ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ НА САЙТАХ АО «НПО «МИКРОГЕН»

1. Сведения о настоящем документе

1.1 Политика в отношении обработки персональных данных на сайтах АО «НПО «Микроген» (далее – Политика) разработана правовым управлением совместно с управлением маркетинга.

1.2 Политика введена впервые.

1.3 Политика действует до момента ее отмены. В случае внесения изменений, считается действующей в новой редакции с момента ее утверждения в новой редакции.

2. Назначение и область применения документа

2.1 Политика разработана в соответствии Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) в целях реализации акционерным обществом «Научно-производственное объединение по медицинским иммунобиологическим препаратам «Микроген» (далее по тексту – Оператор, Общество) положений Законодательства Российской Федерации, которыми определены случаи и особенности обработки персональных данных (далее – ПДн), а также установлены требования к обработке ПДн, и направлена на обеспечение защиты прав и свобод человека и гражданина (субъекта ПДн) при организации и/или осуществлении обработки его ПДн Обществом, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

2.2 Политика является основой для организации обработки и защиты ПДн на сайтах Общества и определяет:

- принципы обработки ПДн пользователей сайтов;

- правовые основания обработки ПДн пользователей сайтов;

- цели обработки ПДн пользователей сайтов, категории и перечень обрабатываемых ПДн пользователей сайтов, способы, сроки обработки и хранения ПДн пользователей сайтов, порядок их уничтожения;

- организацию процесса управления обработкой ПДн пользователей сайтов;

- основы порядка рассмотрения обращений пользователей сайтов как субъектов ПДн по вопросам обработки ПДн;

- меры обеспечения конфиденциальности и безопасности ПДн пользователей сайтов;

- права и обязанности Общества, права пользователей сайтов как субъектов ПДн.

2.3 Настоящая Политика подлежит размещению на сайтах Общества www.microgen.ru, www.bacteriophag.ru, www.relatox.ru. в информационно-телекоммуникационной сети «Интернет», а также на всех страницах сайтов Общества, с использованием которых осуществляется сбор ПДн субъектов ПДн.

3. Определения, обозначения и сокращения

Автоматизированная обработка ПДн	Обработка ПДн с помощью средств вычислительной техники.
Безопасность ПДн	Состояние защищенности ПДн, которое характеризуется способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность ПДн при их обработке.
Блокирование ПДн	Временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн) по требованию субъекта ПДн или Роскомнадзора.
Законодательство Российской Федерации	Совокупность положений нормативных правовых актов РФ, которыми определены случаи и особенности обработки персональных данных, а также установлены требования к обработке персональных данных.
Информационная система ПДн (ИСПДн)	Совокупность содержащихся в базах данных ПДн, обеспечивающих их обработку информационных технологий и технических средств.
Конфиденциальность ПДн	Обязанность не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.
Надзорный орган	Орган, уполномоченный на осуществление государственного контроля и надзора за соответствием обработки ПДн требованиям законодательства, а также соблюдением прав Субъектов ПДн (Роскомнадзор).
Обработка ПДн	Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.
Оператор	Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.
Персональные данные (ПДн)	Любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн)
Субъект ПДн	Прямо или косвенно определенное или определяемое физическое лицо – посетитель/посетители сайтов Общества
Сайты АО «НПО «Микроген (Общества)	www.microgen.ru, www.bacteriophag.ru, www.relatox.ru
Трансграничная передача ПДн	Передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу
Уничтожение ПДн	Действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн.

4. Основные положения

4.1 Принципы обработки ПДн на сайтах Общества

4.1.1 Обработка ПДн на сайтах Общества осуществляется с соблюдением следующих принципов, установленных законодательством Российской Федерации:

· обработка ПДн на законной и справедливой основе;

· обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;

· не допускается обработка ПДн, несовместимая с целями сбора ПДн;

· обработка только тех ПДн, которые отвечают целям обработки ПДн;

· не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;

· содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки ПДн и не должны быть избыточными по отношению к заявленным целям их обработки;

· при обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн;

· хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения ПДн не установлен Законодательством Российской Федерации, договором, стороной которого является субъект ПДн;

· уничтожение или обеспечение уничтожения ПДн (если обработка ПДн осуществляется другим лицо, действующим по поручению Общества), проводится по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации

4.2. Правовые основания обработки ПДн

4.2.1 Правовые основания обработки ПДн посетителей сайтов Общества как субъектов ПДн устанавливаются с учетом определенных Законом №152-ФЗ условий обработки ПДн.

4.2.2 Правовым основанием обработки ПДн посетителей сайтов Общетсва, является:

· согласие субъекта ПДн на обработку ПДн с учетом требований, предусмотренных законодательством РФ для соответствующей категории ПДн.

4.3 Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки обработки и хранения ПДн, порядок их уничтожения

4.3.1 Обработка ПДн посетителей сайтов Общества как субъектов ПДн осуществляется Обществом в заранее определенных целях.

4.3.2 Цели обработки ПДн и соответствующие им категории и перечень обрабатываемых ПДн для посетителей сайта Общества www.microgen.ru:

Цель обработки ПДн	Категории и перечень ПДн	Способы обработки ПДн
Информирование потребителей о товарах и их производстве	Иные ПДн: фамилия, имя, отчество, cookies, адрес электронной почты (E-mail), иные сведения о себе, которые субъект персональных данных указывает по собственной инициативе при направлении в адрес оператора обращения в форме обратной связи на сайте оператора странице: https://www.microgen.ru/	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) организации, которой оператор по договору поручает сопровождение сайта, техническую и информационную поддержку сайта, редизайн сайта, а также обезличивание, блокирование, удаление, уничтожение.
Информирование о побочных действиях, нежелательных реакциях, серьезных нежелательных реакциях, непредвиденных нежелательных реакциях при применении производимых оператором лекарственных средств, об индивидуальной непереносимости, отсутствии эффективности лекарственных средств, а также об иных фактах и обстоятельствах, представляющих угрозу жизни или здоровью человека.	Иные ПДн: имя, профессия, место пребывания (населенный пункт), cookies, иные сведения о себе, которые субъект персональных данных указывает по собственной инициативе при направлении в адрес оператора обращения посредством формы обратной связи на сайте оператора на страницах: https://www.microgen.ru/drugsafety/health-specialist/; https://www.microgen.ru/drugsafety/patient/.	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) организации, которой оператор по договору поручает сопровождение сайта, техническую и информационную поддержку сайта, редизайн сайта, а также обезличивание, блокирование, удаление, уничтожение.
Информирование о качестве производимых оператором лекарственных средств, медицинских изделий и иной продукции.	Иные ПДн: имя, cookies, профессия, место пребывания (населенный пункт), иные сведения о себе, которые субъект персональных данных указывает по собственной инициативе при направлении в адрес оператора обращения по средством формы обратной связи для потребителя на сайте оператора на странице: https://www.microgen.ru/drugsafety/quality/.	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) организации, которой оператор по договору поручает сопровождение сайта, техническую и информационную поддержку сайта, редизайн сайта, а также обезличивание, блокирование, удаление, уничтожение.
Сбор статистики и аналитика сайта	Иные ПДн: cookies, информация о соединениях и трафике абонента при отсутствии имени конкретного абонента, данные, собираемые сервисом «Яндекс.Метрика», статистическая информация (хеш-ID), состоящая из сведений о его поисковых запросах и просмотренных страницах URL страницы, реферер страницы, заголовок страницы, браузер и его версия, операционная система и ее версия, устройство, высота и ширина экрана, сведения о наличии cookies, наличие JavaScript, часовой пояс, язык браузера, глубина цвета экрана, ширина и высота клиентской части окна браузера, JavaScript cобытия, параметры загрузки страницы, сведения о просмотре страницы, сведения о визите, сведения о переходе по внешним ссылкам, сведения о скачивании файла, сведения об отказе, сведения о времени на сайте, сведения о глубине просмотра, сведения об учете взаимодействий посетителя с сайтом.	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) организации, которой оператор по договору поручает сопровождение сайта, техническую и информационную поддержку сайта, редизайн сайта, а также обезличивание, блокирование, удаление, уничтожение.

4.3.3 Цели обработки ПДн и соответствующие им категории и перечень обрабатываемых ПДн для посетителей сайта Общества www.bacteriophag.ru:

Цель обработки ПДн

Категории и перечень ПДн

Способы обработки ПДн

Информирование потребителей о производимых оператором бактериофагах.

Иные ПДн: фамилия, имя, отчество, cookies, адрес электронной почты (E-mail), иные сведения о себе, которые субъект персональных данных указывает по собственной инициативе при направлении в адрес оператора обращения в форме обратной связи на сайте оператора на странице: https://bacteriophag.ru/contacts/

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) организации, которой оператор по договору поручает сопровождение сайта, техническую и информационную поддержку сайта, редизайн сайта, а также обезличивание, блокирование, удаление, уничтожение.

Сбор статистики и аналитика сайта

Иные ПДн: cookies, информация о соединениях и трафике абонента при отсутствии имени конкретного

абонента, данные, собираемые сервисом «Яндекс.Метрика», статистическая информация (хеш-ID), состоящая из сведений о его поисковых запросах и просмотренных страницах URL страницы, реферер страницы, заголовок страницы, браузер и его версия, операционная система и ее версия, устройство, высота и ширина экрана, сведения о наличии cookies, наличие JavaScript, часовой пояс, язык браузера, глубина цвета экрана, ширина и высота клиентской части окна браузера, JavaScript cобытия, параметры загрузки страницы, сведения о просмотре страницы, сведения о визите, сведения о переходе по внешним ссылкам, сведения о скачивании файла, сведения об отказе, сведения о времени на сайте, сведения о глубине просмотра, сведения об учете взаимодействия посетителя с сайтом.

4.3.4 Цели обработки ПДн и соответствующие им категории и перечень обрабатываемых ПДн для посетителей сайта Общества www.relatox.ru:

Цель обработки ПДн	Категории и перечень ПДн	Способы обработки ПДн
Информирование специалистов здравоохранения о производимом оператором лекарственном препарате «Релатокс».	Иные ПДн: фамилия, имя, отчество, cookies, адрес электронной почты (E-mail), номер мобильного телефона, сведения о квалификации специалиста здравоохранения (сертификат врача и/или свидетельство об аккредитации), иные сведения о себе, которые субъект персональных данных указывает по собственной инициативе на сайте оператора: https://relatox.ru/	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) организации, которой оператор по договору поручает сопровождение сайта, техническую и информационную поддержку сайта, редизайн сайта, а также обезличивание, блокирование, удаление, уничтожение.
Сбор статистики и аналитика сайта	Иные ПДн: cookies, информация о соединениях и трафике абонента при отсутствии имени конкретного абонента, данные, собираемые сервисом «Яндекс.Метрика», статистическая информация (хеш-ID), состоящая из сведений о его поисковых запросах и просмотренных страницах URL страницы, реферер страницы, заголовок страницы, браузер и его версия, операционная система и ее версия, устройство, высота и ширина экрана, сведения о наличии cookies, наличие JavaScript, часовой пояс, язык браузера, глубина цвета экрана, ширина и высота клиентской части окна браузера, JavaScript cобытия, параметры загрузки страницы, сведения о просмотре страницы, сведения о визите, сведения о переходе по внешним ссылкам, сведения о скачивании файла, сведения об отказе, сведения о времени на сайте, сведения о глубине просмотра, сведения об учете взаимодействиия посетителя с сайтом.	Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ) организации, которой оператор по договору поручает сопровождение сайта, техническую и информационную поддержку сайта, редизайн сайта, а также обезличивание, блокирование, удаление, уничтожение.

4.4 Сроки обработки и хранения ПДн

для каждой из указанных в пп. 4.3.2 -4.3.4 Политики целей обработки ПДн устанавливаются с учетом соблюдения требований, в т.ч. условий обработки ПДн, определенных законодательством Российской Федерации с учетом согласия субъекта ПДн на обработку его ПДн, при этом обработка и хранение ПДн осуществляются не дольше, чем этого требуют цели обработки ПДн, если иное не установлено законодательством Российской Федерации.

4.5 Порядок уничтожения ПДн

4.5.1. Уничтожение ПДн, обработка которых осуществляется в рамках целей, указанных в пп. 4.3.2 -4.3.4 Политики, производится в случаях:

· достижения цели (целей) обработки ПДн или в случае утраты необходимости в достижении цели (целей) обработки ПДн, если иное не установлено Законом №152-ФЗ и/или иными применимыми нормативными правовыми актами Российской Федерации;

· выявления факта неправомерной обработки ПДн;

· отзыва субъектом ПДн согласия на обработку ПДн, если иное не предусмотрено Законом №152-ФЗ;

· предъявления субъектом ПДн требования о прекращении обработки ПДн, если иное не установлено Законом №152-ФЗ.

4.5.2 Способы уничтожения ПДн определяются локальными нормативными актами Общества по вопросам обработки и защиты ПДн в зависимости от способов обработки ПДн и материальных носителей ПДн, на которых осуществляется запись и хранение ПДн. Факт уничтожения ПДн подтверждается в порядке, предусмотренном п. 4.6.8 настоящей Политики.

4.6 Организация процесса управления обработкой ПДн в Обществе

4.6.1 Обрабатывая ПДн, Общество руководствуется принципами, а также требованиями к порядку и условиям обработки ПДн, установленным положениями законодательства Российской Федерации, настоящей Политики, иных локальных нормативных актов Общества.

4.6.2 Осуществление сбора (получения) и дальнейшие действия (операции) по обработке ПДн производятся при соблюдении прав и законных интересов субъектов ПДн в рамках утвержденных процессов и/или локальных нормативных актов Общества, в которых определены:

· правовые основания (условия) и источники сбора (получения) ПДн;

· цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн;

· сроки обработки и хранения ПДн;

· действия и способы обработки ПДн;

· порядок доступа работников Общества к ПДн и их обработке;

· порядок передачи ПДн третьим лицам, порядок распространения ПДн в отношении неопределенного круга лиц;

· порядок уточнения (обновления, изменения) ПДн;

· порядок архивного хранения ПДн;

· порядок прекращения обработки и уничтожения/обеспечения уничтожения ПДн (если обработка ПДн осуществляется лицом, действующим по поручению Общества).

Указанные процессы и/или локальные нормативные акты Общества не могут противоречить положениям законодательства РФ и настоящей Политики. В случае противоречия процессы и/или локальные нормативные акты Общества должны быть приведены в соответствие с положениями настоящей Политики и законодательства Российской Федерации.

4.6.3 В Обществе определяется перечень лиц, осуществляющих обработку ПДн. Доступ к обрабатываемым ПДн предоставляется только тем работникам Общества, которым он необходим для выполнения ими конкретных функций в рамках исполнения должностных обязанностей. В должностные инструкции работников Общества и/или в трудовые договоры, в т.ч., если применимо, в дополнительные соглашения к трудовым договорам, включаются обязанности по обеспечению конфиденциальности и безопасности ПДн и меры ответственности за их невыполнение.

4.6.4 До начала обработки ПДн работники Общества, в трудовые функции и обязанности которых входит осуществление обработки ПДн, ознакомляются под подпись с положениями законодательства Российской Федерации о ПДн, в т.ч. с требованиями к защите ПДн, а также с требованиями локальных нормативных актов Общества, регламентирующих вопросы обработки и защиты ПДн.

4.6.5 При обработке ПДн в Обществе обеспечивается своевременное уточнение (обновление, изменение) ПДн субъекта ПДн, которое осуществляется, в частности, в случае подтверждения факта неточности ПДн на основании:

· обращения в Общество субъекта ПДн, его представителя (обладающего полномочиями на представление интересов субъекта ПДн), Надзорного органа с документами, подтверждающими факт неточности и изменение ПДн;

· установления Обществом расхождений между ранее полученными ПДн субъекта ПДн и ПДн, предоставляемыми субъектом ПДн, его представителем, (обладающим полномочиями на представление интересов субъекта ПДн), надзорным органом наряду с подтверждающими документами.

4.6.6 Получение Обществом ПДн от третьего лица и/или передача (предоставление, доступ) ПДн третьему лицу, а также поручение обработки ПДн третьему лицу допускается с согласия субъекта ПДн на обработку ПДн, в т.ч. предоставленного третьему лицу, или при наличии иных оснований, предусмотренных законодательством российской Федерации. Получение Обществом ПДн от третьего лица и/или передача (предоставление, доступ) ПДн третьему лицу, а также поручение обработки ПДн третьему лицу осуществляется на основании соответствующего договора с третьим лицом, включающего в себя условия обработки ПДн, требования к обеспечению конфиденциальности и безопасности ПДн при их обработке и иные требования в соответствии с Законом №152-ФЗ.

Передача ПДн государственным органам власти и учреждениям, муниципальным органам власти, государственным внебюджетным фондам, а также получение ПДн от государственных органов власти и учреждений, муниципальных органов власти, государственных внебюджетных фондов допускается в отсутствие согласия субъекта ПДн на обработку его ПДн в порядке и в случаях, предусмотренных Законодательством Российской Федерации.

Трансграничная передача ПДн осуществляется с учетом условий и ограничений, установленных Законом №152-ФЗ. До начала трансграничной передачи ПДн проводится оценка мер, принимаемых третьим лицом, которому планируется трансграничная передача ПДн, по обеспечению конфиденциальности и безопасности ПДн. Порядок проведения оценки устанавливается локальными нормативными актами Общества. О планируемой трансграничной передаче ПДн Общество уведомляет Надзорный орган в порядке, предусмотренном законодательством Российской Федерации и локальными нормативными актами Общества.

4.6.7 Обработка ПДн прекращается при достижении целей такой обработки, а также по истечении срока, предусмотренного законодательством РФ, договором или согласием субъекта ПДн на обработку его ПДн. В случае отзыва субъектом ПДн согласия на обработку его ПДн и/или требования о прекращении обработки ПДн Общество вправе продолжить обработку ПДн без согласия субъекта ПДн при условии наличия оснований (условий обработки ПДн), предусмотренных Законом №152-ФЗ

4.6.8 В случае отсутствия у Общества правовых оснований на обработку ПДн (условий обработки ПДн) Общесвто в порядке, установленном Законом №152-ФЗ, производит уничтожение ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется лицом, действующим по поручению Общества). Уничтожение производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание ПДн в ИСПДн и/или в результате которых уничтожаются материальные носители ПДн. По результатам проведенного уничтожения составляется Акт об уничтожении ПДн и формируется запись в электронном журнале регистрации событий в ИСПДн^{^[1]} в соответствии с требованиями приказа Роскомнадзора от 28.10.2022 №179^{^[2]} «Об утверждении Требований к подтверждению уничтожения ПДн», или, в случае утраты силы, признания недействующим указанных требований полностью или в части, в соответствии с положениями законодательства Российской Федерации.

4.7 Основы порядка рассмотрения обращений субъектов ПДн по вопросам обработки ПДн

4.7.1 В целях соблюдения прав и законных интересов субъектов ПДн, требований к срокам обработки обращений и/или запросов, обеспечения качества и полноты принятия мер в отношении законного требования субъекта ПДн и для предоставления необходимой информации по его обращению и/или запросу осуществляется прием и обработка обращений субъектов ПДн, а также контроль обеспечения такого приема и обработки.

4.7.2 При рассмотрении обращений и/или запросов субъектов ПДн Общество руководствуется положениями законодательства Российской Федерации, согласно которым запрос и/или обращение, направляемый и/или направляемое субъектом ПДн, должен/должно содержать информацию, предусмотренную Законом №152-ФЗ, а именно:

· номер основного документа, удостоверяющего личность субъекта ПДн или его представителя;

· сведения о дате выдачи указанного документа и выдавшем его органе;

· сведения, подтверждающие участие субъекта ПДн в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и/или иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Обществом;

· подпись субъекта ПДн или его представителя.

4.7.3 В случае, если обращение и/или запрос направлены в форме электронного документа, то документ подписывается электронной подписью в соответствии с Законодательством Российской Федерации.

4.7.4 Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов от субъектов ПДн производится Обществом в объеме и сроки, предусмотренные Законодательством Российской Федерации. Установленный Законодательством Российской Федерации срок ответа субъекту ПДн на обращение и/или запрос о предоставлении информации, касающейся обработки его ПДн, может быть продлен на основании установленных Законом №152-ФЗ ограничений с направлением в адрес субъекта ПДн мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.

4.7.5 Общество, получив обращение и/или запрос субъекта ПДн и убедившись в его законности, предоставляет субъекту ПДн и/или его представителю, обладающему полномочиями на представление интересов субъекта ПДн, сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Обществом сведения не могут содержать ПДн, принадлежащие другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.

4.7.6 Общество вправе отказать субъекту ПДн в удовлетворении требований, указанных в обращении и/или запросе, путем направления субъекту ПДн или его представителю мотивированного отказа, если у Общества в соответствии с Законодательством Российской Федерации имеются законные основания отказать в выполнении/удовлетворении поступивших требований.

4.7.7 В Обществе осуществляется контроль за приемом и обработкой обращений субъектов ПДн в целях обеспечения соблюдения прав и законных интересов субъектов ПДн, требований к срокам обработки обращений, обеспечения качества и полноты принятия мер в отношении законного требования субъекта ПДн и предоставления необходимой информации по его обращению в соответствии с локальными нормативными актами Общества.

4.8 Меры обеспечения конфиденциальности и безопасности ПДн

4.8.1 Для обеспечения конфиденциальности и безопасности ПДн субъектов ПДн, защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн в соответствии с Законом №152-ФЗ Обществом принимаются необходимые правовые, организационные и технические меры или обеспечивается их принятие (если обработка ПДн осуществляется лицом, действующим по поручению Общества). В частности, принимаются следующие меры:

· определяются актуальные угрозы безопасности ПДн, обрабатываемых в ИСПДн, и применяются соответствующие организационные и технические меры защиты для установленных уровней защищенности ПДн;

· для нейтрализации актуальных угроз безопасности ПДн применяются средства защиты информации, соответствующие уровням защищенности ПДн и прошедшие в установленном порядке процедуру оценки соответствия;

· проводится оценка эффективности принимаемых/реализованных мер защиты и обеспечения безопасности ПДн, в том числе до ввода информационных систем в эксплуатацию (оценка может проводиться самостоятельно и/или с привлечением на договорной основе юридических лиц, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации);

· обеспечиваются пропускной режим и управление доступом к ПДн, техническим средствам, используемым при обработке ПДн, средствам защиты информации, средствам обеспечения функционирования информационных систем, а также пропускной режим и управление доступом в помещения и сооружения, в которых установлены указанные средства;

· обеспечиваются регистрация и учет всех действий, совершаемых с ПДн в ИСПДн;

· осуществляется организация учета технических средств, входящих в состав ИСПДн, а также машинных носителей;

· определяется и при необходимости актуализируется перечень лиц (работников Общества), которым для выполнения трудовых обязанностей необходим доступ к ПДн, обработка которых производится в ИСПДн, а также обеспечивается предоставление доступа к обрабатываемым ПДн тем работникам Общества, которым необходим указанный доступ в связи с выполнением ими трудовых обязанностей;

· обеспечивается автоматическая регистрация событий безопасности, связанных с изменением прав доступа к ПДн;

· обеспечивается доступ к содержанию событий безопасности ограниченному кругу лиц, в частности, реализуется размещение ИСПДн Общества внутри защищенного периметра, расположенного в пределах контролируемой зоны;

· реализуются меры, направленные на предупреждение и обнаружение фактов несанкционированного доступа к ПДн, и принятие мер, в том числе мер по предупреждению, обнаружению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них;

· обеспечивается восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

· осуществляется эксплуатация разрешенного к использованию программного обеспечения и/или его компонентов, а также обеспечивается контроль за его установкой и обновлением;

· осуществляется выявление инцидентов и реагирование на них, реализуются меры по устранению инцидентов в случае их появления;

· проводится внешний и внутренний инструментальный контроль защищенности системных компонентов информационной структуры на наличие уязвимостей;

· реализуется контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн.

Помимо этого, проводится оценка вреда, который может быть причинен субъектам ПДн в случае нарушения Закона №152-ФЗ, а также соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом №152-ФЗ.

4.9 Права и обязанности Общества, права субъекта ПДн

4.9.1 Общество обязано:

· при обработке ПДн соблюдать требования Законодательства Российской Федерации в отношении обработки и защиты ПДн, в том числе требования, предусмотренные для сбора ПДн;

· при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн субъектов ПДн (граждан Российской Федерации) с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных Законодательством Российской Федерации;

· при сборе ПДн с использованием информационно-телекоммуникационных сетей, опубликовать в соответствующей информационно-телекоммуникационной сети, в т.ч. на страницах принадлежащего Обществу сайта в информационно-телекоммуникационной сети «Интернет», с использованием которых осуществляется сбор ПДн, документ, определяющий его политику в отношении обработки ПДн, и сведения о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;

· в случае, если предоставление ПДн и/или согласия на их обработку является обязательным в соответствии с требованиями Законодательства Российской Федерации и субъект ПДн отказывается предоставить ПДн и/или предоставить согласие на их обработку, разъяснить юридические последствия непредоставления ПДн и/или согласия на их обработку;

· в случае получения ПДн не от субъекта ПДн до начала обработки ПДн предоставить субъекту ПДн информацию, предусмотренную Законом №152-ФЗ, с учетом установленных Законодательством Российской Федерации исключений;

· выполнять обязанности, предусмотренные для операторов ПДн, при получении запросов и/или обращений по вопросам ПДн от субъекта ПДн и/или его представителя (обладающего полномочиями на представление интересов субъекта ПДн), и/или от надзорного органа;

· принимать меры, направленные на обеспечение выполнения требований Закона №152-ФЗ;

· принимать меры по обеспечению безопасности ПДн при их обработке;

· выполнять обязанности по устранению нарушений Законодательства Российской Федерации, если такие нарушения были допущены при обработке ПДн, а также выполнять обязанности по уточнению, блокированию, уничтожению ПДн в случаях, предусмотренных Законодательством Российской Федерации;

· выполнять обязанности, установленные Законом №152-ФЗ для Операторов ПДн, в случае получения от субъекта ПДн требования о прекращении обработки ПДн и/или отзыва согласия на обработку ПДн;

· взаимодействовать с надзорным органом по вопросам, связанным с обработкой и защитой ПДн, в случаях, предусмотренных Законом №152-ФЗ;

· выполнять иные обязанности, предусмотренные Законодательством Российской Федерации.

