5.2 Информационно-коммуникационные технологии

1. В Банке введен в действие Комплекс документов в области стандартизации Банка России «Обеспечение информационной безопасности организации банковской системы Российской Федерации» (далее – Комплекс БР ИББС), который является обязательным для исполнения.

2. Банк включен в Реестр операторов персональных данных Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – РКН).

1. Цели обработки персональных данных

1. Банк осуществляет обработку ПДн с целью обеспечение финансово-хозяйственной деятельности, осуществления банковских операций и иной деятельности, предусмотренной Уставом Банка, Лицензией и действующим законодательством Российской Федерации, а также заключения и исполнения договоров с партнерами (клиентами) Банка и осуществления трудовых отношений с работниками Банка и физическими лицами, намеревающимися вступить в трудовые отношения с Банком.

2. Получение Персональных данных 1. Банк получает ПДн непосредственно от субъекта при заключении или подготовке к заключению договора. Обязательным приложением к договору является Согласие на Обработку ПДн. 2. При получении ПДн от субъекта не в рамках исполнения договора, одной из сторон которого является субъект ПДн, Банк запрашивает от клиента письменное согласие на обработку ПДн. 3.  Cубъект обязан предоставлять Банку достоверные сведения о себе и своевременно сообщать Банку об изменении своих ПДн. Банк имеет право проверять достоверность сведений, сверяя данные, предоставленные субъектом, с данными, полученными из достоверных и законом разрешенных источников.  

3. Хранение Персональных данных субъекта 1. Хранение ПДн субъектов осуществляется следующими способами: - на материальных носителях: - на бумажных носителях; - на электронных мобильных носителях; - в информационных системах. 2. Персональные данные, обрабатываемые в информационных системах, хранятся в базах данных, располагающихся в центрах обработки данных. Банк, в силу технологических особенностей используемой автоматизированной банковской системы, осуществляет Трансграничную передачу ПДн некоторых категорий в специализированные центры обработки данных Банка в Чешской Республике, которая ратифицировала Конвенцию о защите прав физических лиц при автоматизированной обработке персональных данных от 28 января 1981 г. (ETS N 108) 3. Хранение ПДн субъектов в структурных подразделениях Банка, работники которых имеют право доступа к Персональным данным, осуществляется в порядке, исключающем к ним доступ третьих лиц. 4. Предельный срок хранения персональных данных определяется исходя из следующего: - требований законодательства (гражданского, трудового, налогового, пенсионного, о безопасности и правоохранительной деятельности); - исковой давности взаимных претензий Банка и клиента; - других нормативных документов. 5. Сроки хранения бумажных материальных носителей персональных данных определяются в соответствие со сроком действия договора с субъектом ПДн, приказом Росархива от 06.10.2000 «Перечень типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения», Постановлением ФКЦБ РФ от 16.07.2003 N 03-33/пс «Об утверждении Положения о порядке и сроках хранения документов акционерных обществ», сроком исковой давности, а также иными требованиями законодательства и нормативными документами Банка России.  

4. Передача Персональных данных субъекта третьим лицам 1. Передача ПДн субъекта третьим лицам осуществляется только с письменного согласия субъекта. 2. Передача ПДн субъекта третьим лицам выполняется при: - выполнении работ по подготовке, обработке и сдаче почтовых отправлений; - выполнении работ по формированию, доставке и подтверждению о доставке SMS-сообщений; - взаимодействии Банка с кредитными бюро для проверки корректности предоставленных данных и рассмотрения возможности заключения договора; - осуществлении мероприятий по взысканию долга с физических лиц по заключенным с Банком договорам; - уступке прав требования по договорам заключенным физическими лицами с Банком; - иных действиях в рамках исполнения договорных отношений. 3. Предоставление ПДн субъекта государственным органам и иным лицам по их запросам производится в соответствии с требованиями действующего законодательства.  

5. Уничтожение Персональных данных 1. Банк прекращает обработку персональных данных субъектов в форме, позволяющей определить субъекта ПДн по достижении целей обработки, заявленных при получении ПДн от субъекта, или при получении письменного требования прекращения обработки и уничтожения персональных данных субъекта, если иное не предусмотрено требованиям действующего законодательства.  

ОРГАНИЗАЦИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Банк обеспечивает защиту ПДн субъектов от неправомерного использования, модификации или утраты с помощью комплекса организационных и технических мер.  

2. Целями защиты ПДн являются: - предотвращение несанкционированного доступа к обрабатываемым ПДн; - предотвращение несанкционированных действий по модификации, искажению, распространению, блокированию, уничтожению обрабатываемых ПДн, - защита конституционных прав граждан на сохранение личной тайны и конфиденциальности ПДн, обрабатываемых Банком, - обеспечение конфиденциальности обрабатываемых ПДн.  

3. Защите подлежит: - информация о ПДн субъекта; - документы, содержащие ПДн субъекта; - ПДн, содержащиеся на электронных и иных материальных носителях; - ПДн, передаваемые по сетям связи.

ПРАВА И ОБЯЗАННОСТИ

1. Права субъектов персональных данных 1. Субъект, ПДн которого обрабатываются в Банке, имеет право: - получать доступ к своим Персональным данным и ознакамливаться с ними; - требовать от Банка уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для заявленной цели обработки; - получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения; - обжаловать в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке неправомерные действия или бездействия Банка при обработке и защите его ПДн; - требовать от Банка прекращения обработки и уничтожения ПДн, по достижению целей обработки. 2. Запросы субъектов ПДн принимаются только в письменном виде от самих субъектов ПДн или их законных представителей. Обращения принимаются при предъявлении и проверке документа, удостоверяющего личность или по почте. 3. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Банком (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя.  

2. Права и обязанности Банка 1. Банк как оператор персональных данных имеет право: - отстаивать свои интересы в суде; - предоставлять персональные данные субъектов третьим лицам, если это предусмотрено договором с субъектом ПДн или действующим законодательством (правоохранительные органы, налоговые органы, органы пенсионного страхования и др.); - отказывать в предоставлении ПДн в случаях предусмотренных законодательством; - использовать персональные данные субъекта без его согласия, в случаях предусмотренных законодательством. 2. Основаниями для продолжения обработки персональных данных после получения отзыва являются: - обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных; - обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации на Банк функций, полномочий и обязанностей, в том числе Федеральным законом от 07.08.2001 N 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», которым установлена обязанность идентифицировать лиц, находящихся на обслуживании в организации. Также в п.4 ст.7 этого Закона установлена обязанность хранения документов и сведений, необходимые для идентификации личности, не менее 5 лет после прекращения отношений с клиентом.

5. ОТВЕТСТВЕННОСТЬ

1. Лица, виновные в нарушении норм, регулирующих получение, Обработку и защиту ПДн Субъектов, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами.

Приложение.