Положение о работе с персональными данными потребителей жилищных услуг и контрагентов

Положение

о работе с персональными данными потребителей жилищных услуг и контрагентов

09.01.2023

Общие положения
1. Настоящее положение разработано в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее - Закон о персональных данных), Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства РФ от 1 ноября 2012 г. № 1119, и иными нормативными актами в области защиты персональных данных, действующими на территории Российской Федерации.
2. Настоящее положение устанавливает порядок обработки персональных данных потребителей жилищных услуг и контрагентов ООО «ТеплоАвтоматика» (далее - организация), основные цели, принципы обработки и требования к безопасности персональных данных.
3. Настоящее положение разработано в целях регулирования порядка сбора, систематизации, хранения, передачи и уничтожения персональных данных потребителей жилищных услуг и контрагентов организации.
Понятие и состав персональных данных
1. В целях настоящего положения под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2. К персональным данным потребителя жилищных услуг относятся:
  - анкетные данные (фамилия, имя, отчество, число, месяц, год рождения и др.);
  - паспортные данные;
  - адрес регистрации;
  - адрес места жительства;
  - номер телефона;
  - номер лицевого счета;
  - адрес электронной почты
3. К персональным данным контрагента относятся:
  - анкетные данные (фамилия, имя, отчество, число, месяц, год рождения и др.);
  - паспортные данные;
  - адрес регистрации;
  - адрес места жительства;
  - номер лицевого счета;
  - номер телефона;
  - адрес электронной почты;
  - сведения о номере и серии страхового свидетельства государственного пенсионного страхования;
  - сведения об идентификационном номере налогоплательщика;
4. Документы, в которых содержатся персональные данные потребителей жилищных услуг и контрагентов организации, включают в себя: анкетные данные, паспортные данные.
5. Документы, в которых содержатся персональные данные потребителей жилищных услуг и контрагентов организации, включают в себя: контакты, СНИЛС, ИНН, расчетный счет.
6. Указанные сведения и документы являются конфиденциальными. Организация не вправе распространять персональные данные без согласия потребителей жилищных услуг или контрагента, если иное не предусмотрено федеральным законом.

Обработка персональных данных и гарантии их защиты

Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
В целях обеспечения прав и свобод человека и гражданина организация при обработке персональных данных потребителя жилищных услуг или контрагента соблюдает следующие общие требования:
- обработка персональных данных потребителя жилищных услуг или контрагента осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов;
- при определении объема и содержания, обрабатываемых персональных данных потребителя жилищных услуг или контрагента организация руководствуется Конституцией Российской Федерации и иными федеральными законами;
- все персональные данные потребителя жилищных услуг или контрагента следует получать у него самого. Если персональные данные потребителя жилищных услуг или контрагента, возможно, получить только у третьей стороны, то потребитель жилищных услуг или контрагент должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Организация сообщает потребителю жилищных услуг или контрагенту о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа потребителя жилищных услуг или контрагента дать письменное согласие на их получение;
- организация не вправе получать и обрабатывать персональные данные потребителя жилищных услуг или контрагента о его политических, религиозных и иных убеждениях и частной жизни;
- организация не вправе получать и обрабатывать персональные данные потребителя жилищных услуг или контрагента о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.
Защита персональных данных потребителя жилищных услуг или контрагента от неправомерного их использования или утраты обеспечивается организацией за счет ее средств в порядке, установленном федеральными законами и настоящим положением.
Потребители жилищных услуг и контрагенты организации должны быть ознакомлены под роспись с документами организации, устанавливающими порядок обработки персональных данных потребителя жилищных услуг и контрагентов, а также об их правах и обязанностях в этой области.
Организация при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Организация осуществляет внутренний контроль и (или) аудит соответствия обработки персональных данных Закону о персональных данных, требованиям к защите персональных данных, политике организации в отношении обработки персональных данных, настоящему положению.
Организация знакомит работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику организации в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучает указанных работников.
Организация обеспечивает безопасность персональных данных потребителя жилищных услуг или контрагента следующими способами:
- определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
- оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
- учетом машинных носителей персональных данных;
- обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
- восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
- контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
Обработка персональных данных субъектов персональных данных проводится ООО «ТеплоАвтоматика» с целью исполнения договорных и иных гражданско-правовых отношений при осуществлении управляющей компанией хозяйственной деятельности, повышения оперативности и качества обслуживания потребителя жилищных услуг или контрагента.
ООО «ТеплоАвтоматика» обрабатывает следующие категории персональных данных:
- анкетные данные (фамилия, имя, отчество, число, месяц, год рождения и др.);
- паспортные данные;
- адрес регистрации;
- адрес места жительства;
- номер лицевого счета;
- адрес электронной почты
- семейное положение;
- статус члена семьи;
- дата регистрации;
- наличие льгот и преимуществ для начисления и внесения платы за содержание жилого помещения и коммунальные услуги;
- сведения о регистрации права собственности в Едином государственном реестра прав на недвижимое имущество (ином уполномоченном органе), а равно об иных правах на пользование помещением, в том числе о его площади, количестве проживающих, зарегистрированных и временно пребывающих;
- размер платы за содержание жилого помещения и коммунальные услуги (в т.ч. и размер задолженности);
- иные персональные данные необходимые для исполнения договоров.
Организация обрабатывает без использования средств автоматизации следующие категории персональных данных клиента, обеспечивает их защиту, которые хранятся на бумажных носителях.

