Политика в отношении обработки персональных данных

УТВЕРЖДЕНО приказом генерального директора от 15.09.2025 № 64-од

Глава 1 Общие положения

1. Настоящая Политика унитарного предприятия «Информационное агентство «Минская правда» в отношении обработки персональных данных (далее — Политика) разработана на основании требований Закона Республики Беларусь от 7 мая 2021 г. №99-З «О защите персональных данных» (далее — Закон) и определяет порядок обработки персональных данных в унитарном предприятии «Информационное агентство «Минская правда» (далее – Оператор), регламентирует принимаемые Оператором меры по обеспечению защиты и безопасности персональных данных.

2. Политика действует в отношении всех процессов обработки персональных данных, которые Оператор получает о субъекте персональных данных, и структурных подразделений, их обрабатывающих.

3. Целью настоящей Политики является обеспечение надлежащей защиты персональных данных от несанкционированного доступа и разглашения, соблюдение прав и свобод граждан при обработке их персональных данных, в том числе обеспечение защиты их прав на неприкосновенность частной жизни, личную и семейную тайну.

4. Действующая редакция Политики размещена в свободном доступе в глобальной компьютерной сети Интернет по адресу: https://mlyn.by

5. В целях реализации положений Политики Оператор разрабатывает локальные правовые акты, регламентирующие вопросы обработки персональных данных.

6. В настоящей Политике используются следующие основные термины и их определения:

автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
блокирование персональных данных — прекращение доступа к персональным данным без их удаления;
обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
обработка персональных данных — любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;
общедоступные персональные данные — персональные данные, распространенные самим субъектом персональных данных либо с его согласия или распространенные в соответствии с требованиями законодательных актов;
оператор – государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, в том числе индивидуальный предприниматель (далее, если не определено иное, — физическое лицо), самостоятельно или совместно с иными указанными лицами организующие и (или) осуществляющие обработку персональных данных;
персональные данные — любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;
предоставление персональных данных — действия, направленные на ознакомление с персональными данными определенного лица или круга лиц;
распространение персональных данных — действия, направленные на ознакомление с персональными данными неопределенного круга лиц;
специальные персональные данные — персональные данные, касающиеся расовой либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или половой жизни, привлечения к административной или уголовной ответственности, а также биометрические и генетические персональные данные;
субъект персональных данных — физическое лицо, в отношении которого осуществляется обработка персональных данных;
трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства;
удаление персональных данных — действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных;
уполномоченное лицо – государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, которые в соответствии с актом законодательства, решением государственного органа, являющегося оператором, либо на основании договора с оператором осуществляют обработку персональных данных от имени оператора или в его интересах;
физическое лицо, которое может быть идентифицировано, — физическое лицо, которое может быть прямо или косвенно определено, в частности, через фамилию, собственное имя, отчество, дату рождения, идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности.

Иные термины и их определения, применяемые в настоящей Политике, используются в значениях, определенных законодательством.

Глава 2 Основные принципы обработки персональных данных

7. Обработка персональных данных осуществляется:

с согласия субъекта персональных данных, за исключением случаев, установленных Законом и иными законодательными актами. Субъект персональных данных дает согласие на обработку персональных данных на неопределенный срок, если иное не установлено законодательством;
соразмерно заявленным целям их обработки и обеспечивает на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц. Обработка персональных данных ограничивается достижением конкретных, заранее заявленных законных целей. Не допускается обработка персональных данных, не совместимая с первоначально заявленными целями их обработки. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

8. Обработка персональных данных должна носить прозрачный характер. Субъекту персональных данных в случаях, предусмотренных законодательством, предоставляется соответствующая информация, касающаяся обработки его персональных данных.

9. Оператор обязан принимать меры по обеспечению достоверности обрабатываемых им персональных данных, при необходимости обновлять их.

10. Хранение персональных данных в форме, позволяющей идентифицировать субъекта персональных данных, осуществляется не дольше, чем этого требуют заявленные цели обработки персональных данных, если срок их хранения не установлен законодательством либо договором с субъектом персональных данных.

11. Персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством.

Глава 3 Цели обработки персональных данных

12. Целями обработки Оператором персональных данных являются:

осуществление видов деятельности, предусмотренных Уставом Оператора;
оформление и осуществление трудовых отношений с работниками, включая ведение кадровой работы и организацию учета работников;
подготовка, заключение и исполнение всех видов договоров, включая гражданско-правовые договоры с физическими лицами и договоры с контрагентами;
использование персональных данных в рекламной и маркетинговой деятельности;
ведение бухгалтерского и налогового учета;
начисление и перечисление заработной платы, назначение и выплата пособий, пенсий;
предоставление родственникам работников льгот и компенсаций;
выдача доверенностей и иных уполномочивающих документов;
ведение воинского учета;
обработка обращений граждан и юридических лиц;
исполнение судебных актов, актов органов власти и контролирующих (надзорных) органов;
заполнение и передача в органы государственной власти и управления требуемых форм отчетности;
обеспечение пропускного и внутриобъектового режимов на объектах Оператора;
формирование справочных материалов для внутреннего информационного обеспечения;
организация и проведение государственных статистических наблюдений, формирование статистической информации;
иные предусмотренные законодательством цели.

Глава 4 Категории субъектов персональных данных и перечень обрабатываемых операторов персональных данных

13. Оператор может обрабатывать персональные данные следующих субъектов персональных данных:

кандидатов на работу, работников Оператора (в том числе бывших), их супругов и близких родственников;
физических лиц, выполняющих работу по гражданско-правовым договорам;
студентов, учащихся и иных лиц, прибывших для прохождения практики, стажировки;
представителей контрагентов, в том числе потенциальных (по договорам) – физических лиц;
представителей иных субъектов хозяйствования – физических лиц;
потребителей продукции Оператора;
респондентов, при проведении статистических исследований;
иных субъектов персональных данных, с которыми взаимодействует Оператор.

14. К персональным данным, обрабатываемым Оператором, относятся:

фамилия, собственное имя, отчество;
пол;
число, месяц, год рождения;
идентификационный номер;
паспортные данные;
место рождения;
цифровой фотопортрет;
реквизиты банковского счета;
данные о (об):
гражданстве (подданстве);
регистрации по месту жительства и (или) месту пребывания;
смерти или объявлении физического лица умершим, признании безвестно отсутствующим, недееспособным, ограниченно дееспособным;
родителях, законных представителях, опекунах, попечителях, семейном положении, супруге, ребенке (детях) физического лица;
образовании, ученой степени, ученом звании;
роде занятий;
пенсии, ежемесячном денежном содержании по законодательству о государственной службе, ежемесячной страховой выплате по обязательному страхованию от несчастных случаев на производстве и профессиональных заболеваний;
налоговых обязательствах;
исполнении воинской обязанности;
инвалидности;
наличии исполнительного производства на исполнении в органах принудительного исполнения;
контактные данные (включая номера рабочего, домашнего и/или мобильного телефона, электронной почты и др.);
иные данные, которые могут быть указаны в резюме или анкете субъекта персональных данных, а также данные, необходимые для исполнения взаимных прав и обязанностей между Оператором и работником, представителем субъекта хозяйствования, иным физическим лицом в соответствии с содержанием такого документа.15. Специальные персональные данные Оператор обрабатывает только при условии согласия субъекта персональных данных, за исключением случаев, когда такое согласие не требуется в соответствии с законодательством.

15. Специальные персональные данные Оператор обрабатывает только при условии согласия субъекта персональных данных, за исключением случаев, когда такое согласие не требуется в соответствии с законодательством.

Глава 5 Права и обязанности оператора

16. Оператор имеет право:

получать от субъекта персональных данных достоверные информацию и (или) документы, содержащие персональные данные;
запрашивать у субъекта персональных данных информацию об актуальности и достоверности предоставленных персональных данных;
в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе;
в случае необходимости для достижения целей обработки персональных данных передавать их третьим лицам с соблюдением требований законодательства;
самостоятельно определять перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом.

17. Оператор обязан:

разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;
получать согласие субъекта персональных данных на обработку персональных данных, за исключением случаев, предусмотренных Законом и иными законодательными актами;
обеспечивать защиту персональных данных в процессе их обработки;
предоставлять субъекту персональных данных информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом и иными законодательными актами;
вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо цели обработки персональных данных не предполагают изменений таких данных;
прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечить совершение указанных действий уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами;
уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как Оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных;
осуществлять изменение, блокирование или удаление недостоверных или полученных незаконным путем персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок указанных действий не предусмотрен законодательными актами;
исполнять иные требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных; выполнять иные обязанности, предусмотренные Законом и иными законодательными актами.

Глава 6 Права и обязанности субъекта персональных данных

18. Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных;
получать от Оператора информацию о предоставлении своих персональных данных третьим лицам на условиях, определенных Законом;
отзывать согласие на обработку персональных данных;
обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия (бездействие) Оператора при обработке его персональных данных;
требовать от Оператора:
изменения его персональных данных в случае, если персональные данные являются неполными или устаревшими;
прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами;
осуществления иных прав, предусмотренных законодательством, регламентирующим деятельность Оператора по обработке персональных данных.

19. Субъект персональных данных обязан:

предоставлять Оператору достоверные данные о себе;
сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных. Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством.

Глава 7 Правила обработки персональных данных

20. Обработка Оператором персональных данных осуществляется как с использованием средств автоматизации, так и без использования средств автоматизации.

21. Согласие субъекта персональных данных на обработку его персональных данных оформляется в письменной либо в электронной форме. Согласие субъекта персональных данных на обработку его персональных данных, за исключением специальных персональных данных, не требуется в следующих случаях:

при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в том числе профессионального пенсионного страхования;
в целях назначения и выплаты пенсий, пособий;
в научных или иных исследовательских целях при условии обязательного обезличивания персональных данных;
при получении персональных данных Оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;
при обработке персональных данных, когда они указаны в документе, адресованном Оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
в отношении распространенных ранее персональных данных до момента заявления субъектом персональных данных требований о прекращении обработки распространенных персональных данных, а также об их удалении при отсутствии иных оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами;
в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами;
в иных случаях, когда Законом и иными законодательными актами прямо предусматривается обработка персональных данных без согласия субъекта персональных данных.

22. Обработка специальных персональных данных без согласия субъекта персональных данных запрещается, за исключением следующих случаев:

при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
если специальные персональные данные сделаны общедоступными персональными данными самим субъектом персональных данных;
в целях организации оказания медицинской помощи при условии, что такие персональные данные обрабатываются медицинским, фармацевтическим или иным работником здравоохранения, на которого возложены обязанности по обеспечению защиты персональных данных и в соответствии с законодательством распространяется обязанность сохранять врачебную тайну;
для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
в случаях, когда обработка специальных персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами;
в иных случаях, когда Законом и иными законодательными актами прямо предусматривается обработка специальных персональных данных без согласия субъекта персональных данных.

23. Источником информации о персональных данных является непосредственно субъект персональных данных. Если иное не установлено Законом, Оператор вправе получать персональные данные субъекта персональных данных от третьих лиц только при письменном уведомлении об этом субъекта, либо при наличии письменного либо электронного согласия субъекта на получение его персональных данных от третьих лиц.

24. При хранении персональных данных должны соблюдаться условия, обеспечивающие сохранность персональных данных. Документы, включающие в себя персональные данные, содержащиеся на бумажных носителях, находятся в специально отведенных для этого местах с ограниченным доступом в условиях, которые обеспечивают их защиту от несанкционированного доступа. Перечень мест хранения документов определяется Оператором. Персональные данные, хранящиеся в электронном виде, защищаются от несанкционированного доступа с помощью специальных технических и программных средств защиты. Хранение персональных данных в электронном виде вне применяемых Оператором информационных систем и специально обозначенных Оператором баз данных (внесистемное хранение персональных данных) не допускается.

25. Доступ к персональным данным предоставляется только тем работникам Оператора, служебные (рабочие) обязанности которых предполагают работу с персональными данными, и только на период, необходимый для работы с соответствующими данными. Перечень таких лиц определяется в локальном правовом акте Оператора, утвержденном его руководителем. В случае возникновения необходимости предоставить доступ к персональным данным работникам, не входящих в Перечень лиц, имеющих доступ к персональным данным, им может быть предоставлен временный доступ к ограниченному объему персональных данных по приказу руководителя Оператора или иного лица, уполномоченного руководителем Оператора.

26. Лица, имеющие доступ к обработке персональных данных, должны быть ознакомлены под подпись со всеми локальными правовыми актами Оператора в области обработки и защиты персональных данных и подписать обязательство о неразглашении персональных данных.

27. Уточнение персональных данных при их обработке без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя — путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

28. Уничтожение или обезличивание персональных данных должно производиться способом, исключающим дальнейшую обработку этих персональных данных. При этом в случае необходимости следует сохранять возможность обработки иных данных, зафиксированных на соответствующем материальном носителе.

29. Передача персональных данных третьим лицам допускается в минимально необходимых объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных. Передача персональных данных третьим лицам, в том числе в коммерческих целях, допускается только при наличии согласия субъекта либо иного законного основания. При передаче персональных данных третьим лицам их субъект должен быть уведомлен о такой передаче, за исключением случаев, определенных Законом. Передача информации, содержащей персональные данные, должна осуществляться способом, обеспечивающим защиту от неправомерного доступа, уничтожения, изменения (модификации), блокирования, копирования, распространения, а также иных неправомерных действий в отношении такой информации.

30. Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, предусмотренных Законом.

31. Лица, получающие персональные данные, должны предупреждаться о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и с соблюдением режима конфиденциальности. Оператор вправе требовать от этих лиц подтверждение того, что это правило соблюдено.

32. В случаях, когда государственные органы имеют право запросить персональные данные или персональные данные должны быть предоставлены в силу законодательства, а также в соответствии с запросом суда, соответствующая информация может быть им предоставлена в порядке, предусмотренном действующим законодательством. Все поступающие запросы на выдачу персональных данных должны передаваться для предварительного рассмотрения и согласования в подразделение Оператора, ответственное за организацию обработки персональных данных.

33. Оператор вправе поручить обработку персональных данных уполномоченному лицу. В договоре между Оператором и уполномоченным лицом должны быть определены:

цели обработки персональных данных;
перечень действий, которые будут совершаться с персональными данными уполномоченным лицом;
обязанности по соблюдению конфиденциальности персональных данных;
меры по обеспечению защиты персональных данных в соответствии со ст. 17 Закона.
Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению Оператора необходимо получение согласия субъекта персональных данных, такое согласие получает Оператор.
В случае если Оператор поручает обработку персональных данных уполномоченному лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Оператор. Уполномоченное лицо несет ответственность перед Оператором.

34. При обработке персональных данных Оператор принимает правовые, организационные и технические меры, направленные на:

обеспечение защиты информации от неправомерного доступа, уничтожения, изменения (модифицирования), блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
соблюдение конфиденциальности информации ограниченного доступа;
реализацию права на доступ к информации.

35. Для защиты персональных данных Оператор реализует предусмотренные Законом меры (включая, но не ограничиваясь):

ограничивает и регламентирует состав работников, функциональные обязанности которых требуют доступа к информации, содержащей персональные данные (в том числе путем использования паролей доступа к электронным информационным ресурсам);
обеспечивает условия для хранения документов, содержащих персональные данные, в ограниченном доступе;
организует порядок уничтожения информации, содержащей персональные данные, если законодательством не установлены требования по хранению соответствующих данных;
контролирует соблюдение требований по обеспечению безопасности персональных данных, в том числе установленных настоящей Политикой (путем проведения внутренних проверок, установления специальных средств мониторинга и др.);
проводит расследование случаев несанкционированного доступа или разглашения персональных данных с привлечением виновных работников к ответственности, принятием иных мер;
внедряет программные и технические средства защиты информации в электронном виде;
обеспечивает возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

36. Организация обработки персональных данных осуществляется организационно-кадровой службой Оператора. Из числа сотрудников указанного подразделения назначается лицо, ответственное за организацию внутреннего контроля за обработкой персональных данных Оператором.

37. Оператором принимаются иные меры, направленные на обеспечение выполнения им обязанностей в сфере обработки персональных данных, предусмотренных действующим законодательством.

Глава 8 Заключительные положения

38. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Законом.

39. Настоящая Политика вступает в силу со дня ее утверждения.

40. Оператор имеет право изменять настоящую Политику в одностороннем порядке без предварительного согласования и последующего уведомления субъектов персональных данных.

41. Вопросы, касающиеся обработки персональных данных, не закрепленные в настоящей Политике, регулируются законодательством.