УТВЕРЖДЕНО

Решением Правления КБ «РБА» (ООО)

(Протокол № б/н  от «31» мая 2021 г.)

Председатель Правления КБ «РБА» (ООО)

___________________________ М.С. Романов

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
КБ «РБА» (ООО)

• Настоящая Политика обработки персональных данных (далее – Политика) Коммерческого банка «РБА» (Общество с ограниченной ответственностью) (далее – Банк) предоставляет информацию об основных принципах обработки персональных данных (далее – ПДн) и реализуемых мерах по защите ПДн. Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ-152).
• Ответственность за поддержание Политики в актуальном состоянии возлагается на лицо, ответственное за организацию обработки ПДн. 
• Банк предоставляет неограниченный доступ к настоящей Политике.

• Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн);
• Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн;
• Автоматизированная обработка персональных данных - обработка ПДн с помощью средств вычислительной техники;
• Предоставление персональных данных - действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;
• Блокирование персональных данных - временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);
• Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители ПДн;
• Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн;
• Информационная система персональных данных - совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств;
• Трансграничная передача персональных данных - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

• Обработка ПДн в Банке осуществляется на законной и справедливой основе.
• Обработка ПДн в Банке ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.
• При обработке ПДн не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.
• Обрабатываются только ПДн, которые отвечают целям их обработки.
• Содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки. Банк не допускает обработку избыточных ПДн.
• Банк обеспечивает точность, достаточность и актуальность ПДн по отношению к целям их обработки.
• Хранение ПДн осуществляться в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн. Обрабатываемые ПДн уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
• При сборе ПДн Банк обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев:
• обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
• обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
• обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг.

• Обработка ПДн осуществляется с согласия субъекта ПДн на обработку его ПДн для достижения заранее определённых и заявленных целей, а так же в иных случаях, предусмотренных действующим законодательством Российской Федерации.
• Субъект ПДн, или его представитель, даёт согласие на обработку ПДн свободно, своей волей и в своем интересе;
• Согласие на обработку ПДн может быть дано в любой позволяющей подтвердить факт его получения форме, если иное не установлено ФЗ-152.
• Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
• Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, устанавливаются уполномоченным органом по защите прав субъектов персональных данных.
• Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии письменного согласия по утвержденной распоряжением Правительства РФ от 30.06.2018г. № 1322-р форме субъекта персональных данных, за исключением случаев, предусмотренных в пункте 4.7 данной Политики.
• Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством Российской Федерации о нотариате.
• Согласие на обработку ПДн может быть отозвано субъектом ПДн.
• Обработка специальных категорий ПДн не осуществляется.
• Трансграничная передача ПДн не осуществляется.
• Банк вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн. Лицо, осуществляющее обработку ПДн по поручению Банка, обязано соблюдать принципы и правила обработки ПДн, предусмотренные ФЗ-152, обеспечивать конфиденциальность и безопасность ПДн при их обработке.
• Банк может получать ПДн от лица, не являющегося субъектом ПДн.  
• Если ПДн получены не от субъекта ПДн, Банк, за исключением случаев, предусмотренных 152-ФЗ, до начала обработки таких ПДн предоставляет субъекту ПДн следующую информацию:
• наименование и адрес Банка;
• цель обработки ПДн и ее правовое основание;
• предполагаемые пользователи ПДн;
• установленные 152-ФЗ права субъекта ПДн;
• источник получения ПДн.    

Банк осуществляет обработку ПДн в целях:

• выполнения требований законодательства Российской Федерации и нормативно-правовых актов Банка России, иных органов государственной власти и Управления Российской Федерации, устанавливающих правила осуществления банковских операций и иной деятельности, осуществляемой Банком;
• обработки, обеспечения реализации уставных целей и осуществления видов деятельности, указанных в уставе Банка;
• привлечения денежных средств физических и юридических лиц во вклады (до востребования и на определенный срок);
• размещения привлеченных во вклады (до востребования и на определенный срок) денежных средств физических и юридических лиц от имени и за счет Банка;
• открытия и ведения банковских счетов физических и юридических лиц;
• осуществления расчетов по поручению физических и юридических лиц, в том числе банков-корреспондентов, по их банковским счетам;
• осуществления переводов денежных средств по поручению физических лиц без открытия банковских счетов (за исключением почтовых переводов);
• предоставления в аренду физическим и юридическим лицам специальных помещений или находящихся в них сейфов для хранения документов и ценностей;
• оказания других услуг, предусмотренных лицензиями и уставом банка;
• учета ПДн работников Банка, содействия в их обучении и продвижении по службе;
• контроля качества и количества выполняемой работы;
• противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма.

Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:
подтверждение факта обработки ПДн Банком;
правовые основания и цели обработки ПДн;
цели и применяемые Банком способы обработки ПДн;
наименование и место нахождения Банка, сведения о лицах (за исключением работников Банка), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Банком или на основании ФЗ-152;
обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен ФЗ-152;
сроки обработки ПДн, в том числе сроки их хранения;
порядок осуществления субъектом ПДн прав, предусмотренных 152-ФЗ;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Банка, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные ФЗ-152 или другими федеральными законами.
Право субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с действующим законодательством Российской Федерации.
Субъект ПДн вправе требовать от Банка уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
Субъект ПДн вправе в любое время требовать от Банка прекращения передачи (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения. Данное требование должно включать:

• Ф.И.О. субъекта (отчество - при наличии);
• его номер телефона, электронную почту или почтовый адрес;
• ПДн, обработку которых следует прекратить.
• Решение, порождающее юридические последствия в отношении субъекта ПДн или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его ПДн только при наличии согласия в письменной форме субъекта ПДн или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта ПДн.
• Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

 В целях исполнения требований, предусмотренных 152-ФЗ в Банке:

• назначается лицо, ответственное за обработку ПДн;
• издаются локальные акты по вопросам обработки ПДн, выявления и устранения нарушений действующего законодательства РФ;
• применяются правовые, организационные и технические меры по защите ПДн.
• осуществляется внутренний контроль за обработкой ПДн и её соответствием требованиям действующего законодательства Российской Федерации и внутренним документам Банка в области обработки и защиты ПДн;
• оценивается вред, который может быть причинен субъектам ПДн в случае нарушения 152-ФЗ;
• работники Банка, осуществляющие работу с ПДн, знакомятся с положениями действующего законодательства Российской Федерации и внутренним документам Банка в области обработки и защиты ПДн; 

• Банк при обработке ПДн принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.
• Обеспечение безопасности ПДн достигается, в частности:
• определением угроз безопасности ПДн при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПДн;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию информационной системы персональных данных;
• учетом машинных носителей ПДн;
• обнаружением фактов несанкционированного доступа к ПДн и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
• восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к ПДн, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с ПДн в информационной системе персональных данных;
• контролем за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности информационных систем персональных данных.