Политика по обработке персональных данных

1. Общие положения Политики

1.1. Общество с ограниченной ответственностью «Джонсон & Джонсон» (далее — «Оператор») считает своими важнейшими задачами соблюдение принципов законности, справедливости и конфиденциальности при обработке персональных данных (далее — «ПД»), а также обеспечение безопасности процессов их обработки.

1.2. Настоящая Политика в сфере организации обработки и обеспечения безопасности ПД (далее — «Политика»):

1.2.1. разработана в целях реализации требований действующего законодательства РФ в области обработки и защиты ПД;

1.2.2. закрепляет способы и принципы обработки ПД Оператором, права и обязанности Оператора при обработке ПД, права субъектов ПД, а также включает перечень мер, применяемых Оператором в целях обеспечения безопасности ПД при их обработке;

1.2.3. является общедоступным документом, декларирующим концептуальные основы деятельности Оператора по обработке и защите ПД;

1.3. В настоящей Политике используются следующие понятия, сокращения и аббревиатуры:

2. Принципы, цели и содержание обработки ПД

2.1. Оператор в своей деятельности обеспечивает соблюдение принципов обработки ПД, указанных в ст. 5 152-ФЗ.

2.2. Оператор осуществляет целенаправленную обработку ПД в соответствии с применимым законодательством о ПД.

2.3. Описание целей обработки ПД, состава обрабатываемых ПД, категорий субъектов, ПД которых обрабатываются, правовых оснований такой обработки, а также сроков их обработки и хранения, способов обработки и действий изложены в Приложении №1 к настоящей Политике.

2.4. Полное справочно-информационное описание обработки ПД отражается в локальных нормативных актах Оператора и соответствующих согласиях. Субъект ПД или его законные представители имеют право обратиться к Оператору с запросом о предоставлении справочно-информационных описаний в целях реализации и защиты своих прав и законных интересов по адресу места нахождения исполнительного органа Оператора.

3. Особенности сбора и иной обработки ПД

3.1. Оператор вправе обрабатывать ПД, полученные им и (или) его уполномоченными лицами непосредственно от субъекта ПД и (или) его представителя или иным способом, не запрещенным законом.

3.2. При сборе ПД Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, прямо предусмотренных действующим законодательством РФ о ПД.

3.3. Для обработки ПД Оператор вправе применять информационные системы, автоматизированные рабочие места, отчуждаемые машинные носители информации (например, оптические и магнитно-оптические диски, флеш-накопители, съемные жесткие диски и т. д.), бумажные носители информации (как отдельные, так и включенные в систематизированные собрания), а также передавать ПД по внутренней сети Оператора, обеспечивающей доступ к ПД (в том числе размещенным на внутренних информационных ресурсах и (или) локальных электронных порталах Оператора) лишь для строго определенного и ограниченного Оператором круга лиц, включая работников Оператора, и (или) передавать ПД с использованием информационно-телекоммуникационных сетей (включая сеть «Интернет»).

4. Передача ПД

4.1. Для достижения предусмотренных целей обработки ПД Оператор:

4.1.1. вправе привлекать третьих лиц к обработке ПД путем поручения третьим лицам обработки ПД и (или) путем получения Персональных данных от третьих лиц и передачи ПД третьим лицам без поручения обработки ПД, в том числе осуществлять трансграничную передачу ПД третьим лицам на территорию иностранного государства. Привлечение третьих лиц к обработке ПД может осуществляться только при условии обработки такими лицами ПД в минимально необходимом составе и исключительно для достижения предусмотренных целей обработки ПД, а также при условии обеспечения такими лицами конфиденциальности и безопасности ПД при их обработке. В случае неисполнения третьими лицами данных условий указанные лица будут нести ответственность в рамках своих договорных обязательств перед Оператором и (или) в соответствии с положениями применимого законодательства. К таким третьим лицам, в частности, могут относиться:

1. лица, обладающие правом на получение ПД в предусмотренных применимым законодательством случаях в составе, необходимом для осуществления и выполнения возложенных на таких лиц функций, полномочий и обязанностей;

2. лица, в пользу которых Оператором может быть произведена уступка прав и (или) обязанностей в отношении предусмотренных соответствующимдокументом целей обработки ПД;

3. правопреемники (инвесторы) Оператора и (или) его аффилированные лица, если Оператор и (или) его аффилированные лица будут вовлечены в сделки по реорганизации, слиянию, поглощению, ликвидации или отчуждению активов;

4. иные лица, с которыми Оператор взаимодействует или может взаимодействовать для достижения предусмотренных целей обработки ПД.

4.2. Фактический состав третьих лиц, привлекаемых Оператором к обработке ПД, определяется исходя из сложившихся отношений между Оператором и субъектом ПД, а также в соответствии с положениями применимого законодательства, договоров между Оператором и субъектом ПД, согласия(ий) субъекта ПД на обработку ПД.

4.3. Оператор вправе создавать общедоступные источники ПД и (или) осуществлять распространение ПД только с согласия субъекта ПД или на основании требований применимого законодательства.

5. Порядок прекращения обработки (уничтожения) ПД

5.1. Оператор установил следующие условия прекращения обработки ПД:

5.1.1. достижение целей обработки ПД и максимальных сроков хранения ПД;

5.1.2. утрата необходимости в достижении целей обработки ПД;

5.1.3. предоставление субъектом ПД или его законным представителем сведений, подтверждающих, что ПД являются незаконно полученными или не являются необходимыми для заявленной цели обработки;

5.1.4. невозможность обеспечения правомерности обработки ПД;

5.1.5. отзыв субъектом ПД согласия на обработку ПД, если сохранение ПД более не требуется для целей обработки ПД;

5.1.6. требование субъекта ПД к Оператору о прекращении обработки ПД, за исключением случаев, предусмотренных законодательством;

5.1.7. истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка ПД;

5.1.8. ликвидация или реорганизация Оператора.

5.2. При невозможности уничтожения ПД в сроки, определенные 152-ФЗ для случаев, когда невозможно обеспечить правомерность обработки ПД, при достижении целей обработки ПД, а также при отзыве субъектом согласия на обработку ПД и (или) получении Оператором требования субъекта ПД о прекращении обработки ПД, если сохранение ПД более не требуется для целей обработки ПД, Оператор осуществляет блокирование ПД и уничтожает ПД в течение 6 (шести) месяцев, если иной срок не установлен применимым законодательством.

5.3. Уничтожение ПД производится способом, исключающим возможность восстановления указанных ПД. Если ПД невозможно уничтожить без такого повреждения их материального носителя, которое будет препятствовать его дальнейшему использованию по назначению, то уничтожению подлежат и ПД, и их материальный носитель.

5.4. Подтверждение факта уничтожения ПД осуществляется в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПД.

6. Меры по надлежащей организации обработки и обеспечению безопасности ПД

6.1. Оператор при обработке ПД принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении ПД. Обеспечение безопасности ПД достигается, в частности, следующими мерами (с учетом их применимости в зависимости от способа и особенностей обработки ПД):

6.1.1. назначением лица, ответственного за организацию обработки ПД, а также назначением лиц(а), ответственных(ого) за обеспечение безопасности ПД при их обработке в ИСПД (если применимо);

6.1.2. изданием документов, определяющих политику Оператора в отношении обработки ПД, локальных актов Оператора по вопросам обработки ПД, определяющих для каждой цели обработки ПД категории и перечень обрабатываемых ПД, категории субъектов, ПД которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПД при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов Оператора, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства о ПД, устранение последствий таких нарушений. Указанные документы и локальные акты не могут содержать положения, ограничивающие права субъектов ПД и (или) возлагающие на Оператора не предусмотренные законодательством о ПД полномочия и обязанности;

