Политика обработки персональных данных в ОАО «АСБ Беларусбанк»

Настоящая Политика разработана в соответствии с нормативными правовыми актами, ЛПА, указанными в приложении 1 к настоящей Политике. Настоящая Политика является частью Политики информационной безопасности Банка в части обеспечения требуемого уровня безопасности информации, персональных данных в автоматизированных системах Банка и без использования средств автоматизации при личном обращении физического лица в Банк.

Настоящая Политика служит основой для организации работы по обработке персональных данных в Банке, а также для разработки ЛПА (реестров, регламентов, методик, технологических регламентов и др.), регламентирующих процесс обработки персональных данных в Банке.

Настоящую Политику дополняют частные Политики обработки персональных данных по направлениям деятельности, отражающие цели обработки персональных данных, основания обработки, перечень субъектов персональных данных и обрабатываемых данных для каждой Политики, согласно направлению бизнес-процесса: Политика обработки персональных данных клиентов и контрагентов в ОАО «АСБ Беларусбанк», Политика обработки персональных данных в сфере трудовых и связанных с ними отношений, подбора персонала, в сфере образования, осуществления административных процедур по заявлениям работников в ОАО «АСБ Беларусбанк», Политика видеонаблюдения в ОАО «АСБ Беларусбанк», Политика в отношении обработки файлов cookie в ОАО «АСБ Беларусбанк» и иные политики, связанные с обработкой персональных данных, разрабатываемые Банком (далее – частные Политики).

При организации процессов обработки персональных данных Банк исходит из необходимости участия всех работников Банка в рамках их должностных обязанностей в сохранности персональных данных и прозрачности при их обработке.

Основные термины, сокращения и их определения, используемые в настоящей Политике, приведены в приложении 2 к настоящей Политике.

Целью настоящей Политики является установление основных принципов и подходов к обработке и обеспечению защиты персональных данных в Банке в соответствии с требованиями [2].

Банк осуществляет обработку персональных данных в целях:

идентификации/аутентификации субъекта персональных данных при совершении банковских и иных операций;

осуществления банковских и иных операций, сделок в соответствии с законодательством, Уставом Банка, выданными Банку специальными разрешениями (лицензиями), ЛПА;

заключения с субъектом персональных данных любых договоров и их дальнейшего исполнения (в том числе изменения и расторжения);

предоставления субъекту персональных данных информации об оказываемых Банком услугах (совершаемых операциях), о разработке Банком новых банковских продуктов и услуг, об услугах (продуктах) организаций, участников банковского холдинга;

проведения Банком акций, опросов, исследований, иных аналогичных мероприятий;

осуществления рассылки сообщений информационного характера, предложений воспользоваться услугами (продуктами) Банка, иных предложений, рекламной, справочной информации, связанных с оказанием Банком услуг;

ведения кадровой работы и организации учета кандидатов и работников Банка;

регулирования трудовых и иных, непосредственно связанных с ними, отношений;

предоставления персональных данных государственным органам в рамках исполнения законодательства в соответствии со статьей 121 [1];

исполнения требований в отношении персональных данных в рамках исполнения [3];

предоставления персональных данных субъектов персональных данных – резидентов в ПК «Межбанковская система идентификации клиентов» ОАО «Небанковская кредитно-финансовая организация «ЕРИП» в рамках исполнения [5], [6];

предоставления персональных данных в соответствии с требованиями законодательства в рамках осуществления Банком профессиональной деятельности на рынке ценных бумаг [4];

выявления Банком случаев мошенничества, хищения денежных средств, иных противоправных действий, предотвращения таких противоправных действий в дальнейшем и локализации последствий таких действий;

повышения качества обслуживания населения;

оптимизации бизнес-процессов Банка;

формирования специальных предложений для клиентов с последующей их продажей посредством дистанционных банковских услуг Банка, контакт-центра, учреждений Банка;

совершенствования продуктов/услуг Банка;

предоставления персональных данных субъектов персональных данных в автоматизированную систему учета базовых счетов ОАО «Белорусский межбанковский расчетный центр»;

предоставления персональных данных субъектов персональных данных уполномоченному лицу на основании договора для обработки персональных данных от имени Банка или в интересах Банка;

иных, не противоречащих законодательству.

Конкретные цели обработки персональных данных указаны в приложении 3 к настоящей Политике, а также в частных Политиках.

Цели настоящей Политики реализуются посредством:

инвентаризации процессов (каналов), ПК, в ходе которых осуществляется обработка персональных данных;

анализа ЛПА, договоров на соответствие нормам настоящей Политики и законодательства в части обработки персональных данных и при необходимости внесения изменений в ЛПА, договоры;

размещения информации на корпоративном веб-сайте Банка в сети Интернет в отношении обработки персональных данных для посетителей сайта;

доработки ПК Банка;

определения подразделения/лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных.

Обработка персональных данных осуществляется на основе общих принципов:

законности заранее определенных конкретных целей и способов обработки персональных данных;

недопустимости воздействия на технические средства обработки персональных данных, в результате которого нарушается их функционирование;

обеспечения возможности незамедлительного восстановления персональных данных, модифицированных (измененных) или уничтоженных вследствие неправомерного (несанкционированного доступа) к ним;

соответствия объема, характера и способов обработки персональных данных целям обработки персональных данных;

обеспечения прозрачного характера обработки персональных данных посредством предоставления субъекту персональных данных соответствующей информации, касающейся обработки его персональных данных;

достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;

обеспечения конфиденциальности и безопасности обрабатываемых персональных данных, постоянного контроля соблюдения требований по их защите;

обеспечения хранения персональных данных в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют заявленные цели.

Обработка персональных данных осуществляется Банком после получения согласия субъекта персональных данных на обработку его персональных данных для одной или нескольких конкретных целей, за исключением случаев, предусмотренных [2].

В случае необходимости изменения первоначально заявленных целей обработки персональных данных Банк обязан получить согласие субъекта персональных данных на обработку его персональных данных в соответствии с измененными целями обработки персональных данных при отсутствии иных оснований для такой обработки.

До получения согласия субъекта персональных данных Банк в письменной форме, в виде электронного документа либо в иной электронной форме, соответствующей форме выражения такого согласия, предоставляет субъекту персональных данных информацию, содержащую:

наименование и место нахождения Банка;

цели обработки персональных данных;

перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

срок, на который дается согласие субъекта персональных данных;

информацию об уполномоченных лицах в случае, если обработка персональных данных будет осуществляться такими лицами;

перечень действий с персональными данными, на совершение которых дается согласие субъекта персональных данных, общее описание используемых Банком способов обработки персональных данных;

иную информацию, необходимую для обеспечения прозрачности процесса обработки персональных данных.

Обработка персональных данных без согласия субъекта персональных данных запрещается, за исключением обработки персональных данных в целях, установленных статьями 6, 8 [2], иных случаях, установленных законодательными актами.

В Банке используются следующие способы обработки персональных данных: неавтоматизированный, автоматизированный, смешанный.

Персональными данными является не только информация, прямо идентифицирующая или позволяющая идентифицировать физическое лицо, но и та информация, которая в совокупности с другой имеющейся или доступной информацией с разумной вероятностью может быть использована для идентификации физического лица.

Банк не осуществляет обработку специальных персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных или других убеждений, генетических данных, если иное не установлено законодательством.

К субъектам персональных данных относятся:

работники (бывшие работники) Банка, кандидаты для приема на работу, а также их близкие родственники и свойственники;

студенты и иные лица проходящие (проходившие) в Банке практику;

физические лица (помимо работников Банка), входящие (входившие) в органы управления Банка^[1];

физические лица, с которыми Банк заключил (собирается заключить) договоры гражданско-правового характера;

физические лица, которые совершили (собираются совершить) банковскую и (или) иную операцию, сделку;

физические лица, относящиеся к аффилированным лицам, инсайдерам, взаимосвязанным лицам Банка;

акционеры Банка;

физические лица, представляющие законные интересы клиентов (юридических лиц, индивидуальных предпринимателей, физических лиц);

физические лица, приобретшие или намеревающиеся приобрести услуги третьих лиц при посредничестве Банка или не имеющие с Банком договорных отношений при условии, что их персональные данные включены в автоматизированные системы Банка и обрабатываются в соответствии с законодательством о персональных данных;

физические лица, персональные данные которых сделаны ими общедоступными, а их обработка не нарушает их прав и законных интересов и соответствует требованиям, установленным законодательством о персональных данных;

иные физические лица, выразившие согласие на обработку Банком их персональных данных, или физические лица, обработка персональных данных которых необходима Банку для достижения целей, предусмотренных законодательством.

Категории субъектов персональных данных и перечень обрабатываемых персональных данных указаны в приложении 3 к настоящей Политике, а также частных Политиках. Данный перечень персональных данных, обрабатываемых Банком, не является исчерпывающим. Перечень персональных данных, обрабатываемых Банком, может расширяться с учетом требований законодательства и ЛПА.

Хранение персональных данных осуществляется в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем того требуют заявленные цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен законодательством, договором, заключенным с субъектом персональных данных.

[1] Для целей настоящего абзаца термин «орган управления» включает Наблюдательный совет Банка.

Субъект персональных данных имеет право:

отозвать свое согласие на обработку своих персональных данных в любое время без объяснения причин посредством подачи Банку заявления в письменной форме либо в виде электронного документа, либо в форме, посредством которой получено его согласие^[1];

на получение информации, касающейся обработки своих персональных данных, посредством подачи Банку заявления в письменной форме либо в виде электронного документа бесплатно, за исключением случаев, предусмотренных законодательными актами, содержащей:

- наименование оператора и его место нахождения;

- подтверждение факта обработки персональных данных Банком (уполномоченным лицом);

- его персональные данные и источник их получения;

- правовые основания и цели обработки персональных данных;

- срок, на который дано его согласие;

- наименование и место нахождения уполномоченного лица, если обработка персональных данных поручена такому лицу;

- иную информацию, предусмотренную законодательством. При подаче заявления субъект персональных данных не должен обосновывать свой интерес к запрашиваемой информации;

требовать от Банка внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными, посредством подачи Банку заявления в письменной форме либо в виде электронного документа с приложением соответствующих документов и (или) их заверенных в установленном порядке копий, подтверждающих необходимость внесения изменений в персональные данные (копии представляемых документов должны быть заверены организацией/органом, выдавшим оригиналы документов, иным способом, предусмотренным законодательством);

получать от Банка информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно, если иное не предусмотрено [2] и иным законодательными актами, посредством подачи Банку заявления в письменной форме либо в виде электронного документа;

требовать от Банка бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных [2] и иными законодательными актами, посредством подачи Банку заявления в письменной форме либо в виде электронного документа;

обжаловать действия (бездействия) и решения Банка, связанные с обработкой его персональных данных, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных – Национальный центр защиты персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц. Принятое уполномоченным органом по защите прав субъектов персональных данных решение может быть обжаловано субъектом персональных данных в суд в порядке, установленном законодательством;

принимать иные предусмотренные законодательством меры по защите своих прав.

Реализация прав субъекта персональных данных, отраженных в абзацах третьем – шестом пункта 5.1 настоящей Политики, осуществляется путем подачи в Банк соответствующего заявления в письменной форме либо в виде электронного документа в случаях, предусмотренных [2].

Заявление субъекта персональных данных должно содержать:

фамилию, собственное имя, отчество (если таковое имеется), адрес его места жительства (места пребывания);

дату рождения;

изложение сути требований субъекта персональных данных;

идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер ДУЛ субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия или обработка персональных данных осуществляется без согласия субъекта персональных данных;

личную подпись либо электронную цифровую подпись субъекта персональных данных. Заявление об отзыве согласия может быть также направлено в форме, посредством которой получено согласие (каналы дистанционного банковского обслуживания и т. п.).

Право обжалования действий (бездействия) и решений Банка, нарушающих права субъекта персональных данных при обработке персональных данных, реализуется путем направления жалобы в Национальный центр защиты персональных данных.

За содействием в реализации прав субъект персональных данных может обратиться в отдел по осуществлению внутреннего контроля за обработкой персональных данных, направив письменное обращение на почтовый адрес: 220089, г. Минск, пр-т Дзержинского, 18.

Банк имеет право:

обрабатывать персональные данные субъекта персональных данных в соответствии с заявленной целью;

требовать от субъекта персональных данных предоставления достоверных персональных данных, необходимых для идентификации субъекта персональных данных, а также в иных случаях, предусмотренных законодательными актами;

обрабатывать общедоступные персональные данные физических лиц;

в отдельных случаях поручать обработку персональных данных уполномоченному лицу;

осуществлять иные действия, связанные с обработкой персональных данных, не противоречащие действующему законодательству.

Банк обязан:

разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных, механизм их реализации;

получать согласие субъекта персональных данных, за исключением случаев, определенных законодательными актами;

предоставлять субъекту персональных данных информацию о его персональных данных, о правовых основаниях и целях обработки персональных данных, сроке, на который дано согласие, перечне действий с персональными данными, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, определенных законодательными актами;

вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, определенных законодательными актами;

прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных законодательными актами;

уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных;

осуществлять изменение, блокирование или удаление недостоверных, или полученных незаконным путем персональных данных субъекта персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами;

принимать правовые, организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных;

выполнять иные требования, предусмотренные законодательством о персональных данных.

[1] Отзыв согласия субъекта персональных данных не имеет обратной силы в соответствии с [2].

Банк осуществляет трансграничную передачу персональных данных субъектам, находящимся в иностранных государствах, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, без получения их согласия в соответствии со статьями 6, 8 [2].

Перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, определяется Национальным центром по защите персональных данных.

Банк осуществляет трансграничную передачу персональных данных субъектам, находящимся в иностранных государствах, на территории которых не обеспечивается надлежащий уровень защиты прав субъектов персональных данных:

с согласия субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;

по иным правовым основаниям в соответствии со статьей 9 [2], а также в иных случаях, установленных законодательством.

Банк осуществляет обработку персональных данных самостоятельно.

Банк вправе поручить обработку персональных данных от имени Банка или в его интересах уполномоченному лицу. Уполномоченное лицо, осуществляющее обработку персональных данных по поручению Банка, обязано соблюдать требования Закона. Перечень действий уполномоченного лица с персональными данными, цели обработки, обязанность по соблюдению конфиденциальности и обеспечению защиты персональных данных определяются договором, заключенным между Банком и уполномоченным лицом.

Банк может поручать обработку персональных данных уполномоченным лицам в целях:

проектирования и обслуживания интернет-инструментов и приложений, программного обеспечения;

обработки данных о сделках и клиентах, включая случаи привлечения программно-технических комплексов третьих лиц, в том числе, в целях оценки кредитоспособности клиента;

проведения маркетинговых мероприятий или событий и управления коммуникациями с клиентами;

подготовки отчетов и статистики, разработки продуктов;

доставки почтовых отправлений (документов) посредством почтовой или курьерской связи.

Вопросы, касающиеся обработки персональных данных, не затронутые в настоящей Политике, регулируются законодательством.

В случае противоречия между нормами настоящей Политики и законодательством действуют положения законодательства.

ПЕРЕЧЕНЬ
нормативных правовых актов, локальных правовых актов Банка^[1]

1. Банковский кодекс Республики Беларусь.
2. Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных».
3. Закон Республики Беларусь от 30.06.2014 № 165-З «О мерах по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения».
4. Закон Республики Беларусь от 05.01.2015 № 231-З «О рынке ценных бумаг».
5. Указ Президента Республики Беларусь от 18.04.2019 № 148 «О цифровых банковских технологиях».
6. Инструкция о порядке функционирования межбанковской системы идентификации, утвержденная постановлением Правления Национального банка Республики Беларусь от 21.09.2016 № 497.
7. Регламент № 2016/679 Европейского парламента и Совета Европейского Союза «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий Регламент о защите персональных данных)», принятый в г. Брюсселе 27.04.2016.

[1] С принятием новых нормативных правовых актов, ЛПА Банка либо внесением в них изменений руководствоваться вновь принятыми актами.

Термины, сокращения и их определения,
используемые в настоящей Политике

1. аутентификация – процедура проверки данных, предоставленных физическими лицами, их представителями, путем их сравнения с данными, ранее зафиксированными Банком;
2. Банк – ОАО «АСБ Беларусбанк»;
3. близкие родственники – родственники по прямой восходящей и нисходящей линии: родители, усыновители (удочерители) и дети (в том числе усыновленные (удочеренные)); деды, бабки и внуки; полнородные и неполнородные (имеющие общих отца или мать) братья и сестры; супруг (супруга); вышеуказанные родственники супруга (супруги);
4. дочерние компании^[1] – унитарные предприятия Банка и дочерние общества;
5. ДУЛ – документ, удостоверяющий личность;
6. идентификация – комплекс мероприятий по установлению данных о физическом лице, а также по подтверждению достоверности этих данных;
7. ЛПА – локальные правовые акты Банка;
8. ПК – программный комплекс;
9. резиденты – физические лица – граждане Республики Беларусь, а также иностранные граждане и лица без гражданства, получившие разрешение на постоянное проживание в Республике Беларусь;
10. свойственники – родители, дети, в том числе усыновленные (удочеренные), усыновители (удочерители), родные братья и сестры супруга (супруги);
11. согласие – согласие субъекта персональных данных, которое может быть получено в письменной форме, в виде электронного документа или в иной электронной форме;
12. учреждение Банка – центр клиентского обслуживания, областное управление, центр банковских услуг, центр банковских услуг с дополнительными функциями, представительство Банка.

Термины «оператор», «уполномоченное лицо», «обработка персональных данных», «персональные данные», «специальные персональные данные», «общедоступные персональные данные», «субъект персональных данных», используются в значениях, определенных [2].

[1] В рамках настоящего Положения унитарное предприятие «АСБ БРОКЕР» относится к категории «дочерняя компания».