონაცემების დაბლოკვა — დამუშავების დროებითი შეწყვეტა, გარდა შემთხვევებისა, როცა დამუშავება საჭიროა მონაცემების დასაზუსტებლად.
1.2. პერსონალური მონაცემების საინფორმაციო სისტემა — მონაცემთა ბაზებში არსებული პერსონალური მონაცემებისა და მათი დამუშავების უზრუნველმყოფი საინფორმაციო ტექნოლოგიებისა და ტექნიკური საშუალებების ერთობლიობა.
1.3. პერსონალური მონაცემების დეპერსონალიზაცია — მოქმედებები, რომელთა შედეგად დამატებითი ინფორმაციის გარეშე შეუძლებელია მონაცემების კონკრეტული სუბიექტისთვის მიკუთვნების დადგენა.
1.4. პერსონალური მონაცემების დამუშავება — ნებისმიერი მოქმედება (ოპერაცია) ან მოქმედებათა (ოპერაციათა) ერთობლიობა პერსონალურ მონაცემებზე, ავტომატიზაციის საშუალებებით ან მათ გარეშე, მათ შორის შეგროვება, ჩაწერა, სისტემატიზაცია, დაგროვება, შენახვა, დაზუსტება (განახლება, ცვლილება), ამოღება, დაბლოკვა, წაშლა და განადგურება.
1.5. ოპერატორი — სახელმწიფო ან მუნიციპალური ორგანო, იურიდიული ან ფიზიკური პირი, რომელიც დამოუკიდებლად ან სხვებთან ერთად ორგანიზებას უწევს ან/და ახორციელებს პერსონალური მონაცემების დამუშავებას და განსაზღვრავს მის მიზნებს, დასამუშავებელ მონაცემთა შემადგენლობასა და მათზე შესასრულებელ მოქმედებებს (ოპერაციებს).
1.6. პერსონალური მონაცემები — ნებისმიერი ინფორმაცია, რომელიც ეხება პირდაპირ ან არაპირდაპირ იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირს (პერსონალური მონაცემების სუბიექტს).
1.7. პერსონალური მონაცემების გავრცელება — მოქმედებები, რომლებიც მიმართულია მონაცემების პირთა განუსაზღვრელი წრისთვის გამჟღავნებისკენ.
1.8. პერსონალური მონაცემების ტრანსსასაზღვრო გადაცემა — მონაცემების გადაცემა უცხო სახელმწიფოს ტერიტორიაზე, უცხო სახელმწიფოს ორგანოსთვის, უცხოელი ფიზიკური ან უცხოური იურიდიული პირისთვის.
1.9. პერსონალური მონაცემების განადგურება — მოქმედებები, რომელთა შედეგად შეუძლებელია საინფორმაციო სისტემაში მონაცემთა შინაარსის აღდგენა ან/და ნადგურდება მათი მატერიალური მატარებლები.
1.10. პერსონალური მონაცემების ავტომატური დამუშავება — მონაცემების დამუშავება გამოთვლითი ტექნიკის საშუალებებით.
1.11. პერსონალური მონაცემების მიწოდება — მოქმედებები, რომლებიც მიმართულია მონაცემების კონკრეტული პირისთვის ან პირთა განსაზღვრული წრისთვის გამჟღავნებისკენ.
2. ზოგადი დებულებები
2.1. დებულების მიზნები და მოქმედების სფერო
დებულება განსაზღვრავს პერსონალური მონაცემების დამუშავების მიზნებს და ადგენს ზოგად მოთხოვნებს კომპანიის მიერ ავტომატიზაციის საშუალებებით ან მათ გარეშე დამუშავებული მონაცემების უსაფრთხოების უზრუნველსაყოფად.
დებულება ხელმოწერის დადასტურებით უნდა გააცნონ კომპანიის ყველა თანამშრომელს, რომელიც ამუშავებს პერსონალურ მონაცემებს. პირადი ხელმოწერით თანამშრომელი ადასტურებს, რომ ინფორმირებულია მის მიერ მონაცემთა დამუშავებისა და მონაცემთა კატეგორიების შესახებ, აგრეთვე გაეცნო დებულებითა და დამუშავების მარეგულირებელი სხვა შიდა დოკუმენტებით დადგენილ დამუშავებისა და უსაფრთხოების მოთხოვნებს, თავისი სამსახურებრივი მოვალეობების შესაბამის ნაწილში.
2.2. პერსონალური მონაცემების დამუშავების პრინციპები
პერსონალური მონაცემების დამუშავება უნდა ეფუძნებოდეს შემდეგ პრინციპებს:
- დამუშავების მიზნებისა და მეთოდების კანონიერება და კეთილსინდისიერება
- დამუშავების მიზნების შესაბამისობა მონაცემთა შეგროვებისას წინასწარ განსაზღვრულ და გაცხადებულ მიზნებსა და კომპანიის უფლებამოსილებებთან
- დასამუშავებელი მონაცემების მოცულობისა და ხასიათის, აგრეთვე დამუშავების მეთოდების შესაბამისობა დამუშავების მიზნებთან
- მონაცემთა სიზუსტე და საკმარისობა დამუშავების მიზნებისთვის; შეგროვებისას გაცხადებულ მიზნებთან შედარებით ჭარბი მონაცემების დამუშავების დაუშვებლობა
- ურთიერთშეუთავსებელი მიზნებისთვის შექმნილი პერსონალური მონაცემების საინფორმაციო სისტემების ბაზების გაერთიანების დაუშვებლობა.
