Անձնական տվյալների գաղտնիության պահպանման մասին ԿԿՀԲՔ-ի քաղաքականություն

 

1. Քաղաքականության նպատակը, կիրառման ոլորտը եւ ռիսկի գործոնը

 

ԿԿՀԲՔ-ն (այսուհետ՝ Ընկերություն) հանձն է առել պաշտպանել իր բիզնես գործունեության համատեքստում ձեռք բերված անձնական տվյալները՝ հետեւելով անձնական տվյալների մշակմանը վերաբերող գործող օրենսդրական ու կարգավորող դաշտին, եւ իր հաճախորդների տվյալների ապահովությունը երաշխավորելու միջոցով պահպանել իր հեղինակությունն ու շուկայում իր մրցակցային դիրքը:

Հասանելի քաղաքականությունը սահմանում է տվյալների գաղտնիության պահպանման այն սկզբունքները եւ պրակտիկաները, որոնք պետք է կիրառվեն Ընկերության ներսում՝ հաշվի առնելով անձնական տվյալների պաշտպանության մասին տեղական օրենքները եւ կանոնակարգերը: Քաղաքականությունը վերաբերում է Ընկերության ներսում տվյալների, տեղեկատվական համակարգերի, գործառնությունների եւ գործընթացների բոլոր այն ձեւերին, որոնք ներառում են անձնական տվյալների հավաքագրումը, պահպանումը, օգտագործումը եւ փոխանցումը:

Քաղաքականությունը վերաբերում է Ընկերության եւ ողջ աշխարհում Ընկերության դուստր ընկերությունների բոլոր աշխատակիցներին, ինչպես նաեւ՝ ցանկացած արտաքին բիզնես գործընկերներին (օրինակ՝ մատակարարներին, կապալառուներին, վաճառողներին եւ այլ ծառայություններ մատուցողներին), որոնք որեւէ ձեւով Ընկերության անունից ստանում, ուղարկում, հավաքագրում, հասանելիություն են ունենում կամ մշակում են անձնական տվյալներ:

Տվյալների պաշտպանության կանոնների, այդ թվում՝ սույն քաղաքականության մեջ սահմանված կանոնների չպահպանումը համարվում է Ընկերության Գործարար վարքագծի կոդեքսի խախտում եւ կարող է հանգեցնել կարգապահական տույժի, ընդհուպ՝ աշխատանքից հեռացման:

Ռիսկի գործոն՝ Քաղաքականության բացակայությունը կարող է հանգեցնել Ընկերության ընթացակարգերի չկանխամտածված խախտմանը, Ընկերության դասակարգված տեղեկատվության չարտոնված բացահայտմանը կամ ամբողջականության խաթարմանը կամ Ընկերության ակտիվների վնասմանը, որը կհանգեցնի մրցակցային առավելության կորստին կամ ԵՄ-ի Ընդհանուր տվյալների պաշտպանության կանոնակարգի (այսուհետ՝ ԸՏՊԿ) եւ այլ գործող օրենքների խախտմանը՝ պատճառելով ֆինանսական վնաս եւ/կամ բացասական ազդեցություն ունենալով Ընկերության կորպորատիվ հեղինակության վրա:  

 

2. Քաղաքականության մասին հայտարարություն

 

Ընկերությունը պետք է սահմանի համապատասխան կազմակերպչական և տեխնիկական  հսկողության մեխանիզմներ, որպեսզի պաշտպանի թե՛ էլեկտրոնային, թե՛ ֆիզիկական  ձևաչափով անձնական տվյալների ամբողջականությունը, գաղտնիությունը և  հասանելիությունը:

Տվյալների պաշտպանության մասին քաղաքականությունը չի փոխարինում սահմանված Տեղեկատվության պաշտպանության քաղաքականությանը եւ Ընդունելի օգտագործման քաղաքականությանը, սակայն փոխարենը լրացնում է դրանց տեխնիկական եւ կազմակերպչական հսկողության մեխանիզմներով՝ Անձնական տվյալները դիտարկելով ԸՏՊԿ-ի պահանջներին համապատասխան ձեւով:

 

Սխեմա 1՝ Ի լրումն արդեն առկա հսկողության մեխանիզմների ԵՄ ԸՏՊԿ-ի համաձայն լրացուցիչ հսկողության մեխանիզմներ

 

 

3. Նպատակ 

 

Ընկերությունը որպես Տեղեկատվության պաշտպանության քաղաքականության մաս սահմանել է Տեղեկատվության դասակարգման քաղաքականություն կոչվող տվյալների դասակարգման սխեմա՝ հաշվի առնելով Անձնական տվյալները:  

Այդ Քաղաքականության համաձայն, բոլոր անձնական տվյալները պետք է համարվեն գաղտնի եւ որպես այդպիսին դրանք պետք է պատշաճ կերպով պաշտպանված լինեն չարտոնված օգտագործումից եւ/կամ բացահայտումից: Սույն Քաղաքականությունը ուրվագծում է այդ տեղեկությունների հավաքագրմանը, պահեստավորմանը, փոխանցմանը եւ տնօրինմանը վերաբերող հատուկ կանոնները, որպեսզի ապահովի թե՛ ֆիզիկական, թե՛ էլեկտրոնային ֆայլերի, ինչպես նաեւ դրանց համապատասխան տեղեկատվական համակարգերի դասակարգված, պիտակավորված եւ արդյունավետ ձեւով պաշտպանված լինելը:

 

 

4. Փաստաթղթի տնօրինումը եւ վերանայումը

Սույն փաստաթուղթը տնօրինում է Ընկերության Տվյալների պաշտպանության պատասխանատուն (այսուհետ՝ ՏՊՊ): Սույն փաստաթուղթը պետք է վերանայվի եւ անհրաժեշտության դեպքում թարմացվի նվազագույնը տարեկան մեկ անգամ: 

 

5. Փաստաթղթի հաստատումը

Փաստաթուղթը հաստատում է Ընկերության Տեղեկատվական անվտանգության գլխավոր պատասխանատուն (այսուհետ՝ ՏԱԳՊ):

 

6. Քաղաքականության վերաբերյալ մանրամասներ

6.1. Տվյալների հավաքագրում 

 

Անձնական տվյալների հավաքագրումը պետք է լինի ճշգրիտ, վերաբերելի եւ սահմանափակվի նրանով, ինչն անհրաժեշտ է օրինական բիզնես նպատակների համար:

Ընկերությունը պետք է իրականացնի լրացուցիչ հավաստիության ստուգման գործընթացներ, որպեսզի երաշխավորի, որ հավաքագրված անձնական տվյալները ճշգրիտ եւ ամբողջական են այն բիզնես նպատակների համար, որոնց համար դրանք նախատեսված են օգտագործել:

Ընկերությունը պետք է վերանայի եւ ապահովի, որ անձնական տվյալների հավաքագրման բոլոր մեթոդները լինեն արդար եւ օրինական, առանց ահաբեկման կամ խաբեության, անձնական տվյալների հավաքագրման հետ կապված օրենքներին եւ կանոնակարգերին համապատասխան։

Ավելին, Ընկերությունը պետք է հաստատի, որ երրորդ անձինք, ումից հավաքագրվել են տվյալները

• • կիրառում են տեղեկությունների հավաքագրման արդարացի եւ օրինական մեթոդներ
  • Ընկերության անունից անձնական տվյալների հավաքագրման, օգտագործման եւ փոխանցման առումով ենթարկվում են սույն Քաղաքականությանը եւ կատարում Ընկերության հետ իրենց պայմանագրային պարտավորությունները:

 

6.2. Օգտագործման եւ երրորդ անձանց համար բացահայտման սահմանափակում

 

Անձնական տվյալները չպետք է օգտագործվեն կամ բացահայտվեն սկզբնական հավաքագրման նպատակներից տարբեր հետագա այլ նպատակների համար, բացի այն դեպքերից, երբ տվյալների սուբյեկտը հստակ կերպով տվել է իր համաձայնությունը կամ երբ այդպես է պահանջվում օրենքով:

Եթե անհրաժեշտություն է առաջանում համագործակցել նոր մատակարարի հետ որպես տվյալներ մշակողի, Ընկերության Տվյալների պաշտպանության պատասխանատուն եւ կիրառելիության դեպքում՝ լոկալ Տվյալների պաշտպանության համակարգողը (կիրառելիության դեպքում՝ ՏՊՊ-ն) պետք է ժամանակին տեղեկացվի եւ ներգրավվի նախապես, որպեսզի երաշխավորվի մատակարարի ընտրության գործընթացի ժամանակ եւ մատակարարի հետ պայմանագրի կնքումից առաջ տվյալների մշակողի պատշաճ ստուգման իրականացումը:

Եթե Ընկերությունը որոշի դադարեցնել համագործակցությունը տվյալների մշակողի հետ, ով Ընկերության անունից մշակել է անձնական տվյալները, ապա Ընկերությունը պետք է ապահովի, որ բոլոր անձնական տվյալները վերադարձվեն կամ ընդմիշտ ջնջվեն, ոչնչացվեն կամ անանուն լինեն տվյալների մշակողի տարածքում: 

Որոշ հանգամանքներում թույլատրվում է անձնական տվյալները բացահայտել իրավապահ մարմիններին առանց տվյալների սուբյեկտի համաձայնության: Այդ դեպքերում Ընկերությունը կարող է բացահայտել պահանջվող տվյալները: Սակայն, Ընկերությունը պետք է համոզվի, որ պահանջը օրինաչափ է եւ անհրաժեշտության դեպքում պետք է խորհրդակցի Ընկերության իրավախորհրդատուների հետ:

 

6.3. Տվյալների միջազգային փոխանցում ԵՏԳ-ի տարածքում եւ ԵՏԳ-ից դուրս

 

Ընկերությունը մշակել եւ ստեղծել է տվյալների միջսահմանային փոխանցմանը վերաբերող համակարգ, ներառյալ համապատասխան ընթացակարգեր՝ հետեւելու եւ/կամ վերահսկելու անդրսահմանային տվյալների հոսքերը Եվրոպական տնտեսական գոտուց (ԵՏԳ) դեպի ԵՏԳ-ից դուրս գտնվող երկիր: Ի լրումն դրա, Ընկերությունը միշտ պետք է հետեւի, որ որեւէ անձնական տվյալ չփոխանցվի Եվրոպական տնտեսական գոտուց (ԵՏԳ) դեպի երրորդ երկիր, որը կամ իր ներքին օրենսդրության կամ այն միջազգային հանձնառությունների համաձայն, որոնց անդամ է հանդիսանում այդ երկիրը, պատշաճ պահանջներ չունի կիրառվող տվյալների պաշտպանության նկատմամբ:

Եթե անձնական տվյալները փոխանցվում են ԵՏԳ-ից դուրս, Ընկերությունը պետք է ապահովի համաձայնագրի առկայությունը, որով երաշխավորվում է փոխանցման պատշաճ մեխանիզմների եւ տվյալների պաշտպանության հսկողության մեխանիզմների առկայությունը:

ԵՏԳ-ից դուրս որեւէ վայր փոխանցվող անձնական տվյալների մասով անվտանգության երաշխիքներ տրամադրող համաձայնագիր չի պահանջվում, երբ կիրառելի է ստորեւ նշվածներից որեւէ մեկը՝

• • անձինք տվել են իրենց տեղեկությունների փոխանցման համար համաձայնություն
  • առաջարկվող ուղղությունը սպիտակ ցանկում ընդգրկված երկիր է:

 

6.4. Տվյալների պահեստավորում

 

Ֆիզիկական ձեւաչափով, տվյալների բազայում, կոշտ սկավառակների վրա, լափթոփներում կամ ցանկացած այլ էլեկտրոնային տարբերակով պահեստավորված անձնական տվյալները պետք է պատշաճ կերպով պաշտպանված լինեն չարտոնված հասանելիությունից, բացահայտումից եւ/ կամ միջամտությունից: Ընկերությունը պետք է կիրառի պատշաճ տեխնիկական հսկողության մեխանիզմներ՝

• • ոլորտում ընդունված խստացման ստանդարտներ աշխատանքային կայանների, սերվերների եւ տվյալների բազաների համար
  • անձնական տվյալներ պահող բոլոր կորպորատիվ աշխատանքային կայանների/լափթոփների օպերացիոն համակարգերի դիսկերի վրա սկավառակի ծրագրային ապահովումների լրիվ ծածկագրում
  • հանգստի պահին ծածկագրում, այդ թվում՝ Ընկերության տարածքից դուրս անձնական տվյալների բանալիների կառավարում
  • անձնական տվյալներ մշակող բոլոր համակարգերում անվտանգության ստուգմամբ մուտքի ակտիվացում
  • շարժական կրիչների, օրինակ՝ USB ֆլեշ հիշողությամբ սկավառակների օգտագործման սահմանափակում
  •  փորձարկման միջավայրում անանունացման տեխնիկաների կիրառում
  • ծրագրային ապահովումների, համակարգերի եւ հավելվածների վրա օպերատիվ շտկման միջանկյալ ծածկագրերի ներդրում
  • անձնական տվյալներ պարունակող համակարգեր մուտք գործող օգտվողների եւ ադմինիստրատորների երկգործոն նույնականացում
  • թղթային տարբերակով անձնական տվյալների պահեստավորման դեպքում ֆիզիկական մուտքի վերահսկում:

 

6.5. Տվյալների փոխանցում

 

Անձնական տվյալները հաղորդելիս կամ փոխանցելիս Ընկերությունը պետք է ապահովի համապատասխան կազմակերպչական եւ տեխնիկական հսկողության մեխանիզմների կիրառումը՝ տվյալների գաղտնիությունը եւ ամբողջականությունը երաշխավորելու համար: Հսկողության մեխանիզմները պետք է թույլ տան՝

• • ակտիվացնել ծածկագրված հաղորդակցության կապուղիները կրիպտոգրաֆիկ արձանագրությունների միջոցով (TLS)
  • ծածկագրել բոլոր մուտքային/ելքային կապերը
  • ապահովել մուտքի թույլտվության տրամադրումը Ընկերության նույնականացման եւ թույլտվության սկզբունքների հիման վրա  
  • ծածկագրել անձնական տվյալներ պարունակող էլ. հաղորդագրությունները եւ կից փաստաթղթերը, ծածկագրման բացակայության դեպքում՝ տրամադրել ուղեցույցներ, որպեսզի գաղտնաբառ ունեցող կից փաստաթղթերը փոխանցվեն առանձին հաղորդագրությամբ
  • Ընկերությանը վերաբերող անձնական տվյալները ուշադիր եւ Ընդունելի օգտագործման քաղաքականության համաձայն կառավարելու նպատակով աշխատակիցների եւ ադմինիստրատորների համար անցկացնել վերապատրաստումներ եւ տեղեկացվածության մակարդակի բարձրացում, որպեսզի հնարավոր լինի խուսափել՝
    • Անձնական տվյալները ոչ կորպորատիվ էլ. փոստերին, օրինակ՝ “Gmail”-ին կամ “Outlook”-ին ուղարկելուց
    • անձնական տվյալները ոչ կորպորատիվ “cloud” ծառայություններ բեռնելուց
    • անձնական տվյալները բանավոր կամ գրավոր կերպով չլիազորված անձանց փոխանցելուց: 

 

6.6. Տվյալների պահպանում

 

Ընկերությունը օրենսդրությամբ սահմանված պարտականություն է կրում նվազագույն ժամկետով պահպանել որոշակի փաստաթղթեր: Ընկերությունը չպետք է անձնական տվյալները պահպանի ավելի երկար, քան անհրաժեշտ է սահմանված բիզնես նպատակները իրականացնելու համար, կամ այնքան ժամանակ, որքան պահանջվում է կիրառելի օրենքով:

Էական նշանակություն ունի, որ Ընկերությունը վերաբերելի օրենքների եւ կանոնակարգերի համաձայն, որպես մշակման գործողությունների արձանագրման մաս, սահմանի անձնական տվյալների պահպանման ժամկետ:

Ընկերությունը պետք է հիմնավորի անհրաժեշտության դեպքում անձնական տվյալները բիզնեսի եւ կարգավորող պահանջների համաձայն սահմանված առավելագույն ժամկետից ավելի երկար ժամանակով պահպանելու պահանջները:

Եթե Ընկերությունը հավելյալ ժամանակահատվածում անձնական տվյալները պահպանում է թղթային տարբերակով, ֆիզիկական ազդեցության վտանգը կրճատելու համար Ընկերությունը պետք է անցնի համապատասխան արխիվի թվայնացմանը մասնագիտացած եւ սերտիֆիկացված երրորդ կողմ հանդիսացող մատակարարի միջոցով:

Ընկերությունը պետք է պահպանի այդ թվայնացված արխիվը ապահով վայրում, որին մուտք ունեն միայն լիազորված աշխատակիցները:

Հնարավորության դեպքում էլեկտրոնային համակարգերը պետք է կարգավորվեն այնպես, որ նշումների միջոցով տարբերակեն տեղի օրենսդրությանը համապատասխան պահպանման ժամկետների համաձայն որոշակի ժամանակահատվածների ավարտից հետո վերանայման/ջնջման համար նախատեսված գրառումները:

 

6.7. Տվյալների տնօրինում

 

Սահմանված օրինական բիզնես նպատակների ժամկետների ավարտին կամ համաձայնությունը ետ կանչելու դեպքում Ընկերությունը պետք է կամ անվտանգ ձեւով տնօրինի կամ անանունացնի տվյալների սուբյեկտների անձնական տվյալները՝ հիմնվելով Տվյալների անվտանգ տնօրինման չափանիշների վրա:

Տվյալների գաղտնիությունը ապահովելու համար անձնական տվյալներ պարունակող բոլոր ֆիզիկական փաստաթղթերը պետք է համապատասխանաբար տնօրինվեն` կիրառելով փաստաթղթերի ոչնչացման սարքեր:

Ընկերությունը կարող է թղթե փաստաթղթերի մեծ ծավալների տնօրինման դեպքում համագործակցել արտաքին մատակարարի հետ: Նշված դեպքում պետք է լինի ծառայությունների մատուցման մասին պայմանագիր եւ պետք է համապատասխանաբար կազմվի փաստաթղթերի ոչնչացման արձանագրություն: Արտաքին մատակարարը պետք է ընտրվի որոշակի պահանջների հիման վրա՝ ԸՏՊԿ-ին համապատասխանությունն ապահովելու նպատակով:

Էլեկտրոնային պահեստավորման կրիչի վրա անձնական տվյալների պահեստավորման դեպքում Ընկերությունը պետք է օգտագործի վերաձայնագրման տեխնիկան, որպեսզի ապահովի տվյալների անդարձելիությունը:

Եթե Ընկերությունը պահպանում է անձնական տվյալները նախապես սահմանված ժամկետից ավելի երկար ժամկետով (օրինակ՝ տվյալների պահպանումը ոչ արտադրական միջավայրում փորձարկման նպատակներով), տվյալները պետք է անանունացվեն կամ անդառնալիորեն անանունացվեն՝ անձի անհատական նույնականացումը կանխելու համար:

 

 

7. Փաստաղթի վերանայում

 

 

 

8. Հավելված Ա՝ Եզրույթներ եւ սահմանումներ

 

Այս բաժնում ներկայացված են սույն Քաղաքականության մեջ լայնորեն օգտագործվող եզրույթների սահմանումները: