Зразок внутрішнього Положення про Бази Персональних даних

ЗАТВЕРДЖУЮ
Генеральний директор
Товариства з обмеженою відповідальністю ___________________________________"
П. І. Б. _____________________________
"___" ____________ 201_ р.
ПОЛОЖЕННЯ
ПРО ПЕРСОНАЛЬНІ ДАНІ
ТОВАРИСТВА З ОБМЕЖЕНОЮ ВІДПОВІДАЛЬНІСТЮ "_______________"
(найменування ТОВ)

Розділ 1. Загальні вимоги та мета Положення
1.1. Цим Положенням регулюються відносини, пов'язані із захистом персональних даних під час їх обробки в рамках діяльності Товариства з обмеженою відповідальністю "_______________" (надалі - Підприємство).
1.2. Положення дає визначення персональних даних; містить процедуру обробки персональних даних.
1.3. Вимоги цього Положення стосуються як співробітників Підприємства, так і власників Підприємства (або їх представників) та представників органів влади, що здійснюють перевірку діяльності Підприємства (в т. ч. її філій та підрозділів).
Розділ 2. Визначення термінів
2.1. У цьому Положенні нижченаведені терміни вживаються в такому значенні:
база персональних даних - іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних;
володілець бази персональних даних - фізична або юридична особа, якій законом або за згодою суб'єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом;
згода суб'єкта персональних даних - будь-яке документоване, зокрема письмове, добровільне волевиявлення фізичної особи щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки;
знеособлення персональних даних - вилучення відомостей, які дають змогу ідентифікувати особу;
обробка персональних даних - будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, які пов'язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу;
персональні дані - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована;

розпорядник бази персональних даних - фізична чи юридична особа, якій володільцем бази персональних даних або законом надано право обробляти ці дані;
суб'єкт персональних даних - фізична особа, стосовно якої відповідно до закону здійснюється обробка її персональних даних.
Розділ 3. Бази персональних даних, володільцем та розпорядником яких є Підприємство
3.1. Підприємство є володільцем бази персональних даних співробітників Підприємства, які були прийняті на роботу в Підприємстві. В базі персональних даних співробітників міститься інформація про П. І. Б., дату та місце народження, домашній та мобільний телефон, електронну адресу, місце реєстрації, паспортні дані, освіту, сімейний стан, дітей, громадянство, наявність закордонного паспорту, наявність та категорію водійських прав, наявність судимості, дані про досвід роботи.
3.2. База персональних даних співробітників Підприємства зберігається у картотеці "Співробітники", яка зберігається у приміщенні Підприємства та в базі даних "1С:Бухгалтерія" в розділі "Співробітники".
3.3. Обробка персональних даних Підприємства здійснюється для конкретних і законних цілей. Метою оброблення бази персональних даних співробітників є здійснення прав та виконання обов'язків у сфері трудових правовідносин відповідно до закону.
3.4. Згода на обробку персональних даних співробітників надана у письмовій формі фізичними особами на стадії їх працевлаштування на Підприємство.
Розділ 4. Обмежений доступ до персональних даних
4.1. Усі персональні дані, володільцем яких є Підприємство, за режимом доступу є інформацією з обмеженим доступом.
4.2. Доступ до персональних даних, визначених п. 3.1 цього Положення, мають співробітники Підприємства в межах виконання своїх трудових обов'язків із сприяння працевлаштуванню.
4.3. Для розробки та здійснення заходів із забезпечення безпеки персональних даних при їх обробці в інформаційній системі Підприємства керівником Підприємства може бути призначений структурний підрозділ чи посадова особа, що відповідальна за забезпечення безпеки персональних даних на Підприємстві.
4.4. Доступ до персональних даних, визначених п. 3.5 цього Положення, мають співробітники Підприємства в межах виконання своїх трудових обов'язків із ведення кадрового діловодства та нарахування заробітної плати.
4.5. Доступ до персональних даних будь-якій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов'язання щодо забезпечення виконання вимог Закону "Про захист персональних даних" або неспроможна їх забезпечити.
4.6. Доступ фізичної особи, чиї персональні дані оброблюються Підприємством, надаються у порядку, передбаченому Законом "Про захист персональних даних", на підставі письмового запиту фізичної особи - суб'єкта персональних даних. Доступ суб'єкта персональних даних до даних про себе здійснюється безоплатно.
Розділ 5. Права суб'єктів персональних даних
5.1. Особисті немайнові права на персональні дані, які має кожна фізична особа, є невід'ємними і непорушними.

