Приложение № 2

Утверждена
Приказом Генерального директора
от 08.11.2017 г. N _39/1___

ПОЛИТИКА
ОТКРЫТОГО АКЦИОНЕРНОГО ОБЩЕСТВА "ДОМОУПРАВЛЯЮЩАЯ КОМПАНИЯ
КАНАВИНСКОГО РАЙОНА"
В ОТНОШЕНИИ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Настоящая политика (далее - Политика) разработана в соответствии со ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о ПДн) и является основополагающим внутренним регулятивным документом ОАО "Домоуправляющая Компания Канавинского района" далее - Компания), определяющим ключевые направления его деятельности в области обработки и защиты персональных данных (далее - ПДн), оператором которых является Компания.
1.2. Политика разработана в целях реализации требований законодательства в области обработки и защиты ПДн и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн в Компании, в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайн.
1.3. Положения Политики распространяются на отношения по обработке и защите ПДн, полученных Компанией как до, так и после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите ПДн, полученных до ее утверждения.

2. Основания обработки и состав персональных данных,
обрабатываемых в Компании

2.1. Обработка ПДн в Компании осуществляется в связи с выполнением функций, возложенных на Компанию законодательно и по заключенным договорам, определяемых:
1) Жилищным Кодексом Российской Федерации;
2)федеральным Законом от 21.07.2014 г. № 209-ФЗ "О государственной информационной системе жилищно-коммунального хозяйства"
3) правилами предоставления коммунальных услуг собственникам и пользователям помещений, расположенных в многовартирных жилых домах, жилых домов, утвержденными Постановлением Правительства РФ от 06.05.2011 г. № 354;
4) правилами содержания общего имущества, утвержденными Постановлением Правительства Российской Федерации от 13.08.2006 г. № 491;
5) договорами управления, заключенными в соответствии со ст. 162 ЖК РФ;
6) иными нормативными правовыми актами Российской Федерации, Нижегородской области, города Нижнего Новгорода.
Кроме того, обработка ПДн в Компании осуществляется в ходе трудовых и иных непосредственно связанных с ними отношений, в которых Компания выступает в качестве работодателя (гл. 14 Трудового кодекса Российской Федерации), в связи с реализацией Компанией своих прав и обязанностей как юридического лица, а также при взаимодействии с членами Совета директоров Компании.
2.2. В рамках осуществления функции по исполнению обязанностей управляющей организации ПДн обрабатываются Компанией:
1) в ходе ведения финансовых лицевых счетов собственников и пользователей помещений многоквартирных жилых домов, находящихся в управлении Компании, начисления и взимания платы за содержание жилого помещения, коммунальные услуги;
2) рассмотрения обращений граждан, поступивших в Компанию по вопросам ее деятельности;
3) оказания услуги подготовки документов для ведения регистрационного учета по месту пребывания, жительства;
4) ведения реестра собственников помещений многоквартирных жилых домов, находящихся в управлении Компании.
При этом обрабатываются ПДн:
а) собственников помещений и лиц, проживающих в многоквартирных жилых домах, находящихся в управлении Компании;
б) лиц, обратившихся с заявлением в Компанию.
2.3. В связи с трудовыми и иными непосредственно связанными с ними отношениями, в которых Компания выступает в качестве работодателя, обрабатываются ПДн лиц, претендующих на трудоустройство в Компанию, работников Компании (далее - Работники) и бывших Работников.
2.4. В связи с реализацией своих прав и обязанностей как юридического лица, Компанией обрабатываются ПДн физических лиц, являющихся контрагентами (возможными контрагентами) Компании по гражданско-правовым договорам, ПДн руководителей, членов коллегиальных исполнительных органов и представителей юридических лиц.
2.5. В рамках взаимодействия с членами Совета директоров Компании ПДн обрабатываются в ходе формирования данного органа управления Компанией.
2.6. ПДн получаются и обрабатываются Компанией на основании федеральных законов и иных нормативных правовых актов Российской Федерации, а в необходимых случаях - при наличии письменного согласия субъекта ПДн.
2.7. В целях исполнения возложенных на Компанию функций Компания в установленном порядке вправе поручить обработку ПДн третьим лицам.
В договоры с лицами, которым Компания поручает обработку ПДп, включаются условия, обязывающие таких лиц соблюдать предусмотренные законодательством требования к обработке и защите ПДн.
2.8. Компания предоставляет обрабатываемые им ПДн государственным органам и организациям, имеющим, в соответствии с федеральным законом, право на получение соответствующих ПДн.
2.12. В Компании не производится обработка ПДн, несовместимая с целями их сбора. Если иное не предусмотрено федеральным законом, по окончании обработки ПДн в Компании, в том числе при достижении целей их обработки или утраты необходимости в достижении этих целей, обрабатывавшиеся Компанией ПНд уничтожатся.
2.13. При обработке ПДн обеспечиваются их точность, достаточность, а при необходимости - и актуальность по отношению к целям обработки. Компания принимает необходимые меры по удалению или уточнению неполных или неточных ПДн.

3. Принципы обеспечения безопасности персональных данных

3.1. Основной задачей обеспечения безопасности ПДн при их обработке в Компании является предотвращение несанкционированного доступа к ним третьих лиц, предупреждение преднамеренных программно-технических и иных воздействий с целью хищения ПДн, разрушения (уничтожения) или искажения их в процессе обработки.
3.2. Для обеспечения безопасности ПДн Компания руководствуется следующими принципами:
1) законность: защита ПДн основывается на положениях нормативных правовых актов и методических документов уполномоченных государственных органов в области обработки и защиты ПДн;
2) системность: обработка ПДн в Компании осуществляется с учетом всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, значимых для понимания и решения проблемы обеспечения безопасности ПДн;
3) комплексность: защита ПДн строится с использованием функциональных возможностей информационных технологий, реализованных в базах данных Компании и других имеющихся в Компании систем и средств защиты;
4) непрерывность: защита ПДн обеспечивается на всех этапах их обработки и во всех режимах функционирования систем обработки ПДн, в том числе при проведении ремонтных и регламентных работ;
5) своевременность: меры, обеспечивающие надлежащий уровень безопасности ПДн, принимаются до начала их обработки;
6) преемственность и непрерывность совершенствования: модернизация и наращивание мер и средств защиты ПДн осуществляется на основании результатов анализа практики обработки ПДн в Компании с учетом выявления новых способов и средств реализации угроз безопасности ПДн, отечественного и зарубежного опыта в сфере защиты информации;
7) персональная ответственность: ответственность за обеспечение безопасности ПДн возлагается на Работников в пределах их обязанностей, связанных с обработкой и защитой ПДн;
8) минимизация прав доступа: доступ к ПДн предоставляется Работникам только в объеме, необходимом для выполнения их должностных обязанностей;
9) гибкость: обеспечение выполнения функций защиты ПДн при изменении характеристик функционирования баз данных Компании, а также объема и состава обрабатываемых ПДн;
10) открытость алгоритмов и механизмов защиты: структура, технологии и алгоритмы функционирования системы защиты ПДн Компании не дают возможности преодоления имеющихся в Компании систем защиты возможными нарушителями безопасности ПДн;
11) научная обоснованность и техническая реализуемость: уровень мер по защите ПДн определяется современным уровнем развития информационных технологий и средств защиты информации;
12) специализация и профессионализм: реализация мер по обеспечению безопасности ПДн и эксплуатация ПДн осуществляются Работниками, имеющими необходимые для этого квалификацию и опыт;
13) эффективность процедур отбора кадров и выбора контрагентов: кадровая политика Компании предусматривает тщательный подбор персонала и мотивацию Работников, позволяющую исключить или минимизировать возможность нарушения ими безопасности ПДн; минимизация вероятности возникновения угрозы безопасности ПДн, источники которых связаны с человеческим фактором, обеспечивается получением наиболее полной информации о контрагентах Компании до заключения договоров;
14) наблюдаемость и прозрачность: меры по обеспечению безопасности ПДн должны быть спланированы так, чтобы результаты их применения были явно наблюдаемы (прозрачны) и могли быть оценены лицами, осуществляющими контроль;
15) непрерывность контроля и оценки: устанавливаются процедуры постоянного контроля использования систем обработки и защиты ПДн, а результаты контроля регулярно анализируются.

4. Доступ к обрабатываемым персональным данным

4.1. Доступ к обрабатываемым в Компании ПДн имеют лица, уполномоченные приказом Компании, лица, которым Компания поручила обработку ПДн на основании заключенного договора, а также лица, чьи ПДн подлежат обработке.
4.2. В целях разграничения полномочий при обработке ПДн полномочия по реализации каждой определенной функции Компании закрепляются за соответствующими структурными подразделениями Компании.
Доступ к ПДн, обрабатываемым в ходе реализации полномочий, закрепленных за конкретным структурным подразделением Компании, могут иметь только Работники этого структурного подразделения. Работники допускаются к ПДн, связанным с деятельностью другого структурного подразделения, только для чтения и подготовки обобщенных материалов в части вопросов, касающихся структурного подразделения этих Работников.
4.3. Доступ Работников к обрабатываемым ПДн осуществляется в соответствии с их должностными обязанностями и требованиями внутренних регулятивных документов Компании.
Допущенные к обработке ПДн Работники под роспись знакомятся с документами Компании, устанавливающими порядок обработки ПДн, включая документы, устанавливающие права и обязанности конкретных Работников.
4.4. Порядок доступа субъекта ПДн к его ПДн, обрабатываемым Компанией, определяется в соответствии с законодательством.

5. Реализуемые требования к защите персональных данных

5.1. Компания принимает правовые, организационные и технические меры (или обеспечивает их принятие), необходимые и достаточные для обеспечения исполнения обязанностей, предусмотренных Законом о ПДн и принятыми в соответствии с ним нормативными правовыми актами, для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.
5.2. Состав указанных в пункте 5.1 Политики мер, включая их содержание и выбор средств защиты ПДн, определяется, а внутренние регулятивные документы об обработке и защите ПДн утверждаются (издаются) Компанией исходя из требований:
Федерального Закона от 27.07.2006 г. « 152-ФЗ «О персональных данных»;
главы 14 Трудового кодекса Российской Федерации;
постановления Правительства Российской Федерации от 15 сентября 2008 г. N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации";
иных нормативных правовых актов Российской Федерации об обработке и защите ПДн.
5.3. В предусмотренных законодательством случаях обработка ПДн осуществляется Компанией с согласия субъектов ПДн.
Компанией производится устранение выявленных нарушений законодательства об обработке и защите ПДн.
5.4. Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше чем этого требуют цели обработки ПДн, если срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.
5.5. Компанией осуществляется ознакомление работников Компании, непосредственно осуществляющих обработку ПДн, с положениями законодательства о ПДн, в том числе требованиями к защите ПДн, Политикой и иными внутренними регулятивными документами по вопросам обработки ПДн.
5.6. При обработке ПДн с использованием средств автоматизации Компанией, в частности, применяются следующие меры:
1) назначается Ответственный за организацию обработки ПДн, определяется его компетенция;
2) утверждаются (издаются) внутренние регулятивные документы по вопросам обработки и защиты ПДн, в том числе устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений;
3) осуществляется внутренний контроль и (или) аудит соответствия обработки ПДн Закону о ПДн и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, Политике и внутренним регулятивным документам Компании.
5.7. Обеспечение безопасности ПДн в Компании при их обработке в базах данных достигается в Компании, в частности, путем:
1) определения в установленном порядке состава и содержания мер по обеспечению безопасности ПДн, выбора средств защиты информации. При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности ПДн, а также с учетом экономической целесообразности Компанией могут разрабатываться компенсирующие меры, направленные на нейтрализацию актуальных угроз безопасности ПДн. В этом случае в ходе разработки средств защиты ПДн проводится обоснование применения компенсирующих мер для обеспечения безопасности ПДн;
3) применения организационных и технических мер по обеспечению безопасности ПДн, необходимых для выполнения требований к защите ПДн, включая применение средств защиты информации.
В Компании, в том числе, осуществляются:
оценка эффективности принимаемых и реализованных мер по обеспечению безопасности ПДн;
учет машинных носителей ПДн, обеспечение их сохранности;
обнаружение фактов несанкционированного доступа к ПДн и принятие соответствующих мер;
восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установление правил доступа к обрабатываемым ПДн, 
организация режима обеспечения безопасности помещений, в которых размещены базы данных, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
контроль за принимаемыми мерами по обеспечению безопасности ПДн.
5.8. Обеспечение защиты ПДн в Компании при их обработке, осуществляемой без использования средств автоматизации, достигается, в частности, путем:
1) обособления ПДн от иной информации;
2) недопущения фиксации на одном материальном носителе ПДн, цели обработки которых заведомо не совместимы;
3) использования отдельных материальных носителей для обработки каждой категории ПДн;
4) принятия мер по обеспечению раздельной обработки ПДн при несовместимости целей обработки ПДн, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку ПДн отдельно от других зафиксированных на том же носителе ПДн;
5) соблюдения требований:
к раздельной обработке зафиксированных на одном материальном носителе ПДн и информации, не относящейся к ПДн;
уточнению ПДн;
уничтожению ПДн;
использованию типовых форм документов, характер информации в которых предполагает или допускает включение в них ПДн;
хранению ПДн, в том числе к обеспечению раздельного хранения ПДн (материальных носителей), обработка которых осуществляется в различных целях, и установлению перечня лиц, осуществляющих обработку ПДн либо имеющих к ним доступ.