Алексион Фарма

Политика ООО «Алексион Фарма» в области обработки и обеспечения безопасности персональных данных

Главная страница > Политика ООО «Алексион Фарма» в области обработки и обеспечения безопасности персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящий документ определяет политику ООО «Алексион Фарма» (далее – Компания) в отношении обработки персональных данных и излагает систему основных принципов, применяемых в отношении обработки персональных данных в Компании. 1.2. Настоящая Политика обязательна для ознакомления и исполнения всеми лицами, допущенными к обработке персональных данных в Компании и лицами, участвующими в организации процессов обработки и обеспечения безопасности персональных данных в Компании. 1.3. Настоящая Политика составлена в соответствии с Федеральным законом РФ «О персональных данных» № 152-ФЗ от 27 июля 2006 г. 1.4. Настоящая Политика подлежит актуализации в случае изменения законодательства РФ о персональных данных. 1.5. С целью поддержания деловой репутации и обеспечения выполнения норм федерального законодательства Компания считает важнейшей задачей обеспечение законности и безопасности обработки персональных данных субъектов в бизнес-процессах Компании. 1.6. Для решения данной задачи в Компании введена, функционирует и проходит периодический пересмотр (контроль) система защиты персональных данных. 1.7. Обработка персональных данных в Компании основана на следующих принципах: − законности целей и способов обработки персональных данных и добросовестности; − соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям Компании; − соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных; − достоверности персональных данных, их актуальности и достаточности для целей обработки, недопустимости обработки избыточных по отношению к целям сбора персональных данных; − легитимности организационных и технических мер по обеспечению безопасности персональных данных; − непрерывности повышения уровня знаний работников Компании в сфере обеспечения безопасности персональных данных при их обработке; − стремления к постоянному совершенствованию системы защиты персональных данных. 1.8. Действие настоящей Политики распространяется на все операции, совершаемые в Компании с персональными данными с использованием средств автоматизации или без их использования.

2. КОНФИДЕНЦИАЛЬНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Персональные данные вовсех случаях, кроме персональных данных, разрешенных для опубликования в общедоступных источниках, классифицируются как строго конфиденциальная информация. 2.2. Указанный в п. 4.1 режим конфиденциальности информации применяется к персональным данным вне зависимости от наличия или отсутствия соответствующей маркировки.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Компания определила следующие законные цели обработки персональных данных: 3.1.1. Обеспечение кадрового делопроизводства и создания условий для осуществления работником его трудовой функции. 3.1.2. Получение услуг, направленных на обеспечение деятельности Оператора, и контроль за качеством оказанных услуг. 3.1.3. Обеспечение проведения исследований лекарственных препаратов и медицинских изделий (в том числе уже зарегистрированных), с учетом требований действующего законодательства и отраслевых требований. 3.1.4. Регистрация и поддержание регистрации лекарственных препаратов и медицинских изделий.3.1.5. Взаимодействие с контрагентами и потенциальными контрагентами для заключения, исполнения, изменения, а также прекращения договоров. 3.1.6. Взаимодействие с представителями контрагентов для повышения информированности о заболеваниях, лекарственных препаратах и медицинских изделиях, а также стандартах и требованиях, необходимых для реализации лекарственных препаратов и медицинских изделий, и информирования потребителя. 3.1.7. Взаимодействие со специалистами здравоохранения по вопросам профессиональной и научной деятельности, в частности обмена научной, медицинской и любой другой информацией о заболеваниях и/или о продукции компании. 3.1.8. Взаимодействие с пациентами обмена научной, медицинской и любой другой информацией о заболеваниях и методах их лечения. 3.1.9. Контроль за соблюдением законодательства и требований локальных нормативных актов Субъектами персональных данных. 3.2. Компания в рамках указанных в п. 3.1 целей вправе определить и отразить в согласиях на Обработку персональных данных направления обработки для обеспечения информированности Субъекта о том каким образом будут обрабатываться его данные в рамках цели. 3.3. Компания вправе определять иные цели Обработки персональных данных, которые на момент вступления в силу настоящей Политики не были определены, они могут закрепляться в локальных нормативных актах Компании, а также непосредственно в согласиях на обработку персональных данных.

4. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Компания осуществляет обработку различных категорий персональных данных: 4.1.1. специальные категории персональных данных;4.1.2. персональные данные, разрешенные субъектами для опубликования (распространения);4.1.3. иные персональные данные, которые в соответствии с действующим законодательством не отнесены к специальным категориям персональных данных, биометрическим персональным данным, данным, разрешенным субъектом для опубликования (распространения). 4.2. Компания в своей деятельности не обрабатывает биометрические персональные данные. 4.3. Обработка персональных данных, отнесенных законодательством к категории специальных, осуществляется в соответствии и на основании положений действующего законодательства РФ. 4.4. Персональные данные, разрешенные субъектом для опубликования, обрабатываются на основании согласия Субъекта, предоставленного по специальной форме. 4.5. Компания вправе обрабатывать персональных данные, разрешенными Субъектом для распространения, только в целях, указанных в согласии субъекта на распространение персональных данных либо в случаях получения дополнительного согласи от субъекта.

5. СУБЪЕКТЫ И НАБОРЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Компания определяет круг Субъектов, данные которых ей необходимы для достижения обозначенных целей, до момента начала соответствующей Обработки, в частности, но не ограничиваясь: 5.1.1. Кандидаты на занятие вакантных должностей (включая кадровый резерв);5.1.2. Работники;5.1.3. Представители контрагентов, оказывающих услуги Компании на его территории;5.1.4. Представители контрагента;5.1.5. Индивидуальные предприниматели;5.1.6. Специалисты здравоохранения;5.1.7. Пациенты;5.1.8. Родственники работника;5.1.9. Лица, обратившиеся с информацией о продукции (в т. ч. последствиях ее применения) или за информацией о продукции, реализуемой Компанией; 5.1.10. Посетители интернет-ресурсов Компании. 5.2. Для структурирования работы с персональными данными, снижения рисков обработки избыточных данных, а также разграничения доступа к персональным данным, Компания вправе определять наборы данных, необходимые для достижения соответствующих целей, для каждого вида субъектов. 5.3. В случае, если у Компании появится законная необходимость в обработке персональных данных иных лиц либо тех же лиц, но для других целей, то Компания вправе дополнить и/или изменить наборы персональных данных, оформив его в виде соответствующего локального нормативного акта.

6. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Персональные данные обрабатываются Компанией на условиях, определенных действующим законодательством. 6.2. В случаях, когда для достижения цели обработки персональных данных требуется получение согласия Субъекта персональных данных, Компания собирает соответствующие согласия до момента начала соответствующей обработки. Согласие может быть получено в любой разрешенной применимым законодательством форме, которая обеспечит возможность сохранения подтверждения получения соответствующего согласия.

7. ИСТОЧНИКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Компания, в ходе своей деятельности при взаимодействии с Субъектами персональных данных может как получать персональные данные от субъектов или третьих лиц, так и создавать Служебные персональные данные для субъектов. 7.2. Сбор персональных данных Компанией осуществляется: 7.2.1. от субъекта персональных данных;7.2.2. от третьих лиц. 7.3. При получении персональных данных от третьих лиц (в том числе по договорам) должно соблюдаться одно из следующих условий: 7.3.1. Субъект персональных данных должен быть уведомлен о такой передаче, а также о ее целях и иных условиях, с правом отказа от передачи его данных. Уведомление осуществляется либо Компанией, либо получателем данных, в зависимости от условий письменного соглашения, на основании которого передаются персональные данные; 7.3.2. лицо, предоставляющее персональные данные гарантирует, что сбор, обработка и передача персональных данных соответствуют требованиям применимого законодательства, в частности от субъекта получено соответствующее согласие на передачу его данных персональных данных Компании с возможностью последующей обработки, а также освобождает Компанию от каких-либо требований и претензий третьих лиц, которые связаны с обработкой переданных персональных данных. 7.4. Компания с согласия субъекта персональных данных вправе создавать данные, которые будут использоваться для идентификации Субъекта в Компании (идентификаторы, корпоративный адрес электронной почты и др.) для целей обеспечения деятельности Субъекта в Компании, а также защиты данных и систем Компании. 7.4.1. Служебные персональные данные, являются собственностью Компании и не должны использоваться для целей, которые не связаны с деятельностью Компании. 7.4.2. Служебные данные становятся персональными с момента их объединения с другими персональными данными Субъекта, в результате которого они могут быть использованы для целей идентификации Субъекта.

8. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. В ходе обработки персональных данных Компания осуществляет: 8.1.1. запись, то есть формирование (создание, копирование, компиляция) электронных файлов на машинных носителях данных, администрируемых (контролируемых) Компанией (сервера, дисковое пространство), а также на материальных носителях данных, администрируемых (контролируемых) Обработчиками персональных данных, привлеченных Компанией (облачные хранилища, хранилища отдельных систем); 8.1.2. систематизацию, то есть действия, направленные на объединение и расположение персональных данных в определенной последовательности для определенных целей, получившаяся совокупность данных может содержать как данные, которые сами по себе не являются персональными, однако при объединении их с персональными данными субъектов, становятся таковыми; 8.1.3. накопление, то есть формирование исходного, несистематизированного массива персональных данных одним из следующих способов: получение оригиналов документов (трудовая книжка, договоры и т.п.); копирование оригиналов документов; внесение сведений в учетные формы (на бумажные носители и в базы данных информационных систем); получение электронных образов документов, а также форм сбора данных; 8.1.4. хранение;8.1.5. уточнение (обновление, изменение);8.1.6. защита: обезличивание, блокирование, шифрование и др. 8.2. Персональные данные граждан Российской Федерации обрабатываются с использованием баз данных, находящихся на территории Российской Федерации. 8.3. Обработка персональных данных может осуществляться работниками Компании, а также иными лицами, привлеченными Компанией на основании соответствующего соглашения (поручения). 8.4. Компания ограничивает доступ к персональным данным в зависимости от должностных обязанностей и/или договорных обязательств соответствующих лиц, закрепляет матрицу доступов, контролирует порядок доступа, а также проводит обучение лиц, привлеченных к обработке персональных.

9. ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1. Хранение персональных данных в Компании осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, за исключением случаев, когда срок хранения установлен федеральным законом, договором или требованиями нормативных документов РФ. 9.2. Компания осуществляет хранение персональных данных следующими способами: 9.2.1. на машинных носителях – данные, полученные в электронной форме или преобразованные в электронную форму; 9.2.2. на бумажных носителях – данные, полученные в материальной форме или преобразованные в материальную форму. 9.3. Хранение на машинных носителях может осуществляться Компанией систематизировано с использованием информационных систем персональных данных, формируемых из различных персональных данных, а также в отдельных базах данных (технических решениях, ПО). Компания может хранить в одной базе данных только те персональные данные, совместное хранение которых не противоречит законодательству РФ. 9.4. Обработка, в том числе архивное хранение персональных уволенных работников, осуществляется в соответствии с законодательством Российской Федерации.

10. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1. Компания вправе передавать персональные данные третьим лицам только в случаях, предусмотренных действующим законодательством, а также, когда это необходимо, на основании согласия Субъекта персональных данных. 10.2. Третьими лицами, которым передаются персональные данные, могут являться как другие Операторы, так и Обработчики. 10.2.1. В случае передачи персональных данных третьему лицу, которое будет выступать самостоятельным Оператором указанных персональных данных, Субъект должен быть уведомлен о такой передаче, а также о целях и иных параметрах обработки его персональных данных новым оператором, ему должно быть предоставлено право отказаться от передачи данных новому оператору. Уведомление осуществляется либо Компанией, либо получателем данных, в зависимости от условий письменного соглашения, на основании которого передаются персональные данные. 10.2.2. Передача персональных данных Обработчику должна осуществляться на основании и в соответствии с Поручением Компании. В Поручении должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться Обработчиком, цели обработки, обязанность Обработчика соблюдать конфиденциальность персональных данных, а также иные положения, включение которых может потребоваться в соответствии с требованиями действующего законодательства РФ. Обработчик обязан по запросу Компании предоставлять документы и иную информацию, подтверждающую принятие мер и соблюдение в целях исполнения поручения. 10.3. В зависимости от процессов, в рамках которых привлекается Обработчик, а также цели его привлечения, все обработчики подразделяются на процессных и технических. 10.3.1. Процессные Обработчики – лица, привлеченные для обработки персональных данных, для достижения целей, не связанных с техническим обслуживанием применяемого Компанией ПО. 10.3.2. Технические Обработчики – лица, привлеченные Компанией к обработке персональных данных исключительно в связи с необходимостью технического обслуживания и поддержки ПО, и в объеме, который необходим для целей технической поддержки и обслуживания. Условия обработки персональных данных техническими Обработчиками могут определяться условиями соответствующего соглашения на предоставление и техническое обслуживание указанных систем, также в отношениях с ними может применяться типовое поручение по форме Компании. 10.4. В связи с тем, что Компания (а) входит в группу компаний AstraZeneca, участники которой зарегистрированы и ведут свою деятельность в различных странах и юрисдикциях, (б) использует программное обеспечение, которое применяется для обеспечения операционной деятельности глобально, в рамках которого происходит информационный обмен в том числе с использованием машинных носителей, расположенных на территории других государств (в том числе на территорию Соединенного Королевства Великобритании и Северной Ирландии, Федеративной Республики Германия, Республики Индии, Ирландии, Королевства Нидерландов, Республики Сингапур, Соединенных Штатов Америки, Французской Республики, Кор олевства Швеция, Китайской Народной Республики, Японии, Канады), может осуществляться трансграничная передача некоторых персональных данных. 10.4.1. Трансграничная передача персональных данных осуществляется с согласия субъекта персональных данных на такую передачу. 10.4.2. Компания до начала осуществления деятельности по трансграничной передаче персональных данных уведомляет уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять трансграничную передачу персональных данных, а в случаях, предусмотренных действующим законодательством РФ, получает согласование от уполномоченных органов на такую передачу. 10.4.3. Компания при организации трансграничной передачи персональных данных обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. 10.4.4. Компания стремится минимизировать объем персональных данных, передаваемых за пределы Российской Федерации, в том числе ограничивает трансграничную передачу персональных данных процессами и системами, использование которых необходимо для осуществления операционной деятельности как части международной группы компаний AstraZeneca.

11. БЛОКИРОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

11.1. Компания блокирует обрабатываемые персональные данные при выявлении недостоверности обрабатываемых персональных данных или неправомерных действий в отношении субъекта в следующих случаях: 11.1.1. по требованию Субъекта персональных данных;11.1.2. по требованию уполномоченного органа по защите прав Субъектов персональных данных;11.1.3. по результатам внутренних контрольных мероприятий. 11.2. Порядок блокирования определяется в зависимости от вида персональных данных, носителя, объема, применяемого ПО, а также иных фактических обстоятельств, лицом, ответственным за обеспечение безопасности персональных данных в Компании.

12. УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

12.1. Компания уничтожает персональные данные в случае: 12.1.1. достижения целей обработки персональных данных или утраты необходимости в их достижении;12.1.2. получения соответствующего запроса от Субъекта, при условии, что данный запрос не противоречит требованиям законодательства РФ; 12.1.3. отзыва согласия Субъекта на обработку его персональных данных (если отзыв согласия влечет за собой уничтожение персональных данных); 12.1.4. получения соответствующего предписания от уполномоченного органа по защите прав субъектов.12.2. Уничтожение бумажных носителей, содержащих персональные данные, производится в соответствии с соответствующим регламентом Компании. 12.3. Порядок уничтожения персональных данных в электронной форме, содержащихся в ИСПДн, определяется лицом, ответственным за обеспечение безопасности персональных данных в Компании.

13. ОБЕЗЛИЧИВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

13.1. Компания вправе производить обезличивание персональных данных Субъектов в целях их защиты. 13.2. Результатом обезличивания персональных данных могут стать:13.2.1. Обезличенные данные, по которым невозможно определить их принадлежность конкретному субъекту персональных данных без использования дополнительной информации, при этом у Компании есть доступ к такой дополнительной информации; 13.2.2. Обезличенные данные, по которым невозможно определить их принадлежность конкретному субъекту в связи с уничтожением информации, которая могла бы быть использована для определения такой принадлежности. 13.3. На обезличенные данные распространяется режим персональных данных, предусмотренный действующим законодательством и Политикой, при одновременном соблюдении следующих условий: 13.3.1. у Компании имеется юридическая или фактическая возможность расшифровать Обезличенные данные таким образом, что вновь создается возможность отнести их к определенному или определяемому лицу; 13.3.2. в отношении Обезличенных данных фактически возможно применить требования режима персональных данных.

14. РАБОТА С ЗАПРОСАМИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

14.1. Взаимодействие с Субъектами персональных данных осуществляется на основе настоящей Политики, Регламента по взаимодействию с Субъектами персональных данных, а также нормами действующего законодательства РФ. 14.2. В случае возникновения противоречий между Регламентом по взаимодействию с Субъектами персональных данных, а также нормами законодательства, Компания до момента приведения Регламента по взаимодействию с Субъектами персональных данных в соответствие с нормами законодательства, должна руководствоваться правилами, установленными соответствующими нормативно-правовыми актами.

Политика ООО «Алексион Фарма» в области обработки и обеспечения безопасности персональных данных