6.1.3. осуществлением внутреннего контроля и (или) аудита соответствия обработки ПД требованиям 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям в области защиты ПД, политике Оператора в отношении обработки ПД, локальным актам Оператора;

6.1.4. осуществлением в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПД в РФ, оценки вреда, который может быть причинен субъектам ПД в случае нарушения требований применимого законодательства о ПД, соотношения указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных положениями применимого законодательства о ПД;

6.1.5. ознакомлением лиц, привлеченных (допущенных) Оператором к обработке ПД, с требованиями применимого законодательства о ПД, в том числе требованиями в области защиты ПД, документами, определяющими политику Оператора в отношении обработки ПД, локальными актами по вопросам обработки ПД, и (или) обучением указанных лиц;

6.1.6. определением угроз безопасности ПД, которые могут возникнуть при их обработке в ИСПД;

6.1.7. применением организационных и (или) технических мер по обеспечению безопасности ПД при их обработке, в том числе в ИСПД, необходимых для обеспечения постоянной конфиденциальности, целостности, доступности и устойчивости процессов и (или) систем, связанных с обработкой ПД;

6.1.8. применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности ПД и информационных технологий, используемых в ИСПД;

6.1.9. оценкой эффективности принимаемых мер по обеспечению безопасности ПД до ввода в эксплуатацию ИСПД;

6.1.10. определением мест хранения материальных (в том числе машинных) носителей ПД, обеспечением учета и сохранности таких носителей ПД, а также раздельным хранением ПД (материальных носителей), обработка которых осуществляется в различных целях;

6.1.11. воспрещением объединения баз данных с ИСПД или фиксации ПД на одном материальном носителе, если обработка ПД осуществляется в несовместимых между собой целях;

6.1.12. обнаружением фактов несанкционированного доступа к ИСПД и принятием надлежащих мер, в том числе мер по установлению, предупреждению и ликвидации последствий компьютерных атак на ИСПД, связанные с обработкой ПД, и по реагированию на компьютерные инциденты в них;

6.1.13. восстановлением ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

6.1.14. установлением правил доступа к ПД, обрабатываемым в ИСПД, а также обеспечением регистрации и учета всех действий, совершаемых с ПД в ИСПД;

6.1.15. контролем за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности ИСПД, связанных с обработкой ПД;

6.1.16. установлением и утверждением перечня лиц (должностей), привлеченных (допущенных) Оператором к автоматизированной и (или) неавтоматизированной обработке ПД, в том числе в ИСПД, и ограничением доступа к ИСПД для иных лиц;

6.1.17. информированием лиц, привлеченных (допущенных) к обработке ПД без использования средств автоматизации, о факте обработки указанными лицами ПД, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых ПД, категориях субъектов, а также об особенностях и правилах осуществления такой обработки, предусмотренных применимым законодательством о ПД и подзаконными нормативными правовыми актами, а также локальными актами Оператора;

6.1.18. организацией режима безопасности помещений, в которых осуществляется обработка ПД и (или) размещены программно-аппаратные средства, используемые для обработки ПД;

6.1.19. уничтожением ПД способом, исключающим последующее восстановление и дальнейшую обработку ПД, а также подтверждением уничтожения ПД в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПД в РФ.

6.2. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, повлекшей нарушение прав субъектов ПД, Оператор в предусмотренном законодательством о ПД порядке и в соответствующие сроки уведомляет об указанном факте уполномоченный орган по защите прав субъектов ПД.

7. Лицо, ответственное за организацию обработки ПД

7.1. Права, обязанности и юридическая ответственность лица, ответственного за организацию обработки ПД, установлены ст. 22.1 152-ФЗ и локальными актами Оператора в сфере обработки и защиты ПД.

7.2. Назначение лица, ответственного за организацию обработки ПД, и его освобождение от указанных обязанностей осуществляется решением Оператора. При назначении лица, ответственного за организацию обработки ПД, учитываются полномочия, компетенции и личностные качества лица, призванные позволить ему надлежащим образом и в полном объеме реализовывать свои права и выполнять обязанности.

7.3. Лицо, ответственное за организацию обработки ПД:

7.3.1. организует осуществление внутреннего контроля за соблюдением Оператором применимого законодательства о ПД, в том числе требований в области защиты ПД;

7.3.2. обеспечивает доведение до сведения лиц, осуществляющих обработку ПД в предусмотренных Оператором целях, положений применимого законодательства о ПД, локальных актов Оператора по вопросам обработки ПД, требований в области защиты ПД;

7.3.3. осуществляет контроль за приемом и обработкой обращений и запросов субъектов ПД или их представителей.

8. Лицо, ответственное за обеспечение безопасности ПД в ИСПД

8.1. Для каждой из ИСПД Оператора руководителем Оператора назначается должностное лицо, ответственное за обеспечение безопасности ПД при их обработке в данной ИСПД. При этом одно должностное лицо может являться ответственным за обеспечение безопасности ПД при их обработке в нескольких ИСПД.

8.2. Лицо, ответственное за обеспечение безопасности ПД в ИСПД отвечает за сохранность ПД в ИСПД, принятие и обеспечение технических мер защиты ПД в ИСПД, содействует предотвращению компьютерных инцидентов и участвует в их расследовании.

9. Права субъектов ПД

9.1. Субъект ПД имеет право на получение сведений об обработке его ПД Оператором.

9.2. Субъект ПД вправе требовать от Оператора уточнения своих ПД, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

9.3. Право субъекта ПД на доступ к его ПД может быть ограничено в соответствии с федеральными законами, в том числе если доступ субъекта ПД к его ПД нарушает права и законные интересы третьих лиц.

9.4. Субъект ПД вправе в любое время полностью или частично отозвать ранее предоставленное(ые) Оператору согласие(я) на обработку ПД и (или) обратиться к Оператору с требованием о прекращении обработки ПД, за исключением случаев, когда обработка ПД предусмотрена п.п. 2—11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 152-ФЗ. Указанные в настоящем пункте права могут быть реализованы путем направления Оператору соответствующего обращения.

9.5. Для реализации и защиты своих прав и законных интересов субъект ПД или его представители имеют право обратиться к Оператору любым удобным и возможным для них способом.

9.6. Оператор рассматривает любые обращения и жалобы со стороны субъектов ПД, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.

9.7. Субъект ПД вправе обжаловать действия или бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов ПД.

9.8. Субъект ПД имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

10. Доступ к Политике

10.1. Действующая редакция Политики на бумажном носителе хранится в месте нахождения Оператора по адресу исполнительного органа Оператора: Российская Федерация, 121614, город Москва, улица Крылатская, дом 17, корпус 2.

Порядок утверждения и внесения изменений в Политику

11.1. Политика утверждается и вводится в действие решением Оператора и действует до ее отмены.

11.2. Оператор имеет право по мере необходимости вносить изменения в Политику (далее — «Изменения»). Изменения утверждаются решением Оператора.

11.3. Политика пересматривается по мере необходимости, но не реже одного раза в три года с момента проведения предыдущего пересмотра Политики.

11.4. Политика может пересматриваться ранее срока, указанного в Политике, по мере внесения изменений:

1. в нормативные правовые акты РФ в сфере ПД;

2. в локальные нормативные и индивидуальные акты Оператора, регламентирующие организацию обработки и обеспечение безопасности ПД;

3. в договоры и соглашения, регулирующие правоотношения Оператора с контрагентами и иными лицами;

4. в порядок организации Оператором обработки и обеспечения безопасности ПД.

12. Ответственность

12.1. Лица, виновные в нарушении норм в области обработки и защиты ПД несут ответственность, предусмотренную законодательством РФ, локальными актами Оператора и договорами, регулирующими правоотношения Оператора с третьими лицами.