ООО «ТеплоАвтоматика» осуществляет обработку персональных данных в следующих целях:

осуществления предоставления коммунальных услуг и технического обслуживания и иной деятельности, предусмотренной уставом и лицензией ООО «ТеплоАвтоматика», а так же в целях соблюдения норм законодательства, предусмотренных: Жилищным Кодексом РФ, Гражданским кодексом РФ и законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»:

Категория персональных данных	Перечень персональных данных	Категория собственников/пользователей	Тип угрозы	Уровень защищенности	Срок обработки	Срок хранения
только общие персональные данные	фамилия, имя, отчество; год, месяц, дата рождения; место рождения; адрес; семейное положение; телефон; иное.	все собственники (пользователи)	1 тип угроз	3 уровень	до дня отзыва согласия	не позднее 30 дней
общие и специальные персональные данные	фамилия, имя, отчество; год, месяц, дата рождения; место рождения; адрес; семейное положение; телефон; иное.	все собственники (пользователи)	1 тип угроз	3 уровень	до дня отзыва согласия	не позднее 30 дней
общие и биометрические персональные данные	фамилия, имя, отчество; год, месяц, дата рождения; место рождения; адрес; семейное положение; телефон; фото; видео; иное.	все собственники (пользователи)	1 тип угроз	3 уровень	до дня отзыва согласия	не позднее 30 дней
общие, специальные и биометрические персональные данные	фамилия, имя, отчество; год, месяц, дата рождения; место рождения; адрес; семейное положение; телефон; фото; видео; иное.	все собственники (пользователи)	1 тип угроз	3 уровень	до дня отзыва согласия	не позднее 30 дней

заключения, исполнения и прекращения гражданско-правовых договоров с физическими, юридическими и иными лицами в случаях, предусмотренных действующим законодательством и уставом ООО «ТеплоАвтоматика»;

Организация при обработке персональных данных потребителя жилищных услуг или контрагента клиента на бумажных носителях в целях обеспечения их защиты:
- назначает должностное лицо (работника), ответственного за обработку персональных данных;
- ограничивает допуск в помещения, в которых хранятся документы, содержащие персональные данные клиентов и контрагентов.
В целях обеспечения конфиденциальности документы, содержащие персональные данные потребителя жилищных услуг или контрагента, оформляются, ведутся и хранятся только у секретаря.
Работники, допущенные к персональным данным потребителей жилищных услуг и контрагентов, подписывают обязательства о неразглашении персональных данных. В противном случае до обработки персональных данных потребителей жилищных услуг и контрагентов клиентов не допускаются.
Персональные данные потребителей жилищных услуг и контрагентов на бумажных носителях хранятся у секретаря.
Персональные данные потребителей жилищных услуг и контрагентов в электронном виде хранятся в локальной компьютерной сети организации, в электронных папках и файлах в персональных компьютерах работников, допущенных к обработке персональных данных клиентов и контрагентов.

