Политика в отношении обработки и защиты персональных данных АО «ТПО «Киностудия им. М. Горького»

1.Общие положения

1.1. Политика в отношении обработки и защиты персональных данных АО «ТПО «Киностудия им. М. Горького» (далее – настоящая Политика) определяет общие вопросы в отношении обработки и защиты персональных данных в АО «ТПО «Киностудия им. М. Горького» (далее – Общество).

1.2. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и направлена на исполнение требований законодательства РФ, регулирующего сферу персональных данных, и обеспечение законных прав и свобод субъектов персональных данных и вступает в силу с момента утверждения ее Приказом Общества.

1.3. Политика распространяется на все действия (операции) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.4. Настоящая Политика является публичным документом, неограниченный доступ к которому осуществляется путем размещения его в телекоммуникационной информационной сети Интернет.

1.5. Если в результате изменения законодательных и нормативных правовых актов РФ отдельные пункты настоящей Политики вступают с ними в противоречие, эти пункты утрачивают силу. До момента внесения изменений в настоящую Политику, работники Общества и иные лица, указанные в настоящей Политике, руководствуются законодательными и нормативно-правовыми актами РФ.

1.6. В настоящей Политике использованы следующие понятия и определения:
-аудиовизуальное произведение — произведение, состоящее из зафиксированной серии связанных между собой изображений (с сопровождением или без сопровождения звуком) и предназначенное для зрительного и слухового (в случае сопровождения звуком) восприятия с помощью соответствующих технических устройств. Аудиовизуальные произведения включают кинематографические произведения, а также все произведения, выраженные средствами, аналогичными кинематографическим (теле- и видеофильмы, и другие подобные произведения), независимо от способа их первоначальной или последующей фиксации;
-персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
-оператор персональных данных (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
-обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе: сбор; запись; систематизацию; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передачу (распространение, предоставление, доступ); обезличивание; блокирование; удаление; уничтожение.
-автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
-распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
-предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
-блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
-уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
-обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
-информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
– конфиденциальность информации – обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
-трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
- угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных;
- уровень защищенности персональных данных– комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

1.7. Общество является оператором персональных данных.

1.8.Права субъекта персональных данных

1.8.1. Субъект персональных данных имеет право отзывать ранее данное им Обществу согласие на обработку персональных данных и требовать прекращения обработки Обществом персональных данных за исключением случаев, когда согласно требованиям законодательства Российской Федерации согласия на обработку персональных данных субъекта персональных данных не требуется.

1.8.2. Субъект персональных данных имеет право на получение следующей информации, касающейся обработки его персональных данных, в том числе содержащей:
– подтверждение факта обработки персональных данных Обществом;
– правовые основания и цели обработки персональных данных Обществом;
– цели и применяемые Обществом способы обработки персональных данных;
– наименование и местонахождение Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании Федерального законодательства;
– обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок предоставления таких данных не предусмотрен законодательством Российской Федерации;
– сроки обработки персональных данных, в том числе сроки их хранения;
– порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом;– информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
– наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
– информацию о способах исполнения Обществом обязанностей по реализации мер, направленных на обеспечение выполнения обязанностей по обработке персональных данных;
– иные сведения, предусмотренные Федеральным законом или другими федеральными законами.

1.8.3. Доступ к указанным выше сведениям предоставляется субъекту персональных данных или его представителю при обращении либо при получении запроса. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

1.8.4. Субъект персональных данных вправе требовать от Общества уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

1.8.5. Субъект персональных данных вправе обратиться к Обществу с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения.

1.9.Обязанности субъекта персональных данных —обеспечить достоверность и полноту предоставляемых им Обществу персональных данных.

1.10.Обязанности Общества, как оператора по обработке персональных данных:

1.10.1. Общество обязано осуществлять обработку персональных данных только по предварительному согласию субъекта персональных данных, кроме случаев, когда согласно требованиям законодательства Российской Федерации такого согласия не требуется, в том числе с учетом требований ст. 15.1. Гражданского Кодекса Российской Федерации. Обработка биометрических и специальных категорий персональных данных осуществляется с письменного согласия субъекта персональных данных.

1.10.2. Общество обязано обеспечивать конфиденциальность персональных данных, находящихся у него в обработке.

1.10.3. При сборе персональных данных Общество обязано предоставить субъекту персональных данных по его просьбе информацию, предусмотренную п. 1.8.2. настоящей Политики.

1.10.4. Если в соответствии с законодательством Российской Федерации предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными, Общество обязано разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.

1.10.5. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, Обществом оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

1.10.6. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, Общество должно прекратить в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.

1.11.Общество имеет право проверять достоверность предоставляемых ему персональных данных доступными Обществу способами, не противоречащими требованиям законодательства Российской Федерации.

