1. Общие положения

1.1. Настоящая Политика разработана в соответствии со следующими нормативными правовыми актами Российской Федерации:

Трудовым кодексом Российской Федерации от 30 декабря 2001 года N 197-ФЗ;

Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных";

Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

Федеральным законом от 2 мая 2006 года N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации";

Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными Постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119;

Положением об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации, утвержденным Постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687;

Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным Приказом ФСТЭК России от 18 февраля 2013 года № 21;

Требованиями к обезличиванию персональных данных и методов обезличивания персональных данных, за исключением случаев, указанными в пункте 9.1 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», утвержденными Приказом Роскомнадзора от 19.06.2025 №140;

Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения, утвержденным Приказом Росархива от 20 декабря 2019 года № 236;

Правилами предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов, утвержденными Постановлением Правительства Российской Федерации от 06.05.2011 № 354;

Положением о функционировании розничных рынков электрической энергии, полном и (или) частичном ограничении режима потребления электрической энергии, утвержденным Постановлением Правительства Российской Федерации от 04.05.2012 №442.

Приказами и методическими документами ФСТЭК России, ФСБ и Мининформсвязи России и иными нормативно-правовыми актами, определяющими правила обработки персональных данных.

1.2. Настоящая Политика определяет:

• категории субъектов персональных данных, категории персональных данных;

• цели, принципы и условия обработки персональных данных;

• права и обязанности АО "Татэнергосбыт" (далее - Общество) и субъекта персональных данных;

• правовые, организационные, технические и иные меры, принимаемые в АО "Татэнергосбыт" для обеспечения защиты персональных данных;

• сроки обработки и хранения персональных данных;

• требования к уничтожению ПД.

1.3. Настоящая Политика имеет целью обеспечить соблюдение законных прав и интересов субъектов персональных данных и Общества в связи с необходимостью обработки персональных данных.

1.4. Действие настоящей Политики не распространяется на отношения, возникающие при:

• организации хранения, комплектования, учета и использования содержащих персональные данные архивных документов Общества в соответствии с законодательством об архивном деле в Российской Федерации;

• обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

1.5. Выполнение требований данной Политики является обязательным для всех работников Общества.

2. Основные понятия

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Агент - сторона договора, которая обязуется за вознаграждение совершать по поручению другой стороны (принципала) юридические и иные действия от своего имени, но за счет принципала либо от имени и за счет принципала.

Безопасность персональных данных – состояние защищенности персональных данных, которое характеризуется способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке.

 Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Бывший работник – физическое лицо, ранее состоявшее с Обществом в трудовых отношениях на основании заключенного трудового договора.    

Доступ к персональным данным – возможность получения персональных данных и их использования.

Информация – сведения (сообщения, данные) независимо от формы их представления.

Информационная система персональных данных (далее – ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Контрагент – физическое или юридическое лицо, с которым заключен гражданско-правовой договор.

Конфиденциальность персональных данных – обязанность оператора и иного лица, получившего доступ к персональным данным, не допускать их раскрытия третьи лицам и распространения без согласия субъекта персональных данных или иного законного основания.

Материальный носитель персональных данных – бумажный, электронный, машинный и прочие носители информации, используемые для воспроизведения (в том числе копирования, скачивания, сохранения, записи) и/или хранения информации, содержащей персональные данные, обрабатываемой в автоматизированном виде (с использованием средств вычислительной техники) и не автоматизированном виде (без использования средств вычислительной техники).

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные (далее – ПД) – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом «О персональных данных».

Платформа дистанционного обслуживания клиентов - система для взаимодействия с клиентами через различные каналы связи.

Поставщик услуг – юридическое лицо или индивидуальный предприниматель, которому вносится плата за жилое помещение и коммунальные услуги в соответствии с Жилищным кодексом РФ.

Потребители – граждане, использующие на праве собственности или ином законном основании жилые и нежилые помещения, земельные участки, потребляющие коммунальные и/или жилищные услуги на коммунально-бытовые нужды и/или для осуществления коммерческой (предпринимательской) деятельности.

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Работник – лицо, состоящее с Обществом в трудовых отношениях на основании заключенного трудового договора.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Родственник – близкие родственники (родственники по прямой восходящей и нисходящей линии: родители и дети, дедушки, бабушки и внуки, – полнородные и не полнородные (имеющие общих отца и мать) братья и сестры), супруг/супруга, а также усыновители и усыновленные.

Смешанная обработка персональных данных - обработка персональных данных как с использованием автоматизированных средств, так и без применения средств автоматизации.

Субъект персональных данных - физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных.

Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Уровень защищенности персональных данных - комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

3. Категории субъектов персональных данных, категории обрабатываемых персональных данных

В Обществе осуществляется обработка персональных данных следующих категории субъектов ПД:

• физические лица, являющиеся работниками Общества;

• физические лица, являющиеся родственниками работников Общества;

• физические лица, являющиеся бывшими работниками Общества;

• физические лица, являющиеся пенсионерами;

• физические лица, являющиеся родственниками пенсионеров;

• физические лица, являющиеся соискателями/ кандидатами в работники Общества;

• физические лица, с которыми заключен договор гражданско-правового характера;

• физические лица, являющиеся практикантами;

• физические лица, являющиеся представителями контрагентов;

• физические лица, являющиеся потребителями электроэнергии, с которыми у Общества заключен прямой договор энергоснабжения/электроснабжения;

• физические лица, являющиеся потребителями услуг, оказываемых поставщиками, в отношении которых Общество выступает в качестве агента;

• физические лица, являющиеся членами совета директоров Общества;

• физические лица, являющиеся должностными лицами акционера Общества;

• физические лица, выразившие согласие на обработку Обществом их ПД с целью участия в конкурсах, акциях, опросах, исследований, созданий информационных материалов в СМИ;

• иные физические лица, выразившие согласие на обработку Обществом их ПД, или физические лица, обработка ПД которых необходима Обществу для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Общество функций, полномочий и обязанностей (далее – Иные физические лица).

4. Цели, категории, принципы и условия обработки персональных данных

4.1. Общество осуществляет обработку персональных данных в следующих целях:

4.2. Обработка персональных данных Обществом осуществляется на основе принципов:

• законности и справедливости целей и способов обработки ПД;

• соответствия целей обработки ПД целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям Общества;

• соответствия объема и характера обрабатываемых ПД, способов обработки ПД целям обработки ПД;

• достоверности ПД, их достаточности для целей обработки, недопустимости обработки ПД, избыточных по отношению к целям, заявленным при сборе ПД;

• недопустимости объединения созданных для несовместимых между собой целей баз данных, содержащих ПД;

• хранения ПД в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели их обработки;

• уничтожения по достижении целей обработки ПД или в случае утраты необходимости в их достижении.

4.3. Обработка ПД в Обществе осуществляется на основании условий, определенных законодательством Российской Федерации.

4.4. Обработка ПД в Обществе осуществляется с согласия субъекта персональных данных на обработку его ПД, если иное не предусмотрено законодательством Российской Федерации в области персональных данных.

4.5. Общество без согласия субъекта ПД не раскрывает третьим лицам и не распространяет ПД, если иное не предусмотрено федеральным законом.

4.6. Общество вправе поручить обработку ПД другому лицу с согласия субъекта ПД на основании заключаемого с этим лицом договора. Договор должен содержать перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку ПД, цели обработки, обязанность такого лица соблюдать конфиденциальность ПД и обеспечивать безопасность ПД при их обработке, а также требования к защите обрабатываемых ПД в соответствии со статьей 19 Федерального закона «О персональных данных».

4.7. Обработка ПД в Обществе осуществляется следующими способами:

• неавтоматизированная обработка ПД;

• автоматизированная обработка ПД с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;

• смешанная обработка ПД.

4.8. Сроки обработки и хранения персональных данных для каждой указанной в п.4.1. цели обработки персональных данных устанавливаются с учетом соблюдения требований, в том числе условий обработки персональных данных, определенных законодательством РФ, и/или с учетом положений договора, стороной, выгодоприобретателем или поручителем по которому выступает Субъект персональных данных, и/или согласия Субъекта персональных данных на обработку его персональных данных, при этом обработка и хранение персональных данных осуществляются не дольше, чем этого требуют цели обработки персональных данных, если иное не установлено законодательством РФ. Общество хранит персональные данные в течение срока, необходимого для достижения целей их обработки, документы, содержащие персональные данные, - в течение срока хранения документов, предусмотренного номенклатурой дел, с учетом сроков хранения архивных документов.

4.9. Трансграничная передача персональных данных Обществом не осуществляется.

4.10. Правовыми основаниями для обработки ПД могут являться нормативные правовые акты Российской Федерации, в том числе перечисленные в разделе 1 настоящей Политики, а также следующие документы:

- договоры, заключаемые между Обществом и субъектом ПД;

- согласие на обработку ПД в соответствии с п.1 ч.1 ст.6 Федерального закона «О персональных данных»;

- согласие на обработку специальной категории ПД в соответствии с п.1 ч.2 ст.10 Федерального закона «О персональных данных»;

- согласие на обработку ПД, разрешенных субъектом ПД для распространения в соответствии с п.1 ст.10.1. Федерального закона «О персональных данных».

В случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Общества, обработка ПД осуществляется с согласия субъекта ПД на обработку его персональных данных.

 Обработка ПД прекращается при ликвидации, реорганизации с прекращением деятельности Оператора по обработке ПД, соответствующем решении суда, наступлении срока или достижении цели обработки, а также в случае отзыва согласия на обработку ПД.

4.11. Перечень ПД, обрабатываемых в Обществе, определяется в соответствии с законодательством Российской Федерации, в том числе локальными нормативными актами Общества, с учетом целей обработки ПД.

4.12. Обработка специальных категорий ПД, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, в Обществе не осуществляется.

5. Права и обязанности

5.1. Общество имеет право:

- обрабатывать ПД субъекта персональных данных в соответствии с заявленной целью;

- требовать от субъекта персональных данных предоставления достоверных ПД, необходимых для исполнения договора, оказания услуги, идентификации субъекта персональных данных, а также в иных случаях, предусмотренных законодательством о персональных данных;

- ограничить доступ субъекта персональных данных к его персональным данным в случае, если Обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством Российской Федерации;

- осуществлять обработку ПД, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;

- поручить обработку ПД другому лицу с согласия субъекта персональных данных;

- предоставлять ПД субъектов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.);

- отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством;

- обрабатывать ПД субъекта без его согласия, в случаях, предусмотренных законодательством.

5.2. Общество при обработке персональных данных обязано соблюдать следующие требования:

- при определении объема и содержания обрабатываемых ПД Общество должно руководствоваться принципом достаточности по отношению к целям обработки ПД при исполнении своих обязательств перед субъектами персональных данных;

- Общество не имеет права обрабатывать ПД о членстве в общественных объединениях или профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами;

- при принятии решений, затрагивающих интересы субъекта персональных данных, Общество не имеет права основываться на информации, полученной исключительно в результате автоматизированной обработки его персональных данных;

- защита ПД от неправомерного их использования или утраты должна быть обеспечена Обществом за счет его средств в порядке, установленном федеральным законом;

- Общество несет ответственность за нарушение норм, регулирующих обработку и защиту ПД в соответствии с законодательством.

5.3. Субъект персональных данных имеет право:

- на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей ПД, за исключением случаев, предусмотренных законодательством РФ.

- требовать уточнения своих ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

- требовать перечень своих ПД, обрабатываемых Обществом и источник их получения;

- получать информацию о сроках обработки своих ПД, в том числе о сроках их хранения;

- требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его ПД, обо всех произведенных в них исключениях, исправлениях или дополнениях;

- обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке его персональных данных;

- на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;

- отозвать свое согласие на обработку ПД.

6. Обеспечение защиты персональных данных

6.1. Общество при обработке ПД предпринимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения доступа, а также от иных неправомерных действий в отношении персональных данных.

6.2. Обработка ПД осуществляется с соблюдением конфиденциальности, под которой понимается обязанность не раскрывать третьим лицам и не распространять ПД без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

6.3. Общество определяет состав и перечень мер, необходимых и достаточных для обеспечения защиты ПД. К таким мерам, в частности, относятся:

- назначение ответственного за организацию обработки персональных данных;

- издание настоящей Политики, локальных нормативных актов по вопросам обработки ПД, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на Общество не предусмотренные законодательством Российской Федерации полномочия и обязанности;

- осуществление внутреннего контроля и (или) аудита соответствия обработки ПД требованиям к защите ПД, настоящей Политике, локальным нормативным актам Общества;

- оценка вреда, который может быть причинен субъектам ПД в случае нарушения Федерального закона «О персональных данных», соотношение указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных»;

- ограничение и регламентация должностей работников Общества, функциональные обязанности которых требуют доступа к персональным данным;

- ознакомление работников Общества, непосредственно осуществляющих обработку ПД, с положениями законодательства Российской Федерации о ПД, в том числе требованиями к защите ПД, документами, настоящей Политикой, локальными актами по вопросам обработки ПД, и (или) обучение указанных работников.

6.4. Обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных достигается:

- определением угроз безопасности ПД при их обработке в ИСПДн;

- применением организационных и технических мер по обеспечению безопасности ПД при их обработке в ИСПДн, необходимых для выполнения требований к защите ПД, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

- применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

- оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию ИСПДн;

- обнаружением фактов несанкционированного доступа к ПД и принятием мер;

- восстановлением ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- установлением правил доступа к ПД, обрабатываемым в ИСПДн, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в ИСПДн;

- контролем за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности ИСПДн.

6.5. Для защиты материальных носителей   персональных данных Общество обязуется соблюдать условия, обеспечивающие сохранность ПД и исключающие несанкционированный доступ к ним:

- наличие закрытых запирающихся шкафов для хранения материальных носителей;

- наличие перегородок, исключающих доступ посторонних лиц к рабочим местам работников, работающих с материальными носителями ПД;

- соблюдением мер безопасности при транспортировке материальных носителей ПД.

6.6. Общество осуществляет передачу ПД государственным органам в рамках их полномочий в соответствии с законодательством Российской Федерации.

 

7. Уничтожение персональных данных

7.1. Уничтожение персональных данных, обработка которых осуществляется в рамках целей, указанных в разделе 4 настоящей Политики, производится в случаях:

7.1.1. Достижения цели обработки персональных данных.

7.1.2. Утраты необходимости в достижении цели обработки персональных данных.

7.1.3. Выявления факта неправомерной обработки персональных данных и невозможности обеспечения ее правомерности.

7.1.4. Отзыва Субъектом персональных данных согласия на обработку персональных данных, если иное не предусмотрено Законом «О персональных данных».

7.1.5. Предъявления Субъектом персональных данных требования о прекращении обработки персональных данных, если иное не установлено Законом «О персональных данных».

7.2. Способы уничтожения персональных данных определяются локальным нормативным актом Общества в зависимости от способов обработки персональных данных и материальных носителей персональных данных, на которых осуществляется запись и хранение персональных данных.

7.3. Уничтожение производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание персональных данных в ИСПДн и/или в результате которых уничтожаются материальные носители персональных данных.

7.4. Подтверждение факта уничтожения персональных данных осуществляется в соответствии с требованиями законодательства РФ.

7.5. Если персональные данные невозможно уничтожить без повреждения их материального носителя, то уничтожению подлежат персональные данные и их материальный носитель.

 

8. Заключительные положения

8.1. Настоящая Политика является общедоступной и подлежит размещению на официальном сайте Общества.

8.2. Контроль исполнения требований настоящей Политики осуществляется лицом, ответственным за организацию обработки персональных данных.

8.3. Общество несет ответственность перед субъектом персональных данных за действия лиц, которым Общество поручает обработку ПД субъекта персональных данных.

8.4. Ответственность должностных лиц Общества, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту ПД, определяется в соответствии с законодательством Российской Федерации.

8.5. Общество, а также его должностные лица и работники несут гражданско-правовую, административную и иную ответственность за несоблюдение принципов и условий обработки ПД физических лиц, а также за разглашение или незаконное использование ПД в соответствии с законодательством Российской Федерации.