Передача персональных данных
1. При передаче персональных данных потребителя жилищных услуг или контрагента организация соблюдает следующие требования:
  - не сообщать персональные данные потребителя жилищных услуг или контрагента третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью потребителя жилищных услуг или контрагента, а также в других случаях, установленных федеральными законами;
  - не сообщать персональные данные потребителя жилищных услуг или контрагента в коммерческих целях без его письменного согласия;
  - предупредить лиц, получающих персональные данные потребителя жилищных услуг или контрагента, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные потребителя жилищных услуг или контрагента, обязаны соблюдать режим секретности (конфиденциальности);
  - разрешать доступ к персональным данным потребителей жилищных услуг и контрагентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные потребителей жилищных услуг и контрагентов, которые необходимы для выполнения конкретных функций;
  - не запрашивать информацию о состоянии здоровья потребителей жилищных услуг и контрагентов.
2. Все сведения о передаче персональных данных потребителя жилищных услуг или контрагента учитываются для контроля правомерности использования данной информации лицами, ее получившими.
3. Передача персональных данных по запросам третьих лиц, если такая передача прямо не предусмотрена законодательством Российской Федерации, допускается исключительно с согласия потребителя жилищных услуг или контрагента на обработку его персональных данных в части их предоставления или согласия на распространение персональных данных.
4. Передача информации, содержащей сведения о персональных данных потребителя жилищных услуг или контрагента, по телефону, в связи с невозможностью идентификации лица, запрашивающего информацию, запрещается.
5. Согласие на обработку персональных данных, разрешенных потребителем жилищных услуг или контрагентом для распространения, оформляется отдельно от иных согласий потребителя жилищных услуг или контрагента на обработку его персональных данных. Организация обеспечивает потребителю жилищных услуг или контрагенту возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных им для распространения.
6. В согласии на обработку персональных данных, разрешенных потребителем жилищных услуг или контрагентом для распространения, он вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных организацией неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц.
7. Передача (распространение, предоставление, доступ) персональных данных, разрешенных потребителем жилищных услуг или контрагентом для распространения, должна быть прекращена в любое время по его требованию. Указанные в данном требовании персональные данные могут обрабатываться только организацией.
Порядок уничтожения персональных данных
1. В случае выявления неправомерной обработки персональных данных при обращении потребителя жилищных услуг или контрагента организация осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому потребителю жилищных услуг или контрагенту, с момента такого обращения на период проверки.
2. В случае выявления неточных персональных данных при обращении потребителя жилищных услуг или контрагента организация осуществляет блокирование персональных данных, относящихся к этому потребителю жилищных услуг или контрагенту, с момента такого обращения на период проверки, если блокирование персональных данных не нарушает права и законные интересы потребителя жилищных услуг или контрагента, или третьих лиц.
3. В случае подтверждения факта неточности персональных данных организация на основании сведений, представленных потребителем жилищных услуг или контрагентом, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
4. В случае выявления неправомерной обработки персональных данных, осуществляемой организацией, организация в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных.
5. В случае если обеспечить правомерность обработки персональных данных невозможно, организация в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные.
6. Об устранении допущенных нарушений или об уничтожении персональных данных организация уведомляет потребителя жилищных услуг или контрагента.
7. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав потребителя жилищных услуг или контрагента, организация с момента выявления такого инцидента организацией, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомляет уполномоченный орган по защите прав субъектов персональных данных:
  - в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав потребителя жилищных услуг или контрагента, и предполагаемом вреде, нанесенном правам потребителя жилищных услуг или контрагента, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном организацией на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
  - в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
8. В случае достижения цели обработки персональных данных организация прекращает обработку персональных данных и уничтожает персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных.
9. В случае отзыва потребителем жилищных услуг или контрагентом согласия на обработку его персональных данных организация прекращает их обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва.
10. В случае обращения потребителя жилищных услуг или контрагента в организацию с требованием о прекращении обработки персональных данных организация в срок, не превышающий десяти рабочих дней с даты получения им соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных Законом о персональных данных.
  Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления организацией в адрес потребителя жилищных услуг или контрагента мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
11. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пунктах 5.4-5.10 настоящего положения, организация осуществляет блокирование таких персональных данных и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
12. После истечения срока нормативного хранения документов, содержащих персональные данные потребителя жилищных услуг или контрагента, или при наступлении иных законных оснований документы подлежат уничтожению.
13. Организация для этих целей создает экспертную комиссию и проводит экспертизу ценности документов.
14. По результатам экспертизы документы, содержащие персональные данные потребителя жилищных услуг или контрагента и подлежащие уничтожению:
  - на бумажном носителе - уничтожаются путем измельчения в шредере;
  - в электронном виде - стираются с информационных носителей либо физически уничтожаются сами носители, на которых хранится информация.
Права клиентов и контрагентов в целях обеспечения защиты персональных данных
1. В целях обеспечения защиты персональных данных, хранящихся в организации, потребители жилищных услуг и контрагенты имеют право на:
  - полную информацию об их персональных данных и обработке этих данных, в том числе содержащую:
  - подтверждение факта обработки персональных данных организацией;
  - правовые основания и цели обработки персональных данных;
  - цели и применяемые организацией способы обработки персональных данных;
  - сроки обработки персональных данных, в том числе сроки их хранения;
  - информацию об осуществленной или о предполагаемой трансграничной передаче данных;
  - информацию о способах исполнения организацией обязанностей, установленных статьей 18.1 Закона о персональных данных;
  - свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные потребителя жилищных услуг или контрагента, за исключением случаев, предусмотренных федеральным законом;
  - определение своих представителей для защиты своих персональных данных;
  - требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Закона о персональных данных. При отказе организации исключить или исправить персональные данные потребителя жилищных услуг или контрагента он имеет право заявить в письменной форме организации о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера потребитель жилищных услуг или контрагент имеет право дополнить заявлением, выражающим его собственную точку зрения;
  - требование об извещении организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные потребителя жилищных услуг или контрагента, обо всех произведенных в них исключениях, исправлениях или дополнениях;
  - обжалование в суд любых неправомерных действий или бездействия организации при обработке и защите персональных данных.
Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных
1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных потребителей жилищных услуг и контрагентов организации, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном федеральными законами РФ, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
2. Моральный вред, причиненный потребителю жилищных услуг или контрагенту вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных федеральным законодательством, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных клиентом или контрагентом убытков.
Заключительные положения
1. Настоящее положение вступает в силу с момента его утверждения.
2. Организация обеспечивает неограниченный доступ потребителей жилищных услуг и контрагентов к настоящему документу.
3. Настоящее положение является обязательным для исполнения всеми работниками, имеющими доступ к персональным данным клиента или контрагента, и доводится до их сведения персонально под роспись.