2.3. პერსონალური მონაცემების შენახვა
მონაცემები უნდა ინახებოდეს სუბიექტის იდენტიფიცირების შესაძლებლობის მქონე ფორმით. შენახვის ვადა არ უნდა აღემატებოდეს დამუშავების მიზნებისთვის აუცილებელ პერიოდს, თუ ვადა დადგენილი არ არის ფედერალური კანონით ან ხელშეკრულებით, რომლის მხარე, ბენეფიციარი ან თავდებია სუბიექტი. მიზნების მიღწევისას ან მათი მიღწევის საჭიროების დაკარგვისას მონაცემები უნდა განადგურდეს ან დეპერსონალიზდეს, თუ ფედერალური კანონით სხვა რამ არ არის გათვალისწინებული.
2.4. პერსონალური მონაცემების დამუშავების მეთოდები
კომპანიას შეუძლია მონაცემების დამუშავება ავტომატიზაციის საშუალებებით ან მათ გარეშე. დამუშავებისას დაცვის ყველა ზომა ვრცელდება როგორც ქაღალდის, ისე ელექტრონულ მატარებლებზე.
პერსონალური მონაცემების დამუშავებისას კომპანიას შეუძლია შემდეგი მოქმედებების შესრულება:
- შეგროვება
- ჩაწერა
- სისტემატიზაცია
- დაგროვება
- შენახვა
- დაზუსტება (განახლება, ცვლილება)
- ამოღება
- გამოყენება
- გადაცემა (გავრცელება, მიწოდება, წვდომა)
- დეპერსონალიზაცია
- დაბლოკვა
- წაშლა
- განადგურება.
2.5. პერსონალური მონაცემების სუბიექტთა უფლებების დაცვის უფლებამოსილი ორგანოს შეტყობინების აუცილებლობა
კომპანია ვალდებულია დამუშავების შესახებ აცნობოს სუბიექტთა უფლებების დაცვის უფლებამოსილ ორგანოს 27.07.2006-ის № 152-ФЗ ფედერალური კანონის „პერსონალური მონაცემების შესახებ“ 22-ე მუხლის შესაბამისად.
3. პერსონალური მონაცემების სუბიექტები და კატეგორიები
3.1. პერსონალური მონაცემების სუბიექტები
კომპანიას შეუძლია შემდეგი კატეგორიების სუბიექტთა მონაცემების დამუშავება:
- თანამშრომლები, რომლებიც იყვნენ ან არიან კომპანიასთან შრომით ურთიერთობაში
- ფიზიკური პირები, რომლებიც იყვნენ ან არიან კომპანიასთან სახელშეკრულებო ან სხვა სამოქალაქო-სამართლებრივ ურთიერთობაში
- მობილური მოწყობილობების აპლიკაციის 101 GROUP მომხმარებლები (შემდგომ — მობილური აპლიკაცია)
- ვებსაიტის ვიზიტორები 101-app.com (შემდგომ — ვებსაიტი).
რეკომენდებულია პერსონალური მონაცემების შემდეგი კატეგორიების გამოყოფა:
- მონაცემები, რომლებიც 27.07.2006-ის № 152-ФЗ ფედერალური კანონით „პერსონალური მონაცემების შესახებ“ მიეკუთვნება განსაკუთრებულ კატეგორიებს
- მონაცემები, რომლებიც 27.07.2006-ის № 152-ФЗ ფედერალური კანონით „პერსონალური მონაცემების შესახებ“ მიეკუთვნება ბიომეტრიულ მონაცემებს
- მონაცემები, რომლებიც 27.07.2006-ის № 152-ФЗ ფედერალური კანონით „პერსონალური მონაცემების შესახებ“ მიეკუთვნება საჯაროდ ხელმისაწვდომ ან დეპერსონალიზებულ მონაცემებს
- მონაცემები, რომლებიც ვერ მიეკუთვნება განსაკუთრებულ კატეგორიებს, ბიომეტრიულ, საჯაროდ ხელმისაწვდომ ან დეპერსონალიზებულ მონაცემებს.
კომპანიის საინფორმაციო სისტემებში არ უნდა დამუშავდეს შემდეგი მონაცემები:
- განსაკუთრებული კატეგორიის მონაცემები რასობრივი ან ეროვნული კუთვნილების, პოლიტიკური შეხედულებების, რელიგიური ან ფილოსოფიური მრწამსის, ჯანმრთელობის, ინტიმური ცხოვრების ან ნასამართლობის შესახებ
- მონაცემები პირადი ცხოვრების, სუბიექტების საზოგადოებრივ გაერთიანებებში წევრობის ან პროფკავშირული საქმიანობის შესახებ.
დებულების 3.2.2 პუნქტში მითითებული მონაცემების დამუშავება შეიძლება მხოლოდ კანონმდებლობით დადგენილ შემთხვევებში.
4. პერსონალური მონაცემების დამუშავების მიზნები
კომპანიაში განსაზღვრულია პერსონალური მონაცემების დამუშავების შემდეგი მიზნები:
4.1. კომპანიის თანამშრომელთა მონაცემები შეიძლება დამუშავდეს შემდეგი მიზნებით:
- თანამშრომელთა აღრიცხვის ორგანიზება
- საკადრო და საბუღალტრო აღრიცხვის წარმოება
- თანამშრომლებისთვის დასაქმებაში დახმარება
- სწავლება
- სამსახურებრივი დაწინაურება
- თანამშრომელთა პირადი უსაფრთხოების უზრუნველყოფა
- შესრულებული სამუშაოს რაოდენობისა და ხარისხის კონტროლი
- ქონების დაცულობის უზრუნველყოფა
- თანამშრომელთა პირადი საბანკო ანგარიშების გახსნა ხელფასის ჩასარიცხად
- ნებაყოფლობითი სამედიცინო დაზღვევის პროგრამებით დაზღვევა
- სადაზღვევო შენატანების გადარიცხვა არასახელმწიფო საპენსიო ფონდებში
- სხვადასხვა შეღავათით სარგებლობა რუსეთის ფედერაციის შრომისა და საგადასახადო კოდექსების, სხვა ფედერალური კანონების, აგრეთვე კომპანიის წესდებისა და ნორმატიული აქტების შესაბამისად.
4.2. ფიზიკური პირების მონაცემები, რომლებიც იყვნენ ან არიან კომპანიასთან სახელშეკრულებო ან სხვა სამოქალაქო-სამართლებრივ ურთიერთობაში, მუშავდება შემდეგი მიზნებით:
- მოგების მიღება
- ხელშეკრულებების დადება და დადებული ხელშეკრულებებით ნაკისრი ვალდებულებების შესრულება
- კომპანიის სადამფუძნებლო დოკუმენტებით გათვალისწინებული საქმიანობის განხორციელება.
4.3. მობილური აპლიკაციის მომხმარებელთა მონაცემები მუშავდება შემდეგი მიზნებით:
- მობილური აპლიკაციის მომხმარებელთა რეგისტრაცია და ავტორიზაცია
- მომხმარებლებისთვის საინფორმაციო და მომსახურების შეტყობინებების გაგზავნა
- მომხმარებლების ინფორმირება სატელეფონო ზარით
- მობილური აპლიკაციის მუშაობის შეფასება და ანალიზი
- მობილური აპლიკაციის მუშაობისა და ფუნქციური შესაძლებლობების გაუმჯობესება
- მომხმარებლებისთვის შეტყობინებების გაგზავნა ახალი პროდუქტებისა და მომსახურების, სპეციალური შეთავაზებებისა და სხვადასხვა ღონისძიების შესახებ.
4.4. ვებსაიტის ვიზიტორთა მონაცემები მუშავდება შემდეგი მიზნებით:
- ვიზიტორებთან დაკავშირება და მათთვის შეტყობინებების, მოთხოვნებისა და ინფორმაციის გაგზავნა ვებსაიტისა და სერვისების მუშაობის შესახებ
- ვიზიტორებთან შეთანხმებების შესრულება და მათი მოთხოვნებისა და განაცხადების დამუშავება
- კომპანიის მომსახურებისა და საქმიანობის შესახებ ინფორმაციის პერიოდული მიწოდება
- ვებსაიტის მუშაობის შეფასება და ანალიზი
- ვებსაიტის მუშაობისა და ფუნქციური შესაძლებლობების გაუმჯობესება
- ვებსაიტის ვიზიტორების ინფორმირება სატელეფონო ზარით.
5. პერსონალური მონაცემების მოცულობა და შინაარსი
დებულების მე-4 ნაწილში განსაზღვრული მიზნებისთვის დადგენილია მონაცემების შემდეგი მოცულობა და შინაარსი:
5.1. კომპანიის თანამშრომელთა მონაცემების მოცულობა და შინაარსი:
- გვარი, სახელი, მამის სახელი
- დაბადების თარიღი
- დაბადების ადგილი
- სქესი
- მოქალაქეობა
- პასპორტის ან სხვა პირადობის დამადასტურებელი დოკუმენტის მონაცემები (სერია, ნომერი, გაცემის თარიღი და გამცემი ორგანო)
- ფიზიოლოგიური თავისებურებების ამსახველი ინფორმაცია (სახის გამოსახულება)
- საცხოვრებელი მისამართი
- ტელეფონის ნომერი
- ელფოსტის მისამართი
- სხვა საკონტაქტო ინფორმაცია
- ინფორმაცია განათლების, კვალიფიკაციის, სპეციალური ცოდნისა და მომზადების შესახებ
- ინფორმაცია შრომითი საქმიანობის, ხელფასისა და სხვა შემოსავლებისა და ხარჯების შესახებ
- ინფორმაცია სამხედრო აღრიცხვის შესახებ
- ინფორმაცია ოჯახური მდგომარეობისა და შვილების შესახებ
- ინფორმაცია სავალდებულო ან/და ნებაყოფლობითი სამედიცინო დაზღვევის პოლისების შესახებ
- ინფორმაცია გადასახადის გადამხდელის საიდენტიფიკაციო ნომრის შესახებ
- შრომითი ხელშეკრულება და შრომის წიგნაკი
- სამსახურში მიღების, გადაყვანის, გათავისუფლების, ხელფასის გაზრდის, პრემირების, წახალისებისა და სახდელის ბრძანებების ასლები
- პირადი ბარათი Т-2 ფორმით
- თანამშრომლის განცხადებები, ახსნა-განმარტებითი და სამსახურებრივი ბარათები
- ზემოაღნიშნული მიზნებისთვის აუცილებელი და მოქმედი შრომითი კანონმდებლობით გათვალისწინებული სხვა ინფორმაცია.
5.2. კომპანიასთან წარსულში ან ამჟამად სახელშეკრულებო ან სხვა სამოქალაქო-სამართლებრივ ურთიერთობაში მყოფი ფიზიკური პირების მონაცემების მოცულობა და შინაარსი:
- გვარი, სახელი, მამის სახელი
- დაბადების თარიღი
- დაბადების ადგილი
- სქესი
- მოქალაქეობა
- პასპორტის ან სხვა პირადობის დამადასტურებელი დოკუმენტის მონაცემები (სერია, ნომერი, გაცემის თარიღი და გამცემი ორგანო)
- ფიზიოლოგიური თავისებურებების ამსახველი ინფორმაცია (სახის გამოსახულება)
- ინფორმაცია გადასახადის გადამხდელის საიდენტიფიკაციო ნომრის შესახებ
- საცხოვრებელი მისამართი
- ტელეფონის ნომერი
- ელფოსტის მისამართი
- სხვა საკონტაქტო ინფორმაცია
- ზემოაღნიშნული მიზნებისთვის აუცილებელი და მოქმედი შრომითი კანონმდებლობით გათვალისწინებული სხვა ინფორმაცია.
5.3. მობილური აპლიკაციის მომხმარებელთა მონაცემების მოცულობა და შინაარსი:
- გვარი, სახელი, მამის სახელი
- ტელეფონის ნომერი
- ელფოსტის მისამართი
- ვიზიტორთა დეპერსონალიზებული მონაცემები, რომლებიც მუშავდება Yandex Metrica-სა და Google Analytics-ის სერვისებით.
5.4. ვებსაიტის ვიზიტორი ფიზიკური პირების მონაცემების მოცულობა და შინაარსი:
- გვარი, სახელი, მამის სახელი
- ტელეფონის ნომერი
- ელფოსტის მისამართი
- ვიზიტორთა დეპერსონალიზებული მონაცემები, რომლებიც მუშავდება Yandex Metrica-სა და Google Analytics-ის სერვისებით.
6. პერსონალური მონაცემების დამუშავების ვადები
დებულების მე-4 ნაწილში განსაზღვრული მიზნებისთვის დადგენილია დამუშავების შემდეგი ვადები:
- კომპანიის თანამშრომელთა მონაცემებისთვის — შრომითი ხელშეკრულების მოქმედების განმავლობაში. ყოფილი თანამშრომლების მონაცემებს კომპანია ამუშავებს რუსეთის ფედერაციის საგადასახადო კოდექსის პირველი ნაწილის 24-ე მუხლის მე-3 ნაწილის მე-5 პუნქტითა და 06.12.2011-ის № 402-ФЗ ფედერალური კანონის „ბუღალტრული აღრიცხვის შესახებ“ 29-ე მუხლის 1-ლი ნაწილით დადგენილი ვადით.
- კომპანიასთან წარსულში ან ამჟამად სახელშეკრულებო ან სხვა სამოქალაქო-სამართლებრივ ურთიერთობაში მყოფი პირების მონაცემებისთვის — მათთან დადებული ხელშეკრულებების მოქმედების განმავლობაში. მათი დასრულების შემდეგ კომპანიას შეუძლია კლიენტთა მონაცემების დამუშავება რუსეთის ფედერაციის საგადასახადო კოდექსის პირველი ნაწილის 24-ე მუხლის მე-3 ნაწილის მე-5 პუნქტითა და 06.12.2011-ის № 402-ФЗ ფედერალური კანონის „ბუღალტრული აღრიცხვის შესახებ“ 29-ე მუხლის 1-ლი ნაწილით დადგენილი ვადით.
- მობილური აპლიკაციის მომხმარებელთა მონაცემებისთვის — აპლიკაციაში ანგარიშის წაშლამდე.
- ვებსაიტის ვიზიტორთა მონაცემებისთვის — დამუშავების მიზნის მიღწევამდე.
7. პერსონალური მონაცემების დამუშავებაზე თანხმობის აუცილებლობა
დებულების 3.1 პუნქტში მითითებული კატეგორიების სუბიექტთა მონაცემები შეიძლება დამუშავდეს მხოლოდ მათი წერილობითი თანხმობით.
დებულების 3.1 პუნქტით განსაზღვრული თითოეული კატეგორიისთვის უნდა შემუშავდეს დამუშავებაზე თანხმობის ფორმა და დამტკიცდეს კომპანიის ხელმძღვანელის ბრძანებით. ფორმა უნდა შემუშავდეს 27.07.2006-ის № 152-ФЗ ფედერალური კანონის „პერსონალური მონაცემების შესახებ“ მოთხოვნების შესაბამისად.
8. პერსონალური მონაცემების დამუშავების პირობები
8.1. პერსონალური მონაცემების კონფიდენციალურობა
რუსეთის ფედერაციის პრეზიდენტის 06.03.1997-ის № 188 ბრძანებულებით „კონფიდენციალური ხასიათის ინფორმაციის ნუსხის დამტკიცების შესახებ“, პერსონალური მონაცემები კონფიდენციალურ ინფორმაციას მიეკუთვნება.
8.1.1 კომპანიამ უნდა შეადგინოს, დოკუმენტურად გააფორმოს და დაამტკიცოს დასამუშავებელი მონაცემების ნუსხა.
8.1.2. კომპანიისა და წვდომის მქონე მესამე პირების მიერ დამუშავებისას დაცული უნდა იყოს მონაცემების კონფიდენციალურობა, ანუ შეიქმნას პირობები, რომლებიც გამორიცხავს მათ გავრცელებას სუბიექტის თანხმობის გარეშე, შემდეგი შემთხვევების გარდა:
- მონაცემების დეპერსონალიზაციის შემთხვევაში
- საჯაროდ ხელმისაწვდომ პერსონალურ მონაცემებთან მიმართებით.
8.2. პერსონალური მონაცემების დამუშავების მესამე პირისთვის დავალება
თუ კომპანია ხელშეკრულებით სხვა პირს ავალებს მონაცემების დამუშავებას, ხელშეკრულების არსებითი პირობაა ამ პირის ვალდებულება, უზრუნველყოს დამუშავებისას მონაცემების კონფიდენციალურობა და უსაფრთხოება.
8.3. პერსონალური მონაცემების შენახვა და განადგურება
მონაცემები უნდა ინახებოდეს სუბიექტის იდენტიფიცირების შესაძლებლობის მქონე ფორმით, არა უმეტეს დამუშავების მიზნებისთვის აუცილებელი ვადისა.
თუ კანონმდებლობით სხვა რამ არ არის დადგენილი, კომპანიამ კანონით განსაზღვრულ ვადებში უნდა შეწყვიტოს დამუშავება და გაანადგუროს შეგროვებული მონაცემები შემდეგ შემთხვევებში:
- მიზნების მიღწევისას ან მათი მიღწევის საჭიროების დაკარგვისას
- სუბიექტის ან მის უფლებათა დაცვის უფლებამოსილი ორგანოს მოთხოვნით, თუ მონაცემები არასრული, მოძველებული, არაზუსტი, უკანონოდ მოპოვებული ან გაცხადებული მიზნისთვის არასაჭიროა
- სუბიექტის მიერ თანხმობის უკან გამოთხოვისას, თუ ასეთი თანხმობა კანონმდებლობით აუცილებელია
- თუ ოპერატორს არ შეუძლია დამუშავებისას დაშვებული დარღვევების აღმოფხვრა.
8.4. მონაცემების დამუშავება საქონლისა და მომსახურების პოპულარიზაციისთვის
პოტენციურ მომხმარებლებთან საკომუნიკაციო საშუალებებით პირდაპირი კონტაქტის გზით ბაზარზე საქონლისა და მომსახურების პოპულარიზაციისთვის მონაცემების დამუშავება დასაშვებია მხოლოდ სუბიექტის წინასწარი თანხმობით, რომელიც შემუშავებულია და დამტკიცებულია დებულების 7.2 პუნქტის შესაბამისად.
8.5. პერსონალური მონაცემების ტრანსსასაზღვრო გადაცემა
ტრანსსასაზღვრო გადაცემა (რუსეთის ფედერაციის სახელმწიფო საზღვრის გავლით უცხო სახელმწიფოს ორგანოსთვის, ფიზიკური ან იურიდიული პირისთვის გადაცემა) შეიძლება განხორციელდეს მხოლოდ სუბიექტის წერილობითი თანხმობით, რომელიც შემუშავებულია და დამტკიცებულია დებულების 7.2 პუნქტის შესაბამისად.
ტრანსსასაზღვრო გადაცემა სუბიექტის თანხმობის გარეშე შეიძლება განხორციელდეს შემდეგ შემთხვევებში:
- იმ ხელშეკრულების შესრულება, რომლის მხარეც არის სუბიექტი
- სუბიექტის ან სხვა პირების სიცოცხლის, ჯანმრთელობისა და სხვა სასიცოცხლოდ მნიშვნელოვანი ინტერესების დაცვა, როცა სუბიექტის წერილობითი თანხმობის მიღება შეუძლებელია.
8.6. მიმართვებისა და მოთხოვნების დამუშავება
კომპანიაში უნდა განისაზღვროს და დოკუმენტურად დაფიქსირდეს მოქმედების წესი სუბიექტთა უფლებების დაცვის უფლებამოსილი ან მონაცემთა სფეროში კონტროლისა და ზედამხედველობის სხვა ორგანოების მოთხოვნების შემთხვევაში.
9. პერსონალური მონაცემების უსაფრთხოების უზრუნველყოფის ღონისძიებები
9.1. ზოგადი დებულებები
პერსონალური მონაცემების უსაფრთხოების ღონისძიებები კომპანიის საქმიანობის განუყოფელი ნაწილია.
9.1.1 დაცვის მეთოდებისა და საშუალებების შერჩევისა და განხორციელებისთვის შეიძლება ჩაერთოს ორგანიზაცია, რომელსაც სათანადო წესით გაცემული აქვს კონფიდენციალური ინფორმაციის ტექნიკური დაცვის საქმიანობის ლიცენზია.
9.1.2. კომპანიამ უნდა განსაზღვროს, დოკუმენტურად დააფიქსიროს და დაამტკიცოს იმ პირთა სია, რომლებსაც სამსახურებრივი, შრომითი ან თანამდებობრივი მოვალეობების შესასრულებლად სჭირდებათ წვდომა კომპანიის საინფორმაციო სისტემებში დამუშავებულ მონაცემებზე.
9.1.3. თანამშრომლები სიაში შეიძლება მიეთითონ როლების საფუძველზე, დაკავებული თანამდებობის მიხედვით, შემდეგი მოთხოვნებით:
- თანამშრომელთა როლები უნდა გამოიყოს და დოკუმენტურად განისაზღვროს.
- როლები უნდა მიეკუთვნოს კონკრეტულ პირებს მათი შესრულების პასუხისმგებლობის დადგენით; პასუხისმგებლობა უნდა დაფიქსირდეს თანამდებობრივ ინსტრუქციაში.
- დოკუმენტურად უნდა განისაზღვროს და შესრულდეს იმ თანამშრომელთა საქმიანობის კონტროლის პროცედურები, რომელთა უფლებამოსილებების (როლების) ერთობლიობა კომპანიის დაცულ საინფორმაციო აქტივზე კონტროლის მოპოვების საშუალებას იძლევა.
- დოკუმენტურად უნდა განისაზღვროს დასაქმების პროცედურები, რომლებიც გავლენას ახდენს ინფორმაციულ უსაფრთხოებაზე და მოითხოვს შემოწმებების შედეგების დოკუმენტირებას. ისინი უნდა მოიცავდეს წარმოდგენილი დოკუმენტების ნამდვილობის, განცხადებული კვალიფიკაციის, ბიოგრაფიული ფაქტების სიზუსტისა და სისრულის შემოწმებას, აგრეთვე პროფესიული უნარებისა და ვარგისობის შეფასებას.
- დოკუმენტურად უნდა განისაზღვროს თანამშრომელთა პროფესიული უნარებისა და ვარგისობის რეგულარული შემოწმების პროცედურები შედეგების დოკუმენტირებით, აგრეთვე რიგგარეშე შემოწმებები შედეგების დოკუმენტირებით უჩვეულო ქცევის, ინფორმაციული უსაფრთხოების ინციდენტებში მონაწილეობის ან ასეთი ქცევისა თუ მონაწილეობის ეჭვის გამოვლენისას.
- ყველა თანამშრომელმა წერილობით უნდა იკისროს კონფიდენციალურობისა და კორპორაციული ეთიკის წესების დაცვის ვალდებულება, ინტერესთა კონფლიქტის დაუშვებლობის მოთხოვნების ჩათვლით.
- გარე ორგანიზაციებთან და კლიენტებთან ურთიერთობისას ინფორმაციული უსაფრთხოების მოთხოვნები უნდა რეგულირდებოდეს მათთან დადებულ ხელშეკრულებებში (შეთანხმებებში) შეტანილი დებულებებით.
- ინფორმაციული უსაფრთხოების მოთხოვნების შესრულების ვალდებულება უნდა შევიდეს თანამშრომელთა შრომით ხელშეკრულებებში ან/და თანამდებობრივ ინსტრუქციებში.
9.1.4. თანამშრომელთა წვდომა მონაცემებზე და კომპანიის თანამშრომელთა მონაცემების დამუშავება უნდა განხორციელდეს მხოლოდ მათი თანამდებობრივი მოვალეობების შესასრულებლად.
9.1.5. კომპანიაში უნდა განისაზღვროს და დოკუმენტურად დაფიქსირდეს თანამშრომელთა და სხვა პირთა შესვლის წესი შენობებში, სადაც მონაცემები მუშავდება.
