Источники данных
Личные данные должны быть получены непосредственно от субъекта данных, за исключением одного из следующих случаев:
- Характер деловой цели требует сбора персональных данных у других лиц или организаций.
- Сбор данных должен осуществляться в чрезвычайных обстоятельствах для защиты жизненно важных интересов субъекта данных или для предотвращения серьезной потери или нанесения ущерба другому лицу.
Если персональные данные собираются у кого-либо, кроме субъекта данных, субъект данных должен быть проинформирован об этом, если только не применяется одно из следующих условий:
- Субъект данных получил необходимую информацию другим способом.
- Информация должна оставаться конфиденциальной в силу обязательства хранить профессиональную тайну.
- Национальное законодательство прямо предусматривает сбор, обработку или передачу персональных данных.
Если установлено, что требуется уведомление субъекта данных, уведомление должно быть сделано незамедлительно, но не позднее одного календарного месяца с момента первого сбора или записи персональных данных, в момент первого сообщения, если они используются для связи с субъектом данных, в момент раскрытия, если они раскрываются другому получателю.
Уведомление субъекта данных
Компания Malvern International, если того требует действующее законодательство, договор или если она считает, что это разумно, предоставит субъектам данных информацию о целях обработки их персональных данных.
Когда субъекта данных просят дать согласие на обработку его персональных данных, а также когда у субъекта данных собираются какие-либо персональные данные, все соответствующие сведения будут раскрыты, причем таким образом, чтобы привлечь к ним внимание, если только не применяется одно из следующих положений:
- Субъект данных уже располагает информацией.
- В отношении требований о раскрытии информации и (или) согласии действует юридическое исключение.
- Информация может быть предоставлена в электронном или письменном виде.
Уведомления о конфиденциальности для персонала
Malvern International предоставит персоналу компании уведомление о конфиденциальности, касающееся сбора и обработки их персональных данных.
Malvern International также разместит в Интернете Уведомление о конфиденциальности для потенциальных третьих лиц, не являющихся персоналом компании, и Уведомление о cookie-файлах, соответствующее требованиям действующего законодательства.
Профилирование и автоматизированное принятие решений
В настоящее время Malvern International не занимается профилированием и автоматизированным принятием решений. Если возникнет необходимость в профилировании и автоматизированном принятии решений, то только для заключения или выполнения контракта с субъектом данных или если это разрешено законом. В таких случаях субъекту данных будет предоставлена возможность:
- Выразить свою точку зрения
- Получить объяснение автоматизированного решения
- Проанализируйте логику, используемую автоматизированной системой
- Дополните автоматизированную систему дополнительными данными
- Поручить человеку провести проверку автоматизированного решения
- Оспорить автоматизированное решение
- Протест против автоматизированного принятия решений.
Профилирование и автоматизированное принятие решений строго ограничены законом о защите данных и могут осуществляться только после проведения оценки воздействия на защиту данных. Сотрудникам не разрешается осуществлять деятельность, связанную с автоматизированным профилированием или принятием решений, без предварительного обращения за советом и поддержкой к специалисту по защите данных.
Цифровой маркетинг
Компания Malvern International будет отправлять рекламные или прямые маркетинговые материалы любым контактам по цифровым каналам, таким как мобильные телефоны, электронная почта и Интернет, только в том случае, если такие материалы соответствуют требованиям законодательства о защите данных. Любое лицо, связанное с Malvern International, желающее провести цифровую маркетинговую кампанию без получения предварительного согласия субъекта данных, должно предварительно получить разрешение на ее проведение у специалиста по защите данных.
Если обработка персональных данных одобрена для целей цифрового маркетинга, субъект данных должен быть проинформирован в момент первого контакта о том, что он имеет право на любом этапе возразить против обработки его данных в таких целях. Если субъект данных заявляет о своем возражении, обработка его персональных данных, связанная с цифровым маркетингом, должна быть немедленно прекращена, а его данные должны быть сохранены в списке подавления с записью его решения об отказе, а не полностью удалены.
Следует отметить, что если цифровой маркетинг осуществляется в контексте ‘бизнес для бизнеса’, то нет законодательного требования получать согласие на осуществление цифрового маркетинга в отношении физических лиц при условии, что им предоставлена возможность отказаться от этого.
Сохранение данных
Для обеспечения справедливой обработки Malvern International не будет хранить личные данные дольше, чем это необходимо в связи с целями, для которых они были первоначально собраны, или для которых они были обработаны в дальнейшем.
Длительность хранения персональных данных в Malvern International указана в Приложении 1. При этом учитываются юридические, договорные и деловые требования, которые влияют на сроки хранения. Все персональные данные должны быть удалены или уничтожены как можно скорее, если подтверждено, что необходимость в их хранении отпала, за исключением случаев, когда есть законная причина не делать этого. Любое решение не уничтожать или удалять персональные данные в соответствии с руководством по хранению, приведенным в Приложении 1, должно быть оформлено в письменном виде и утверждено генеральным директором.
Защита данных
Malvern International принимает физические, технические и организационные меры для обеспечения безопасности персональных данных. Это включает в себя предотвращение потери или повреждения, несанкционированного изменения, доступа или обработки, а также других рисков, которым она может быть подвержена в силу действий человека, физической или природной среды.
Минимальный набор мер безопасности, которые должны быть приняты компанией Malvern International, представлен ниже:
- Предотвращение доступа неуполномоченных лиц к системам обработки данных, в которых обрабатываются персональные данные.
- Предотвращение доступа лиц, имеющих право на использование системы обработки данных, к персональным данным сверх установленных требований и разрешений.
- Обеспечить, чтобы персональные данные в процессе электронной передачи во время транспортировки не могли быть прочитаны, скопированы, изменены или удалены без разрешения.
- Убедитесь в наличии журналов доступа, позволяющих установить, были ли персональные данные введены, изменены или удалены из системы обработки данных и кем они были введены.
- Убедитесь, что в случае, когда обработка осуществляется обработчиком данных, данные могут обрабатываться только в соответствии с инструкциями контроллера данных.
- Обеспечить защиту персональных данных от нежелательного уничтожения или потери.
- Убедитесь, что персональные данные, собранные для разных целей, могут обрабатываться отдельно.
- Следите за тем, чтобы личные данные не хранились дольше, чем это необходимо.
- Обеспечить обучение соответствующего персонала компании основным требованиям законодательства о защите данных и тому, как обеспечить безопасность персональных данных в соответствии с данной политикой.
Обязанности персонала компании
Каждый, кто работает в компании Malvern International или от ее имени, несет определенную ответственность за обеспечение сбора, хранения и обработки данных надлежащим образом, в соответствии с настоящей политикой и сопутствующими правилами.
Генеральный директор и бизнес-партнер по персоналу отвечают за пересмотр данной политики и информирование Совета директоров об обязанностях Malvern International по защите данных и любых рисках, связанных с обработкой данных. Любые вопросы, связанные с данной политикой или защитой данных, следует направлять этому лицу.
Персонал компании должен:
- получать доступ к Личным данным только в том случае, если они необходимы им для работы, которую они выполняют для Malvern International, и только если они уполномочены на это. Они должны использовать данные только в тех законных целях, для которых они были получены.
- не передавать Личные данные неофициально.
- хранить Личные данные в безопасности и не передавать их неуполномоченным лицам.
- регулярно проверять и, при необходимости или по запросу, обновлять личные данные, с которыми они работают. Это включает в себя сообщение нам об изменении их собственных контактных данных.
- не делать ненужных копий Личных данных и хранить и утилизировать любые копии в безопасном месте.
- используйте надежные пароли и не сообщайте их другим лицам.
- должны закрывать экраны своих компьютеров, когда находятся не за своим рабочим столом.
- не выносить Персональные данные за пределы территории Компании без разрешения своего непосредственного руководителя или бизнес-партнера по персоналу.
- обратитесь за помощью к бизнес-партнеру по работе с персоналом, если вы не уверены в защите данных или если вы заметили какие-либо области защиты данных или безопасности, которые мы можем улучшить.
Личные данные должны быть зашифрованы перед передачей в электронном виде уполномоченным внешним контактам. Обратитесь в отдел информационных технологий, чтобы получить дополнительную информацию о том, как это сделать.
Рассмотрите возможность анонимизации данных или использования отдельных ключей/кодов, чтобы субъект данных не мог быть идентифицирован.
Личные данные не должны сохраняться на персональных компьютерах или других устройствах, не принадлежащих Malvern International.
Личные данные никогда не должны передаваться за пределы Европейской экономической зоны, кроме как в соответствии с законом и с разрешения генерального директора.
Ящики стола и шкафы для бумаг должны быть заперты. Не оставляйте бумагу с личными данными на видном месте.
Личные данные должны быть уничтожены и безопасно утилизированы, если они больше не нужны.
Исполнение политики
Любое умышленное или халатное нарушение данной политики персоналом компании может привести к принятию дисциплинарных мер в отношении этого персонала в соответствии с нашей дисциплинарной процедурой.
Сокрытие или уничтожение личных данных, являющихся частью запроса на доступ к информации, является уголовным преступлением (см. ниже). Такое поведение также будет считаться грубым проступком в соответствии с нашей дисциплинарной процедурой, что может привести к увольнению.
Следует отметить, что, несмотря на то, что в данной политике приведены примеры, она ни в коем случае не является исчерпывающей, и время от времени вам могут сообщать о других конкретных правилах.
Права субъектов данных и запросы субъектов данных
Субъекты данных (к которым относится персонал компании) имеют ряд прав в отношении своих персональных данных, обрабатываемых Malvern International. Они будут подробно изложены в уведомлении о конфиденциальности, относящемся к субъекту данных. Персонал компании получит уведомление о конфиденциальности. Третьи лица могут получить доступ к уведомлениям о конфиденциальности в режиме онлайн или запросить копию напрямую.
Malvern International создаст систему, позволяющую и облегчающую осуществление прав субъектов данных, связанных с:
- Доступ к информации
- Возражение против обработки
- Протест против автоматизированного принятия решений и профилирования
- Ограничение обработки
- Переносимость данных
- Исправление данных
- Стирание данных
Если человек обращается с запросом, касающимся любого из перечисленных выше прав, Malvern International рассмотрит каждый запрос в соответствии со всеми применимыми законами и нормами о защите данных. Если сотрудник получает запрос, он не имеет права самостоятельно его рассматривать и должен как можно скорее уведомить об этом ответственного за защиту данных.
Субъекты данных могут подать запрос, касающийся их прав, если он составлен в письменной форме. Однако субъектам данных рекомендуется запросить и использовать форму запроса субъекта данных (можно получить в отделе кадров) и направить ее в отдел кадров. Это обеспечит получение запроса нужными лицами в Malvern International и его оперативную обработку.
При подаче запроса субъекты данных должны будут подтвердить свою личность. Невыполнение этого требования может привести к тому, что запрос не будет выполнен.
Субъекты данных имеют право на получение следующей информации о своих личных данных:
- Цели сбора, обработки, использования и хранения их персональных данных.
- Источник (источники) персональных данных, если они не были получены от субъекта данных.
- Категории персональных данных, хранящихся у субъекта данных.
- Получатели или категории получателей, которым были или могут быть переданы персональные данные, а также местонахождение этих получателей.
- Предполагаемый срок хранения персональных данных или обоснование для определения срока хранения.
- Использование любых автоматизированных методов принятия решений, включая профилирование.
- Право субъекта данных возражать против обработки своих персональных данных, подавать жалобу в орган по защите данных, требовать исправления или удаления своих персональных данных, требовать ограничения обработки своих персональных данных.
Все полученные запросы на доступ к персональным данным или их исправление должны направляться в отдел кадров, который будет регистрировать каждый запрос по мере его поступления. Ответ на каждый запрос будет предоставлен в течение 30 дней с момента получения письменного запроса от субъекта данных. Соответствующая проверка должна подтвердить, что запрашивающий является субъектом данных или его уполномоченным законным представителем. Субъекты данных имеют право требовать от Malvern International исправления или дополнения ошибочных, вводящих в заблуждение, устаревших или неполных персональных данных.
Если Malvern International не сможет ответить на запрос в течение 30 дней, она обязуется предоставить следующее в указанный срок:
- Подтверждение получения запроса.
- Любая информация, найденная на сегодняшний день.
- Подробные сведения о любой запрошенной информации или изменениях, которые не будут предоставлены субъекту данных, причина (причины) отказа и любые процедуры, доступные для обжалования решения.
- Предполагаемая дата, к которой будут предоставлены все оставшиеся ответы (не позднее 3 месяцев с момента подачи первоначального запроса).
- Оценка любых расходов, которые должен оплатить субъект данных (например, если запрос носит чрезмерный характер).
- Имя и контактная информация лица, с которым субъект данных должен связаться для продолжения работы.
Следует отметить, что могут возникнуть ситуации, когда предоставление информации, запрашиваемой субъектом данных, приведет к раскрытию персональных данных другого лица. В таких случаях информация должна быть отредактирована или утаена, если это необходимо или целесообразно для защиты прав этого лица.
Запросы правоохранительных органов и раскрытие информации
При определенных обстоятельствах допускается передача персональных данных без ведома или согласия субъекта данных. Это происходит в том случае, если раскрытие персональных данных необходимо для любой из следующих целей:
- Предотвращение или раскрытие преступлений.
- Задержание или преследование преступников.
- Начисление или взимание налога или пошлины.
- По решению суда или в соответствии с любой нормой закона.
Если Malvern International обрабатывает персональные данные для одной из этих целей, то она может применить исключение из правил обработки, изложенных в данной политике, но только в той степени, в которой отказ от этого может нанести ущерб рассматриваемому случаю.
Обучение по защите данных
Все сотрудники Malvern International, имеющие доступ к персональным данным, получат информацию о своих обязанностях в соответствии с данной политикой в рамках вводного инструктажа. Malvern International будет регулярно проводить обучение по защите данных и предоставлять методические рекомендации для своих сотрудников, и прохождение этого обучения является обязательным.
Трансферы между объектами Malvern International
Для того чтобы компания Malvern International могла эффективно осуществлять свою деятельность на различных сайтах, могут возникнуть случаи, когда необходимо передать персональные данные с одного сайта на другой, чтобы обеспечить доступ к персональным данным из другого места. В этом случае сайт, передающий персональные данные, остается ответственным за обеспечение защиты этих персональных данных, а также за соблюдение правил передачи данных за пределы Европейской экономической зоны. Все сотрудники должны следить за тем, чтобы передача данных осуществлялась официальными, авторизованными средствами. Сотрудникам не разрешается передавать данные неофициально, используя личные платформы, такие как WhatsApp или другие службы мгновенного обмена сообщениями,
Передача третьим лицам
Компания Malvern International передает персональные данные третьим лицам или разрешает к ним доступ только в том случае, если уверена, что информация будет обработана на законных основаниях и защищена надлежащим образом получателем. При обработке третьими сторонами Malvern International сначала определит, считается ли третья сторона в соответствии с действующим законодательством контролером или обработчиком передаваемых персональных данных.
Если третья сторона считается контролером данных, с ней будет заключено соответствующее соглашение, разъясняющее обязанности каждой стороны в отношении передаваемых персональных данных.
Если третья сторона считается обработчиком данных, Malvern International постарается заключить с ним соответствующее соглашение об обработке данных. Соглашение обязывает обработчика данных защищать персональные данные от дальнейшего раскрытия и обрабатывать их только в соответствии с инструкциями Malvern International. Кроме того, соглашение должно требовать от обработчика данных применения соответствующих технических и организационных мер для защиты персональных данных, а также процедур уведомления о нарушении персональных данных.
Когда Malvern International передает услуги третьей стороне, она выясняет, будет ли третья сторона обрабатывать персональные данные от ее имени и повлечет ли аутсорсинг передачу персональных данных в третьи страны. В любом случае компания позаботится о том, чтобы включить в соглашение об аутсорсинге соответствующие положения о такой обработке и передаче данных в третьи страны.
Обработка жалоб
Субъекты данных, имеющие претензии по поводу обработки их персональных данных, должны обращаться в почтовый ящик по защите данных gdpr@malvernplc.com
Сообщение о нарушениях
Любое лицо, которое подозревает, что произошла утечка персональных данных в результате кражи или раскрытия персональных данных, должно немедленно уведомить об этом сотрудника по защите данных, предоставив описание произошедшего. Уведомление об инциденте может быть сделано по электронной почте по адресу gdpr@malvernplc.com
Сотрудник по защите данных расследует все сообщения об инцидентах, чтобы подтвердить, имело ли место нарушение персональных данных. Если факт нарушения персональных данных подтвердится, сотрудник по защите данных будет следовать соответствующей уполномоченной процедуре в зависимости от степени важности и количества персональных данных. В случае серьезных нарушений персональных данных компания Malvern International инициирует и возглавит группу экстренного реагирования для координации и управления мерами реагирования на нарушение персональных данных.
