Անձնական տվյալների մշակման քաղաքականություն (իրավաբանական անձ՝ "Միքս Մեդիա" ՍՊԸ)

1. Ընդհանուր դրույթներ

1.1. Սույն քաղաքականությունը սահմանում է անձնական տվյալների մշակման կարգը և "Միքս Մեդիա" ՍՊԸ-ում (այսուհետ` Ընկերություն) անձնական տվյալների անվտանգության ապահովման միջոցները անձնական տվյալները մշակելիս մարդու և քաղաքացու իրավունքներն ու ազատությունները պաշտպանելու համար` ներառյալ անձնական կյանքի անձեռնմխելիության, անձնական և ընտանեկան գաղտնիքների իրավունքի պաշտպանությունը:

1.2. Ընկերության անձնական տվյալների մշակման քաղաքականությունը (այսուհետ՝ Կանոնակարգ) մշակվել է «Անձնական տվյալների պաշտպանության մասին» Հայաստանի Հանրապետության 2015 թվականի մայիսի 18-ի օրենքի համաձայն։ թիվ 3Ռ-49-Ն (այսուհետ՝ Օրենք):

1.3. Սույն քաղաքականության մեջ օգտագործվում են հետևյալ եզրույթներն ու սահմանումները.

• անձնական տվյալների մշակումը ինքնուրույն կամ այլ անձանց հետ համատեղ կազմակերպող և (կամ) իրականացնող պետական մարմին, համայնքային մարմին, իրավաբանական կամ ֆիզիկական անձ, ինչպես նաև անձնական տվյալների մշակման նպատակները, մշակման ենթակա անձնական տվյալների ցանկը, անձնական տվյալների հետ կատարվող գործողությունները (գործառնությունները);
• ցանկացած տեղեկատվություն, որը վերաբերում է ուղղակիորեն կամ անուղղակիորեն որոշակի կամ որոշվող ֆիզիկական անձին (անձնական տվյալների սուբյեկտին);
• անձնական տվյալների մշակումը հաշվողական տեխնիկայի միջոցներով;
• գործողություններ, որոնք ուղղված են անձանց անորոշ շրջանակի անձնական տվյալների բացահայտմանը (անձնական տվյալների փոխանցմանը) կամ անձանց անսահմանափակ շրջանակի անձնական տվյալներին ծանոթանալուն, այդ թվում՝ զանգվածային լրատվության միջոցներով անձնական տվյալների հրապարակմանը, տեղեկատվական հեռահաղորդակցության ցանցերում տեղադրմանը կամ անձնական տվյալներին որևէ այլ եղանակով հասանելիության ապահովմանը;
• գործողություններ, որոնք ուղղված են որոշակի անձի կամ անձանց որոշակի շրջանակի անձնական տվյալների բացահայտմանը;
• անձնական տվյալների մշակման ժամանակավոր դադարեցում (բացառությամբ այն դեպքերի, երբ մշակումն անհրաժեշտ է անձնական տվյալների ճշգրտման համար);
• գործողություններ, որոնց արդյունքում հնարավոր չէ վերականգնել անձնական տվյալների տեղեկատվական համակարգում անձնական տվյալների բովանդակությունը, և (կամ) որոնց արդյունքում ոչնչացվում են անձնական տվյալների նյութական կրիչները;
• գործողություններ, որոնց արդյունքում հնարավոր չէ առանց լրացուցիչ տեղեկատվության օգտագործման որոշել անձնական տվյալների պատկանելությունը անձնական տվյալների կոնկրետ սուբյեկտին;
• տվյալների բազաներում պարունակվող անձնական տվյալների և դրանց մշակումն ապահովող տեղեկատվական տեխնոլոգիաների և տեխնիկական միջոցների ամբողջությունը;
• անձնական տվյալների փոխանցումն օտարերկրյա պետության տարածք օտարերկրյա պետության իշխանության մարմնին, օտարերկրյա ֆիզիկական կամ օտարերկրյա իրավաբանական անձին:

1.4. Քաղաքականության գործողությունը տարածվում է այն սուբյեկտների բոլոր անձնական տվյալների վրա, որոնք մշակվում են ընկերությունում ավտոմատացման միջոցների կիրառմամբ և առանց այդպիսի միջոցների կիրառման:

1.5. Անձնական տվյալների ցանկացած սուբյեկտ պետք է հասանելիություն ունենա սույն քաղաքականությանը:

1.6. . Ընկերությունն իրավունք ունի օգտագործել անձնական տվյալների սուբյեկտի հեռախոսահամարների և էլեկտրոնային փոստի հասցեների տվյալները, որոնք հայտ են թողնում ընկերության կայքերում (https://bubuka.am) ընկերության կողմից մատուցվող ծառայությունների հետ կապված տեղեկատվական ծանուցումների և զանգերի իրականացման համար:

2. Անձնական տվյալների մշակման սկզբունքներն ու պայմանները

2.1. Ընկերությունում անձնական տվյալների մշակումն իրականացվում է հետևյալ սկզբունքների հիման վրա.

• օրինականության և արդարության հիման վրա;
• անձնական տվյալների մշակման սահմանափակումները կոնկրետ, նախապես որոշված և օրինական նպատակների հասնելու միջոցով;
• անձնական տվյալների հավաքագրման նպատակների հետ անհամատեղելի անձնական տվյալների մշակում թույլ չտալը;
• անձնական տվյալներ պարունակող տվյալների բազաների միավորում թույլ չտալը, որոնց մշակումն իրականացվում է միմյանց հետ անհամատեղելի նպատակներով;
• մշակել միայն այն անձնական տվյալները, որոնք համապատասխանում են դրանց մշակման նպատակներին;
• մշակվող անձնական տվյալների բովանդակության և ծավալի համապատասխանությունը մշակման հայտարարված նպատակներին;
• ավելորդ անձնական տվյալների մշակումը թույլ չտալը՝ կապված դրանց մշակման հայտարարված նպատակների հետ;
• անձնական տվյալների մշակման նպատակների նկատմամբ անձնական տվյալների ճշգրտության, բավարարության և արդիականության ապահովման;
• անձնական տվյալների ոչնչացում կամ ապանձնավորում դրանց մշակման նպատակներին հասնելուց հետո կամ այդ նպատակներին հասնելու անհրաժեշտությունը կորցնելու դեպքում, Ընկերության կողմից թույլ տրված անձնական տվյալների խախտումները վերացնելու անհնարինության դեպքում, եթե օրենքով այլ բան նախատեսված չէ:

2.2. Ընկերությունն անձնական տվյալները մշակում է միայն հետևյալ պայմաններից առնվազն մեկի առկայության դեպքում.

• անձնական տվյալների մշակումն իրականացվում է անձնական տվյալների սուբյեկտի իր անձնական տվյալները մշակելու համաձայնությամբ;
• անձնական տվյալների մշակումն անհրաժեշտ է օրենքով նախատեսված նպատակներին հասնելու, Հայաստանի Հանրապետության օրենսդրությամբ օպերատորին վերապահված գործառույթների, լիազորությունների և պարտականությունների իրականացման և կատարման համար;
• անձնական տվյալների մշակումն անհրաժեշտ է այն պայմանագրի կատարման համար, որի կողմը կամ շահառուն կամ երաշխավորը հանդիսանում է անձնական տվյալների սուբյեկտը, ինչպես նաև անձնական տվյալների սուբյեկտի նախաձեռնությամբ պայմանագիր կնքելու կամ կնքելու այնպիսի պայմանագիր, որով անձնական տվյալների սուբյեկտը հանդիսանալու է շահառու կամ երաշխավոր;
• անձնական տվյալների մշակումն անհրաժեշտ է ընկերության կամ երրորդ անձանց իրավունքների և օրինական շահերի իրականացման կամ սոցիալապես նշանակալի նպատակների հասնելու համար, պայմանով, որ չեն խախտվում անձնական տվյալների սուբյեկտի իրավունքներն ու ազատությունները;
• իրականացվում է անձնական տվյալների մշակում, որոնց անսահմանափակ թվով անձանց մուտքը տրամադրվում է անձնական տվյալների սուբյեկտի կողմից կամ նրա խնդրանքով (այսուհետ՝ Հանրամատչելի անձնական տվյալներ);
• իրականացվում է օրենքին համապատասխան, հրապարակման կամ պարտադիր բացահայտման ենթակա անձնական տվյալների մշակում:

2.3. Ընկերությունը և անձնական տվյալներին հասանելիություն ստացած այլ անձինք պարտավոր են առանց անձնական տվյալների սուբյեկտի համաձայնության չբացահայտել երրորդ անձանց և չտարածել անձնական տվյալները, եթե այլ բան նախատեսված չէ օրենքով:

2.4. Տեղեկատվական աջակցության նպատակով, Ընկերությունում կարող են ստեղծվել աշխատողների անձնական տվյալների հանրամատչելի աղբյուրներ, այդ թվում՝ տեղեկատուներ և հասցեագրքեր: Անձնական տվյալների հանրամատչելի աղբյուրները աշխատողի համաձայնությամբ կարող են ներառել նրա ազգանունը, անունը, հայրանունը, ծննդյան ամսաթիվը և վայրը, պաշտոնը, կոնտակտային հեռախոսահամարները, էլեկտրոնային փոստի հասցեն: Աշխատողի մասին տեղեկությունները ցանկացած ժամանակ պետք է հեռացվեն անձնական տվյալների հանրամատչելի աղբյուրներից՝ աշխատողի պահանջով կամ դատարանի կամ այլ լիազորված պետական մարմինների որոշմամբ:

2.5. Ընկերությունն իրավունք ունի անձնական տվյալների մշակումը հանձնարարել այլ անձի՝ անձնական տվյալների սուբյեկտի համաձայնությամբ, եթե այլ բան նախատեսված չէ օրենքով, այդ անձի հետ կնքվող պայմանագրի հիման վրա (այսուհետ՝ Բանկի հանձնարարական): Ընկերության հանձնարարությամբ, անձնական տվյալների մշակում իրականացնող անձը պարտավոր է պահպանել օրենքով նախատեսված անձնական տվյալների մշակման սկզբունքներն ու կանոնները: Ընկերության կողմից ռասայական, ազգային պատկանելությանը, քաղաքական հայացքներին, կրոնական կամ փիլիսոփայական համոզմունքներին, առողջական վիճակին, ինտիմ կյանքին վերաբերող հատուկ կատեգորիաների անձնական տվյալների մշակումը թույլատրվում է այն դեպքերում, եթե.

• անձնական տվյալների սուբյեկտը գրավոր համաձայնություն է տվել իր անձնական տվյալների մշակմանը;
• անձնական տվյալները պատրաստված են անձնական տվյալների սուբյեկտի կողմից;
• անձնական տվյալների մշակումն իրականացվում է պետական սոցիալական աջակցության մասին օրենսդրությանը, աշխատանքային օրենսդրությանը, պետական կենսաթոշակային ապահովության մասին օրենսդրությանը, աշխատանքային կենսաթոշակների մասին օրենսդրությանը համապատասխան;
• անձնական տվյալների մշակումն անհրաժեշտ է անձնական տվյալների սուբյեկտի կամ երրորդ անձանց իրավունքների հաստատման կամ իրականացման համար, ինչպես նաև արդարադատության իրականացման հետ կապված;
• անձնական տվյալների մշակումն իրականացվում է ապահովագրության պարտադիր տեսակների մասին օրենսդրությանը համապատասխան, ապահովագրական օրենսդրությանը համապատասխան: Անձնական տվյալների հատուկ կատեգորիաների մշակումը պետք է անհապաղ դադարեցվի, եթե վերացվել են այն պատճառները, որոնց հետևանքով իրականացվել է դրանց մշակումը, եթե օրենքով այլ բան սահմանված չէ:

2.6. Դատվածության վերաբերյալ անձնական տվյալների մշակումը Ընկերությունը կարող է իրականացնել բացառապես այն դեպքերում և կարգով, որոնք որոշվում են Հայաստանի Հանրապետության օրենսդրությանը համապատասխան:

2.7. Տեղեկատվություն, որը բնութագրում է մարդու ֆիզիոլոգիական և կենսաբանական առանձնահատկությունները, որոնց հիման վրա հնարավոր է պարզել նրա ինքնությունը՝ կենսաչափական անձնական տվյալներ, Ընկերությունը կարող է մշակել միայն այն դեպքում, եթե կա աշխատողի գրավոր համաձայնություն:

2.8. Օտարերկրյա պետությունների տարածքում անձնական տվյալների անդրսահմանային փոխանցումը կարող է իրականացվել Ընկերության կողմից միայն անձնական տվյալների սուբյեկտի համաձայնության առկայության դեպքում՝ իր անձնական տվյալների անդրսահմանային փոխանցման համար: Նախքան անձնական տվյալների անդրսահմանային փոխանցման իրականացումը սկսելը, Ընկերությունը պարտավոր է համոզվել, որ օտարերկրյա պետությունը, որի տարածքում իրականացվում է անձնական տվյալների փոխանցումը, ապահովում է անձնական տվյալների սուբյեկտների իրավունքների համարժեք պաշտպանությունը:

3. Անձնական տվյալների սուբյեկտի իրավունքները

3.1. Անձնական տվյալների սուբյեկտը որոշում է կայացնում իր անձնական տվյալները տրամադրելու մասին և համաձայնություն է տալիս դրանց մշակմանը ազատորեն, իր կամքով և իր շահերից ելնելով: Անձնական տվյալների մշակման համաձայնությունը կարող է տրվել անձնական տվյալների սուբյեկտի կամ նրա ներկայացուցչի կողմից ցանկացած ձևով, որը թույլ է տալիս հաստատել դրա ստացման փաստը, եթե օրենքով այլ բան նախատեսված չէ: Ընկերության վրա է դրված անձնական տվյալների մշակմանն առնչվող անձնական տվյալների համաձայնությունը ստանալու կամ Օրենքում նշված հիմքերի առկայության ապացույցներ տրամադրելու պարտավորությունը:

3.2. Անձնական տվյալների սուբյեկտն իրավունք ունի տեղեկատվություն ստանալ իր անձնական տվյալների մշակման վերաբերյալ, եթե այդպիսի իրավունքը սահմանափակված չէ դաշնային օրենքներին համապատասխան: Անձնական տվյալների սուբյեկտն իրավունք ունի Ընկերությունից պահանջել հստակեցնել իր անձնական տվյալները, արգելափակել դրանք կամ ոչնչացնել այն դեպքում, երբ անձնական տվյալները թերի են, հնացած, անճիշտ, ապօրինի ձեռք բերված կամ անհրաժեշտ չեն մշակման հայտարարված նպատակի համար, ինչպես նաև ձեռնարկել օրենքով նախատեսված միջոցներ իր իրավունքների պաշտպանության համար:

3.3. Անձնական տվյալների մշակում՝ շուկայում ապրանքների, աշխատանքների, ծառայությունների առաջխաղացման նպատակով՝ կապի միջոցների միջոցով հնարավոր սպառողի հետ անմիջական շփումների իրականացման միջոցով, ինչպես նաև քաղաքական քարոզչության նպատակով թույլատրվում է միայն անձնական տվյալների սուբյեկտի նախնական համաձայնության պայմանով: Անձնական տվյալների նշված մշակումը համարվում է իրականացված առանց անձնական տվյալների սուբյեկտի նախնական համաձայնության, եթե Ընկերությունը չի ապացուցում, որ նման համաձայնություն է ստացվել: Ընկերությունը պարտավոր է անհապաղ դադարեցնել անձնական տվյալների սուբյեկտի պահանջով նրա անձնական տվյալների մշակումը վերը նշված նպատակներով:

3.4. Արգելվում է անձնական տվյալների բացառապես ավտոմատացված մշակման հիման վրա անձնական տվյալների սուբյեկտի նկատմամբ իրավական հետևանքներ առաջացնող կամ նրա իրավունքներն ու օրինական շահերը այլ կերպ շոշափող որոշումների ընդունումը, բացառությամբ Հայաստանի Հանրապետության օրենսդրությամբ նախատեսված դեպքերի կամ անձնական տվյալների սուբյեկտի գրավոր համաձայնության առկայության դեպքում:

3.5. Եթե անձնական տվյալների սուբյեկտը կարծում է, որ Ընկերությունն իրականացնում է իր անձնական տվյալների մշակումը օրենքի պահանջների խախտմամբ կամ այլ կերպ խախտում է իր իրավունքներն ու ազատությունները, ապա անձնական տվյալների սուբյեկտը իրավունք ունի բողոքարկել Ընկերության գործողությունները կամ անգործությունը լիազորված մարմնին՝ անձնական տվյալների սուբյեկտների իրավունքները պաշտպանելու կամ դատական կարգով: Անձնական տվյալների սուբյեկտն իրավունք ունի պաշտպանելու իր իրավունքներն ու օրինական շահերը, այդ թվում՝ վնասի հատուցում և (կամ) ոչ նյութական վնասի փոխհատուցում դատարան:

4. Անձնական տվյալների անվտանգության ապահովումը

4.1.Ընկերության կողմից մշակվող անձնական տվյալների անվտանգությունն ապահովվում է անձնական տվյալների պաշտպանության բնագավառում` Հայաստանի Հանրապետության օրենսդրության պահանջների ապահովման համար անհրաժեշտ և բավարար իրավական, կազմակերպական, տեխնիկական և ծրագրային միջոցառումների իրականացմամբ:

4.2. Ընկերությունում անբարենպաստ պայմանների և դժվար հաղթահարելի խոչընդոտների նպատակային ստեղծման համար այն խախտողների համար, ովքեր փորձում են չարտոնված մուտք գործել անձնական տվյալների շտեմարան՝ դրանք յուրացնելու, ձևափոխելու, ոչնչացնելու, վնասակար համակարգչային ծրագրով վարակելու, նենգափոխելու և այլ չարտոնված գործողություններ կատարելու նպատակով, Ընկերության կողմից կիրառվում են հետևյալ կազմակերպչա-տեխնիկական միջոցները.

• անձնական տվյալների մշակման և պաշտպանության կազմակերպման համար պատասխանատու պաշտոնատար անձանց նշանակումը;
• անձնական տվյալներին հասանելիություն ունեցող աշխատակիցների կազմի սահմանափակումը և կանոնակարգումը;
• աշխատակիցների ծանոթացումը անձնական տվյալների մշակման և պաշտպանության վերաբերյալ Հայաստանի Հանրապետության օրենսդրության և Ընկերության նորմատիվ փաստաթղթերի պահանջներին;
• տեղեկատվության նյութական կրիչների և դրանց շրջանառության հաշվառման և պահպանման ապահովում, որը բացառում է գողությունը, փոխարինումը, չարտոնված պատճենումը և ոչնչացումը;
• անձնական տվյալների անվտանգության սպառնալիքների որոշում դրանց մշակման ընթացքում, դրանց հիման վրա սպառնալիքների մոդելների ձևավորում;
• համապատասխան դասի տեղեկատվական համակարգերի համար անձնական տվյալների պաշտպանության համակարգի սպառնալիքների մոդելի հիման վրա մշակում;
• տեղեկատվության պաշտպանության միջոցների օգտագործման պատրաստության և արդյունավետության ստուգում;
• տեղեկատվական ռեսուրսների, տեղեկատվության մշակման և պաշտպանության ծրագրային ապահովման ապարատային միջոցների օգտագործողների մուտքի թույլտվության համակարգի իրականացում;
• անձնական տվյալների տեղեկատվական համակարգերից օգտվողների գործողությունների գրանցում և հաշվառում;
• անձնական տվյալների տեղեկատվական համակարգ օգտագործողների մուտքի գաղտնաբառերի պաշտպանություն;
• հաղորդակցման պորտերին, տեղեկատվության մուտքագրման սարքերի, շարժական մեքենայական կրիչների և տեղեկատվության արտաքին կրիչների մուտքի վերահսկման միջոցների կիրառում;
• անհրաժեշտ դեպքերում տեղեկատվության գաղտնագրային պաշտպանության միջոցների օգտագործումը՝ բաց կապի ուղիներով փոխանցման և մեքենայական կրիչների վրա պահպանման ընթացքում անձնական տվյալների անվտանգությունն ապահովելու համար;
• հակավիրուսային հսկողության իրականացում, կորպորատիվ ցանցում վնասակար ծրագրերի (ծրագրային վիրուսների) և ծրագրային էջանիշների ներդրման կանխարգելում;
• միջցանցային վահանվորման (էկրան) կիրառում;
• Ընկերության կորպորատիվ ցանց ներխուժումների հայտնաբերում, որոնք խախտում կամ ստեղծում են անձնական տվյալների անվտանգության ապահովման համար սահմանված պահանջների խախտման նախադրյալներ;
• անձնական տվյալների պաշտպանության համակարգի կենտրոնացված կառավարում՝ տեղեկատվության կրկնօրինակում;
• չարտոնված մուտքի հետևանքով ձևափոխված կամ ոչնչացված անձնական տվյալների վերականգնման ապահովումը;
• անձնական տվյալների տեղեկատվական համակարգերում օգտագործվող տեղեկատվության պաշտպանության միջոցներ օգտագործող աշխատողների վերապատրաստում, նրանց հետ աշխատելու կանոններ;
• կիրառվող տեղեկատվության պաշտպանության միջոցների, դրանց գործառնական և տեխնիկական փաստաթղթերի հաշվառում;
• սահմանված կարգով համապատասխանության գնահատման ընթացակարգ անցած տեղեկատվության պաշտպանության միջոցների օգտագործումը;
• օգտատերերի գործողությունների մոնիթորինգի անցկացում, անձնական տվյալների անվտանգության պահանջների խախտման փաստերով վարույթների անցկացում;
• անձնական տվյալների մշակման տեխնիկական միջոցների տեղաբաշխումը պահպանվող տարածքի սահմաններում;
• Ընկերության տարածքում անցագրային ռեժիմի կազմակերպում;
• մշտական պատրաստության վիճակում գտնվող տարածքների տեխնիկական անվտանգության սարքավորումների և ազդանշանային համակարգերի պահպանում:

5. Եզրափակիչ դրույթներ

5.1. КԸնկերության՝ որպես անձնական տվյալների օպերատորի այլ իրավունքներն ու պարտականությունները սահմանվում են անձնական տվյալների բնագավառում Հայաստանի Հանրապետության օրենսդրությամբ: Անձնական տվյալների մշակումն ու պաշտպանությունը կարգավորող նորմերի խախտման մեջ մեղավոր Ընկերության պաշտոնատար անձինք կրում են նյութական, կարգապահական, վարչական, քաղաքացիական, իրավական կամ քրեական պատասխանատվություն՝ Հայաստանի Հանրապետության օրենսդրությամբ սահմանված կարգով: