Настоящая Политика в отношении обработки и защиты персональных данных в ГУП «Московский метрополитен» (далее — Политика) разработана в целях реализации требований законодательства Российской Федерации в области персональных данных.

Политика разработана с учетом Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации в области персональных данных, в соответствии с пунктом 2 статьи 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — Федеральный закон «О персональных данных»).

Политика является внутренним документом Государственного унитарного предприятия города Москвы «Московский ордена Ленина и ордена Трудового Красного Знамени метрополитен имени В.И. Ленина» (далее — Метрополитен), определяющим ключевые направления его деятельности в области обработки и защиты персональных данных работников Метрополитена и других субъектов персональных данных.

Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в Метрополитене с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Раскрывает принципы, цели и способы обработки персональных данных, основные категории персональных данных, обрабатываемых Метрополитеном, права субъектов персональных данных, а также включает перечень мер, применяемых Метрополитеном в целях обеспечения безопасности персональных данных при их обработке.

В настоящей Политике используются следующие термины и определения:

• информация — сведения (сообщения, данные) независимо от формы их представления;
• персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• оператор — Метрополитен, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с ними;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных — действия, направленные на их раскрытие неопределенному кругу лиц;
• предоставление персональных данных — действия, направленные на их раскрытие определенному лицу или определенному кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для их уточнения);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители, содержащие персональные данные;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить их принадлежность конкретному субъекту персональных данных;
• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Действие настоящей Политики распространяется на все персональные данные, которые Метрополитен может получить от субъектов персональных данных — работников Метрополитена в связи с осуществлением трудовых отношений, других субъектов персональных данных, обработка персональных данных которых предназначена для реализации целей обработки, указанных в настоящей Политике, обрабатываемые Метрополитеном с применением средств автоматизации и без применения таких средств.

Положения Политики распространяются на отношения по обработке и защите персональных данных, полученных Метрополитеном как до, так и после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите персональных данных, полученных до ее утверждения.

Персональные данные являются конфиденциальной информацией и, соответственно, на них распространяются все требования, установленные внутренними документами Метрополитена к защите конфиденциальной информации.

Политика обработки персональных данных Метрополитена определятся в соответствии со следующими нормативными правовыми актами Российской Федерации:

• Конституцией Российской Федерации;
• Трудовым кодексом Российской Федерации; Гражданским кодексом Российской Федерации;
• Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
• Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральным законом от 9 февраля 2007 г. № 16-ФЗ «О транспортной безопасности»;
• Федеральным законом от 29 ноября 2010 г. № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;

иными нормативными правовыми актами Российской Федерации и нормативными документами уполномоченных органов государственной власти.

Обработка персональных данных в Метрополитене осуществляется с учетом необходимости обеспечения защиты прав и свобод работников Метрополитена и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе принципов:

• обработка персональных данных осуществляется в Метрополитене на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки;
• не допускается избыточность персональных данных по отношению к заявленным целям их обработки;
• при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Метрополитен принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
• хранение персональных данных в Метрополитене осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• обрабатываемые Метрополитеном персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Метрополитен обрабатывает персональные данные субъектов исключительно в целях:

• обеспечения соблюдения Конституции, законодательных и нормативных правовых актов Российской Федерации, локальных нормативных актов Метрополитена;
• осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Метрополитен, в том числе по предоставлению персональных данных работников в органы государственной власти, в Пенсионный фонд Российской Федерации, в Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования, а также иные государственные органы;
• осуществления трудовых отношений с работниками Метрополитена, а именно содействие в трудоустройстве, обучении и продвижении по службе, обеспечении личной безопасности, контроль количества и качества выполняемой работы, обеспечение сохранности имущества;
• предоставления работникам Метрополитена и членам их семей дополнительных гарантий и компенсаций;
• принятия решения о трудоустройстве кандидата на замещение вакантной должности в структурные подразделения Метрополитена и его филиалов;
• оказания услуг по перевозке пассажиров в целях удовлетворения потребностей города Москвы в пассажирских перевозках;
• защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
• заключения и исполнения обязательств по трудовым договорам, договорам гражданско-правового характера и договорам с контрагентами;
• осуществления пропускного и внутриобъектового режима на объектах транспортной инфраструктуры Метрополитена;
• формирования справочных материалов для внутреннего информационного обеспечения деятельности Метрополитена, его филиалов;
• исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
• осуществления прав и законных интересов Метрополитена в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Метрополитена, или третьих лиц, достижения общественно значимых целей;
• рассмотрения жалоб и обращений субъектов персональных данных;

в иных законных целях.

Обработка персональных данных в Метрополитене осуществляется следующими способами:

• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей полученной информации по информационно-коммуникационной сети или без таковой;
• смешанная обработка персональных данных.

В Метрополитене обрабатываются персональные данные следующих категорий субъектов:

• работников Метрополитена;
• других субъектов персональных данных, обработка персональных данных которых предназначена для реализации целей обработки, указанных в настоящей Политике.

Перечень персональных данных, обрабатываемых в Метрополитене, определен в соответствии с законодательством Российской Федерации и локальными нормативными актами Метрополитена с учетом целей обработки персональных данных, указанных в настоящей Политике.

В связи с осуществлением трудовых отношений в Метрополитене обрабатываются следующие персональные данные работников:

—  фамилия, имя, отчество;
—  паспортные данные;
—  анкетные и биографические данные;
—  сведения об образовании и специальности;
—  сведения о трудовом и общем стаже;
—  сведения о составе семьи;
—  место работы (учебы) членов семьи и родственников;
—  сведения о воинском учете;
—  ИНН;
—  сведения о социальных льготах;
—  адреса места жительства и регистрации;
—  номер домашнего и/или сотового телефона;
—  адрес личной электронной почты;
—  содержание трудового договора;
—  фотография;
—  результаты медицинских обследований работника на предмет годности к осуществлению трудовых обязанностей;
—  иную, не указанную выше информацию, содержащуюся в личных делах и трудовых книжках работников.

С целью осуществления уставной деятельности в Метрополитене обрабатываются персональные данные субъектов, обработка персональных данных которых предназначена для реализации целей обработки, указанных в настоящей Политике:

—  фамилия, имя, отчество;
—  паспортные данные;
—  адреса места жительства и регистрации;
—  номер домашнего и/или сотового телефона;
—  адрес личной электронной почты;
—  иная, не указанная выше информация, необходимая Метрополитену для исполнения целей обработки персональных данных, указанных в настоящей Политике.

Метрополитен не осуществляет обработку биометрических категорий персональных данных, а также трансграничную их передачу.

Обработка в Метрополитене специальных категорий персональных данных, касающихся состояния здоровья, допускается только в случаях, предусмотренных ст. 10 Федерального закона «О персональных данных».

Обработка специальных категорий персональных данных прекращается, если устранены причины, вследствие которых осуществлялась их обработка, если иное не установлено федеральными законами.

Обработка персональных данных о судимости осуществляется Метрополитеном исключительно в случаях и в порядке, определенными Федеральным законом от 27 июля 2006 г. № 16-ФЗ «О транспортной безопасности».

В целях информационного обеспечения в Метрополитене созданы общедоступные источники персональных данных работников, в том числе справочники и адресные книги. В общедоступные источники персональных данных с письменного согласия субъекта могут включаться его фамилия, имя, отчество, дата и место рождения, должность, номера контактных телефонов, адрес электронной почты и иные персональные данные, сообщаемые субъектом персональных данных.

Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по его требованию либо по решению суда или иных уполномоченных государственных органов.

Метрополитен осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.

Метрополитен не предоставляет и не раскрывает сведения, содержащие персональные данные своих работников, других субъектов персональных данных, обработка персональных данных которых предназначена для реализации целей обработки, указанных в настоящей Политике, третьей стороне без письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.

По мотивированному запросу исключительно для выполнения возложенных законодательством функций и полномочий персональные данные субъекта персональных данных без его согласия могут быть переданы в органы и организации в случаях, установленных законодательством Российской Федерации.

Субъект персональных данных в соответствии со статьей 14 Федерального закона «О персональных данных» имеет право на получение сведений, касающихся обработки его персональных данных Метрополитеном.

Субъект персональных данных вправе требовать от Метрополитена уточнения его персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе в случаях предусмотренными пунктом 8 статьи 14 Федерального закона «О персональных данных».

Для реализации своих прав и защиты законных интересов субъект персональных данных может в порядке, установленном статьей 14 Федерального закона «О персональных данных», обратиться в Метрополитен с соответствующим запросом. Для выполнения таких запросов представителю Метрополитена может потребоваться установить личность субъекта персональных данных и запросить у него дополнительную информацию.

В Метрополитене рассматриваются любые обращения и жалобы со стороны субъектов персональных данных, тщательно расследуются факты нарушений и принимаются все необходимые меры для их немедленного устранения, наказания виновных должностных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.

Если субъект персональных данных считает, что Метрополитен осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным способом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия (бездействие) Метрополитена в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

Основной задачей обеспечения безопасности персональных данных при их обработке в Метрополитене является предотвращение несанкционированного доступа к ним третьих лиц, предупреждение преднамеренных программно-технических и иных воздействий с целью хищения персональных данных, разрушения (уничтожения) или искажения их в процессе обработки.

В Метрополитене при обработке персональных данных принимаются все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

Меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с законодательными актами Российской Федерации и локальными нормативными актами Метрополитена, регламентирующими вопросы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных Метрополитена.

Для обеспечения безопасности персональных данных Метрополитен руководствуется следующими принципами:

• законность: защита персональных данных основывается на положениях нормативных правовых актов и методических документов уполномоченных государственных органов в области обработки и защиты персональных данных;
• системность: обработка персональных данных в Метрополитене осуществляется с учетом всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, значимых для понимания и решения проблемы обеспечения безопасности персональных данных;
• комплексность: защита персональных данных строится с использованием функциональных возможностей информационных технологий, реализованных в информационных системах Метрополитена и других имеющихся в Метрополитене систем и средств защиты;
• непрерывность: защита персональных данных обеспечивается на всех этапах их обработки и во всех режимах функционирования систем обработки персональных данных, в том числе при проведении ремонтных и регламентных работ;
• своевременность: меры, обеспечивающие надлежащий уровень безопасности персональных данных, принимаются до начала их обработки;
• преемственность и непрерывность совершенствования: модернизация и наращивание мер и средств защиты персональных данных осуществляется на основании результатов анализа практики их обработки в Метрополитене с учетом выявления новых способов и средств реализации угроз безопасности персональных данных, отечественного и зарубежного опыта в сфере защиты информации;
• персональная ответственность: ответственность за обеспечение безопасности персональных данных возлагается на работников в пределах их обязанностей, связанных с обработкой и защитой персональных данных;
• минимизация прав доступа: доступ к персональным данным предоставляется работникам только в объеме, необходимом для выполнения их должностных обязанностей;
• гибкость: обеспечение выполнения функций защиты персональных данных при изменении характеристик функционирования информационных систем персональных данных Метрополитена, а также объема и состава обрабатываемых персональных данных;
• открытость алгоритмов и механизмов защиты: структура, технологии и алгоритмы функционирования системы защиты персональных данных Метрополитена не дают возможности преодоления имеющихся в Метрополитене систем защиты возможными нарушителями безопасности персональных данных;
• научная обоснованность и техническая реализуемость: уровень мер по защите персональных данных определяется современным уровнем развития информационных технологий и средств защиты информации;
• непрерывность контроля и оценки: устанавливаются процедуры постоянного контроля использования систем обработки и защиты персональных данных, а результаты контроля регулярно анализируются.

Должностные лица Метрополитена, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами Российской Федерации.

Персональная ответственность за соблюдение требований законодательства Российской Федерации в области персональных данных, принятых в соответствии с ним нормативных правовых актов, настоящей Политики и локальных нормативных актов Метрополитена, а также за обеспечение конфиденциальности и безопасности персональных данных в подразделениях и филиалах Метрополитена в соответствии с приказом начальника метрополитена от 16 апреля 2014 г. № 424 возлагается на их руководителей.

Иные права и обязанности Метрополитена, как оператора персональных данных, определяются законодательством Российской Федерации в области персональных данных.

ГУП «Московский метрополитен».
Тел./Факс. 8 (495) 688-06-73,
E-mail: info@mosmetro.ru.
Уполномоченным органом по защите прав субъектов персональных данных является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
Территориальный орган: Управление Роскомнадзора по Центральному Федеральному округу.
Адрес: 117997, Москва, Старокаширское шоссе, д. 2, корп. 10, ГСП-7.
Тел. 8 (495) 957-08-20,
факс: 8 (495) 957-08-48,
E-mail: rsockanc77@rkn.gov.ru,
сайт: http://77.rkn.gov.ru/.