РЕГЛАМЕНТ
по обработке и защите персональных данных
компании КРКА в Республике Армения

1.             Общие положения

1.1. Настоящий Регламент по обработке и защите персональных данных распространяется на представительство АО “КРКА, Фармацевтический завод, д.д., Ново Место” в Республике Армения (далее – Компания).   

1.2. Настоящий Регламент:

• разработана в целях обеспечения реализации требований законодательства Республики Армения в области обработки персональных данных субъектов персональных данных;
• устанавливает основные группы субъектов, персональные данные которых обрабатываются в Компании, а также цели, способы и принципы обработки Компанией персональных данных, права и обязанности Компании при обработке персональных данных, права субъектов персональных данных, а также перечень мер, применяемых Компанией в целях обеспечения безопасности персональных данных при их обработке;
• является локальным нормативным актом Компании и одновременно общедоступным документом, устанавливающим  концептуальные основы деятельности Компании в области обработки и защиты персональных данных.

2.             Основные понятия, используемые в Регламенте

Персональные данные – любая информация, касающаяся физического лица (субъекта персональных данных) и позволяющая прямо или косвенно идентифицировать личность лица.

Обработка персональных данных – любое действие или совокупность действий, совершаемых в любой форме и любым способом (в т.ч. с использованием средств автоматизации, любых технических средств или без таковых) с персональными данными, связанные со сбором или записью, или систематизацией, или организацией, или хранением, или использованием, или изменением, или восстановлением, или передачей, или обезличиванием, или блокированием, или уничтожением, или совершением прочих действий с  персональными данными.  

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Передача персональных данных третьим лицам – действия, направленные на передачу персональных данных определенному лицу или определенному кругу лиц или ознакомление с ними, в том числе публикация персональных данных в средствах массовой информации, размещение в информационно-коммуникационных сетях или предоставление персональных данных другому лицу иным способом.

Блокирование персональных данных – временное приостановление возможности сбора или записи, или систематизации, или передачи, или использования персональных данных.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных.

Обезличивание персональных данных – действия, в результате которых становится невозможным определить принадлежность персональных данных конкретному субъекту персональных данных.

Информационная система – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3.             Правовые основания и цели обработки персональных данных

3.1. Регламент составлен в соответствии с настоящими правовыми актами Республики Армения:

• Конституция Республики Армения;
• закон Республики Армения “О защите персональных данных”.

4.             Обрабатываемые категории персональных данных

Компания собирает и обрабатывает персональные данные в объеме и количестве, минимально необходимых для целей их обработки, определенных в пункте 5.4. настоящего Регламента.

5.      Основные принципы обработки Компанией персональных данных

5.1. Законность обработки персональных данных
Обработчик персональных данных обязан отслеживать и обеспечивать обработку данных в соответствии с требованиями закона Республики Армения. Обработка персональных данных осуществляется на законных основаниях и в определенных целях и не может быть использована в других целях без согласия субъекта данных.

5.2. Согласие субъекта на обработку его персональных данных
Обработка персональных данных осуществляется с согласия субъекта на обработку его персональных данных, если только право на обработку персональных данных без получения соответствующего согласия субъекта этих данных не установлено законами Республики Армения или ратифицированными Республикой Армения международными договорами.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, по своей воле и исходя из своих интересов. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем.

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в случаях и порядке, предусмотренных законами Республики Армения. В случае аннулирования согласия субъекта персональных данных в письменной форме, заверенного подписью, или в электронном виде, заверенного электронной цифровой подписью, Компания обязана прекратить обработку персональных данных и уничтожить данные в течение десяти рабочих дней, следующих за днем получения отзыва, если иное не предусмотрено взаимным согласием субъекта персональных данных и Компании или законом Республики Армения. Компания обязана в течение трех рабочих дней с момента аннулирования уведомить субъекта об уничтожении его персональных данных.

В случае недееспособности или ограниченной дееспособности субъекта персональных данных или если он является несовершеннолетним в возрасте до 16 лет, согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.

В случае смерти субъекта персональных данных или признания его умершим по решению суда согласие на обработку его персональных данных дают все законные наследники субъекта данных, в случае отсутствия наследников – глава общины по месту открытия наследства, а в случае признания безвестно отсутствующим – доверительный управляющий имуществом лица, признанного безвестно отсутствующим, если до этого субъект персональных данных не давал такого согласия.

5.3.       Источники получения персональных данных Компанией
Компания получает персональные данные у самих субъектов персональных данных.  

Общедоступные персональные данные о субъекте персональных данных Компания может получить без согласия субъекта персональных данных.  

Если персональные данные получены не от субъекта персональных данных, за исключением случаев, предусмотренных Законом Республики Армения, а также не из общедоступных персональных данных, то Компания до обработки таких персональных данных обязана предоставить субъекту персональных данных информацию, установленную законодательством Республики Армения.

Кроме того, в случаях и порядке, установленных законодательством Республики Армения, Компания также имеет право обрабатывать персональные данные, полученные от представителя субъекта персональных данных, наследников субъекта, а также из общедоступных источников.

5.4.       Цели обработки персональных данных
Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей.

Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

Обработке подлежат только персональные данные, которые отвечают целям их обработки.

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки.

Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

Компания обрабатывает персональные данные в целях достижения следующих целей:

• исполнение Компанией положений нормативных правовых актов, указанных в пункте 3.1 настоящего Регламента, иных нормативных правовых актов Республики Армения, а также требований международных договоров Республики Армения;
• реализация прав, обязанностей и полномочий Компании при осуществлении этой Компанией ее видов деятельности;
• ведение кадрового учета работников Компании, начисления им заработной платы и исполнение иных обязанностей Компании как работодателя;
• выполнения Компанией обязательств по заключенным договорам;
• организация пропускного и внутриобъектового режима на территории Компании;
• защита жизни, здоровья, имущественных и неимущественных прав и интересов субъекта персональных данных, Компании или иных лиц;
• иные цели, не запрещенные законодательством Республики Армения.

5.5.       Принцип актуальности, полноты и достоверности персональных данных
При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. В случаях и в порядке, установленных законодательством Республики Армения, Компания должна обеспечить толкование, блокирование или уничтожение персональных данных, которые являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

5.6.       Принципы обработки биометрических персональных данных
Компания в случаях, предусмотренных законодательством РА, вправе обрабатывать те персональные данные, на обработку которых субъекты персональных данных дают свое согласие. В случаях, предусмотренных законодательством РА, Компания обязана уведомить уполномоченный орган о своем намерении обрабатывать биометрические персональные данные.

5.7.       Принципы обработки специальных категорий персональных данных
Компания вправе обрабатывать специальные категории персональных данных, относящиеся к состоянию здоровья, а также другие конкретные категории персональных данных сотрудников Компании, кандидатов на вакантные должности Компании, индивидуальных подрядчиков, а также субъектов персональных данных.

Согласно законодательству Республики Армения, обработка персональных данных специальной категории без согласия лица запрещается, за исключением случаев, когда обработка данных прямо предусмотрена законом. Обработка персональных данных немедленно прекращается, если исчезли основания и цель обработки персональных данных.

В соответствии с законодательством РА Компания до обработки персональных данных специальной категории обязана уведомить уполномоченный орган по защите персональных данных о намерении их обработки.

5.8.       Принципы осуществления трансграничной передачи персональных данных
Компания осуществляет трансграничную передачу персональных данных на территорию других зарубежных государств в случае, когда передача осуществляется в соответствии с законодательством Республики Армения.   Настоящим субъекты персональных данных дают свое согласие на передачу персональных данных третьим странам. Передача персональных данных в другие страны без разрешения отдельного уполномоченного органа может осуществляться, если в этом государстве обеспечен достаточный уровень защиты персональных данных, перечень которых определен в списке решения N ATПП-001/24 “Об установлении перечня государств, обеспечивающих достаточный уровень защиты персональных данных”, который может время от времени изменяться.

6.             Сведения о лицах, осуществляющих обработку персональных данных

В целях соблюдения законодательства Республики Армения, для достижения целей обработки, а также в интересах и с согласия субъектов персональных данных (или, если это предусмотрено законодательством Республики Армения, без согласия, но с защитой их прав и интересов), Компания может предоставлять персональные данные третьим лицам в ходе своей деятельности.

7.             Права субъектов персональных данных

7.1. Субъект данных имеет право на получение информации о своих персональных данных, основаниях и целях обработки, обработки данных, обработчике данных, его местонахождении, а также о круге лиц, которым персональные данные могут быть переданы Компанией.

7.2. Субъект данных имеет право ознакомиться со своими персональными данными, потребовать от обработчика исправить, заблокировать или уничтожить свои персональные данные, если персональные данные не являются полными или точными, устарели или были получены незаконным путем или не являются необходимыми для достижения целей обработки.

7.3. Для реализации своих прав и защиты законных интересов субъект персональных данных имеет право обратиться в Компанию. Компания рассматривает все заявления и жалобы субъектов персональных данных, тщательно проверяет факты нарушения и принимает все необходимые меры для их немедленного устранения, разрешения споров и конфликтных ситуаций во внесудебном порядке.

Запрос субъекта персональных данных о предоставлении информации для обработки своих персональных данных должен содержать обязательные сведения, установленные законодательством Республики Армения о персональных данных, в том числе номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, ведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Компанией, а также подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Республики Армения.  

7.4. Субъект персональных данных вправе обжаловать действия или бездействие Компании путем обращения в уполномоченный орган по защите прав субъектов персональных данных.

7.5. Запросы субъекта персональных данных для получения им сведений о своих персональных данных, ознакомления с ними, для их уточнения, блокирования или уничтожения, исключения их из общедоступных источников, отзыва согласия на их обработку субъект персональных данных должны быть направлены по следующему электронному адресу: info.am@krka.biz

7.6. Субъект персональных данных вправе защищать свои права и законные интересы в судебном порядке, в том числе получать полное возмещение причиненных убытков и (или) компенсацию упущенной выгоды.

8.             Сроки обработки (хранения) персональных данных

8.1. Срок обработки персональных данных начинается с момента их получения Компанией.

8.2. Компания осуществляет хранение персональных данных в форме, позволяющей определить субъект персональных данных, не дольше, чем того требуют цели обработки этих персональных данных.

8.3. Персональные данные работников Компании, а также, в установленных законодательством Республики Армения случаях – родственников работников, используются в течение трудовой деятельности данных работников в соответствии с трудовым договором, а также на протяжении установленного законодательством срока хранения личного дела в архиве.

9.             Уточнение, блокирование и уничтожение персональных данных

9.1. Целью уточнения персональных данных, в том числе обновления и изменения, является обеспечение достоверности, полноты и актуальности персональных данных, обрабатываемых Компанией.

9.2. Уточнение персональных данных осуществляется Компанией по собственной инициативе, по требованию субъекта персональных данных или его представителя, по требованию уполномоченного органа по защите прав субъектов персональных данных в случаях, когда установлено, что персональные данные являются неполными, устаревшими, недостоверными։

9.3. Целью блокирования персональных данных является временное прекращение обработки персональных данных до момента устранения обстоятельств, послуживших основанием для блокирования персональных данных.

9.4. Блокирование персональных данных осуществляется Компанией по требованию субъекта персональных данных или его представителя, а также по требованию уполномоченного органа по защите прав субъектов персональных данных в случае выявления недостоверных персональных данных или неправомерных действий с ними.

9.5. Уничтожение персональных данных осуществляется Компанией:

• по достижении цели обработки персональных данных;
• в случае отсутствия необходимости в достижении целей обработки персональных данных;
• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных;
• по требованию субъекта персональных данных или уполномоченного органа по защите прав субъектов персональных данных в случае выявления фактов совершения Компанией неправомерных действий с персональными данными, когда устранить соответствующие нарушения не представляется возможным.

9.6. При уничтожении материальных носителей персональных данных составляется акт об уничтожении носителей, содержащих персональные данные.

10.             Права и обязанности Компании

10.1. Компания обязана осуществлять обработку персональных данных в строгом соответствии с законодательством Республики Армения.

10.2. Компания вправе:

• обрабатывать персональные данные субъекта без согласия последнего, в случаях, предусмотренных законодательством Республики Армения;
• в случаях и в порядке, напрямую предусмотренных законодательством Республики Армения, получать персональные данные от третьих лиц, в том числе, когда это допустимо, без получения предварительного согласия на это субъекта персональных данных;  
• поручать обработку персональных данных или передавать персональные данные третьим лицам, когда это не противоречит законодательству Республики Армения;
• в случаях, предусмотренных законодательством Республики Армения, отказывать субъекту персональных данных или иным лицам в предоставлении им персональных данных, а также информации, касающейся обработки персональных данных, в уточнении, блокировании или уничтожении персональных данных или в прекращении их обработки;
• защищать свои права и интересы в суде, а также любыми иными законными средствами;
• осуществлять иные права, предоставленные ему законодательством Республики Армения.

11.             Заключительные положения

11.1. Настоящий Регламент является общедоступным документом Компании и подлежит размещению на общедоступном информационном ресурсе Компании.

11.2. Настоящий Регламент подлежит изменению, дополнению в случае изменения законодательства Республики Армения, правовых актов Компании в области обработки и защиты персональных данных, а также в иных необходимых случаях.

11.3. Контроль исполнения требований настоящего Регламента Компанией осуществляется ответственным за организацию обработки персональных данных.

11.4. Ответственность Компании, а также его должностных лиц и сотрудников за невыполнение требований норм, регулирующих обработку и защиту персональных данных, установлена законодательством Республики Армения и внутренними правовыми актами Компании.