РЕГЛАМЕНТ РЕАГИРОВАНИЯ НА ЗАПРОСЫ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ В ООО «ОРАК»

1.1.1. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

1.1.2. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.1.3. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

1.1.4. Пользователь персональных данных – лицо, участвующее в процессе обработки персональных данных или использующее результат такой обработки.

1.1.5. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

1.1.6. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.1.7. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

1.1.8. Персональные данные, разрешенные субъектом персональных данных для распространения – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

Используемые сокращения. В настоящем документе использованы сокращения, приведенные в Таблице 1.

Сокращение	Описание
БД	База данных
ПДн	Персональные данные

2.1. Настоящий Регламент реагирования на запросы субъектов персональных данных в ООО «Орак» (далее – Регламент) определяет порядок организации работы по приему, регистрации, обработке и предоставлению ответов на запросы или обращения субъектов персональных данных (далее – ПДн) или их законных представителей (далее – Запрос).

Требования настоящего Регламента распространяются на все подразделения и работников ООО «Орак» (далее – Компания), которые:

• Осуществляют обработку ПДн (включая сбор, хранение, передачу, удаление и иные операции с ПДн).
• Отвечают за взаимодействие с субъектами ПДн или их представителями по вопросам обработки ПДн.
• Взаимодействуют с государственными органами в рамках защиты прав субъектов ПДн.

2.2. Требования настоящего Регламента обязательны для всех сотрудников Компании, прямо или косвенно взаимодействующих с субъектами ПДн. Такие сотрудники должны быть ознакомлены с настоящим Регламентом под подпись.

3.1. Виды запросов и обращений субъектов персональных данных.

3.1.1. В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ) от субъектов ПДн или от их законных представителей, могут поступать различные запросы и обращения, которые делятся на следующие типы:

а) Запросы на получение информации об обработке ПДн (право субъекта ПДн, предусмотренное статьей 14 152-ФЗ):

• Подтверждение факта обработки ПДн.
• Основания и цели обработки ПДн.
• Применяемые способы обработки ПДн.
• Обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом.
• Сроки обработки и хранения ПДн.
• Наименование и место нахождения Компании, сведения о лицах (за исключением работников Компании), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Компанией или на основании федерального закона.
• Осуществленная или предполагаемая трансграничная передача данных.
• Наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Компании, если обработка поручена или будет поручена такому лицу.

б) Запросы на изменение или удаление ПДн:

• Исправление неточных, устаревших или неполных ПДн.
• Прекращение обработки ПДн в маркетинговых целях или для политической агитации.
• Удаление (ликвидация) ПДн, если их обработка является незаконной или избыточной.
• Отзыв согласия на обработку ПДн.

в) Претензии и возражения:

• Оспаривание решений, принятых на основании исключительно автоматизированной обработки ПДн (например, автоматический отказ в услуге).
• Претензии о неправомерной обработке ПДн (могут быть поданы субъектом ПДн или поступить через Роскомнадзор).
• Запрос на прекращение распространения ПДн, ранее разрешенных субъектом ПДн для публичного распространения.

г) Запросы, связанные с правами субъектов ПДн:

• Разъяснение порядка реализации прав субъекта ПДн в рамках 152-ФЗ.
• Обжалование действий Компании, связанных с обработкой ПДн.

3.1.2. Запросы от субъектов ПДн могут поступать в Компанию в письменной форме (по следующему почтовому адресу Компании: Россия, 249004, Калужская область, Боровский район, д. Добрино, 3-й Восточный проезд, владение 2) или в электронной форме (через форму обратной связи на официальном сайте Компании: oracdecor.ru, либо по электронной почте: info@oracdecor.ru).

3.1.3. Обращения субъектов ПДн в Компанию могут осуществляться лично при посещении офиса Компании либо по телефону: +7 495 799 70 60. При устном обращении субъекту ПДн разъясняется порядок подачи письменного или электронного запроса в соответствии с требованиями 152-ФЗ.

3.1.4. Информация о поступающих в Компанию запросах и обращениях субъектов ПДн консолидируется и обрабатывается Ответственным за организацию обработки ПДн.

3.1.5. Все поступившие письменные и электронные запросы субъектов ПДн, а также обращения, изложенные на бумажном носителе, обязательны к регистрации Ответственным за организацию обработки ПДн в Журнале регистрации запросов и обращений субъектов ПДн (см. Приложение А) в день их поступления.

3.1.6. Повторные запросы регистрируются в Журнале регистрации запросов и обращений субъектов ПДн под очередным входящим номером с добавлением литеры «П» (например, № 123П).

3.1.7. Журналы регистрации запросов должны быть прошнурованы, пронумерованы, скреплены печатью (при наличии), а также храниться в соответствии с установленными сроками.

3.1.8. Журналы регистрации могут вестись в электронном виде при условии обеспечения их безопасности, включая требования к целостности, конфиденциальности и доступности данных. Электронная версия журнала должна обеспечивать возможность поиска, внесения записей и защиты от несанкционированного изменения.

3.2. Требования к содержанию запросов и обращений субъектов персональных данных.

3.2.1. В соответствии с требованиями 152-ФЗ при осуществлении запроса или обращения субъект или его законный представитель обязан предоставить следующую информацию:

• Ф.И.О. субъекта ПДн или его законного представителя;
• основание для обработки ПДн в Компании – сведения, подтверждающие участие субъекта ПДн в отношениях с Компанией (номер и дата заключения договора, учетный номер, идентификатор клиента, иные сведения, подтверждающие факт обработки ПДн);
• реквизиты документа, удостоверяющего личность субъекта ПДн или его законного представителя (серия, номер, дата выдачи, наименование органа, выдавшего документ);
• подпись – собственноручная при подаче запроса в письменной форме или электронная при направлении обращения в электронной форме;
• суть обращения – подробное описание запроса, включая требуемые действия Компании в отношении ПДн.

3.2.2. В случае необходимости, Ответственный за организацию обработки ПДн может запросить дополнительную информацию у субъекта ПДн (или его законного представителя), если предоставленных сведений недостаточно для корректного рассмотрения запроса.

3.2.3. Для каждого из типов запросов или обращений, указанных в п. 3.1.1, разработаны типовые формы.

3.2.4. Использование типовых форм при оформлении запросов и обращений является желательным и способствует их корректному оформлению и оперативной обработке. Субъект ПДн имеет право отказаться от использования типовой формы и предоставить запрос или обращение в другой форме с соблюдением требований 152-ФЗ.

3.3. Порядок выполнения запросов и обращений субъектов персональных данных.

3.3.1. Общие принципы обработки запросов

• Сведения предоставляются субъекту ПДн или его законному представителю в доступной форме.
• В предоставляемой информации не содержатся персональные данные других лиц.
• Ответственный за организацию обработки ПДн несет ответственность за прием, обработку и контроль исполнения запросов субъектов ПДн.
• Для подготовки ответов на запросы привлекаются руководители структурных подразделений и пользователи ПДн, непосредственно работающие с запрашиваемыми данными.
• Если обработку ПДн, в отношении которых поступил запрос, осуществляет третье лицо по поручению Компании, Ответственный за организацию обработки ПДн обязан обеспечить выполнение необходимых действий этим лицом (например, блокирование, уточнение, уничтожение ПДн).

3.3.2. Сроки обработки запросов

• Ответ на запрос субъекта ПДн или мотивированный отказ предоставляется в течение 10 рабочих дней с момента его получения.
• В отдельных случаях Компания может продлить срок рассмотрения запроса не более чем на 5 рабочих дней, направив субъекту ПДн мотивированное уведомление с объяснением причин продления.

3.3.3. Повторные запросы

• Если субъект ПДн уже получил всю запрашиваемую информацию, он вправе направить повторный запрос не ранее чем через 30 дней после первоначального обращения. Исключение – если более короткий срок установлен федеральным законом, нормативным актом или договором.
• Если предоставленная информация неполная или недостаточная, субъект ПДн может направить повторный запрос в любое время, приложив обоснование для повторного обращения.

3.3.4. Порядок обработки различных типов запросов

а) Запрос на получение информации о персональных данных

Если субъект ПДн направляет запрос о том, обрабатываются ли его персональные данные, а также хочет получить сведения о целях, правовых основаниях, сроках хранения и передаче данных, то:

• Ответственный за организацию обработки ПДн фиксирует запрос и направляет его в соответствующее подразделение.
• Руководитель подразделения, обрабатывающего запрашиваемые данные, предоставляет запрошенную информацию.
• Ответственный за организацию обработки ПДн готовит ответ субъекту ПДн в соответствии с требованиями 152-ФЗ.
• В течение 10 рабочих дней субъекту ПДн направляется ответ или мотивированный отказ.

б) Запрос на уточнение, блокирование или уничтожение персональных данных

• Ответственный за организацию обработки ПДн фиксирует запрос и передает его в подразделение, обрабатывающее данные.
• Подразделение проверяет обоснованность требований и вносит необходимые изменения либо сообщает об отказе в удовлетворении запроса (если основания отсутствуют).
• В случае исправления, блокирования или удаления данных субъекту ПДн направляется подтверждение о выполнении его запроса.
• Если Компания отказывает в удовлетворении запроса, субъект ПДн получает мотивированный отказ с разъяснением причин.

в) Запрос на отзыв согласия на обработку персональных данных

• Ответственный за организацию обработки ПДн фиксирует запрос.
• Подразделение, ответственное за обработку ПДн, прекращает обработку данных и фиксирует факт отзыва согласия.
• Субъект ПДн получает уведомление о том, что его данные больше не обрабатываются на основании ранее выданного согласия.

г) Возражение против автоматизированного принятия решений

• Ответственный за организацию обработки ПДн фиксирует запрос и передает его в подразделение, принявшее автоматизированное решение.
• Подразделение проводит проверку принятого решения и, при необходимости, инициирует его пересмотр с участием человека.
• Субъекту ПДн направляется ответ с результатами пересмотра.

д) Запрос на прекращение обработки незаконно полученных или ненужных персональных данных

• Ответственный за организацию обработки ПДн фиксирует запрос и инициирует проверку законности обработки данных.
• Если обработка данных нарушает требования законодательства, подразделение, ответственное за обработку, немедленно прекращает обработку и уничтожает ПДн.
• Субъект ПДн получает уведомление о прекращении обработки данных.
• В случае отказа субъекту ПДн направляется мотивированное объяснение.

е) Запрос субъекта ПДн или Роскомнадзора о выявлении неправомерной обработки данных

• Ответственный за организацию обработки ПДн фиксирует запрос и инициирует внутреннюю проверку.
• Подразделение, обрабатывающее данные, предоставляет информацию о законности обработки.
• В случае выявления нарушений Компанией принимаются меры по их устранению, о чем субъект ПДн или Роскомнадзор уведомляется.
• Если нарушений не выявлено, субъекту ПДн направляется мотивированный отказ.

ж) Запрос на прекращение передачи персональных данных

• Ответственный за организацию обработки ПДн фиксирует запрос.
• Подразделение, ответственное за распространение данных, немедленно прекращает передачу ПДн третьим лицам и удаляет их из открытых источников.
• Субъект ПДн получает уведомление о прекращении распространения данных.

4.1. В соответствии с требованиями законодательства РФ в области обработки ПДн Компания обязана сообщать субъектам ПДн следующую информацию:

• о юридических последствиях отказа от предоставления ПДн либо результатов исключительно автоматизированной обработки ПДн, если обработка является обязательной в соответствии с законодательством РФ. В уведомлении разъясняются возможные ограничения, такие как невозможность заключения договора, отказ в предоставлении услуги или иные правовые последствия;
• об источнике получения ПДн, если данные были получены не непосредственно от субъекта ПДн или его законного представителя (например, из государственных реестров, партнерских организаций, открытых источников и т. д.).

Вышеперечисленные данные предоставляются субъекту в виде информационного бумажного или электронного письма в свободной форме. Документ может быть направлен почтой, электронной почтой либо предоставлен лично при взаимодействии с субъектом ПДн.

4.2. Ответственным за предоставление данной информации является руководитель структурного подразделения, в чьем ведении находится процесс, в рамках которого осуществляется обработка ПДн.

4.3. В случае необходимости к подготовке уведомления могут привлекаться Ответственный за организацию обработки ПДн, а также иные уполномоченные сотрудники.

В настоящем Регламенте использованы ссылки на следующие нормативные правовые документы:

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

К настоящему Регламенту прилагаются следующие документы: