Утверждено
Приказ директора ООО "БелкрайТуризм"
№15 от 01.06.2025
ОБЩАЯ ПОЛИТИКА
обработки персональных данных
ООО «БелкрайТуризм»
1. Общие положения
1.1. Настоящая Политика определяет основные положения, реализуемые при обработке персональных данных ООО «БелкрайТуризм», УНП 193771430, место нахождения: Республика Беларусь, г. Минск, пер. Софьи Ковалевской, дом 60, оф. 508 (далее – Оператор).
1.2. Целью принятия настоящей Политики является выполнение требований законодательства Республики Беларусь в области обработки и защиты персональных данных при их обработке.
Настоящая Политика разъясняет субъектам персональных данных, как и для каких целей их персональные данные собираются, используются или иным образом обрабатываются, а также отражает имеющиеся в связи с этим у субъектов персональных данных права и механизм их реализации.
Настоящая Политика не применяется к обработке персональных данных пользователей интернет-сайта Оператора в части файлов Cookies.
1.3. Настоящая Политика распространяется на все процессы Оператора, процедуры и операции, в рамках которых осуществляется обработка персональных данных, как с использованием средств автоматизации, так и без использования средств автоматизации.
1.4. Действие настоящей Политики не распространяется на отношения, касающиеся случаев обработки персональных данных, отнесенных в установленном порядке к государственным секретам.
1.5. Настоящая Политика, а также все изменения и дополнения к ней принимаются и утверждаются в установленном у Оператора порядке и действуют до замены их новыми.
1.6. Ответственность за поддержание настоящей Политики в актуальном состоянии возлагается на лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных у Оператора:
1.7. Изменения в настоящую Политику могут вноситься в случаях изменения законодательства Республики Беларусь о защите персональных данных и принятых в соответствии с ним нормативных правовых актов, существенного изменения в структуре процессов, в рамках которых осуществляется обработка персональных данных, изменения организационной структуры Оператора и полномочий участников процесса, а также по результатам анализа инцидентов информационной безопасности, актуальности, достаточности и эффективности используемых мер обеспечения информационной безопасности, по результатам проведения внутренних аудитов информационной безопасности и других контрольных мероприятий, утвержденных локальными правовыми актами Оператора.
1.8. В случае изменения законодательства Республики Беларусь о защите персональных данных и принятых в соответствии с ним нормативных правовых актов, настоящая Политика применяется в части, не противоречащей вновь принятым нормативным правовым документам до момента приведения ее положений в соответствие нормам изменившегося законодательства.
1.9. Локальные правовые акты Оператора, затрагивающие вопросы обработки и защиты персональных данных, должны разрабатываться с учетом положений настоящей Политики и не противоречить им.
1.10. Настоящая Политика является общедоступной и подлежит размещению по месту нахождения Оператора, внутри его помещений для ознакомления с ней любым заинтересованным лицом.
2. Термины и определения
2.1. «Автоматизированная обработка персональных данных» – обработка персональных данных с помощью средств вычислительной техники;
2.2. «Блокирование персональных данных» – прекращение доступа к персональным данным без их удаления;
2.3. «Обезличивание персональных данных» – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
2.4. «Обработка персональных данных» – любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;
2.5. «Общедоступные персональные данные» – персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательства;
2.6. «Персональные данные» – любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;
2.7. «Предоставление персональных данных» – действия, направленные на ознакомление с персональными данными определенных лица или круга лиц;
2.8. «Распространение персональных данных» – действия, направленные на ознакомление с персональными данными неопределенного круга лиц;
2.9. «Специальные персональные данные» – персональные данные, касающиеся расовой или национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или половой жизни, привлечения к административной или уголовной ответственности, а также биометрические и генетические персональные данные;
2.10. «Субъект персональных данных» – физическое лицо, в отношении которого осуществляется обработка персональных данных;
2.11. «Трансграничная передача персональных данных» – передача персональных данных на территорию иностранного государства;
2.12. «Удаление персональных данных» – действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных;
2.13. «Уполномоченное лицо» – государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, которые в соответствии с актом законодательства, решением государственного органа, являющегося оператором, либо на основании договора с Оператором осуществляют обработку персональных данных от имени оператора или в его интересах;
2.14. «Физическое лицо, которое может быть идентифицировано» – физическое лицо, которое может быть прямо или косвенно определено, в частности через фамилию, собственное имя, отчество, дату рождения, идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности;
2.15. «Закон «О персональных данных»» – Закон Республики Беларусь от 07.05.2021 №99-З «О защите персональных данных».
3. Цели и общие принципы обработки персональных данных. Объем обрабатываемых персональных данных, категории субъектов персональных данных, сроки обработки персональных данных
3.1. Обработка персональных данных должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц. Обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных законных целей.
Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
3.2. Обработка персональных данных осуществляется Оператором в целях, сроках и объеме в отношении определенных категорий субъектов персональных данных, которые указаны в Реестре обработки персональных данных Оператора, постоянно размещенном вместе с настоящей Политикой во внутренних помещениях Оператора и на интернет-сайте Оператора.
4. Права субъектов персональных данных
4.1. Субъект персональных данных вправе:
- получать информацию, касающуюся обработки его персональных данных. В этом случае Оператор предоставляет субъекту персональных данных всю информацию, предусмотренную статьей 11 Закона «О персональных данных»;
- получать информацию о предоставлении Оператором персональных данных третьим лицам. Данная информация может предоставляться субъекту персональных данных один раз в календарный год бесплатно, если иное не предусмотрено Законом «О персональных данных», иными законодательными актами. Оператор предоставляет персональные данные субъекта персональных данных третьим лицам только в случаях и порядке, установленном Законом «О персональных данных»;
- потребовать изменить свои персональные данные, обрабатываемые Оператором, либо дополнить их;
- требовать прекращения обработки персональных данных и (или) их удаления. Оператор прекратит обработку персональных данных субъекта персональных данных, кроме случаев, когда в соответствии с Законом «О персональных данных» обработка не требует согласия субъекта персональных данных. Оператор удалит персональные данные, а также обеспечит их удаление уполномоченным лицом, кроме случаев, когда это технически невозможно, либо дальнейшая обработка персональных данных необходима для соблюдения Оператором, уполномоченным лицом законодательства.
4.2. Для реализации своих прав, связанных с обработкой персональных данных Оператором, субъект персональных данных должен подать Оператору заявление в письменной форме или в виде электронного документа (а в случае реализации права на отзыв согласия – также в форме, в которой такое согласие было получено) соответственно по почтовому адресу Оператора ( Республика Беларусь, г. Минск, пер. Ковалевской Софьи, дом 60, оф. 508) или адресу в сети Интернет, указанным на интернет-сайте Оператора.
Такое заявление должно содержать:
- фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);
- дату рождения субъекта персональных данных;
- изложение сути требований субъекта персональных данных;
- идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия или обработка персональных данных осуществляется без согласия субъекта персональных данных;
- личную подпись (для заявления в письменной форме) либо электронную цифровую подпись (для заявления в виде электронного документа) субъекта персональных данных.
4.3. Субъект персональных данных имеет право обжаловать действия (бездействия) Оператора в Национальный центр защиты персональных данных, в случае, если Оператор каким-либо образом нарушает порядок обработки персональных данных и (или) права субъекта персональных данных, предусмотренные Законом «О защите персональных данных».
5. Обязанности Оператора при обработке персональных данных
5.1. При обработке персональных данных Оператор обязан:
- разъяснить субъекту персональных данных его права, связанные с обработкой персональных данных;
- получать согласие субъекта персональных данных, за исключением случаев, предусмотренных Законом «О защите персональных данных» и иными законодательными актами;
- обеспечивать защиту персональных данных в процессе их обработки;
- предоставлять субъекту персональных данных информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом «О защите персональных данных» и иными законодательными актами;
- вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;
- прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных Законом «О защите персональных данных» и иными законодательными актами;
- осуществлять изменение, блокирование или удаление недостоверных или полученных незаконным путем персональных данных субъекта персональных данных по требованию Национального центра защиты персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами;
- исполнять иные требования Национального центра защиты персональных данных Республики Беларусь об устранении нарушений законодательства о персональных данных;
- выполнять иные обязанности, предусмотренные Законом «О защите персональных данных» и иными законодательными актами.
6. Правовые основания обработки персональных данных
6.1. Правовым основанием обработки персональных данных являются:
- заключенные с Оператором договоры (соглашения), стороной по которым является субъект персональных данных;
- согласие субъекта персональных данных;
- нормы законодательства Республики Беларусь, иные нормативные правовые акты, действие которых распространяется на деятельность Оператора.
6.2. Обработка персональных данных необходима для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.
6.3. Обработка персональных данных возможна в случае получения согласия субъекта персональных данных на обработку персональных данных, в том числе отдельного согласия на распространение и предоставление персональных данных.
6.4. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных, в том числе на распространение, должно быть конкретным, информированным и осознанным.
6.5. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в статье 6 Закона «О защите персональных данных».
7. Порядок и условия обработки персональных данных
7.1. Обработка персональных данных у Оператора может осуществляться в виде автоматизированной обработки персональных данных, обработки без использования средств автоматизации, а также в виде смешанной обработки персональных данных.
7.2. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
7.3. Персональные данные хранятся и обрабатываются Оператором в течение сроков, необходимых для достижения целей обработки персональных данных или утраты необходимости в достижении этих целей (если иное не предусмотрено законодательством Республики Беларусь), указанных в согласии субъекта персональных данных, иных локальных правовых актах Оператора, выполнения возложенных законодательством Республики Беларусь на Оператора функций, полномочий и обязанностей, защиты прав и законных интересов Оператора и третьих лиц, в том числе в рамках судебного и административного производства.
7.4. Передача (в том числе трансграничная) персональных данных третьим лицам может осуществляться с согласия субъекта персональных данных, в соответствии с законодательством Республики Беларусь или в целях исполнения договора, стороной которого и по которому является субъект персональных данных при наличии согласия субъекта персональных данных. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться при наличии письменного согласия субъекта на трансграничную передачу его персональных данных.
Перечень стран, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, определен приказом директора Национального центра защиты персональных данных Республики Беларусь от 15 ноября 2021 г. № 14.
7.5. Оператор вправе передавать персональные данные государственным органам, органам следствия и дознания, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Республики Беларусь.
7.6. Оператор вправе поручить обработку персональных данных третьему лицу с согласия субъекта персональных данных, если иное не предусмотрено законодательством Республики Беларусь. Определение цели (-ей) обработки персональных данных, состава персональных данных, подлежащих обработке, действий (операций), совершаемых с персональными данными, осуществляется Оператором и не может быть поручено третьему лицу.
В случае поручения обработки персональных данных субъектов уполномоченному лицу в договоре (соглашении) должны быть определены цель (-ли) обработки персональных данных, перечень действий, которые будут совершаться с персональными данными уполномоченным лицом, обязанности по соблюдению конфиденциальности персональных данных, меры по обеспечению защиты персональных данных, а также соблюдаться принципы и правила обработки персональных данных, предусмотренные Законом «О защите персональных данных».
7.7. Условиями прекращения обработки персональных данных могут являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, требование о прекращении обработки персональных данных, ранее разрешенных для распространения, решение суда, а также выявление неправомерной обработки персональных данных.
8. Меры по обеспечению защиты персональных данных
8.1. Оператор для выполнения своих обязанностей, предусмотренных Законом «О защите персональных данных» и принятыми в соответствии с ним локальными правовыми актами, в частности по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных принимает следующие правовые, организационные и технические меры:
- назначает лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных:
- издает настоящую Политику и иные локальные правовые акты, определяющие подходы к обработке персональных данных и их защите;
- знакомит работников Оператора и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, а также проводит обучение указанных работников и иных лиц в порядке, установленном законодательством;
- устанавливает порядок доступа к персональным данным, в том числе обрабатываемым в информационных системах Оператора;
- осуществляет техническую и криптографическую защиту персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.
9. Контроль за соблюдением законодательства Республики Беларусь
и локальных правовых актов в области персональных данных,
в том числе требований к защите персональных данных
9.1. Контроль за соблюдением Оператором законодательства Республики Беларусь и локальных правовых актов Оператора в области персональных данных, в том числе требований к защите персональных данных, осуществляется с целью проверки соответствия обработки персональных данных Оператором законодательству Республики Беларусь и локальным правовым актам Оператора в области персональных данных, в том числе требованиям к защите персональных данных, а также принятых мер, направленных на предотвращение и выявление нарушений законодательства Республики Беларусь в области персональных данных, выявления возможных каналов утечки и несанкционированного доступа к персональным данным, устранения последствий таких нарушений.
9.2. Персональная ответственность за соблюдение требований законодательства Республики Беларусь и локальных нормативных актов Оператора в области персональных данных, а также за обеспечение конфиденциальности и безопасности персональных данных во всех подразделениях Оператора возлагается на их руководителей.
9.3. Внутренний контроль за соблюдением Оператором требований законодательства Республики Беларусь и локальных нормативных актов Оператора в области персональных данных осуществляется лицом, ответственным за осуществление внутреннего контроля за обработкой персональных данных у Оператора.