Статья 2: Определения и принципы
2.1. Определения
Ниже приведены определения основных понятий, используемых в рамках Политики:
| Понятие | Определение |
|---|---|
| Явное согласие | Согласие, выраженное по конкретному вопросу на основе информированности и свободной воли. |
| Соответствующий пользователь | Лица, обрабатывающие персональные данные в рамках организации оператора данных или на основании полномочий и инструкций, полученных от оператора данных, за исключением лица или подразделения, ответственного за техническое хранение, защиту и резервное копирование данных. |
| Уничтожение | Удаление, уничтожение или анонимизация персональных данных. |
| Среда хранения | Любая среда, в которой содержатся персональные данные, обрабатываемые полностью или частично автоматически либо неавтоматическими способами при условии, что они являются частью любой системы регистрации данных. |
| Персональные данные | Любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу. |
| Обработка персональных данных | Любая операция, выполняемая с персональными данными, включая их получение, регистрацию, хранение, сохранение, изменение, реорганизацию, раскрытие, передачу, получение, предоставление доступа, классификацию или блокирование использования, полностью или частично автоматическими либо неавтоматическими способами при условии, что они являются частью любой системы регистрации данных. |
| Анонимизация персональных данных | Приведение персональных данных в такое состояние, при котором они не могут быть связаны с конкретным или идентифицируемым физическим лицом ни при каких обстоятельствах, даже путем сопоставления с другими данными. |
| Удаление персональных данных | Приведение персональных данных в состояние, при котором они становятся полностью недоступными и непригодными для повторного использования соответствующими пользователями. |
| Уничтожение персональных данных | Процесс приведения персональных данных в состояние, при котором они становятся недоступными, невосстановимыми и непригодными для повторного использования кем-либо. |
| Совет | Совет по защите персональных данных. |
| Периодическое уничтожение | Удаление, уничтожение или анонимизация, осуществляемые автоматически через определенные в настоящей Политике повторяющиеся интервалы времени в случае, если все условия обработки персональных данных, предусмотренные Законом, перестали существовать. |
| Субъект данных / соответствующее лицо | Физическое лицо, персональные данные которого обрабатываются. |
2.2. Принципы
При хранении и уничтожении персональных данных Компания соблюдает следующие принципы:
- При удалении, уничтожении и анонимизации персональных данных Компания действует в соответствии с Законом, положениями соответствующего законодательства, решениями Совета и настоящей Политикой.
- Все операции в рамках данного процесса регистрируются Компанией и в соответствии с Положением хранятся не менее 3 (трех) лет, за исключением иных юридических обязательств.
- Если иное не определено Советом, Компания самостоятельно выбирает наиболее подходящий метод удаления, уничтожения или анонимизации персональных данных; по запросу соответствующего лица обоснование выбранного метода предоставляется.
- В случае прекращения всех условий обработки персональных данных, предусмотренных статьями 5 и 6 Закона, персональные данные удаляются, уничтожаются или анонимизируются Компанией по собственной инициативе или по запросу соответствующего лица.
-
В случае обращения соответствующего лица в Компанию:
- Переданные запросы рассматриваются и на них предоставляется ответ не позднее 30 (тридцати) дней.
- Если данные, являющиеся предметом запроса, были переданы третьим лицам, об этом уведомляются соответствующие третьи лица и обеспечивается выполнение необходимых действий.
2.3. Среды хранения
Персональные данные хранятся Компанией законным и безопасным способом в перечисленных ниже электронных и неэлектронных средах.
| Тип среды хранения | Примеры сред |
|---|---|
| Электронная среда |
Серверы (резервное копирование, электронная почта, базы данных, веб-серверы,
общий доступ к файлам и т. д.), программное обеспечение (бухгалтерские программы и т. д.), персональные компьютеры (настольные, портативные), мобильные устройства (телефоны и т. д.), съемные носители, принтеры, сканеры, копировальные аппараты. |
| Неэлектронная среда |
Бумажные носители, ручные системы регистрации данных (формы), письменные, печатные и визуальные материалы. |
Статья 3: Ответственность
Ответственность за публикацию настоящего документа, поддержание его в актуальном состоянии и контроль за его применением несет консультационный отдел, выполняющий функцию корпоративного соответствия. Документ пересматривается как минимум один раз в год.
Соответствующий отдел уполномочен и ответственен за следующие вопросы:
- Распределение необходимых обязанностей для реализации политик и процедур и представление их на утверждение руководству,
- Контроль за применением технических и административных мер, принятых в соответствии со статьей 12 Закона, и планирование соответствующих проверок,
- Отслеживание процессов, связанных с заявлениями и запросами субъектов персональных данных, и обеспечение необходимой координации для решения возможных проблем,
- Определение и контроль выполнения мероприятий, необходимых для обеспечения соответствия Закону о защите персональных данных и соответствующему законодательству,
- Ведение отношений с Советом по защите персональных данных.
Статья 4: Процедуры, технические и административные меры, связанные с хранением и уничтожением персональных данных
В случаях, когда обработка персональных данных необходима для выполнения обязательств Компании в рамках трудовых отношений, для установления права, для предоставления клиентских услуг, реализации прав потребителей и использования других возможностей, выполнения связанных с ними коммерческих, финансовых и юридических обязанностей, обеспечения безопасности Компании или достижения законных целей Компании, персональные данные обрабатываются в соответствии с законодательством.
Основные административные и технические меры, принимаемые Компанией в соответствии с принципами статьи 12 Закона для безопасного хранения персональных данных, предотвращения их незаконной обработки и доступа к ним, а также их уничтожения в соответствии с законодательством, приведены ниже.
4.1. Административные меры
- Для сотрудников существуют дисциплинарные положения, содержащие требования по безопасности данных.
- Для сотрудников периодически проводятся обучение и мероприятия по повышению осведомленности в области безопасности данных.
- Разработаны и внедрены корпоративные политики в области доступа, информационной безопасности, использования, хранения и уничтожения данных.
- Подписываются обязательства о конфиденциальности.
- Полномочия сотрудников, сменивших должность или покинувших компанию, в данной области отзываются.
- Подписываемые договоры содержат положения о безопасности данных.
- Определены политики и процедуры обеспечения безопасности персональных данных.
- Осуществляется мониторинг безопасности персональных данных.
- Принимаются необходимые меры безопасности в отношении входа и выхода из физических помещений, содержащих персональные данные.
- Обеспечивается безопасность сред, содержащих персональные данные.
- Определены и применяются протоколы и процедуры обеспечения безопасности специальных категорий персональных данных.
4.2. Технические меры
- Обеспечивается безопасность сети и приложений.
- Принимаются меры безопасности в рамках поставки, разработки и обслуживания информационных систем.
- Обеспечивается безопасность персональных данных, хранящихся в облаке.
- Используются актуальные антивирусные системы.
- Применяется шифрование.
- Обеспечивается осведомленность поставщиков услуг, обрабатывающих данные, в вопросах безопасности данных.
Статья 5: Разъяснения относительно причин, требующих хранения и уничтожения
Персональные данные субъектов данных хранятся Компанией, в частности, для (i) обеспечения непрерывности коммерческой деятельности, (ii) выполнения юридических обязательств, (iii) планирования и реализации прав сотрудников и дополнительных льгот, в пределах, установленных Законом и соответствующим законодательством.
5.1. Причины, требующие хранения
- Хранение персональных данных, поскольку они непосредственно связаны с заключением и исполнением договоров,
- Хранение персональных данных для установления, осуществления или защиты права,
- Необходимость хранения персональных данных для законных интересов Компании при условии, что это не наносит ущерба основным правам и свободам лиц,
- Хранение персональных данных для выполнения любого юридического обязательства Компании,
- Явное предусматривание хранения персональных данных законодательством,
- Наличие явного согласия соответствующих лиц в отношении операций хранения, требующих получения явного согласия субъектов данных.
5.2. Причины, требующие уничтожения
В соответствии с Положением персональные данные субъектов данных в перечисленных ниже случаях удаляются, уничтожаются или анонимизируются Компанией по собственной инициативе либо по запросу:
- Изменение или отмена положений соответствующего законодательства, являющихся основанием для обработки или хранения персональных данных,
- Прекращение цели, требующей обработки или хранения персональных данных,
- Прекращение условий, требующих обработки персональных данных, предусмотренных статьями 5 и 6 Закона,
- Отзыв соответствующим лицом своего согласия в случаях, когда персональные данные обрабатывались исключительно на основании явного согласия,
- Принятие оператором данных запроса соответствующего лица на удаление, уничтожение или анонимизацию в рамках прав, предусмотренных статьей 11 Закона,
- Удовлетворение Советом жалобы, поданной в Совет после отклонения оператором данных запроса соответствующего лица или непредоставления ответа в установленный срок,
- Истечение максимального срока хранения персональных данных при отсутствии каких-либо условий, оправдывающих их более длительное хранение.
Статья 6: Сроки хранения и уничтожения
6.1. Общие положения
При определении сроков хранения и уничтожения персональных данных, полученных Компанией в соответствии с Законом и соответствующим законодательством, учитываются следующие критерии:
- Если законодательством установлен срок хранения соответствующих персональных данных, соблюдается этот срок, а после его истечения принимается решение об уничтожении данных.
-
Если законодательством срок не установлен:
- Персональные данные классифицируются как персональные данные и специальные категории персональных данных на основании определений статьи 6 Закона; для специальных категорий персональных данных проводится отдельная оценка необходимости уничтожения.
- Оценивается соответствие хранения данных принципам статьи 4 Закона (например, наличие законной цели); данные, не соответствующие требованиям, удаляются, уничтожаются или анонимизируются.
- Проверяется, подпадает ли хранение данных под исключения, предусмотренные статьями 5 и 6 Закона, и в соответствии с этим определяются разумные сроки хранения.
6.2. Сроки уничтожения
Ниже приведена сводная таблица сроков хранения, уничтожения и периодического уничтожения, установленных Компанией:
| Категория данных | Срок хранения | Срок уничтожения |
|---|---|---|
| Данные, хранящиеся в рамках Закона о труде (идентификационные, контактные, кадровые и т. д.) | 10 лет после окончания трудовых отношений; 2 месяца, если кандидат не был принят на работу | В течение 180 дней после окончания срока хранения |
| Данные, собранные в рамках законодательства об охране труда и безопасности (медицинские справки и т. д.) | 10 лет после окончания трудовых отношений | В течение 180 дней после окончания срока хранения |
| Данные, хранящиеся в рамках законодательства SGK | 10 лет после окончания трудовых отношений | В течение 180 дней после окончания срока хранения |
| Данные о юридических процедурах | 10 лет после окончания трудовых отношений | В течение 180 дней после окончания срока хранения |
| Данные, собранные в соответствии с иным соответствующим законодательством | В течение срока, предусмотренного соответствующим законодательством | В течение 180 дней после окончания срока хранения |
| Финансовые данные | 10 лет после регистрации | В течение 180 дней после окончания срока хранения |
| Записи с камер – безопасность физических помещений | 15 дней | Немедленно по истечении срока хранения |
Персональные данные, срок хранения которых истек, удаляются, уничтожаются или анонимизируются каждые 6 (шесть) месяцев в соответствии с процедурами, установленными настоящей Политикой. Записи об этих операциях хранятся не менее 3 (трех) лет. В случаях, когда цель Компании по использованию соответствующих персональных данных не прекращена, специальным законодательством предусмотрены более длительные сроки хранения или сроки исковой давности по соответствующему вопросу являются более длительными, применяются указанные сроки.
Статья 7: Введение Политики в действие, случаи нарушений и санкции
Настоящая Политика вступает в силу после доведения до сведения всех сотрудников и с даты вступления в силу является обязательной для всех подразделений, консультантов, внешних поставщиков услуг и всех лиц, обрабатывающих персональные данные.
Контроль за соблюдением сотрудниками требований Политики является ответственностью руководителей соответствующих сотрудников. При выявлении поведения, противоречащего Политике, данный вопрос незамедлительно доводится соответствующим руководителем до сведения вышестоящего руководителя.
