УТВЕРЖДЕНА приказом МПО ПАО «НК «Роснефть» от «18» ноября 2024 г. № 78/К-2024
ПОЛИТИКА МПО ПАО «НК «РОСНЕФТЬ» В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая политика МПО ПАО «НК «Роснефть» в отношении обработки персональных данных (далее – Политика) разработана в соответствии с Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – «Закон о персональных данных»).
1.2. Настоящая Политика определяет основные цели, принципы, условия и способы обработки персональных данных, перечни субъектов и состав обрабатываемых персональных данных, а также порядок обработки персональных данных и меры по обеспечению их безопасности в МПО ПАО «НК «Роснефть» (далее - Оператор) с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Обработка персональных данных осуществляется с соблюдением принципов и условий, предусмотренных законодательными и иными нормативными правовыми актами Российской Федерации в области персональных данных, а также настоящей Политикой.
1.4. Перечень обрабатываемых персональных данных определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора с учетом целей обработки персональных данных, указанных в настоящей Политике.
2. ОСНОВНЫЕ ПОНЯТИЯ
В целях настоящей Политики используются следующие основные понятия:
• персональные данные - любая информация, относящаяся к прямо или косвенно
определенному или определяемому физическому лицу (субъекту персональных данных);
• оператор - Межрегиональная профсоюзная организация ПАО «НК «Роснефть»
Общероссийского профессионального союза работников нефтяной, газовой отраслей
промышленности и строительства (МПО ПАО «НК «Роснефть»), самостоятельно или
совместно с другими лицами организующая и (или) осуществляющая обработку
персональных данных, а также определяющая цели обработки персональных данных,
состав персональных данных, подлежащих обработке, действия (операции), совершаемые
с персональными данными;
• обработка персональных данных – любое действие (операция) или совокупность
действий (операций), совершаемых с использованием средств автоматизации или без
использования таких средств с персональными данными, включая сбор, запись,
систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение,
использование, передачу (распространение, предоставление, доступ), обезличивание,
блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных – обработка персональных
данных с помощью средств вычислительной техники;
• распространение персональных данных – действия, направленные на раскрытие
персональных данных неопределенному кругу лиц;
• предоставление персональных данных – действия, направленные на раскрытие
персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных – временное прекращение обработки
персональных данных (за исключением случаев, если обработка необходима для
уточнения персональных данных);
• уничтожение персональных данных – действия, в результате которых становится
невозможным восстановить содержание персональных данных в информационной
системе персональных данных и (или) в результате которых уничтожаются материальные
носители персональных данных;
• обезличивание персональных данных - действия, в результате которых становится
невозможным без использования дополнительной информации определить
принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных – совокупность содержащихся в
базах данных персональных данных и обеспечивающих их обработку информационных
технологий и технических средств;
• трансграничная передача персональных данных - передача персональных
данных на территорию иностранного государства органу власти иностранного
государства, иностранному физическому лицу или иностранному юридическому лицу;
• сайт – совокупность программ для электронных вычислительных машин и иной
информации, содержащейся в информационной системе, доступ к которой обеспечивается
посредством информационно-телекоммуникационной сети интернет;
• член профсоюза – физическое лицо (работник, учащийся, временно не работающий,
пенсионер), состоящее на учете в первичной профсоюзной организации, входящей в
структуру МПО ПАО «НК «Роснефть».
3. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
3.1. Оператор имеет право:
самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;
поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных;
в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных.
3.2. Оператор обязан:
организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
3.3. Иные права и обязанности Оператора определяются Законом о персональных данных и иными нормативными правовыми актами в области защиты персональных данных.
4. ОСНОВНЫЕ ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
Субъект персональных данных имеет право:
получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;
требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав; осуществлять иные права, предусмотренные Законом о персональных данных и иными нормативными правовыми актами в области защиты персональных данных.
5. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:
Конституция Российской Федерации;
Гражданский кодекс Российской Федерации;
Трудовой кодекс Российской Федерации;
Налоговый кодекс Российской Федерации;
Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
Федеральный закон от 12 января 1996 г. № 10-ФЗ «О профессиональных союзах, их правах и гарантиях деятельности»;
Федеральный закон от 6 декабря 2011 г. № 402-ФЗ «О бухгалтерском учёте»;
Федеральный закон от 15.12.2001 г. № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.
5.2. Правовым основанием обработки персональных данных также являются:
Устав Оператора;
договоры, заключаемые с субъектом персональных данных;
согласие субъекта персональных данных на обработку персональных данных.
6. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
6.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
6.3. Обработка персональных данных Оператором осуществляется в целях:
• обеспечения соблюдения законов и иных нормативных правовых актов, содействия
работникам в трудоустройстве, получении образования и продвижении по службе,
обеспечения личной безопасности работников, контроля количества и качества
• выполняемой работы и обеспечения сохранности имущества;
• принятия решения о приеме либо отказе в приеме на работу;
• заключения и исполнения договоров;
• осуществления уставной (профсоюзной) деятельности;
• обработка обращений, поступающих через форму обратной связи на сайте;
• обеспечения бесперебойной работы сайта;
• улучшение пользовательского опыта;
• ведение статистики посещений сайта;
• в иных законных целях.
7. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Обработка персональных данных должна осуществляться на законной и справедливой основе.
7.2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
7.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
7.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
7.5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
7.6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
7.7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
8. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ И СУБЪЕКТОВ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Для реализации целей обработки, указанных в настоящей Политике, Оператор осуществляет обработку персональных данных следующих категорий субъектов персональных данных:
• работники Оператора;
• кандидаты на трудоустройство к Оператору;
• контрагенты Оператора, представители и работники контрагентов;
• члены профсоюза, состоящие на учете в структурных профсоюзных организациях
МПО ПАО «НК «Роснефть» (в том числе руководители, их заместители, члены
коллегиальных органов и представители структурных профсоюзных организаций МПО
ПАО «НК «Роснефть»);
• пользователи сайта Оператора;
• иные субъекты, персональные данные которых переданы Оператору ими с их
согласия или третьими лицами в рамках заключенных договоров.
8.2. Перечень персональных данных, обрабатываемых Оператором, определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора с учетом целей обработки персональных данных, указанных в настоящей Политике.
8.3. Обработка специальных категорий персональных данных, касающихся состояния здоровья отдельных категорий субъектов персональных данных, осуществляется в соответствии с требованиями законодательства Российской Федерации.
8.4. Обработка биометрических персональных данных отдельных категорий субъектов персональных данных допускается при наличии письменного согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
8.5. Обработка специальных категорий персональных данных работников, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, не осуществляется, за исключением случаев, предусмотренных законодательством Российской Федерации.
8.6. В целях информационного обеспечения Оператор может создавать общедоступные источники (социальные сети, сайты, мобильные приложения), в которые могут включаться персональные данные, сообщаемые субъектом персональных данных с его письменного согласия, если иное не предусмотрено законодательством Российской Федерации.
9. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Обработка персональных данных Оператором включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
9.2. Обработка персональных данных осуществляется следующими способами:
• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей информации по
информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка персональных данных.
9.3. Обработка персональных данных Оператором осуществляется с использованием баз данных, находящихся на территории Российской Федерации.
9.4. Оператор не осуществляет трансграничную передачу персональных данных.
9.5. Обработка персональных данных Оператором осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации.
9.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
9.7. Условиями прекращения обработки персональных данных могут являться:
• достижение целей обработки персональных данных;
• отзыв согласия субъекта персональных данных;
• ликвидация Оператора;
• иные случаи, предусмотренные законодательством.
9.8. При обработке персональных данных Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных, в том числе:
• назначение лица, ответственного за организацию обработки персональных данных;
• издание документов и принятие локальных актов в области обработки и защиты
персональных данных;
• применение правовых, организационных и технических мер по обеспечению
безопасности персональных данных в соответствии со статьей 19 Закона о персональных
данных;
• ознакомление работников Оператора, непосредственно осуществляющих
обработку персональных данных, с положениями законодательства Российской
Федерации о персональных данных и локальными актами по вопросам обработки
персональных данных и, при необходимости, организация обучения указанных
сотрудников;
• иные меры, предусмотренные законодательством Российской Федерации в области
персональных данных.
10. УТОЧНЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
10.2. В случае достижения цели обработки персональных данных Оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или другими федеральными законами.
10.3. В случае отсутствия возможности уничтожения персональных данных в установленный срок Оператор осуществляет блокирование таких персональных данных и обеспечивает уничтожение персональных данных в срок не более чем 6 месяцев, если иной срок не установлен действующим законодательством.
11. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
11.1. Контроль исполнения требований настоящей Политики осуществляется лицом, ответственным за организацию обработки персональных данных у Оператора.
11.2. В случае выявления нарушений порядка обработки персональных данных Оператором принимаются меры по установлению причин нарушений и их устранению.
11.3. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут ответственность в соответствии с действующим законодательством.