2.Принципы обработки персональных данных

Обработка персональных данных в Обществе осуществляется на основе следующих принципов:
– обработка персональных данных осуществляется на законной и справедливой основе;
– обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. По достижении цели обработка персональных данных прекращается, за исключением случаев, предусмотренных законодательством;
– не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, взаимно несовместимых;
– при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработкиперсональных данных. Обеспечивается принятие необходимых мер по удалению или уточнению неполных или неточных данных;
– хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.

3.Цели обработки персональных данных
В Обществе определены следующие цели обработки персональных данных:
– создание аудиовизуальных произведений;
– исполнение требований законодательства РФ (включая, но не ограничиваясь: Налоговый кодекс, Гражданский кодекс, Трудовой кодекс, Федеральные законы: «Об архивном деле в Российской Федерации», «О бухгалтерском учете» и др.);
– кадровый учет и начисление заработной платы работникам Общества;
– отбор кандидатов на работу;
– ведение кадрового резерва соискателей;
– предоставление сведений в контролирующие органы;
– обеспечение внутренних трудовых и производственных процессов;
– проведение рекламных и маркетинговых активностей и акций, в том числе рекламных и маркетинговых активностей и акций третьих лиц;
– предоставление социальной помощи;
– организация пропускного и внутриобъектового режима;
– обеспечение безопасных условий деятельности, отвечающих требованиям действующего законодательства Российской Федерации, требованиям по предупреждению и локализации аварийных ситуаций, правилам электробезопасности, правилам пожарной безопасности, требованиям по охране труда;
– учет рабочего времени;
– обеспечение сохранности имущества;
– привлечение физических лиц для выполнения работ/оказания услуг на основании договоров гражданско-правового характера;
– организация хранения и обеспечение сохранности документов в соответствии с требованиями действующего законодательства.

4.Правовые основания обработки персональных данных
Правовым основанием обработки персональных данных в Обществе являются:
– Трудовой кодекс РФ;
– Гражданский кодекс РФ;
– Федеральный закон от 22.08.1996 № 126-ФЗ «О государственной поддержке кинематографии Российской Федерации»;
– Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
– Федеральный закон от 06.12.2011 №402-ФЗ «О бухгалтерском учете»;
– Приказ Минкультуры России от 25.08.2010 № 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения»;
– Приказ Минздравсоцразвития России от 12.04.2011 № 302н «Об утверждении перечней вредных и (или) опасных производственных факторов и работ, при выполнении которых проводятся обязательные предварительные и периодические медицинские осмотры (обследования), и Порядка проведения обязательных предварительных и периодических медицинских осмотров (обследований) работников, занятых на тяжелых работах и на работах с вредными и (или) опасными условиями труда»;
– Приказ Минздравсоцразвития России № 160 от 24.02.2005 «Об определении степени тяжести повреждения здоровья при несчастных случаях на производстве»;
– Устав АО «ТПО «Киностудия им. М. Горького»;
– Договоры (соглашения), заключаемые между Обществом и субъектом персональных данных;
– согласие на обработку персональных данных.

5.Объем и категории обрабатываемых Обществом персональных данных, категориисубъектов персональных данных

5.1. Содержание и объем обрабатываемых персональных данных должны соответствовать целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

5.2. Обществом обрабатываются специальные, биометрические и иные категории персональных данных.

5.3. В Обществе обрабатываются персональные данные следующих субъектов персональных данных:
– работники Общества, в том числе уволенные;
– работники взаимодействующих организаций, взаимодействующие индивидуальные предприниматели, самозанятые лица;
– посетители, пропускаемые на объекты Общества;
– ближайшие родственники работников Общества;
– кандидаты на трудоустройство в Обществе;
– лица-участники мероприятий Кинокампуса Общества;
– лица, оказывающие услуги (выполняющие работы) по договору гражданско-правового характера;
– физические лица в цепочке контрагентов Общества;
– акционеры и бенефициары Общества;
– иные лица в случаях, предусмотренных законодательством.

5.4. Общество обрабатывает следующие персональные данные:
– фамилия, имя, отчество;
– фото и видео изображение;
– гендерная принадлежность (пол);
– возраст;
– рост, вес;
– сведения о документе, удостоверяющем личность (серия; номер; дата выдачи; наименование органа, выдавшего документ; код подразделения);
– номер страхового свидетельства государственного пенсионного страхования;
– идентификационный номер налогоплательщика;
– место рождения;
– дата рождения (число, месяц, год);
– гражданство;
– адрес регистрации по месту жительства;
– адрес места проживания;
– контактный номер телефона;
– адрес электронной почты;
– сведения водительского удостоверения;
– сведения об образовании;
– сведения о воинском учете военнообязанных лиц и лиц, подлежащих призыву на военную службу;
– сведения о трудовой деятельности;
– сведения о повышении квалификации и переподготовке;
– семейное положение;
– сведения о ближайших родственниках;
– сведения, касающиеся состояния здоровья;
– номер банковского счета;
– номер банковской карты;
– данные миграционной карты;
– вид на жительство;
– иные персональные данные.

6.Порядок и условия обработки персональных данных

6.1. Доступ к обрабатываемым в Обществе персональным данным разрешается только уполномоченным работникам Общества.