9.1.6. თანამშრომელთა მიერ ინფორმაციული უსაფრთხოების მოთხოვნების შეუსრულებლობა უნდა გაუთანაბრდეს თანამდებობრივი მოვალეობების შეუსრულებლობას და გამოიწვიოს სულ მცირე დისციპლინური პასუხისმგებლობა.
9.2. მონაცემთა უსაფრთხოების ღონისძიებები ავტომატიზებული დამუშავებისას
საინფორმაციო სისტემებში დამუშავებისას მონაცემების უსაფრთხოებას უზრუნველყოფს დაცვის სისტემა, რომელიც მოიცავს ორგანიზაციულ ზომებს, ინფორმაციის დაცვის საშუალებებსა და ამ სისტემებში გამოყენებულ საინფორმაციო ტექნოლოგიებს.
9.2.1. კომპანიის ყველა პერსონალური მონაცემების საინფორმაციო სისტემისთვის სავალდებულოა საფრთხეების ტიპების განსაზღვრა.
9.2.2. კომპანიამ საფრთხეების ტიპები უნდა განსაზღვროს შემდეგის შესაბამისად:
- პერსონალური მონაცემების საინფორმაციო სისტემებში დამუშავებისას მათი დაცვის მოთხოვნები, დამტკიცებული რუსეთის ფედერაციის მთავრობის 01.11.2012-ის № 1119 დადგენილებით.
- საინფორმაციო სისტემების საფრთხეთა ტიპების განსაზღვრის შედეგები უნდა გაფორმდეს შესაბამისი აქტით.
- ავტომატიზებული სისტემების (АБС) პერსონალური მონაცემების საინფორმაციო სისტემებად კლასიფიცირებისას გამოიყენება შემდეგი მიდგომა: სისტემები, რომელთა შექმნისა და გამოყენების ერთ-ერთი მიზანია მონაცემების დამუშავება, უნდა შევიდეს მონაცემების დამუშავების საინფორმაციო სისტემების სიაში.
- თითოეული სისტემისთვის უნდა განისაზღვროს დამუშავების მიზნები, მონაცემების მოცულობა და შინაარსი, მათზე შესასრულებელი მოქმედებების სია და დამუშავების მეთოდები.
- როლები უნდა მიეკუთვნოს კონკრეტულ პირებს მათი შესრულების პასუხისმგებლობის დადგენით; პასუხისმგებლობა უნდა დაფიქსირდეს თანამდებობრივ ინსტრუქციაში.
- მონაცემების მოცულობა და შინაარსი, მოქმედებების სია და დამუშავების მეთოდები უნდა შეესაბამებოდეს დამუშავების მიზნებს.
- გარე ორგანიზაციებთან და კლიენტებთან ურთიერთობისას ინფორმაციული უსაფრთხოების მოთხოვნები უნდა რეგულირდებოდეს მათთან დადებულ ხელშეკრულებებში (შეთანხმებებში) შეტანილი დებულებებით.
9.2.3. კომპანიის საინფორმაციო სისტემებში დამუშავებული მონაცემებისთვის უნდა დადგინდეს და დოკუმენტურად განისაზღვროს დაცულობის დონეები.
9.3. მონაცემთა უსაფრთხოების ღონისძიებები ავტომატიზაციის საშუალებების გარეშე დამუშავებისას
ქაღალდის მატარებლებზე მონაცემების დამუშავებისას, განსაკუთრებით სტანდარტული ფორმების გამოყენებისას, რომელთა ინფორმაციის ხასიათი გულისხმობს ან უშვებს პერსონალური მონაცემების შეტანას, კომპანიამ უნდა დაიცვას რუსეთის ფედერაციის მთავრობის 15.09.2008-ის № 687 დადგენილებით დამტკიცებული „ავტომატიზაციის საშუალებების გარეშე პერსონალური მონაცემების დამუშავების თავისებურებების შესახებ დებულების“ მოთხოვნები.
9.3.1. ავტომატიზაციის გარეშე დამუშავება უნდა განხორციელდეს ისე, რომ თითოეული კატეგორიისთვის შესაძლებელი იყოს მონაცემების შენახვის ადგილების (მატერიალური მატარებლების) განსაზღვრა და მონაცემების დამმუშავებელი ან წვდომის მქონე პირთა სიის დადგენა.
9.3.2. სხვადასხვა მიზნით დამუშავებული მონაცემები (მატერიალური მატარებლები) განცალკევებით უნდა ინახებოდეს.
9.3.3. მატერიალური მატარებლების შენახვისას უნდა იყოს დაცული პირობები, რომლებიც უზრუნველყოფს მონაცემების შენარჩუნებას და გამორიცხავს უნებართვო წვდომას.
9.3.4. მატერიალური მატარებლების შენახვა დასაშვებია მონაცემების შენარჩუნებისა და უნებართვო წვდომის გამორიცხვის პირობების დაცვით.
9.3.5. თანამშრომლები, რომლებიც მონაცემებს ავტომატიზაციის გარეშე ამუშავებენ, ინფორმირებული უნდა იყვნენ ასეთი დამუშავების ფაქტის, მონაცემთა კატეგორიებისა და დამუშავების თავისებურებებისა და წესების შესახებ.
9.3.6. ავტომატიზაციის გარეშე დამუშავებული მონაცემების შენახვის ადგილების სია მტკიცდება კომპანიის ხელმძღვანელის ბრძანებით.
9.3.7. სტანდარტული ფორმების გამოყენებისას, რომელთა ინფორმაციის ხასიათი გულისხმობს ან უშვებს პერსონალური მონაცემების შეტანას, უნდა შესრულდეს შემდეგი პირობები:
სტანდარტული ფორმა უნდა შეიცავდეს:
- ინფორმაციას მონაცემთა დამუშავების მიზნის შესახებ
- კომპანიის დასახელებასა და მისამართს
- სუბიექტის გვარს, სახელს, მამის სახელსა და მისამართს
- დამუშავებისას მონაცემებზე შესასრულებელი მოქმედებების სიას
- კომპანიის მიერ გამოყენებული დამუშავების მეთოდების ზოგად აღწერას.
9.3.8. სტანდარტულ ფორმაში უნდა იყოს ველი, სადაც სუბიექტს შეუძლია აღნიშნოს თანხმობა თავისი მონაცემების დამუშავებაზე.
9.3.9. მატერიალური მატარებლები მათზე არსებული მონაცემების დამუშავების მიზნების მიღწევისას უნდა განადგურდეს, თუ კანონმდებლობით სხვა რამ არ არის გათვალისწინებული (მონაცემების სრული, ფიზიკური და აღუდგენელი განადგურება). კომპანიაში უნდა განისაზღვროს და დოკუმენტურად დაფიქსირდეს მატერიალური მატარებლების განადგურების წესი.
9.4. მონაცემთა უსაფრთხოების ღონისძიებები მათი მატარებლების შენახვისას
კომპანიაში უნდა განისაზღვროს და დოკუმენტურად დაფიქსირდეს მატერიალური მატარებლების აღრიცხვისა და შენახვის წესი, რომელიც ადგენს:
- პერსონალური მონაცემების მატარებლების შენახვის ადგილებს
- მატარებლების შენახვისას მონაცემთა უსაფრთხოების მოთხოვნებს
- მონაცემთა უსაფრთხოების მოთხოვნების შესრულებაზე პასუხისმგებელ პირებს
- მატარებლების შენახვისას უსაფრთხოების მოთხოვნების შესრულების კონტროლის წესს.
10. პერსონალური მონაცემების დაცვის ფუნქციების შემსრულებელი პირი
10.1 კომპანიაში მონაცემთა დაცვის ორგანიზების ფუნქციებს ასრულებს მონაცემების დამუშავებაზე პასუხისმგებელი პირი.
10.2. მონაცემების დამუშავებაზე პასუხისმგებელი პირი ინიშნება კომპანიის ხელმძღვანელის ბრძანებით.
10.3. მონაცემების დამუშავებაზე პასუხისმგებელი პირი ინიშნება კომპანიის ხელმძღვანელის ბრძანებით.
10.4. პასუხისმგებელი პირი საქმიანობაში ხელმძღვანელობს რუსეთის ფედერაციის კანონებითა და ნორმატიული სამართლებრივი აქტებით მონაცემთა დაცვის სფეროში, ამ დებულებითა და კომპანიის სხვა ნორმატიული აქტებით.
10.5. პასუხისმგებელი პირის უფლებები, მოვალეობები და პასუხისმგებლობა განისაზღვრება თანამდებობრივი ინსტრუქციით.
11. დებულების შესრულების კონტროლი
11.1. დებულების მოთხოვნების შესრულება ექვემდებარება კონტროლს.
11.2. კონტროლის ღონისძიებების ჩამონათვალსა და პერიოდულობას განსაზღვრავს მონაცემთა უსაფრთხოების კონტროლის გეგმა, რომელიც მოიცავს როგორც შიდა კონტროლს, ისე გარე დამოუკიდებელი შემმოწმებელი ორგანიზაციების მონაწილეობით კონტროლს.
11.3. კონტროლი მოიცავს ინფორმაციის დაცვის ნორმატიული დოკუმენტების მოთხოვნების შესრულების შემოწმებას და მიღებული ზომების დასაბუთებულობისა და ეფექტიანობის შეფასებას.
11.4. კონტროლის შედეგებზე დგება დასკვნა.
11.5. კონტროლის ღონისძიებები ხელშეკრულების საფუძველზე შეიძლება განახორციელონ გარე ორგანიზაციებმა.
11.6. დებულების მოთხოვნების დარღვევაში დამნაშავე პირებს ეკისრებათ კანონმდებლობით გათვალისწინებული სამოქალაქო, ადმინისტრაციული, დისციპლინური, სისხლისსამართლებრივი და სხვა პასუხისმგებლობა.