4.9.2 Общество имеет право:

· обрабатывать ПДн субъектов ПДн в отсутствие согласия на обработку ПДн в случаях, предусмотренных Законом №152-ФЗ;

· осуществлять передачу ПДн субъектов ПДн третьим лицам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, а также поручить обработку ПДн субъектов ПДн третьим лицам при наличии соответствующих правовых оснований и соблюдении требований Закона №152-ФЗ;

· отказать субъекту ПДн в предоставлении сведений об обработке его ПДн в случаях, предусмотренных Законом №152-ФЗ;

· самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом №152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законодательством Российской Федерации;

· самостоятельно, с учетом требований Закона №152-ФЗ, определять перечень необходимых правовых, организационных и технических мер для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн на основании проведенной оценки актуальных угроз безопасности ПДн, а также определять порядок реализации указанных мер и проводить оценку эффективности принимаемых мер;

· реализовывать иные права, предусмотренные Законодательством Российской Федерации.

4.9.3 Субъект ПДн имеет право:

· свободно, своей волей и в своем интересе предоставлять согласие на обработку ПДн с учетом требований Закона №152-ФЗ к форме и содержанию согласий на обработку ПДн;

· направлять запросы и/или обращения, в том числе повторные, и получать информацию по вопросам обработки ПДн, принадлежащих субъекту ПДн, в порядке, форме, объеме и в сроки, установленные Законодательством Российской Федерации;

· требовать от Общества уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные Законодательством Российской Федерации меры по защите своих прав с учетом исключений, установленных Законом №152-ФЗ;

· обратиться с требованием к Обществу прекратить обработку своих ПДн, а также отозвать предоставленное согласие на обработку ПДн;

· осуществлять иные права, предусмотренные Законодательством Российской Федерации.

4.10 Заключительные положения

4.10.1 Настоящая Политика вводится в действие и становится обязательной для исполнения всеми работниками Общества с момента ее утверждения.

4.10.2 Настоящая Политика может быть изменена в любой момент времени по усмотрению Общества, в т.ч. в случаях изменения законодательства Российской Федерации или локальных нормативных актов Общества, определяющих порядок обработки и защиты ПДн.

4.10.3 В случае, если по тем или иным причинам одно или несколько положений настоящей Политики будут признаны недействительными или не имеющими юридической силы, данные обстоятельства не оказывают влияния на действительность или применимость остальных положений Политики.

4.10.4 Работники Общества несут ответственность за несоблюдение требований к обработке и защите ПДн, в т.ч. за разглашение или незаконное использование ПДн, в порядке и при наступлении условий, предусмотренных Трудовым кодексом Российской Федерации, а также могут быть привлечены к гражданско-правовой, административной и уголовной ответственности в порядке, предусмотренном применимыми нормативными правовыми актами Российской Федерации.

4.10.5 Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки ПДн.

4.10.6 Политика в отношении обработки ПДн Общества публикуется на сайте Общества в информационно-телекоммуникационной сети «Интернет» по интернет-адресам: www.microgen.ru, www.bacteriophag.ru, www.relatox.ru. К Политике обеспечивается неограниченный доступ.

4.11 Контактная информация

4.11.1 Любые обращения, касающиеся обработки ПДн, направляются Обществу на электронную почту: info@microgen.ru.

5. Порядок хранения документа

Экземпляр	Место хранения
Оригинал	Управление делами
Копия 01	Правовое управление
Копия 02	Управление маркетинга
Копия 03	на сайте Общества в информационно-телекоммуникационной сети «Интернет» www.microgen.ru
Копия 04	на сайте Общества в информационно-телекоммуникационной сети «Интернет» www.bacteriophag.ru
Копия 05	на сайте Общества в информационно-телекоммуникационной сети «Интернет» www.relatox.ru

6. Порядок внесения изменений

6.1 При необходимости внесения изменений в Политику или возникновении разногласий по трактовке разделов инициатор пересмотра направляет в правовое управление письмо/служебную записку с обоснованием необходимости внесения изменений.

6.2 Правовое управление дает обоснованное разъяснение по трактовке соответствующих разделов настоящего Политики, а в случае правомерного обоснования внесения изменений организует подготовку новой версии Политики.