Какие документы должен оформить оператор персональных данных?

Размещение «черных списков» сотрудников на сайте

Иногда работодатель смело публикует в открытом доступе списки бывших работников, которые были уволены, например за утрату доверия или неоднократное неисполнение обязанностей.

Следует отметить, что это расценивается законом, как нарушение требований к обработке персональных данных. Об этом, в частности, предупреждает Минтруд в Письме от 08.10.2018 N 14-2/В-803.

В данном случае, публикуя причины увольнения, работодатель сообщает личную информацию сотрудника третьим лицам. Делать это без согласия работника нельзя.

Каким должно быть согласие на обработку персональных данных

Роскомнадзор в своих рекомендациях формулирует следующие требования:

Содержание согласия должно быть конкретным и информированным. То есть по информации можно сделать однозначный вывод о целях, способах обработки с указанием действий, совершаемых с персональными данными, объеме обрабатываемых данных.
Допускается оформление согласия в виде отдельного документа или в виде части текста трудового договора.
Согласие должно отвечать требованиям, предъявляемым к его содержанию, согласно ч. 4 ст. 9 Закона о персональных данных.

Для чего требуется

Локальный документ об обработке персональных данных, а также о порядке хранения и использования в пределах и вне организации не является действительным без соответствующего приказа. На первом листе документа есть строчка: «Утверждено Приказом от (даты) №».

Ответственность работодателя

Проверка достоверности представленной документации.
Создание ксерокопий или их перевод в электронный вид.
Сшивание копий.
Внесение изменений в кадровую документацию.
Проставление даты и заверение подписью (если нужно).
Направление комплекта бумаг с описью на хранение.

C 1 июля 2022 года начали действовать поправки к законам и КОАП, которые касаются работы с личными данными. Среди них было существенное увеличение штрафов за нарушения в сфере обработки и хранения сведений о людях.

Осуществляя деятельность, предприятию или ИП, выступающими работодателями, или работающими с контрагентами — физлицами, приходится иметь дело с их личными данными, которые в соответствии с законодательством подлежат защите. Вся работа с этими сведениями должна регламентироваться, для этого на предприятии создается положение о персональных данных работников.

Для чего необходимо положение о защите персональных данных

Проект документа согласуется с различными специалистами организации, профсоюзом, а после этого вводится в действие распоряжением директора. После того как Положение о персональных данных введено в действие, с ним необходимо под роспись ознакомить всех сотрудников.

Положение о персональных данных работников — образец года вы найдете в этой статье. Какой текст положения с учетом всех требований законодательства? Приведем пример. Положение утверждает директор. Положение о персональных данных относится к тем локальным актам, которые обязательно должны быть в организации.

Положение о персональных данных — документ, раскрывающий основные положения работы с персональными данными работника, которые необходимы работодателю при трудовых отношениях. Документ разрабатывается на каждом предприятии и должен содержать ряд обязанностей по получению персональных данных, их хранению, передаче и защите полученных персональных данных работников. Персональные данные — это абсолютно любая информация, которая прямо или косвенно относится к определенному физическому лицу, конкретно — к работнику конкретного предприятия.

Образец приказа о персональных данных работников

Приказ нужно обязательно зарегистрировать и учесть. Для этого следует воспользоваться отдельным журналом учета, в котором фиксируются сведения обо всех выпущенных в организации распоряжениях. В журнал достаточно включить номер, дату и краткую суть приказа. После этого документ нужно вложить в папку с другими подобными бумагами.

В целом, под личными данными подразумевается любая информация, прямо или косвенно связанная с конкретным физическим лицом. Есть несколько видов персональных данных — общими считаются те, что являются необходимыми для заключения трудового договора. Биометрические касаются непосредственно особенностей физиологии отдельного человека, его внешности, веса, роста, медицинских показаний. К особым сведениям относится информация о религиозных, политических и иных мировоззрениях. Более подробно о том, что такое персональные данные работника и как они должны обрабатываться, можно прочитать в отдельной статье. Далее же будет рассматриваться непосредственно положение о защите персональных данных и все, что может быть с ним связано.

Какие данные сотрудников являются персональными

Нормы законодательства определяют, что включается в состав личных данных человека. Это может быть как информация, напрямую связанная с сотрудником, так и косвенно его затрагивающая.

Сюда включаются:

Полные личные данные работника (Ф.И.О.).
Сведения о месте и дате появления его на свет.
Адрес фактический и по регистрации.
Социальное, семейное, имущественное положение.
Имеющиеся у работника образование, профессия.
Сведения о получаемых сотрудником доходах и т. д.

Кроме закона о ПД, состав персональной информации определяет и ТК РФ. Он включает в состав защищаемой информации сведения, которые позволяют определить человека как работника. Это квалификация, специализация, образование, состояние здоровья человека (в некоторых ситуациях, например, при работе его во вредных условиях), наличии детей.

Список информации, которая может быть отнесена к ПД сотрудника не является закрытым, поэтому каждый субъект, ведущий бизнес, имеет право расширять его, при этом данные категории должны быть обязательно зафиксированы в Положении предприятия.

Внимание! Существует информация о работнике, которая никогда не должна запрашиваться администрацией компании, так как она является сугубо личной. Сюда относится, к примеру, вероисповедание, национальность

Если кто-то попытается узнать подобную информацию, это будет расценивать как попытка вторжения в личную жизнь работника.

Насколько необходимо Положение о персональных данных

Наниматель, принимая на свое попечение физических лиц с присущим им комплектом персональных данных, законодательно обязан позаботиться об одобренных государством способах их обработки. При этом он обязан руководствоваться вышеприведенной нормативной базой, а индивидуальные тонкости отразить в специальных внутренних документах.

Как составить приказ об утверждении положения о защите персональных данных работников?

Самостоятельно регламентировать особенности действий с персональными данными сотрудников работодателей обязали недавно. Ст. 90 ТК РФ устанавливает ответственность лица, нанимающего персонал, за утечку или неправомерное использование конфиденциальных сведений, предоставляемых сотрудниками, причем ответственность предусмотрена во всех сферах права – дисциплинарной, административной, уголовной и гражданской.

Поэтому на каждом предприятии необходимо разработать и утвердить как минимум три обязательных внутренних акта, касающихся работы с такими сведениями:

положение о защите персональных данных наемных сотрудников;
обязательство о сохранении в тайне (неразглашении) полученных персональных сведений;
согласие самого работника на обработку персональных данных.

ОБРАТИТЕ ВНИМАНИЕ! Первый документ разрабатывается и закрепляется на основании приказа руководства организации, второй должен быть подписан теми лицами, которые осуществляют сбор персональных данных и имеют к ним доступ (кадровая служба, отдел безопасности, бухгалтерия и др.). Сотрудники обязаны ознакомиться с этой документацией под роспись

Согласие нанимаемого может быть выражено подписью под соответствующей строкой в анкете или личной карточке.

Состав Положения о персональных данных

Разделы данного документа содержат следующие необходимые подпункты:

общие сведения;
перечисление данных, считающихся персональными в конкретной компании;
регламент применения данной информации;
особенности доступа к этим сведениям;
меры, принимаемые при нарушении принципов обработки информации, и ответственность виновных;
приложения (форма заявления для сотрудника о согласии на обработку и/или проверку предоставленных личных данных, форма обязательства не разглашать полученную информацию для сотрудников, у которых она будет в пользовании).

Источник получения персональных данных

Легитимным, с точки зрения официальных законодательных документов, принятых в нашей стране, является только один способ получения конфиденциальной информации – от самого гражданина, пожелавшего добровольно ее сообщить в устной или письменной форме.

Косвенные способы получения персональных сведений о человеке (например, запрос на прежнее место работы) могут использоваться только в том случае, если сотрудник дал на это свое письменное согласие.

К СВЕДЕНИЮ! Чтобы иметь возможность получать информацию о сотруднике не только непосредственно от него, кадровые работники иногда используют не запрещенный законом прием. В анкете, заполняемой при трудоустройстве, может иметься пункт «Не возражаю против проверки предоставленных данных» или «Разрешаю получить информацию обо мне в следующих источниках (указать, в каких)».

Если к работодателю пришел запрос о сотруднике, который когда-то у него работал, лучше перестраховаться и потребовать письменное разрешение на предоставление персональных данных, подписанное самим физическим лицом. Это касается даже ситуаций, когда эти сведения требуют работники правоохранительных органов (вместо разрешения может быть подписанный их руководством приказ).

Правовая основа

Заключая трудовой договор (ТД) с работником, руководство предприятия получает от него персональные данные, в том числе:

Ф.И.О.
Адрес прописки и место фактического нахождения.
Паспортные реквизиты.
Номер ИНН и СНИЛС.
Наличие детей, с датами их рождения.
Семейное положение.
Данные о предшествующей работе, со сроками и причинами отчисления.

В соответствии ст. 86-90 ТК РФ предприятие обязано соблюдать правила:

Обработки личных данных своего персонала.
Хранения и пользования полученными сведениями.
Передачи персональных сведений сотрудников.

На основании закона № 152-ФЗ от 27.07.2006 года «О персональных данных» работники имеют право требовать защиту своих личных данных. Для обеспечения нераспространения этих данных, руководство предприятий разрабатывает Положение, где обозначается:

Какие данные относятся к персональным.
Кто обладает правом доступа к ним и основания.
Как обеспечивается сохранность полученных данных.
Порядок обработки информации.
Где хранятся данные о сотрудниках.
Защита доступа к данным.

В разработанном положении могут отображаться образцы заявлений сотрудников:

О согласии обработки своих персональных данных.
О согласии получения добавочных данных о сотруднике.

Данное типовое положение по распоряжению руководителя компании может быть разработано:

Кадровиком.
Юристом предприятия.
Заместителем директора.

Приказ об утверждении данного Положения относится к внутриведомственному распорядительному документу, структура которого обязана соответствовать действующим законодательным нормам РФ. С содержанием приказа должен быть ознакомлен весь персонал предприятия.

(Видео: “Ошибки, которые могут дорого обойтись оператору персональных данных”)

Кому и зачем нужен приказ о персональных данных?

Приказ о защите персональных данных нужен руководству предприятия, так как этого требует закон № 152-ФЗ от 27.07.2006 года «О персональных данных». Данное распоряжение определяет обязанность должностных лиц в обеспечении конфиденциальности личных сведений о сотрудниках и уровень их допуска.

Утвержденного стандартного шаблона такого приказа нет, поэтому, документ составляется в произвольном стиле. Однако, согласно законодательству РФ, данный приказ обязан содержать определенные пункты для обеспечения защиты личных сведений, в том числе:

Утверждение положения о защите и обработке персональных сведений.
Закрепление ответственного работника за обеспечение обработки личных сведений.
Установление лиц, которые допущены к сбору, хранению и обработке данных.

Что должно содержать положение?

Законодательство не устанавливает четкого содержания этого положения. Также не определяются и критерии его оформления. Поэтому, при разработке текста необходимо учитывать требования действующих законов по защите персональных сведений, а также общие принципы оформления документов.

Общие положения

Здесь нужно указать цель составления документа, сделать ссылки на нормативные акты по персональным данным, определить процесс введения в действие и внесения изменений.

Состав персональных данных работника

Это очень важный раздел, поскольку именно в нем определяется круг персональной информации, подлежащий защите. Данный раздел рекомендуется оформлять после анализа поступающих от работников документов и содержащейся в них информации. Также в этом разделе можно определить и перечень внутренних документов, которые содержат такого рода данные и подлежат защите.

Создание, обработка, хранение персональных данных

В разделе необходимо установить подразделения или ответственных лиц, которые обладают правом работать с персональными данными. Здесь же надо указать виды носителей, на которых на предприятии могут содержаться сведения (к примеру, на бумаги и в электронном виде).

Доступ к персональным данным

В разделе устанавливается использование персональных сведений о работниках другими (не уполномоченными на это) сотрудниками фирмы. Здесь же оговаривается порядок предоставления сведений другим организациям, госучреждениям, прочим лицам.

Защита персональных данных

Этим разделом устанавливается, где именно на предприятии и каким образом хранятся персональные данные. Подробно нужно описать меры защиты сведений на бумажных носителях (к примеру, запирающиеся на ключ шкафы, сейфы, кодовые замки на помещении архива и т. д.), а также где располагаются и как защищаются сведения в электронной форме.

Порядок утверждения положения о персональных данных сотрудников

Положение должно разрабатываться и утверждаться, как и любой другой локальный акт. Если в компании сформирован профсоюзный орган, то документ должен утверждаться с учетом его мнения.

Так, проект положения должен направляться в профсоюз, который его рассматривает и в течение пяти дней должен предоставить мотивированное мнение о предлагаемом документе. Сделать это нужно письменно.

При ситуации, когда мнение выражает несогласие с проектом, и в него включены предложение по его улучшению, то работодатель либо соглашается с предлагаемыми изменениями, либо в срок 3-х дней с получения отказа проводит дополнительные консультации.

Если согласие так и не достигнуто, то подписывается протокол разногласий, после чего фирма может все равно принять положение. Однако, этот шаг может быть обжаловать профсоюзом в труд. инспекции или суде.

Если в компании нет профсоюза, но есть другой представительный орган, документ необходимо с ним согласовывать .

Если же никакая организация работников не сформирована, то работодатель принимает локальный акт самостоятельно, вводя его в действие путем издания приказа.

В нем необходимо указать дату начала действия положения (если даты нет — то документ приобретает силу с даты подписания приказа), назначить ответственных лиц, отменить действие старого положения (если новое принимается взамен имеющегося).

Определение

Положение о защите персональных данных – это документ, определяющий порядок сбора, хранения, комбинирования личных сведений, что соответствует законодательству Российской Федерации. На государственном уровне защита представлена совокупностью органов и исполнителей, которые используют техники охраны информации, основываясь на нормативные документы.

Положение призвано регламентировать в рамках отдельного предприятия требования к получению и обработке конфиденциальных данных сотрудника. При этом устанавливается гарантия протекции сведений личного характера, определяется порядок их хранения и использования. В документе описываются права сотрудника по защите его личных сведений, а также закрепляется ответственность работодателя по защите персональной информации о сотрудниках.

Порядок утверждения положения о персональных данных сотрудников

Порядок разработки и принятия у данного положения точно такой же, как и у любого другого внутреннего акта предприятия. Если в компании сформирован профсоюз, то принятие положения должно производиться только после его согласования с данным органом.

Проект документа нужно передать в профсоюз, у которого есть пять дней на его рассмотрение. По истечении этого срока орган должен в письменном виде представить свое мнение о нем.

Мнение органа может выражать несогласие с представленным документом. В этой ситуации вместе с выражением мнения предоставляются предложения по изменению положения. Администрация должна либо принять предлагаемые изменения, либо в срок трех дней провести с органом дополнительные обсуждения.

Если даже после этого согласие достигнуто не было, то обе стороны составляют и подписывают протокол разногласий. После этого шага администрация имеет право принять документ в том виде, как он предлагается. Но надо помнить, что профсоюз при возникновении спорной ситуации может обжаловать принятие положения в суде либо через трудинспекцию.

Если профсоюзный орган в организации не сформирован, но есть другой, представляющий интересы рабочих, то проводить согласование положения нужно с ним.

Если профсоюза нет вообще, то администрация вводит Положение о персональных данных в действие самостоятельно, принимая необходимый приказ. В этом распоряжении нужно проставить дату, с которой нормативный акт начинает действовать, определить ответственных лиц за соблюдение его, отменить предыдущий нормативный акт (если новое положение принимается взамен старого).

бухпроффи

Важно! Если в приказе не указана дата начала действия, то положение приобретает силу с даты подписания распоряжения

Какую информацию содержит?

Законом не установлена строгая форма составления документа о персональных данных работника в организации, но Положение должно соответствовать базовым критериям, которые предъявляют к защите ПД соответствующие законы и Трудовой кодекс.В Положение обязательно должна быть включена такая информация:

с какой целью обрабатываются данные сотрудника;
основные понятия, которыми оперирует акт;
принципы, на которых базируется оперирование персональными данными, режим доступа к ним с указанием круга лиц, имеющих доступ к конфиденциальным сведениям;
порядок получения доступа к ПД;
точное описание рода информации, относящейся к персональным данным в указанной организации;
права и обязанности лиц, которым открыт доступ к ПД и операции с этими данными;
где и как хранятся ПД;
кто отвечает за сохранность личной информации работников;
как обрабатывается личная информация;
согласно каким принципам работодатель передает третьим лицам сведения о сотрудниках;
как поддерживается актуальность ПД.

Правовая основа

Ф.И.О.
Адрес прописки и место фактического нахождения.
Паспортные реквизиты.
Номер ИНН и СНИЛС.
Наличие детей, с датами их рождения.
Семейное положение.
Данные о предшествующей работе, со сроками и причинами отчисления.

В соответствии ст. 86-90 ТК РФ предприятие обязано соблюдать правила:

Обработки личных данных своего персонала.
Хранения и пользования полученными сведениями.
Передачи персональных сведений сотрудников.

Какие данные относятся к персональным.
Кто обладает правом доступа к ним и основания.
Как обеспечивается сохранность полученных данных.
Порядок обработки информации.
Где хранятся данные о сотрудниках.
Защита доступа к данным.

В разработанном положении могут отображаться образцы заявлений сотрудников:

О согласии обработки своих персональных данных.
О согласии получения добавочных данных о сотруднике.

Данное типовое положение по распоряжению руководителя компании может быть разработано:

Кадровиком.
Юристом предприятия.
Заместителем директора.

https://youtube.com/watch?v=610i3xs5uf4

(Видео: «Ошибки, которые могут дорого обойтись оператору персональных данных»)

Кому и зачем нужен приказ о персональных данных?

Утверждение положения о защите и обработке персональных сведений.
Закрепление ответственного работника за обеспечение обработки личных сведений.
Установление лиц, которые допущены к сбору, хранению и обработке данных.

Структура положения

Каждая организация вправе самостоятельно разработать Положение, законодатель не устанавливает его строгой формы. Обязательным является наличие следующих разделов:

Общие положения.

Раздел должен содержать цели, для которых документ составлен, а также перечисление данных, которые относятся к персональным. Все формулировки можно перенести из ст. 3 Закона.

Основные понятия и состав персональных данных.

Руководствуйтесь при составлении этого раздела ст. 3 Закона. Укажите также документы работников, в которых содержатся их ПД:

документы, на основании которых оформляется трудовой контракт;
трудовые книжки;
личные дела работников;
отчетность налоговая, статистическая и т.д.;
приказы по организации и их копии.

Обработка персональных данных.

Перечислите все условия, которые необходимо соблюдать при обращении с ПД. Соотнесите их с теми, что указаны в ст. 6 Закона.

Передача персональных данных.

Определите правила передачи и получения ПД как внутри организации, так и третьим лицам. Здесь же укажите, как и где они хранятся (обычно это отдел кадров и бухгалтерия, где сведения о работниках хранятся в бумажном и электронном виде).

Доступ к персональным данным.

Доступ к ПД сотрудников строго ограничен кругом лиц, которые используют их в процессе осуществления своих должностных полномочий. Перечислите должности, кто вправе получать и обрабатывать такие сведения, и их действия с ПД.

Ответственность за нарушение норм в отношении обработки и защиты персональных данных.

Закрепите меру ответственности за работниками в случае нарушений правил данного Положения. Степень ответственности избирается в соответствии со ст. 90 ТК РФ.

Положение о персональных данных вводится в действие на основании приказа руководителя.

Обязательным является ознакомление с текстом Положения всех сотрудников организации, в том числе вновь принимаемых (ч. 2 ст. 22, ст. 68 ТК). Подтверждается этот факт одним из способов:

личной подписью в трудовом договоре, где содержится отсылка на действующее Положение;
личной подписью в листе ознакомления к Положению или журнале ознакомлений с приказами и распоряжениями.

При несоблюдении порядка обращения с персональными данными, если отсутствует Положения или не ознакомлен сотрудник с ним, руководитель может быть привлечен к административной ответственности в соответствии со ст. 5.27 КоАП.

Для чего нужно положение о работе с персональными данными

Нормы ст. 87 ТК РФ, а также п. 2 ст. 18.1 закона № 152-ФЗ предписывают работодателям регламентировать операции с персональными данными своих работников. Однако в отмеченных НПА, равно как и в других федеральных источниках права, четко не определено, каким именно образом данная обязанность должна выполняться. На практике это чаще всего осуществляется посредством разработки и утверждения фирмой внутрикорпоративного положения о персональных данных нанятых работников.

Является ли положение о персональных данных обязательным для работодателя документом? Ответ на этот вопрос дали эксперты КонсультантПлюс. Получите пробный доступ к системе и переходите в материал.

Кто является оператором персональных данных?

Согласно ст. 3 Закона № 152-ФЗ оператор персональных данных – это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку таких данных, а также определяющие цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными.

Общим признаком оператора персональных данных для всех организаций является обработка персональных данных работников. Организации, оказывающие услуги населению, обрабатывают еще и персональные данные клиентов. То есть, по сути, операторами персональных данных являются все без исключения организации.

Однако не все операторы должны исполнять требования Закона № 152-ФЗ в полном объеме. Так, не все операторы должны исполнять обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных согласно ст. 22 Закона № 152-ФЗ. Исключения, в частности, установлены для организаций, осуществляющих обработку персональных данных:

обрабатываемых в соответствии с трудовым законодательством;
полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если они не распространяются, не предоставляются третьим лицам без согласия субъекта данных используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими объединением или организацией, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
сделанных субъектом персональных данных общедоступными;
включающих в себя только фамилии, имена и отчества субъектов персональных данных;
необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Все остальные операторы такие уведомления направляют, после чего включаются в реестр операторов.

Соответственно, организации, не подающие уведомления, в реестр операторов не включаются.

Что же касается обязанности по составлению Политики и других локальных документов, здесь исключений никаких не установлено. Соответственно документ, определяющий политику в отношении обработки персональных данных, должен быть в каждой организации.

Если органы контроля установят, что оператор не опубликовал или не обеспечил иным образом неограниченный доступ к своей Политике или сведениям о реализуемых требованиях к защите персональных данных, организация будет оштрафована в соответствии с КоАП РФ, предусматривающей штраф для должностных лиц от 3 000 до 6 000 руб., а для юридических – от 15 000 до 30 000 руб.

Итоги

Каждая фирма, имеющая статус оператора персональных данных (таковыми являются все работодатели), обязана утвердить локальный правовой акт, который регламентирует операции с подобными данными. Чаще всего таким локальным актом становится положение, утверждаемое генеральным директором фирмы.

Ознакомиться с прочими аспектами кадрового документооборота вы можете в статьях:

«Воинский учет в организации — пошаговая инструкция»;
«Какой срок хранения документов в архиве организации?».

Федеральный закон от 27.07.2006 № 152-ФЗ
Трудовой кодекс РФ

Более полную информацию по теме вы можете найти в КонсультантПлюс. Пробный бесплатный доступ к системе на 2 дня.