5.2. Суб'єкт персональних даних має право:
1) знати про місцезнаходження бази персональних даних, яка містить його персональні дані, її призначення та найменування, місцезнаходження та/або місце проживання (перебування) володільця чи розпорядника цієї бази або дати відповідне доручення щодо отримання цієї інформації уповноваженим ним особам, крім випадків, встановлених Законом "Про захист персональних даних";
2) отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані, що містяться у відповідній базі персональних даних;
3) на доступ до своїх персональних даних, що містяться у відповідній базі персональних даних;
4) отримувати не пізніш як за тридцять календарних днів з дня надходження запиту, крім випадків, передбачених Законом "Про захист персональних даних", відповідь про те, чи зберігаються його персональні дані у відповідній базі персональних даних, а також отримувати зміст його персональних даних, які зберігаються;
5) пред'являти вмотивовану вимогу із запереченням проти обробки своїх персональних даних органами державної влади, органами місцевого самоврядування при здійсненні їхніх повноважень, передбачених законом;
6) пред'являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником цієї бази, якщо ці дані обробляються незаконно чи є недостовірними;
7) на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв'язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;
8) звертатися з питань захисту своїх прав щодо персональних даних до органів державної влади, органів місцевого самоврядування, до повноважень яких належить здійснення захисту персональних даних;
9) застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.
Розділ 6. Порядок оброблення персональних даних
6.1. Використання персональних даних передбачає будь-які дії володільця бази щодо обробки цих даних, дії щодо їх захисту, а також дії щодо надання часткового або повного права обробки персональних даних іншим суб'єктам відносин, пов'язаних із персональними даними, що здійснюються за згодою суб'єкта персональних даних чи відповідно до закону.
6.2. Використання персональних даних володільцем бази здійснюється у разі створення ним умов для захисту цих даних. Володільцю бази забороняється розголошувати відомості стосовно суб'єктів персональних даних, доступ до персональних даних яких надається іншим суб'єктам відносин, пов'язаних з такими даними.

6.3. Використання персональних даних працівниками суб'єктів відносин, пов'язаних з персональними даними, повинно здійснюватися лише відповідно до їхніх професійних чи службових або трудових обов'язків. Ці працівники зобов'язані не допускати розголошення у будь-який спосіб персональних даних, які їм було довірено або які стали відомі у зв'язку з виконанням професійних чи службових або трудових обов'язків. Таке зобов'язання дійсне і після припинення ними діяльності, пов'язаної з персональними даними, крім випадків, установлених законом.
6.4. Відомості про особисте життя фізичної особи не можуть використовуватися як чинник, що підтверджує чи спростовує її ділові якості.
6.5. Збирання персональних даних є складовою процесу їх обробки, що передбачає дії з підбору чи впорядкування відомостей про фізичну особу та внесення їх до бази персональних даних.
6.6. Суб'єкт персональних даних протягом десяти робочих днів з дня включення його персональних даних до бази персональних даних повідомляється про свої права, визначені Законом "Про захист персональних даних" та цим Положенням, мету збору даних та осіб, яким передаються його персональні дані, в письмовій формі. До письмової форми прирівнюються направлення листа в електронній формі.
6.7. Накопичення персональних даних передбачає дії щодо поєднання та систематизації відомостей про фізичну особу чи групу фізичних осіб або внесення цих даних до бази персональних даних.
6.8. Зберігання персональних даних передбачає дії щодо забезпечення їх цілісності та відповідного режиму доступу до них.
6.9. Поширення персональних даних передбачає дії щодо передачі відомостей про фізичну особу з баз персональних даних за згодою суб'єкта персональних даних.
6.10. Поширення персональних даних без згоди суб'єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
6.11. Виконання вимог встановленого режиму захисту персональних даних забезпечує сторона, що поширює ці дані.
6.12. Сторона, якій передаються персональні дані, повинна попередньо вжити заходів щодо забезпечення вимог цього Закону.
6.13. Персональні дані в базах персональних даних знищуються в порядку, встановленому відповідно до вимог ч. 2 ст. 15 Закону "Про захист персональних даних".
Розділ 7. Реєстрація бази персональних даних
7.1. Бази персональних даних підлягають реєстрації шляхом внесення відповідного запису уповноваженим державним органом з питань захисту персональних даних до Державного реєстру баз персональних даних.
7.2. Володільцю бази персональних даних видається документ встановленого зразка про реєстрацію бази персональних даних у Державному реєстрі баз персональних даних.