6.2. Обществом в рамках обработки персональных данных осуществляются следующие действия:
– сбор;
– запись;
– систематизация;
– накопление;
– хранение;
– уточнение (обновление, изменение);
– извлечение;
– использование;
– передачу (распространение, предоставление, доступ);
– обезличивание;
– блокирование;
– удаление;
– уничтожение.

6.3. Обработка персональных данных Обществом осуществляется с использованием средств автоматизации, а также без использования средств автоматизации.

6.4. Для выполнения запросов субъектов персональных данных Общество может потребовать установить личность такого субъекта персональных данных и запросить дополнительную информацию, подтверждающую его участие в отношениях с Обществом, либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом. Кроме того, право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с законодательством Российской Федерации в области персональных данных, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

6.5. В случаях если субъект персональных данных желает узнать, какими персональными данными о нем располагает Общество, либо дополнить, исправить, обезличить или удалить любые неполные, неточные или устаревшие персональные данные, либо прекратить обработку Общества его персональных данных, либо имеет другие законные требования, он может в установленном порядке и в соответствии с законодательством Российской Федерации реализовать такое право, обратившись в Общество.

6.6. При этом в некоторых случаях (например, если субъект персональных данных хочет удалить свои персональные данные или прекратить их обработку) такое обращение (запрос) также может означать, что Общество больше не сможет предоставлять услуги субъекту персональных данных.

6.7. Порядок направления запросов субъектом персональных данных определен требованиями Федерального закона от 27 июля 2006 года №o 152- ФЗ «О персональных данных». В частности, в соответствии с указанными требованиями, запрос должен содержать:
– серию, номер документа, удостоверяющего личность субъекта персональных данных (его представителя), сведения о дате выдачи указанного документа и выдавшем его органе;
– сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
– подпись субъекта персональных данных (его представителя).

6.8. В случае направления запроса представителем субъекта персональных данных, запрос должен содержать документ (копию документа), подтверждающий полномочия данного представителя.

6.9. Запрос субъектом персональных данных может быть направлен в электронном виде. Такие запросы должны быть подписаны усиленной квалифицированной электронной подписью субъекта персональных данных.

6.10. Контакты Общества для направления запросов субъектов персональных данных:
- почтовый адрес: 129226, г. Москва, ул. Сергея Эйзенштейна, дом 8,
- электронный адрес: secretary@gorky-film.ru.

7.Обеспечение защиты персональных данных при их обработке

7.1. Безопасность персональных данных, обрабатываемых в Обществе, обеспечивается принятием правовых, организационных и технических мер, определенных Положением по обработке и защите персональных данных в АО «ТПО «Киностудия им. М. Горького».

7.2. Обеспечение Обществом защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных достигается, в частности, следующими принятыми мерами:
– определены угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
– применены организационные и технические меры безопасности персональных данных, соответствующие требованиям к защите, установленные Правительством РФ к уровням защищенности персональных данных;
– осуществляется учет машинных носителей персональных данных;
– осуществляется мониторинг событий информационной безопасности с целью обнаружения фактов несанкционированного доступа к персональным данным и принятия предупредительных мер защиты;
– приняты технические и организационные меры для обеспечения восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
– установлены правила доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечена регистрация и учет всех действий, совершаемых с персональными данными в информационных системах персональных данных;
– осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровней защищенности информационных систем персональных данных;
– проводится оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационных систем персональных данных.

7.3. Обеспечение конфиденциальности персональных данных, обрабатываемых в Обществе, является обязательным требованием для всех работников Общества, допущенных к обработке персональных данных в связи с исполнением трудовых обязанностей. Все работники, имеющие действующие трудовые отношения, деятельность которых связана с получением, обработкой и защитой персональных данных, подписывают обязательство о неразглашении персональных данных, проходят инструктаж по обеспечению требований информационной безопасности под роспись и несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности персональных данных.

8.Условия передачи персональных данных третьим лицам и поручение обработкиперсональных данных

8.1. В случаях, установленных законодательством Российской Федерации, Общество осуществляет передачу персональных данных субъектов третьим лицам (Федеральной налоговой службе, Государственному пенсионному фонду, правоохранительным органам и др.) без согласия субъекта на обработку его персональных данных.

8.2. Передача персональных данных Обществом в сторонние организации в случаях, не установленных законодательством Российской Федерации, осуществляется на основании согласия субъекта на обработку персональных данных.

8.3. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта. При поручении обработки персональных данных соблюдаются принципы и правила обработки персональных данных, предусмотренные Федеральным законом.

8.4. Трансграничная передача персональных данных без письменного согласия субъекта персональных данных не допускается.

9.Условия прекращения обработки персональных данных

9.1. В случае достижения цели обработки персональных данных Общество прекращает обработку персональных данных или обеспечивает ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами.

9.2. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Общество прекращает их обработку или обеспечивает прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества), и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами.